Doku: vollständige Graph-Berechtigungen für den vollen Funktionsumfang

README: Berechtigungstabelle nach Bereich gruppiert (Kern, Geräte-Tab,
Offboarding, Read-Only) inkl. der neuen Abhängigkeiten
DeviceManagementServiceConfig.* (Autopilot-Status im Geräte-Detail,
Autopilot-Suche im Offboarding). App-Registration.md entsprechend ergänzt.

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>

README.md

@@ -105,24 +105,63 @@ Settings → Verbindung
   Scopes RO:               DeviceManagementApps.Read.All ...
 ```
 
-### Benoetigt Graph-Berechtigungen
+### Benoetigte Graph-Berechtigungen (voller Funktionsumfang)
 
-| Funktion                         | Benoetigt                                    |
-|----------------------------------|----------------------------------------------|
-| Apps anzeigen                    | `DeviceManagementApps.Read.All`              |
-| Gruppen anzeigen / Mitglieder    | `GroupMember.Read.All`                       |
-| User suchen                      | `User.Read.All`                              |
-| Zuweisungen aendern              | `DeviceManagementApps.ReadWrite.All`         |
-| Gruppen-Mitglieder aendern       | `GroupMember.ReadWrite.All`                  |
-| App-Installationszaehler (Report)| `DeviceManagementManagedDevices.Read.All` ⚠  |
-| Geraete-Exportliste pro App      | `DeviceManagementManagedDevices.Read.All` ⚠  |
+Alle Berechtigungen sind **delegiert** (Microsoft Graph) — die App handelt im Namen
+des angemeldeten Admins. Der **Kern** deckt App-Management, Group-Management und
+Policies ab; die **Geräte-** und **Offboarding**-Scopes sind optional und nur für
+den jeweiligen Tab nötig. `offline_access` liefert das Refresh-Token (Device-Code-Flow).
+
+**Kern — immer erforderlich (App Management, Group Management, App Report, Policies)**
+
+| Berechtigung | Wofür |
+|---|---|
+| `Group.ReadWrite.All` | Gruppen anlegen, App-/Policy-Zuweisungen setzen |
+| `GroupMember.ReadWrite.All` | Gruppenmitglieder lesen/hinzufügen/entfernen, CSV-Import |
+| `User.Read.All` | Benutzersuche, UPN-Auflösung |
+| `DeviceManagementApps.ReadWrite.All` | Apps auflisten, zuweisen, umbenennen, löschen, Setup-Datei aktualisieren |
+| `DeviceManagementConfiguration.ReadWrite.All` | Policies (Settings Catalog, Compliance, Konfigurationsprofile, Administrative Vorlagen) lesen, exportieren, importieren, **zuweisen (Bulk)**, konsolidieren, Git-Snapshot |
+| `DeviceManagementManagedDevices.Read.All` | App-Report (Installationszähler) und Geräte-Export pro App ⚠ |
+| `offline_access` | Refresh-Token |
 
 > ⚠ Ohne `DeviceManagementManagedDevices.Read.All` zeigt der App-Report nur
-> Zaehler = 0 und der Geraete-Export liefert keine Eintraege.
+> Zähler = 0 und der Geräte-Export liefert keine Einträge. Dieser Scope ist
+> zugleich die Basis für den gesamten Geräte-Tab (siehe unten).
 
-**Vollstaendige Berechtigungsliste, Redirect-URIs und ein Skript, das die
-App-Registrierung automatisch anlegt/konfiguriert:**
-[docs/App-Registration.md](docs/App-Registration.md) — inkl.
+**Geräte-Tab (optional)** — Geräte suchen, Detail-Panel, Aktionen
+
+| Berechtigung | Wofür |
+|---|---|
+| `DeviceManagementManagedDevices.Read.All` | Geräte auflisten, Detail-Panel, Spalte „Verwaltung" (Intune/Co-Managed) |
+| `DeviceManagementServiceConfig.Read.All` | Autopilot-Status im Detail-Panel (Profil-Zuweisung / letzter Kontakt) |
+| `DeviceManagementManagedDevices.ReadWrite.All` | Sync, Neustart, Remote-Lock, Diagnose, BitLocker-Key-Rotation |
+| `DeviceManagementManagedDevices.PrivilegedOperations.All` | Wipe, Retire, Autopilot-Reset |
+
+**Geräte-Offboarding (optional)** — Geräte aus Intune + Autopilot + Entra entfernen, Recovery-Keys lesen
+
+| Berechtigung | Wofür |
+|---|---|
+| `DeviceManagementManagedDevices.Read.All` | Geräte-Suche (Intune) |
+| `DeviceManagementServiceConfig.ReadWrite.All` | Autopilot-Suche **und** Löschen aus Autopilot |
+| `DeviceManagementManagedDevices.ReadWrite.All` | Gerät aus Intune löschen |
+| `Device.ReadWrite.All` | Gerät aus Entra ID löschen/deaktivieren |
+| `BitlockerKey.Read.All` | BitLocker-Recovery-Keys lesen |
+| `DeviceLocalCredential.Read.All` | LAPS-Passwörter lesen |
+
+> **Rollen:** Das Löschen aus Entra/Intune/Autopilot benötigt bei delegierter
+> Anmeldung zusätzlich passende **Verzeichnis-/Intune-Rollen** (z. B. *Cloud Device
+> Administrator* bzw. *Intune Administrator*) — die Scopes allein reichen nicht
+> (sonst `403`). Alle optionalen Scopes müssen außerdem in den **Read/Write-Scopes**
+> des Tools stehen (Einstellungen → Verbindung), damit sie im Token landen.
+
+**Read-Only-Variante** (reine Anzeige-App als `clientIdRo`): die `*.Read.All`-Pendants —
+`Group.Read.All`, `GroupMember.Read.All`, `User.Read.All`,
+`DeviceManagementApps.Read.All`, `DeviceManagementConfiguration.Read.All`,
+`offline_access` (+ optional `DeviceManagementManagedDevices.Read.All` und
+`DeviceManagementServiceConfig.Read.All` für den Geräte-Tab).
+
+**Redirect-URIs und ein Skript, das die App-Registrierung automatisch
+anlegt/konfiguriert:** [docs/App-Registration.md](docs/App-Registration.md) — inkl.
 [`Setup-AppRegistration.ps1`](docs/Setup-AppRegistration.ps1).
 
 ---

docs/App-Registration.md

@@ -38,7 +38,8 @@ Nur nötig, wenn der **Geräte-Tab** (Sync/Reboot/Lock/Diagnose/Wipe/Retire) gen
 
 | Berechtigung | Wofür |
 |---|---|
-| `DeviceManagementManagedDevices.Read.All` | Geräte auflisten und Details anzeigen |
+| `DeviceManagementManagedDevices.Read.All` | Geräte auflisten und Details anzeigen, Spalte „Verwaltung" (Intune/Co-Managed) |
+| `DeviceManagementServiceConfig.Read.All` | Autopilot-Status im Detail-Panel (Profil-Zuweisung / letzter Kontakt) |
 | `DeviceManagementManagedDevices.ReadWrite.All` | Sync, Neustart, Remote-Lock, Diagnose, BitLocker-Key-Rotation |
 | `DeviceManagementManagedDevices.PrivilegedOperations.All` | Wipe, Retire, Autopilot-Reset |
 
@@ -51,7 +52,7 @@ entfernen, Recovery-Keys lesen) genutzt wird:
 |---|---|
 | `Device.ReadWrite.All` | Gerät aus Entra ID löschen/deaktivieren |
 | `DeviceManagementManagedDevices.ReadWrite.All` | Gerät aus Intune löschen |
-| `DeviceManagementServiceConfig.ReadWrite.All` | Gerät aus Autopilot löschen |
+| `DeviceManagementServiceConfig.ReadWrite.All` | Autopilot durchsuchen und Gerät aus Autopilot löschen |
 | `BitlockerKey.Read.All` | BitLocker-Recovery-Keys lesen |
 | `DeviceLocalCredential.Read.All` | LAPS-Passwörter lesen |
 

src/Offboard.ps1

@@ -54,8 +54,93 @@ function Search-OffboardDevicesEndpoint {
         }
         return @{ __status = 500; error = "Graph-Fehler bei der Suche: $m" }
     }
-    if ($intune.Count -eq 0) { return @{ items = @(); count = 0 } }
-    return @{ items = @(Resolve-OffboardItems -IntuneDevices $intune); count = $intune.Count }
+    $items = @()
+    if ($intune.Count -gt 0) { $items = @(Resolve-OffboardItems -IntuneDevices $intune) }
+
+    # Zusaetzlich Autopilot direkt durchsuchen: Geraete, die in Autopilot registriert,
+    # aber (noch) nicht in Intune enrolled sind (oder aus Intune entfernt wurden),
+    # tauchen in der managedDevices-Suche nicht auf.
+    $apItems = @(Search-AutopilotOnly -Query $q -Type $type -ExistingItems $items)
+    $items   = @($items) + @($apItems)
+
+    return @{ items = @($items); count = @($items).Count }
+}
+
+# Durchsucht windowsAutopilotDeviceIdentities direkt und liefert Offboard-Items fuer
+# Geraete, die noch nicht ueber die Intune-Suche abgedeckt sind. Namenssuche laeuft
+# ueber displayName (nicht garantiert unterstuetzt -> Fehler werden still ignoriert),
+# Seriennummer ueber contains(serialNumber).
+function Search-AutopilotOnly {
+    param([string]$Query, [string]$Type, [object[]]$ExistingItems)
+    $qEsc = $Query -replace "'", "''"
+    $apFilter = if ($Type -eq 'serial') { "contains(serialNumber,'$qEsc')" } else { "startswith(displayName,'$qEsc')" }
+    $sel = 'id,serialNumber,displayName,azureAdDeviceId,managedDeviceId,userPrincipalName,model,manufacturer,groupTag,enrollmentState'
+    $uri = "https://graph.microsoft.com/beta/deviceManagement/windowsAutopilotDeviceIdentities?`$filter=$([Uri]::EscapeDataString($apFilter))&`$select=$sel&`$top=50"
+    $ap  = @()
+    try {
+        $ap = @(Get-GraphPaged -Uri $uri)
+    } catch {
+        $m = Get-OffboardGraphErr $_
+        Write-Host "  [OFFBOARD] Autopilot-Suche ($Type='$Query'): $m" -ForegroundColor DarkYellow
+        return @()
+    }
+    if ($ap.Count -eq 0) { return @() }
+
+    # Bereits durch die Intune-Suche abgedeckte Geraete rausfiltern (Seriennummer/Autopilot-Id).
+    $seenSer = @{}; $seenApId = @{}
+    foreach ($it in @($ExistingItems)) {
+        $s = ([string]$it.serialNumber).Trim().ToLower(); if ($s) { $seenSer[$s] = $true }
+        $aid = [string]$it.autopilotId; if ($aid) { $seenApId[$aid] = $true }
+    }
+    $new = @($ap | Where-Object {
+        $s   = ([string]$_.serialNumber).Trim().ToLower()
+        $aid = [string]$_.id
+        -not ($seenApId[$aid] -or ($s -and $seenSer[$s]))
+    })
+    if ($new.Count -eq 0) { return @() }
+
+    # Entra-Objekt per azureAdDeviceId nachladen (fuer Delete).
+    $reqs = @(); $idx = 0
+    foreach ($a in $new) {
+        $aad = [string]$a.azureAdDeviceId
+        if ($aad -and $aad -ne '00000000-0000-0000-0000-000000000000') {
+            $f = [Uri]::EscapeDataString("deviceId eq '$aad'")
+            $reqs += @{ id = "e$idx"; method = 'GET'; url = "/devices?`$filter=$f&`$select=id,deviceId,displayName,accountEnabled&`$top=1" }
+        }
+        $idx++
+    }
+    $batch = if ($reqs.Count -gt 0) { Invoke-GraphBatch -Requests $reqs } else { @{} }
+
+    $items = @(); $idx = 0
+    foreach ($a in $new) {
+        $entra = $null
+        $er = $batch["e$idx"]; if ($er -and [int]$er.status -eq 200) { $entra = @($er.body.value)[0] }
+        $mdid = [string]$a.managedDeviceId
+        $hasIntune = ($mdid -and $mdid -ne '00000000-0000-0000-0000-000000000000')
+        $dn = [string]$a.displayName
+        if (-not $dn) { $dn = if ($a.serialNumber) { "SN $([string]$a.serialNumber)" } else { '(Autopilot-Geraet)' } }
+        $items += [pscustomobject]@{
+            deviceName      = $dn
+            serialNumber    = [string]$a.serialNumber
+            operatingSystem = 'Windows'
+            osVersion       = ''
+            primaryUser     = [string]$a.userPrincipalName
+            lastSync        = $null
+            ownership       = ''
+            coManaged       = $false
+            intuneDeviceId  = if ($hasIntune) { $mdid } else { '' }
+            azureADDeviceId = [string]$a.azureAdDeviceId
+            entraObjectId   = if ($entra) { [string]$entra.id } else { '' }
+            entraEnabled    = if ($entra) { [bool]$entra.accountEnabled } else { $null }
+            autopilotId     = [string]$a.id
+            autopilotNote   = ''
+            inIntune        = [bool]$hasIntune
+            inEntra         = [bool]$entra
+            inAutopilot     = $true
+        }
+        $idx++
+    }
+    return @($items)
 }
 
 # Reichert Intune-managedDevice-Objekte mit Entra-Objekt-Id + Autopilot-Id an

www/app.js

@@ -7077,7 +7077,9 @@ document.querySelectorAll('#polTable th.sortable').forEach(th => {
 // OFFBOARDING: Geräte aus Intune / Autopilot / Entra entfernen
 // =============================================================
 const OffState = { items: [], selected: new Set(), pending: [] };
-function offKey(d) { return d.intuneDeviceId; }
+// Eindeutiger Zeilen-Key: Intune-Geräte haben eine intuneDeviceId, reine
+// Autopilot-Geräte nicht -> auf Autopilot-/Entra-Id bzw. Seriennummer ausweichen.
+function offKey(d) { return d.intuneDeviceId || d.autopilotId || d.azureADDeviceId || d.entraObjectId || d.serialNumber || ''; }
 function offSelectedDevices() { return OffState.items.filter(d => OffState.selected.has(offKey(d))); }
 
 async function offSearch() {