From c10d0b38305f8d37751153b544c9effb927aff92 Mon Sep 17 00:00:00 2001 From: Marco Wende Date: Wed, 16 Sep 2026 11:21:25 +0200 Subject: [PATCH] =?UTF-8?q?Doku:=20vollst=C3=A4ndige=20Graph-Berechtigunge?= =?UTF-8?q?n=20f=C3=BCr=20den=20vollen=20Funktionsumfang?= MIME-Version: 1.0 Content-Type: text/plain; charset=UTF-8 Content-Transfer-Encoding: 8bit README: Berechtigungstabelle nach Bereich gruppiert (Kern, Geräte-Tab, Offboarding, Read-Only) inkl. der neuen Abhängigkeiten DeviceManagementServiceConfig.* (Autopilot-Status im Geräte-Detail, Autopilot-Suche im Offboarding). App-Registration.md entsprechend ergänzt. Co-Authored-By: Claude Opus 4.8 --- README.md | 67 +++++++++++++++++++++++++++++++--------- docs/App-Registration.md | 5 +-- 2 files changed, 56 insertions(+), 16 deletions(-) diff --git a/README.md b/README.md index 8ddd8fd..58acaaa 100644 --- a/README.md +++ b/README.md @@ -105,24 +105,63 @@ Settings → Verbindung Scopes RO: DeviceManagementApps.Read.All ... ``` -### Benoetigt Graph-Berechtigungen +### Benoetigte Graph-Berechtigungen (voller Funktionsumfang) -| Funktion | Benoetigt | -|----------------------------------|----------------------------------------------| -| Apps anzeigen | `DeviceManagementApps.Read.All` | -| Gruppen anzeigen / Mitglieder | `GroupMember.Read.All` | -| User suchen | `User.Read.All` | -| Zuweisungen aendern | `DeviceManagementApps.ReadWrite.All` | -| Gruppen-Mitglieder aendern | `GroupMember.ReadWrite.All` | -| App-Installationszaehler (Report)| `DeviceManagementManagedDevices.Read.All` ⚠ | -| Geraete-Exportliste pro App | `DeviceManagementManagedDevices.Read.All` ⚠ | +Alle Berechtigungen sind **delegiert** (Microsoft Graph) — die App handelt im Namen +des angemeldeten Admins. Der **Kern** deckt App-Management, Group-Management und +Policies ab; die **Geräte-** und **Offboarding**-Scopes sind optional und nur für +den jeweiligen Tab nötig. `offline_access` liefert das Refresh-Token (Device-Code-Flow). + +**Kern — immer erforderlich (App Management, Group Management, App Report, Policies)** + +| Berechtigung | Wofür | +|---|---| +| `Group.ReadWrite.All` | Gruppen anlegen, App-/Policy-Zuweisungen setzen | +| `GroupMember.ReadWrite.All` | Gruppenmitglieder lesen/hinzufügen/entfernen, CSV-Import | +| `User.Read.All` | Benutzersuche, UPN-Auflösung | +| `DeviceManagementApps.ReadWrite.All` | Apps auflisten, zuweisen, umbenennen, löschen, Setup-Datei aktualisieren | +| `DeviceManagementConfiguration.ReadWrite.All` | Policies (Settings Catalog, Compliance, Konfigurationsprofile, Administrative Vorlagen) lesen, exportieren, importieren, **zuweisen (Bulk)**, konsolidieren, Git-Snapshot | +| `DeviceManagementManagedDevices.Read.All` | App-Report (Installationszähler) und Geräte-Export pro App ⚠ | +| `offline_access` | Refresh-Token | > ⚠ Ohne `DeviceManagementManagedDevices.Read.All` zeigt der App-Report nur -> Zaehler = 0 und der Geraete-Export liefert keine Eintraege. +> Zähler = 0 und der Geräte-Export liefert keine Einträge. Dieser Scope ist +> zugleich die Basis für den gesamten Geräte-Tab (siehe unten). -**Vollstaendige Berechtigungsliste, Redirect-URIs und ein Skript, das die -App-Registrierung automatisch anlegt/konfiguriert:** -[docs/App-Registration.md](docs/App-Registration.md) — inkl. +**Geräte-Tab (optional)** — Geräte suchen, Detail-Panel, Aktionen + +| Berechtigung | Wofür | +|---|---| +| `DeviceManagementManagedDevices.Read.All` | Geräte auflisten, Detail-Panel, Spalte „Verwaltung" (Intune/Co-Managed) | +| `DeviceManagementServiceConfig.Read.All` | Autopilot-Status im Detail-Panel (Profil-Zuweisung / letzter Kontakt) | +| `DeviceManagementManagedDevices.ReadWrite.All` | Sync, Neustart, Remote-Lock, Diagnose, BitLocker-Key-Rotation | +| `DeviceManagementManagedDevices.PrivilegedOperations.All` | Wipe, Retire, Autopilot-Reset | + +**Geräte-Offboarding (optional)** — Geräte aus Intune + Autopilot + Entra entfernen, Recovery-Keys lesen + +| Berechtigung | Wofür | +|---|---| +| `DeviceManagementManagedDevices.Read.All` | Geräte-Suche (Intune) | +| `DeviceManagementServiceConfig.ReadWrite.All` | Autopilot-Suche **und** Löschen aus Autopilot | +| `DeviceManagementManagedDevices.ReadWrite.All` | Gerät aus Intune löschen | +| `Device.ReadWrite.All` | Gerät aus Entra ID löschen/deaktivieren | +| `BitlockerKey.Read.All` | BitLocker-Recovery-Keys lesen | +| `DeviceLocalCredential.Read.All` | LAPS-Passwörter lesen | + +> **Rollen:** Das Löschen aus Entra/Intune/Autopilot benötigt bei delegierter +> Anmeldung zusätzlich passende **Verzeichnis-/Intune-Rollen** (z. B. *Cloud Device +> Administrator* bzw. *Intune Administrator*) — die Scopes allein reichen nicht +> (sonst `403`). Alle optionalen Scopes müssen außerdem in den **Read/Write-Scopes** +> des Tools stehen (Einstellungen → Verbindung), damit sie im Token landen. + +**Read-Only-Variante** (reine Anzeige-App als `clientIdRo`): die `*.Read.All`-Pendants — +`Group.Read.All`, `GroupMember.Read.All`, `User.Read.All`, +`DeviceManagementApps.Read.All`, `DeviceManagementConfiguration.Read.All`, +`offline_access` (+ optional `DeviceManagementManagedDevices.Read.All` und +`DeviceManagementServiceConfig.Read.All` für den Geräte-Tab). + +**Redirect-URIs und ein Skript, das die App-Registrierung automatisch +anlegt/konfiguriert:** [docs/App-Registration.md](docs/App-Registration.md) — inkl. [`Setup-AppRegistration.ps1`](docs/Setup-AppRegistration.ps1). --- diff --git a/docs/App-Registration.md b/docs/App-Registration.md index b19ece0..af5ab4f 100644 --- a/docs/App-Registration.md +++ b/docs/App-Registration.md @@ -38,7 +38,8 @@ Nur nötig, wenn der **Geräte-Tab** (Sync/Reboot/Lock/Diagnose/Wipe/Retire) gen | Berechtigung | Wofür | |---|---| -| `DeviceManagementManagedDevices.Read.All` | Geräte auflisten und Details anzeigen | +| `DeviceManagementManagedDevices.Read.All` | Geräte auflisten und Details anzeigen, Spalte „Verwaltung" (Intune/Co-Managed) | +| `DeviceManagementServiceConfig.Read.All` | Autopilot-Status im Detail-Panel (Profil-Zuweisung / letzter Kontakt) | | `DeviceManagementManagedDevices.ReadWrite.All` | Sync, Neustart, Remote-Lock, Diagnose, BitLocker-Key-Rotation | | `DeviceManagementManagedDevices.PrivilegedOperations.All` | Wipe, Retire, Autopilot-Reset | @@ -51,7 +52,7 @@ entfernen, Recovery-Keys lesen) genutzt wird: |---|---| | `Device.ReadWrite.All` | Gerät aus Entra ID löschen/deaktivieren | | `DeviceManagementManagedDevices.ReadWrite.All` | Gerät aus Intune löschen | -| `DeviceManagementServiceConfig.ReadWrite.All` | Gerät aus Autopilot löschen | +| `DeviceManagementServiceConfig.ReadWrite.All` | Autopilot durchsuchen und Gerät aus Autopilot löschen | | `BitlockerKey.Read.All` | BitLocker-Recovery-Keys lesen | | `DeviceLocalCredential.Read.All` | LAPS-Passwörter lesen |