Geräte in Entra ID Devices in Entra ID

Geräteidentitäten, Registrierungstypen, PRT, dsregcmd, Compliance, LAPS, BitLocker, Enterprise State Roaming und PowerShell-Referenz. Device identities, registration types, PRT, dsregcmd, compliance, LAPS, BitLocker, Enterprise State Roaming, and PowerShell reference.

Geräteidentitäten in Microsoft Entra IDDevice identities in Microsoft Entra ID

Geräteidentitäten in Microsoft Entra ID sind ein zentrales Element der Zero-Trust-Strategie. Ein Gerät, das in Entra ID registriert oder eingebunden ist, erhält eine eigene Geräteobjekt-ID und kann als Signal in Conditional-Access-Richtlinien verwendet werden. Device identities in Microsoft Entra ID are a central element of the Zero Trust strategy. A device that is registered or joined to Entra ID receives its own device object ID and can be used as a signal in Conditional Access policies.

Das Gerätemanagement umfasst drei Kernbereiche: den Join-Typ, den Gerätezustand und die Compliance-Bewertung durch Intune. Alle drei Faktoren zusammen bestimmen, ob ein Benutzer Zugriff auf Unternehmensressourcen erhalten kann. Device management covers three core areas: the join type, the device state, and the compliance evaluation by Intune. All three factors together determine whether a user can access corporate resources.

Registrierungstypen (Join-Typen)Registration types (join types)

Microsoft Entra ID unterstützt drei Gerätebindungstypen, die sich in Registrierungsweg, Eigentümerschaft und resultierenden Fähigkeiten unterscheiden. Microsoft Entra ID supports three device binding types that differ in registration path, ownership, and resulting capabilities.

Entra Registered – BYOD-SzenarioEntra Registered – BYOD scenario

Bei Entra Registered bleibt das Gerät im privaten oder unternehmensfremden Besitz. Der Benutzer fügt ein Arbeitskonto hinzu. Entra ID erhält dadurch ein Geräteobjekt mit dem Join-Typ Registered. Das Gerät kann für MAM ohne vollständige MDM-Enrollment genutzt werden. With Entra Registered the device remains privately owned. The user adds a work or school account. Entra ID receives a device object with join type Registered. The device can be used for MAM without full MDM enrollment.

Hybrid Entra Joined – Service Connection PointHybrid Entra Joined – Service Connection Point

Für Hybrid Join muss ein SCP im Active Directory konfiguriert sein. Entra Connect konfiguriert den SCP automatisch oder er kann manuell gesetzt werden. Der SCP verweist die Clients auf den Tenant, bei dem die Registrierung stattfindet. For Hybrid Join a Service Connection Point (SCP) must be configured in Active Directory. Entra Connect configures the SCP automatically, or it can be set manually. The SCP directs clients to the tenant where registration takes place.

Geräte-RegistrierungsprozessDevice registration process

Der Registrierungsprozess variiert je nach Join-Typ. Für moderne Cloud-Umgebungen ist Windows Autopilot der empfohlene Weg; für Hybrid-Umgebungen übernimmt Entra Connect die Gerätesynchronisation. The registration process varies by join type. For modern cloud environments Windows Autopilot is the recommended path; for hybrid environments Entra Connect handles device synchronization.

Geräteregistrierungseinstellungen im Admin CenterDevice registration settings in Admin Center

Im Entra-Admin-Center unter Geräte → Einstellungen steuern Sie, wer Geräte einbinden darf, welche MFA-Anforderungen dabei gelten und ob das Geräteschreibback aktiv ist. In the Entra admin center under Devices → Settings you control who can join devices, what MFA requirements apply, and whether device writeback is active.

Primärer Aktualisierungstoken (PRT)Primary Refresh Token (PRT)

Der PRT ist das zentrale SSO-Artefakt für Windows-Geräte. Er wird beim Login an einem Entra Joined oder Hybrid Joined Gerät ausgestellt und ermöglicht lautloses Token-Renewal für alle Cloud-Apps, ohne erneute Benutzerinteraktion. The PRT is the central SSO artifact for Windows devices. It is issued at login on an Entra Joined or Hybrid Joined device and enables silent token renewal for all cloud apps without additional user interaction.

Gerätediagnose mit dsregcmdDevice diagnostics with dsregcmd

Das Windows-Tool dsregcmd liefert detaillierte Informationen über den Gerätestatus, Join-Typ, PRT und WHfB-Zustand direkt auf dem Endgerät. The Windows tool dsregcmd provides detailed information about device state, join type, PRT, and WHfB status directly on the endpoint.

# Vollständigen Gerätestatus anzeigen
dsregcmd /status

# Nur relevante Felder ausgeben (PowerShell)
dsregcmd /status | Select-String -Pattern "AzureAdJoined|DomainJoined|IsCompliant|AzureAdPrt|TenantId|DeviceId"

# Geräteregistrierung erneut auslösen (als SYSTEM)
dsregcmd /debug /join

# Gerät aus Entra ID austragen
dsregcmd /leave

Gerätezustand und ComplianceDevice state and compliance

Jedes Geräteobjekt in Entra ID hat einen Zustand, der beeinflusst, ob Token ausgestellt werden. Ergänzend bestimmt die Intune-Compliance, ob ein Gerät als konform gilt. Every device object in Entra ID has a state that influences whether tokens are issued. Additionally Intune compliance determines whether a device is considered compliant.

Intune Compliance-RichtlinienIntune compliance policies

Compliance-Richtlinien werden in Microsoft Intune definiert und prüfen Geräteeigenschaften wie OS-Version, Verschlüsselung, PIN-Anforderungen oder Jailbreak-Status. Das Ergebnis wird an Entra ID zurückgemeldet und ist als CA-Bedingung nutzbar. Compliance policies are defined in Microsoft Intune and check device properties such as OS version, encryption, PIN requirements, or jailbreak status. The result is reported back to Entra ID and is usable as a CA condition.

Lokale Administratoren (LAPS)Local administrators (LAPS)

Microsoft Entra Local Administrator Password Solution (LAPS) rotiert automatisch das lokale Administrator-Passwort auf Windows-Endgeräten. Die Passwörter werden verschlüsselt in Entra ID gespeichert und können über das Portal oder die Graph API abgerufen werden. Microsoft Entra Local Administrator Password Solution (LAPS) automatically rotates the local administrator password on Windows endpoints. Passwords are stored encrypted in Entra ID and can be retrieved via the portal or Graph API.

# Entra LAPS - Passwort eines Geräts abrufen
# Retrieve Entra LAPS password for a device
Connect-MgGraph -Scopes "DeviceLocalCredentials.Read.All"

# Geräte-Anmeldedaten auflisten
Get-MgDeviceLocalCredential -DeviceId "<deviceObjectId>" |
    Select-Object Id, RefreshDateTime

# Passwort-Details inkl. Klartext-Passwort
Get-MgDeviceLocalCredential -DeviceId "<deviceObjectId>" `
    -LocalCredentialDetailsId "<credentialId>" -Property "credentials" |
    Select-Object -ExpandProperty Credentials

BitLocker-SchlüsselverwaltungBitLocker key management

Bei Entra Joined und Hybrid Joined Geräten mit Windows 10/11 kann der BitLocker-Wiederherstellungsschlüssel automatisch in Entra ID hinterlegt werden. Administratoren können über das Portal oder die API auf den Schlüssel zugreifen. For Entra Joined and Hybrid Joined devices running Windows 10/11 the BitLocker recovery key can be automatically backed up to Entra ID. Administrators can access the key through the portal or API.

# BitLocker-Wiederherstellungsschlüssel für ein Gerät abrufen
Connect-MgGraph -Scopes "BitlockerKey.ReadBasic.All","BitlockerKey.Read.All"

$deviceId = "xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx"
Get-MgInformationProtectionBitlockerRecoveryKey -Filter "deviceId eq '$deviceId'" |
    Select-Object Id, CreatedDateTime, DeviceId, VolumeType

# Detailschlüssel mit Geheimnis abrufen (erfordert BitlockerKey.Read.All)
Get-MgInformationProtectionBitlockerRecoveryKey `
    -BitlockerRecoveryKeyId "<keyId>" -Property "key"

Enterprise State RoamingEnterprise State Roaming

Enterprise State Roaming (ESR) synchronisiert Windows-Einstellungen und App-Daten zwischen Geräten eines Benutzers über Entra ID. Die Daten werden verschlüsselt in Azure gespeichert und bleiben unter der Kontrolle des Unternehmens. Enterprise State Roaming (ESR) synchronizes Windows settings and app data between a user's devices via Entra ID. Data is stored encrypted in Azure and remains under corporate control.

Gerätebereinigung (Stale Devices)Device cleanup (stale devices)

Veraltete Geräteobjekte in Entra ID erhöhen den Tenant-Overhead und können Sicherheitsfragen aufwerfen. Regelmäßige Bereinigung auf Basis des approximateLastSignInDateTime-Attributs ist empfehlenswert. Stale device objects in Entra ID increase tenant overhead and can raise security questions. Regular cleanup based on the approximateLastSignInDateTime attribute is recommended.

Connect-MgGraph -Scopes "Device.Read.All","Device.ReadWrite.All"

# Geräte suchen, die seit mehr als 90 Tagen nicht angemeldet waren
$cutoff = (Get-Date).AddDays(-90).ToString("yyyy-MM-ddTHH:mm:ssZ")
$stale = Get-MgDevice -Filter "approximateLastSignInDateTime le $cutoff" -All |
    Select-Object DisplayName, DeviceId, ApproximateLastSignInDateTime, TrustType, IsCompliant

$stale | Sort-Object ApproximateLastSignInDateTime | Format-Table -AutoSize

# Gerät deaktivieren (nicht sofort löschen)
Update-MgDevice -DeviceId "<objectId>" -AdditionalProperties @{ accountEnabled = $false }

# Nach Karenzzeit löschen
Remove-MgDevice -DeviceId "<objectId>"

PowerShell & Graph API ReferenzPowerShell & Graph API reference

Das Microsoft Graph PowerShell SDK (Modul Microsoft.Graph.Identity.DirectoryManagement) enthält die wichtigsten Cmdlets für das Gerätemanagement. The Microsoft Graph PowerShell SDK (module Microsoft.Graph.Identity.DirectoryManagement) contains the most important cmdlets for device management.

Graph-API-EndpunkteGraph API endpoints

# Alle Geräte auflisten
GET https://graph.microsoft.com/v1.0/devices

# Geräteobjekt abrufen
GET https://graph.microsoft.com/v1.0/devices/{id}

# Nur Entra Joined Geräte
GET https://graph.microsoft.com/v1.0/devices?$filter=trustType eq 'AzureAd'

# Deaktivierte Geräte
GET https://graph.microsoft.com/v1.0/devices?$filter=accountEnabled eq false

# Gerät deaktivieren
PATCH https://graph.microsoft.com/v1.0/devices/{id}
Content-Type: application/json
{ "accountEnabled": false }

# Gerät löschen
DELETE https://graph.microsoft.com/v1.0/devices/{id}

# BitLocker-Schlüssel
GET https://graph.microsoft.com/v1.0/informationProtection/bitlocker/recoveryKeys
GET https://graph.microsoft.com/v1.0/informationProtection/bitlocker/recoveryKeys/{keyId}?$select=key

# LAPS-Anmeldedaten
GET https://graph.microsoft.com/v1.0/devices/{id}/localCredentials

Verwandte SeitenRelated pages

• Conditional AccessConditional Access
• Microsoft IntuneMicrosoft Intune
• MFAMFA
• Entra Connect & SyncEntra Connect & Sync
• Monitoring & AuditMonitoring & Audit