Policies: ADMX-Presentation-Matching Hashtable-Bug behoben (PS7/Container)

Where-Object liefert bei einem Treffer ein Einzelobjekt. Ist das eine Hashtable
(PS7 ConvertFrom-Json -AsHashtable, wie im Docker-Container), war $sameType[0]
eine Schluessel-Suche nach Key 0 (=> $null) statt Array-Index -> Presentation
wurde als "nicht zuordenbar" gewertet und die Einstellung uebersprungen. Unter
Windows PowerShell 5.1 (PSCustomObjects) trat der Fehler nicht auf.
Fix: Where-Object-Ergebnis vor dem Indexieren in @() zwingen. Verifiziert per
Simulation gegen die realen Firefox-ADMX-Exportdaten (Default Search Engine,
URL for Home page).

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>

.gitattributes

@@ -0,0 +1,4 @@
+# Shell-Scripts muessen LF behalten - CRLF zerschiesst den Shebang auf macOS/Linux
+# ("bad interpreter"). Gilt unabhaengig von core.autocrlf.
+*.sh        text eol=lf
+*.command   text eol=lf

.github/workflows/release.yml

@@ -31,8 +31,8 @@ jobs:
         run: |
           $stage = "${{ runner.temp }}\stage"
           New-Item -ItemType Directory -Force $stage | Out-Null
-          # Copy everything except .git, .github, installer
-          Get-ChildItem -Path . -Exclude '.git','.github','installer' |
+          # Copy everything except Repo-/CI-/Dev-/macOS-only Dateien.
+          Get-ChildItem -Path . -Exclude '.git','.github','installer','start-macos.command','tests','.gitattributes' |
             Copy-Item -Destination $stage -Recurse -Force
 
       - name: Install WiX Toolset v4

Start.ps1

@@ -158,7 +158,8 @@ $script:Config = @{
     Scopes     = @($script:Settings.connection.scopes)
     ScopesRo   = @($script:Settings.connection.scopesRo)
     WebRoot    = (Join-Path $root "www")
-    ReportDir  = (Join-Path $env:TEMP "IntuneAppManager-Reports")
+    # Plattformneutrales Temp-Verzeichnis ($env:TEMP ist auf macOS/Linux leer).
+    ReportDir  = (Join-Path ([System.IO.Path]::GetTempPath()) "IntuneAppManager-Reports")
 }
 
 if (-not (Test-Path $script:Config.ReportDir)) {
@@ -206,7 +207,12 @@ Write-Host ""
 # das alte Fenster bedient weiter mit altem Code. Darum alle anderen Start.ps1-
 # Prozesse DIESES Pfads vorher beenden, damit ein Neustart wirklich neu laedt.
 # ============================================================
-try {
+# Nur auf Windows: die WMI-basierte Instanz-Erkennung (Win32_Process) gibt es
+# nur dort. Auf macOS/Linux uebernimmt das der Listener selbst (Port belegt ->
+# Fehler beim Start), ein manueller Neustart genuegt.
+$isWin = ($env:OS -eq 'Windows_NT') -or ($PSVersionTable.PSVersion.Major -lt 6) -or $IsWindows
+if ($isWin) {
+  try {
     $thisScript = $PSCommandPath
     if ([string]::IsNullOrWhiteSpace($thisScript)) { $thisScript = Join-Path $PSScriptRoot 'Start.ps1' }
     # Nur echte Server-Instanzen treffen: per -File gestartet UND auf diesen
@@ -220,8 +226,9 @@ try {
         catch { Write-Host "   konnte PID $($p.ProcessId) nicht beenden: $($_.Exception.Message)" -ForegroundColor DarkYellow }
     }
     if ($stale.Count -gt 0) { Start-Sleep -Milliseconds 800 }  # kurz warten bis der Port frei ist
-} catch {
+  } catch {
     Write-Host " (Konnte alte Instanzen nicht pruefen: $($_.Exception.Message))" -ForegroundColor DarkGray
+  }
 }
 
 $url = "http://localhost:$Port/"
@@ -232,7 +239,15 @@ Write-Host " Beenden:    Ctrl+C" -ForegroundColor DarkGray
 Write-Host ""
 
 if (-not $NoBrowser) {
-    Start-Process $url
+    # Browser plattformneutral oeffnen.
+    try {
+        if ($isWin)        { Start-Process $url }
+        elseif ($IsMacOS)  { & /usr/bin/open $url }
+        elseif ($IsLinux)  { & xdg-open $url }
+        else               { Start-Process $url }
+    } catch {
+        Write-Host " (Browser konnte nicht automatisch geoeffnet werden - bitte $url manuell aufrufen.)" -ForegroundColor DarkGray
+    }
 }
 
 Start-WebServer -Port $Port

docker/Dockerfile

@@ -0,0 +1,37 @@
+# Intune Manager - Test-Image (self-hosted).
+# WICHTIG: Der bestehende App-/Client-Teil wird NICHT veraendert - Start.ps1, src/
+# und www/ werden nur unveraendert ins Image kopiert. Die einzigen Container-
+# Spezifika (Bridge fuer den localhost-Listener, Datenpfad, Login) laufen ueber
+# Env-Variablen bzw. das Entrypoint-Script - ohne Codeaenderung.
+FROM mcr.microsoft.com/powershell:7.4-debian-12
+
+# nginx = interner Reverse-Proxy, der den Host-Header auf "localhost" umschreibt
+#         (HttpListener-Prefix http://localhost:8077/ bedient nur Host: localhost).
+# git   = fuer das optionale Policy-Git-Snapshot-Feature.
+RUN apt-get update \
+ && apt-get install -y --no-install-recommends nginx git ca-certificates \
+ && rm -rf /var/lib/apt/lists/* \
+ && pwsh -NoProfile -Command "Install-Module Microsoft.Graph.Authentication -Scope AllUsers -Force"
+
+WORKDIR /app
+
+# Bestehende App unveraendert ins Image kopieren (Build-Kontext = Repo-Root).
+COPY Start.ps1 ./
+COPY src/ ./src/
+COPY www/ ./www/
+
+# Interner nginx-Reverse-Proxy (Host-Rewrite) + Entrypoint (neu, nur fuer Container).
+COPY docker/nginx.conf /etc/nginx/nginx.conf
+COPY docker/docker-entrypoint.sh /usr/local/bin/docker-entrypoint.sh
+RUN chmod +x /usr/local/bin/docker-entrypoint.sh
+
+# Datenverzeichnis: Get-AppDataDir nutzt auf Linux $XDG_CONFIG_HOME ->
+# Settings/Policy-Exporte landen im Volume /data. Kein Codeeingriff noetig.
+ENV XDG_CONFIG_HOME=/data \
+    APP_PORT=8077 \
+    BRIDGE_PORT=8080
+
+VOLUME /data
+EXPOSE 8080
+
+ENTRYPOINT ["/usr/local/bin/docker-entrypoint.sh"]

docker/README.md

@@ -0,0 +1,76 @@
+# Intune Manager - Docker-Test (self-hosted)
+
+Test-Aufbau, um den Intune Manager als Container zu verproben. **Der bestehende
+App-/Client-Teil (`Start.ps1`, `src/`, `www/`) wird nicht verändert** — er wird nur
+unverändert ins Image kopiert. Container-Spezifika laufen über Env-Variablen und ein
+Entrypoint-Script.
+
+> Kein Caddy/TLS enthalten — der **vorhandene Reverse-Proxy** zieht den
+> veröffentlichten Port (`8080`) an. HTTPS macht der Proxy.
+
+## Wie es funktioniert
+- Die App bindet unverändert auf `http://localhost:8077/` (nur containerintern) und
+  bedient — bedingt durch .NET-`HttpListener` — **nur Requests mit `Host: localhost`**.
+- Ein **interner nginx** (Port 8080) leitet auf die App weiter und schreibt dabei den
+  **`Host`-Header auf `localhost`** um. Ohne dieses Rewrite käme bei Zugriff über IP/Proxy
+  ein `404`. Der App-Code bleibt unangetastet.
+- Settings/Policy-Exporte liegen im Volume `/data` (`XDG_CONFIG_HOME=/data`, wird von
+  `Get-AppDataDir` auf Linux automatisch genutzt).
+
+## Bauen & starten
+```bash
+docker compose -f docker/docker-compose.yml up --build -d
+```
+Logs ansehen:
+```bash
+docker compose -f docker/docker-compose.yml logs -f
+```
+Erwartet: „Intune Manager - Web Edition" und „URL: http://localhost:8077/".
+
+Den Reverse-Proxy auf `http://<docker-host>:8080` zeigen lassen (reiner HTTP-Proxy,
+keine WebSockets/Callbacks nötig).
+
+## Erststart: Verbindung konfigurieren
+Beim ersten Start ist noch kein Tenant hinterlegt. Zwei Wege:
+
+- **UI:** Seite öffnen → *Einstellungen* → **Tenant-ID**, **Client-ID** (Read/Write),
+  optional **Client-ID (Read-Only)** und **Scopes** eintragen und speichern. Landet in
+  `/data/IntuneAppManager-Web/settings.json`.
+- **oder** eine vorhandene `settings.json` ins Volume legen:
+  ```bash
+  docker cp settings.json intune-manager-test:/data/IntuneAppManager-Web/settings.json
+  docker compose -f docker/docker-compose.yml restart
+  ```
+
+## Login (Device-Code)
+Der interaktive „Verbinden"-Button nutzt WAM/Loopback und **funktioniert im Container
+nicht** — das ist erwartet. Für den Test den bereits vorhandenen **Device-Code-Flow**
+per `curl` anstoßen (Host = euer Reverse-Proxy oder `http://<docker-host>:8080`):
+
+```bash
+curl -s -X POST http://<host>/api/connect/start
+```
+Antwort enthält `code` und `urlComplete`. Dann:
+1. `urlComplete` im Browser öffnen und als Admin anmelden.
+2. Status pollen, bis verbunden:
+   ```bash
+   curl -s http://<host>/api/status
+   ```
+   (Feld `connected` wird `true`.)
+3. Die UI im Browser **neu laden** → jetzt verbunden. Geräte/Gruppen/Policies laden
+   zum Verifizieren.
+
+## Stoppen / Aufräumen
+```bash
+docker compose -f docker/docker-compose.yml down          # Daten bleiben im Volume
+docker compose -f docker/docker-compose.yml down -v       # inkl. Daten löschen
+```
+
+## Wichtige Hinweise (für den echten Einsatz)
+- **Kein eigener UI-Login und geteilte Sitzung:** Wer die URL erreicht, kann den Login
+  auslösen; die verbundene Graph-Sitzung gilt prozessweit. Die Instanz **zwingend hinter
+  Zugangsschutz** stellen (Reverse-Proxy-Auth / Netzsegment / VPN). Eine Instanz =
+  eine Team-Sitzung, kein sauberes Multi-Admin.
+- Reports liegen unter `/tmp` (nicht persistent) — für den Test ausreichend.
+- Das ist ein **Test-Setup**. Echtes Mehrbenutzer (Login pro Admin) wäre ein separater
+  Ausbau (Auth-Code-Flow + Sitzungs-Isolation).

docker/docker-compose.yml

@@ -0,0 +1,22 @@
+# Intune Manager - Test-Compose (self-hosted).
+# Kein Caddy/TLS: der bestehende Reverse-Proxy zieht den veroeffentlichten Port an.
+services:
+  intune-manager:
+    build:
+      context: ..                 # Build-Kontext = Repo-Root (fuer COPY Start.ps1/src/www)
+      dockerfile: docker/Dockerfile
+    image: intune-manager-test
+    container_name: intune-manager-test
+    ports:
+      # linke Zahl = Host-Port. Frei waehlen, falls belegt (z. B. "8477:8080").
+      - "8080:8080"
+    volumes:
+      # Named Volume (portabel). Alternativ Bind-Mount: "/pfad/auf/nas/data:/data".
+      - im-data:/data
+    environment:
+      - XDG_CONFIG_HOME=/data
+      - APP_PORT=8077
+    restart: unless-stopped
+
+volumes:
+  im-data:

docker/docker-entrypoint.sh

@@ -0,0 +1,30 @@
+#!/usr/bin/env bash
+# Startet die App unveraendert (bindet auf localhost:APP_PORT) und stellt einen
+# internen nginx davor, der den Host-Header auf "localhost" umschreibt.
+#
+# WARUM nginx statt socat: .NET-HttpListener bedient den Prefix
+# http://localhost:APP_PORT/ NUR bei Host: localhost. socat (reiner TCP-Proxy)
+# reicht den originalen Host-Header durch -> von aussen 404. nginx schreibt den
+# Host-Header um -> jeder Zugriffsweg funktioniert, ohne den App-Code zu aendern.
+set -e
+
+: "${APP_PORT:=8077}"
+
+# App im Hintergrund starten. -NoBrowser: im Container kein Desktop/open.
+pwsh -NoProfile -File /app/Start.ps1 -NoBrowser -Port "${APP_PORT}" &
+APP_PID=$!
+
+# Best-effort warten, bis der App-Listener antwortet (IPv6 oder IPv4).
+# nginx wuerde sonst kurz 502 liefern, bis die App oben ist.
+for i in $(seq 1 30); do
+  if (exec 3<>"/dev/tcp/::1/${APP_PORT}") 2>/dev/null; then exec 3>&-; break; fi
+  if (exec 3<>"/dev/tcp/127.0.0.1/${APP_PORT}") 2>/dev/null; then exec 3>&-; break; fi
+  kill -0 "$APP_PID" 2>/dev/null || { echo "[entrypoint] App-Prozess beendet - Abbruch."; wait "$APP_PID"; exit $?; }
+  sleep 1
+done
+
+echo "[entrypoint] Starte nginx (Host-Rewrite -> localhost) auf :8080"
+nginx -g 'daemon off;' &
+
+# Am Leben des App-Prozesses haengen (Container endet, wenn die App endet).
+wait "$APP_PID"

docker/nginx.conf

@@ -0,0 +1,31 @@
+# Interner Reverse-Proxy im Container.
+# Zweck: den Host-Header auf "localhost" umschreiben. Die App bindet den
+# HttpListener-Prefix http://localhost:8077/ und bedient NUR Requests mit
+# Host: localhost - ohne dieses Rewrite kaeme von aussen 404.
+worker_processes 1;
+events { worker_connections 1024; }
+
+http {
+    access_log /dev/stdout;
+    error_log  /dev/stderr;
+
+    # App-Listener: bevorzugt IPv6-Loopback (so bindet HttpListener "localhost"
+    # im Container), IPv4 als Fallback.
+    upstream imapp {
+        server [::1]:8077;
+        server 127.0.0.1:8077 backup;
+    }
+
+    server {
+        listen 8080;
+        listen [::]:8080;
+
+        location / {
+            proxy_pass http://imapp;
+            proxy_set_header Host localhost;   # <- der entscheidende Punkt
+            proxy_http_version 1.1;
+            proxy_set_header Connection "";
+            proxy_read_timeout 300s;           # Device-Code-Login/Graph koennen dauern
+        }
+    }
+}

docs/App-Registration.md

@@ -85,10 +85,15 @@ sein — sonst scheitert der erste Login (`AADSTS500113` bzw. `AADSTS50011`):
 2. **Redirect-URIs** unter *Mobilgerät- und Desktopanwendungen*:
    ```
    https://login.microsoftonline.com/common/oauth2/nativeclient
+   http://localhost
    ms-appx-web://Microsoft.AAD.BrokerPlugin/<CLIENT-ID>
    ```
    - Zeile 1 → **Device-Code-Flow**
-   - Zeile 2 → **WAM-Broker** (Windows-Anmeldefenster); `<CLIENT-ID>` ist die
+   - Zeile 2 → **Loopback / interaktiver Browser-Login** — nötig auf **macOS/Linux**
+     (und überall, wo kein WAM-Broker läuft). Ohne diese URI schlägt der Login mit
+     `AADSTS50011` fehl (`http://localhost:<Port>` passt nicht). `http://localhost`
+     ist portagnostisch, deckt also den zufälligen Port ab.
+   - Zeile 3 → **WAM-Broker** (Windows-Anmeldefenster); `<CLIENT-ID>` ist die
      AppId der Registrierung selbst.
 3. **Multi-Tenant:** Wird dieselbe App gegen fremde Tenants genutzt, muss
    `signInAudience` auf *Accounts in any organizational directory*

docs/Setup-AppRegistration.ps1

@@ -8,7 +8,8 @@
     AADSTS500113 / AADSTS50011 scheitert:
       * Delegierte Microsoft-Graph-Berechtigungen (nach Bedarf: RW, RO, Geraete)
       * "Oeffentliche Clientflows zulassen" (isFallbackPublicClient = true)
-      * Redirect-URIs fuer Device-Code (nativeclient) und WAM-Broker
+      * Redirect-URIs fuer Device-Code (nativeclient), Loopback/Browser
+        (http://localhost, noetig auf macOS/Linux) und WAM-Broker
       * optional Admin-Consent
 
     Nutzt nur Microsoft.Graph.Authentication (Invoke-MgGraphRequest) — dieselbe
@@ -160,6 +161,7 @@ if ($ClientId) {
         requiredResourceAccess  = $requiredResourceAccess
         publicClient            = @{ redirectUris = @(
             'https://login.microsoftonline.com/common/oauth2/nativeclient'
+            'http://localhost'
             "ms-appx-web://Microsoft.AAD.BrokerPlugin/$appId"
         ) }
     }
@@ -184,6 +186,7 @@ if ($ClientId) {
 
     $patch = @{ publicClient = @{ redirectUris = @(
         'https://login.microsoftonline.com/common/oauth2/nativeclient'
+        'http://localhost'
         "ms-appx-web://Microsoft.AAD.BrokerPlugin/$appId"
     ) } }
     Invoke-MgGraphRequest -Method PATCH -Uri "https://graph.microsoft.com/v1.0/applications/$objId" `

src/Api.ps1

@@ -2840,11 +2840,28 @@ function Update-AppEndpoint {
 # nie heraus — deshalb der Backend-Dialog. Laeuft in einem STA-Runspace, weil
 # WinForms-Dialoge zwingend STA brauchen. Owner-Form mit TopMost holt den Dialog
 # vor das Browser-Fenster.
+# macOS-nativer Auswahldialog via osascript. Liefert den POSIX-Pfad oder ''
+# (Abbruch). Der Windows-Filter-String wird ignoriert (AppleScript kennt ihn nicht).
+function Show-MacChooser {
+    param([ValidateSet('file','folder')][string]$Kind, [string]$Title = '')
+    $prompt = ($Title -replace '"', '\"')
+    $verb   = if ($Kind -eq 'folder') { 'choose folder' } else { 'choose file' }
+    $script = "POSIX path of ($verb with prompt `"$prompt`")"
+    try {
+        $out = & /usr/bin/osascript -e $script 2>$null
+        return ([string]$out).Trim()
+    } catch { return '' }
+}
+
 function Show-OpenFileDialog {
     param(
         [string]$Filter = "Alle Dateien (*.*)|*.*",
         [string]$Title  = "Datei auswaehlen"
     )
+    if (-not (Test-IsWindows)) {
+        if ($IsMacOS) { return (Show-MacChooser -Kind 'file' -Title $Title) }
+        throw 'Datei-Dialog wird auf dieser Plattform nicht unterstuetzt - Pfad bitte manuell eingeben.'
+    }
     # Eigener powershell.exe -STA Prozess: in einem In-Process-Runspace blitzt
     # der Dialog nur kurz auf (keine echte Windows-Message-Pump, er bleibt nicht
     # modal). Ein separater STA-Konsolen-Prozess hat einen vollwertigen
@@ -2906,6 +2923,10 @@ function Invoke-FilePickerEndpoint {
 function Show-OpenFolderDialog {
     # Wie Show-OpenFileDialog, aber FolderBrowserDialog in einem STA-Prozess.
     param([string]$Title = "Ordner auswaehlen")
+    if (-not (Test-IsWindows)) {
+        if ($IsMacOS) { return (Show-MacChooser -Kind 'folder' -Title $Title) }
+        throw 'Ordner-Dialog wird auf dieser Plattform nicht unterstuetzt - Pfad bitte manuell eingeben.'
+    }
     $tEsc = $Title -replace "'", "''"
     $inner = @"
 `$ProgressPreference = 'SilentlyContinue'

src/Models.ps1

@@ -26,13 +26,37 @@ function ConvertTo-IsoDate {
     return $s
 }
 
+# ============================================================
+# Plattform-Helfer: App-Daten-Verzeichnis (Settings, Exporte).
+# Windows: %APPDATA%\IntuneAppManager-Web (unveraendert).
+# macOS:   ~/Library/Application Support/IntuneAppManager-Web
+# Linux:   $XDG_CONFIG_HOME bzw. ~/.config/IntuneAppManager-Web
+# ============================================================
+function Test-IsWindows {
+    # PS5.1 kennt $IsWindows nicht -> $env:OS faengt das ab.
+    return (($env:OS -eq 'Windows_NT') -or ($PSVersionTable.PSVersion.Major -lt 6) -or $IsWindows)
+}
+
+function Get-AppDataDir {
+    $base = if ($env:APPDATA) {
+        $env:APPDATA
+    } elseif ($IsMacOS) {
+        Join-Path $HOME 'Library/Application Support'
+    } elseif ($IsLinux) {
+        if ($env:XDG_CONFIG_HOME) { $env:XDG_CONFIG_HOME } else { Join-Path $HOME '.config' }
+    } else {
+        [Environment]::GetFolderPath('ApplicationData')
+    }
+    return (Join-Path $base 'IntuneAppManager-Web')
+}
+
 # ============================================================
 # Settings: editierbare Konfiguration, persistiert als JSON
-# unter %APPDATA%\IntuneAppManager-Web\settings.json
+# unter <AppData>\IntuneAppManager-Web\settings.json
 # ============================================================
 
 function Get-SettingsPath {
-    $dir = Join-Path $env:APPDATA "IntuneAppManager-Web"
+    $dir = Get-AppDataDir
     if (-not (Test-Path $dir)) { New-Item -ItemType Directory -Path $dir -Force | Out-Null }
     return Join-Path $dir "settings.json"
 }

src/PolicyIO.ps1

@@ -14,8 +14,7 @@
 # JSON-Inhalt (Frontend-Upload) oder eine Datei aus dem Server-Archiv.
 
 function Get-PolicyExportDir {
-    $dir = Join-Path $env:APPDATA 'IntuneAppManager-Web'
-    $dir = Join-Path $dir 'policy-exports'
+    $dir = Join-Path (Get-AppDataDir) 'policy-exports'
     if (-not (Test-Path $dir)) { New-Item -ItemType Directory -Path $dir -Force | Out-Null }
     return $dir
 }
@@ -155,8 +154,17 @@ function Get-GraphPolicyList {
     $cfg = Get-PolicyTypeConfig $Type
     if (-not $cfg) { throw "Unbekannter Policy-Typ: $Type" }
     # Zuweisungen gleich mitladen ($expand=assignments), damit die Liste je Policy
-    # Anzahl + aufgeloeste Ziele zeigen kann.
-    $raw = Get-GraphPaged -Uri "https://graph.microsoft.com/beta/deviceManagement/$($cfg.Collection)?`$expand=assignments"
+    # Anzahl + aufgeloeste Ziele zeigen kann. Nicht jede deviceManagement-Collection
+    # unterstuetzt $expand=assignments (z.B. groupPolicyConfigurations lehnt es teils
+    # mit 400 ab) -> im Fehlerfall ohne Zuweisungen laden, damit der Typ ueberhaupt
+    # erscheint (und exportierbar bleibt).
+    $listBase = "https://graph.microsoft.com/beta/deviceManagement/$($cfg.Collection)"
+    try {
+        $raw = Get-GraphPaged -Uri ($listBase + '?$expand=assignments')
+    } catch {
+        Write-Host "  [POLICIES] $($cfg.Key): `$expand=assignments nicht unterstuetzt -> lade ohne Zuweisungen ($($_.Exception.Message))" -ForegroundColor DarkYellow
+        $raw = Get-GraphPaged -Uri $listBase
+    }
     $items      = @()
     $needGroups = @{}   # eindeutige Gruppen-Ids ueber alle Policies (fuer 1 Bulk-Lookup)
     foreach ($r in $raw) {
@@ -228,10 +236,24 @@ function Get-GraphPolicyDetail {
     # (definitionValues inkl. Definition + Presentation-Werten) separat expandieren.
     # -AsRawJson durchgaengig: bewahrt Ein-Element-Collections als Array (PS-5.1-
     # Hashtable-Modus wuerde sie skalarisieren -> 400 beim Re-Import).
+    # WICHTIG: presentationValues($expand=presentation) waere ein VERSCHACHTELTER
+    # Expand (Tiefe 2) -> Graph lehnt mit 400 ab ("$expand path too deep, max 1").
+    # Deshalb definitionValues nur mit 'definition' expandieren (Tiefe 1) und die
+    # presentationValues je definitionValue separat mit 'presentation' nachladen.
     if ($cfg.Key -eq 'administrativetemplate') {
-        $base = Invoke-MgGraphRequestRetry -Uri "https://graph.microsoft.com/beta/deviceManagement/groupPolicyConfigurations/$Id" -Method GET -AsRawJson
-        $dvUri = "https://graph.microsoft.com/beta/deviceManagement/groupPolicyConfigurations/$Id/definitionValues?`$expand=definition(`$select=id,classType,displayName,policyType,version),presentationValues(`$expand=presentation)"
+        $cfgRoot = "https://graph.microsoft.com/beta/deviceManagement/groupPolicyConfigurations/$Id"
+        $base = Invoke-MgGraphRequestRetry -Uri $cfgRoot -Method GET -AsRawJson
+        $dvUri = "$cfgRoot/definitionValues?`$expand=definition(`$select=id,classType,displayName,categoryPath,policyType,version)"
         $dvs = @(Get-GraphPaged -Uri $dvUri -AsRawJson)
+        foreach ($dv in $dvs) {
+            if (-not $dv) { continue }
+            $dvId = [string](Get-PolicyProp $dv 'id')
+            if (-not $dvId) { continue }
+            $pvUri = "$cfgRoot/definitionValues/$dvId/presentationValues?`$expand=presentation"
+            $pvs = @(Get-GraphPaged -Uri $pvUri -AsRawJson)
+            if ($dv -is [System.Collections.IDictionary]) { $dv['presentationValues'] = $pvs }
+            else { $dv | Add-Member -NotePropertyName presentationValues -NotePropertyValue $pvs -Force }
+        }
         if ($base -is [System.Collections.IDictionary]) { $base['definitionValues'] = $dvs }
         else { $base | Add-Member -NotePropertyName definitionValues -NotePropertyValue $dvs -Force }
         return $base
@@ -462,6 +484,75 @@ function Import-GraphSettingsCatalogPolicy {
     return Invoke-MgGraphRequestRetry -Uri 'https://graph.microsoft.com/beta/deviceManagement/configurationPolicies' -Method POST -Body $json -ContentType 'application/json'
 }
 
+# Loest eine ingestete (custom) ADMX-Definition im AKTUELLEN Ziel-Tenant auf.
+# Custom-ADMX-IDs sind tenant-spezifisch -> Binding per Export-Id scheitert (404).
+# Match ueber stabile Merkmale: displayName + classType (+ categoryPath).
+# Voraussetzung: die ADMX ist im Ziel-Tenant importiert. Sonst $null.
+function Resolve-TargetGpDefinition {
+    param($SrcDefinition)
+    $dn  = [string](Get-PolicyProp $SrcDefinition 'displayName')
+    $ct  = [string](Get-PolicyProp $SrcDefinition 'classType')
+    $cat = [string](Get-PolicyProp $SrcDefinition 'categoryPath')
+    if (-not $dn) { return $null }
+    $dnEsc = $dn -replace "'", "''"
+    $base  = 'https://graph.microsoft.com/beta/deviceManagement/groupPolicyDefinitions'
+    $cands = @()
+    try {
+        $uri = "$base`?`$filter=" + [uri]::EscapeDataString("displayName eq '$dnEsc'")
+        $cands = @(Get-GraphPaged -Uri $uri -AsRawJson)
+    } catch { $cands = @() }
+    # Fallback, falls $filter auf displayName nicht unterstuetzt wird: ueber categoryPath.
+    if ($cands.Count -eq 0 -and $cat) {
+        try {
+            $catEsc = $cat -replace "'", "''"
+            $uri2 = "$base`?`$filter=" + [uri]::EscapeDataString("categoryPath eq '$catEsc'")
+            $cands = @(Get-GraphPaged -Uri $uri2 -AsRawJson) | Where-Object { [string](Get-PolicyProp $_ 'displayName') -eq $dn }
+        } catch { $cands = @() }
+    }
+    if (@($cands).Count -eq 0) { return $null }
+    # classType zuerst eingrenzen (User- vs. Device-Variante nie verwechseln),
+    # dann innerhalb dessen categoryPath bevorzugen; sonst erster Treffer.
+    $pool = @($cands) | Where-Object { (-not $ct) -or ([string](Get-PolicyProp $_ 'classType') -eq $ct) }
+    if (@($pool).Count -eq 0) { $pool = @($cands) }
+    $match = @($pool) | Where-Object { $cat -and ([string](Get-PolicyProp $_ 'categoryPath') -eq $cat) } | Select-Object -First 1
+    if (-not $match) { $match = @($pool) | Select-Object -First 1 }
+    return $match
+}
+
+# Findet zu einer Quell-Presentation die passende Ziel-Presentation-Id:
+# 1) per label + @odata.type, 2) Fallback: i-te Ziel-Presentation gleichen Typs
+# (in Definitions-Reihenfolge; $Counter zaehlt je Typ mit).
+function Resolve-TargetPresentationId {
+    param($TargetPres, $SrcPresentation, [hashtable]$Counter)
+    # @odata.type-Format normalisieren: Graph liefert mal '#microsoft.graph.X',
+    # mal 'microsoft.graph.X' -> fuehrendes '#' weg, klein. Sonst schlaegt der
+    # String-Vergleich fehl und Text-Presentations werden nicht zugeordnet.
+    $norm = { param($t) ([string]$t).TrimStart('#').ToLower() }
+    $srcLabel = [string](Get-PolicyProp $SrcPresentation 'label')
+    $srcType  = & $norm (Get-PolicyProp $SrcPresentation '@odata.type')
+    # 1) label + Typ
+    if ($srcLabel) {
+        $m = @($TargetPres) | Where-Object {
+            ([string](Get-PolicyProp $_ 'label') -eq $srcLabel) -and
+            ((& $norm (Get-PolicyProp $_ '@odata.type')) -eq $srcType)
+        } | Select-Object -First 1
+        if ($m) { return [string](Get-PolicyProp $m 'id') }
+    }
+    # 2) i-te Ziel-Presentation gleichen Typs (in Reihenfolge).
+    # WICHTIG: Ergebnis in @() zwingen - bei EINEM Treffer liefert Where-Object ein
+    # Einzelobjekt; ist das eine Hashtable (PS7 -AsHashtable), waere $x[0] eine
+    # Schluessel-Suche nach Key 0 (=> $null) statt Array-Index -> Fehlmatch.
+    $idx = 0; if ($Counter.ContainsKey($srcType)) { $idx = [int]$Counter[$srcType] }
+    $sameType = @(@($TargetPres) | Where-Object { (& $norm (Get-PolicyProp $_ '@odata.type')) -eq $srcType })
+    $Counter[$srcType] = $idx + 1
+    if ($idx -lt $sameType.Count) { return [string](Get-PolicyProp $sameType[$idx] 'id') }
+    # 3) Letzter Fallback: hat die Ziel-Definition genau EINE Presentation, nimm sie
+    #    (deckt Ein-Feld-Settings wie Textboxen zuverlaessig ab).
+    $allTgt = @($TargetPres)
+    if ($allTgt.Count -eq 1) { return [string](Get-PolicyProp $allTgt[0] 'id') }
+    return $null
+}
+
 function Import-GraphAdministrativeTemplate {
     param([Parameter(Mandatory=$true)]$Policy)
 
@@ -482,23 +573,53 @@ function Import-GraphAdministrativeTemplate {
     if (-not $newId) { throw 'Anlegen der Administrative-Vorlage-Huelle lieferte keine Id.' }
 
     # 2) Jeden definitionValue einzeln anhaengen. Definition + Presentations werden
-    #    per @odata.bind referenziert — die IDs eingebauter ADMX-Vorlagen sind
-    #    tenantuebergreifend identisch, daher tenantunabhaengig einsetzbar.
+    #    per @odata.bind referenziert. EINGEBAUTE ADMX-Vorlagen (policyType
+    #    'admxBacked') haben tenantuebergreifend identische IDs -> Export-Id direkt
+    #    verwendbar. INGESTETE/CUSTOM ADMX ('admxIngested') hat tenant-spezifische
+    #    IDs -> im Ziel-Tenant ueber displayName/classType/categoryPath neu aufloesen
+    #    (setzt voraus, dass dieselbe ADMX im Ziel importiert ist; sonst 404).
     $errors = @()
     foreach ($dv in @(Get-PolicyProp $Policy 'definitionValues')) {
         if (-not $dv) { continue }
-        $def   = Get-PolicyProp $dv 'definition'
-        $defId = [string](Get-PolicyProp $def 'id')
-        if (-not $defId) {
-            $errors += 'definitionValue ohne Definition-Id uebersprungen'
-            continue
+        $def      = Get-PolicyProp $dv 'definition'
+        $srcDefId = [string](Get-PolicyProp $def 'id')
+        $defName  = [string](Get-PolicyProp $def 'displayName'); if (-not $defName) { $defName = $srcDefId }
+        if (-not $srcDefId) { $errors += 'definitionValue ohne Definition-Id uebersprungen'; continue }
+
+        $ingested = ([string](Get-PolicyProp $def 'policyType') -eq 'admxIngested')
+        $defId    = $srcDefId
+        $tgtPres  = $null
+        if ($ingested) {
+            $tgtDef = Resolve-TargetGpDefinition $def
+            if (-not $tgtDef) {
+                $errors += "${defName}: ingestete ADMX-Definition im Ziel-Tenant nicht gefunden - die passende ADMX muss dort importiert sein"
+                continue
+            }
+            $defId = [string](Get-PolicyProp $tgtDef 'id')
+            try { $tgtPres = @(Get-GraphPaged -Uri "$defRoot/$defId/presentations" -AsRawJson) } catch { $tgtPres = @() }
         }
 
-        $presVals = @()
+        $presVals    = @()
+        $typeCounter = @{}
+        $presFailed  = $false
+        $presDiag    = ''
         foreach ($pv in @(Get-PolicyProp $dv 'presentationValues')) {
             if (-not $pv) { continue }
-            $pres   = Get-PolicyProp $pv 'presentation'
-            $presId = [string](Get-PolicyProp $pres 'id')
+            $pres = Get-PolicyProp $pv 'presentation'
+            if ($ingested) {
+                $presId = Resolve-TargetPresentationId -TargetPres $tgtPres -SrcPresentation $pres -Counter $typeCounter
+                # Presentation nicht zuordenbar (andere ADMX-Version im Ziel): die GANZE
+                # Einstellung ueberspringen, statt mit unvollstaendigem Body ein 400 zu
+                # provozieren. Zur Diagnose Quelle + Ziel-Presentations anhaengen.
+                if (-not $presId) {
+                    $srcI = "$([string](Get-PolicyProp $pres '@odata.type'))|label='$([string](Get-PolicyProp $pres 'label'))'"
+                    $tgtI = (@($tgtPres) | ForEach-Object { "$([string](Get-PolicyProp $_ '@odata.type'))|label='$([string](Get-PolicyProp $_ 'label'))'" }) -join ' ; '
+                    $presDiag = "Quelle[$srcI] Ziel[$tgtI]"
+                    $presFailed = $true; break
+                }
+            } else {
+                $presId = [string](Get-PolicyProp $pres 'id')
+            }
             $entry  = [ordered]@{
                 '@odata.type'             = [string](Get-PolicyProp $pv '@odata.type')
                 'presentation@odata.bind' = "$defRoot('$defId')/presentations('$presId')"
@@ -510,6 +631,10 @@ function Import-GraphAdministrativeTemplate {
             }
             $presVals += $entry
         }
+        if ($presFailed) {
+            $errors += "${defName}: Presentation nicht zuordenbar - uebersprungen. $presDiag"
+            continue
+        }
 
         $body = [ordered]@{
             enabled                 = [bool](Get-PolicyProp $dv 'enabled')
@@ -521,8 +646,7 @@ function Import-GraphAdministrativeTemplate {
         } catch {
             $m = $_.Exception.Message
             try { if ($_.ErrorDetails.Message) { $m = $_.ErrorDetails.Message } } catch {}
-            $dn = [string](Get-PolicyProp $def 'displayName'); if (-not $dn) { $dn = $defId }
-            $errors += "${dn}: $m"
+            $errors += "${defName}: $m"
         }
     }
 
@@ -593,10 +717,16 @@ function Export-PoliciesEndpoint {
 
     $files   = @()
     $exports = @()
+    $errors  = @()
     foreach ($id in $ids) {
         $policy = $null
-        try { $policy = Get-GraphPolicyDetail -Type $type -Id ([string]$id) } catch {}
-        if (-not $policy) { continue }
+        try { $policy = Get-GraphPolicyDetail -Type $type -Id ([string]$id) }
+        catch {
+            $errors += @{ id = [string]$id; error = $_.Exception.Message }
+            Write-Host "  [EXPORT] $type/$id fehlgeschlagen: $($_.Exception.Message)" -ForegroundColor DarkYellow
+            continue
+        }
+        if (-not $policy) { $errors += @{ id = [string]$id; error = 'Leere Antwort von Graph' }; continue }
 
         $displayName = Get-PolicyDisplayName $policy
         $exportData  = [ordered]@{
@@ -624,7 +754,7 @@ function Export-PoliciesEndpoint {
         }
     }
 
-    return @{ ok = $true; exportedCount = $exports.Count; files = @($files); exports = @($exports) }
+    return @{ ok = $true; exportedCount = $exports.Count; files = @($files); exports = @($exports); errors = @($errors) }
 }
 
 # Liste des Server-Archivs (fuer optionalen Server-seitigen Re-Import).

start-macos.command

@@ -0,0 +1,54 @@
+#!/usr/bin/env bash
+#
+# Intune Manager - Start auf macOS (funktioniert auch unter Linux).
+#
+# Verwendung:
+#   - Im Finder doppelklicken (Datei muss ausfuehrbar sein: chmod +x start-macos.command)
+#   - oder im Terminal:   ./start-macos.command
+#                         ./start-macos.command -Port 8090
+#                         ./start-macos.command -NoBrowser
+#
+# Alle Argumente werden unveraendert an Start.ps1 durchgereicht.
+#
+set -euo pipefail
+
+# In das Verzeichnis dieses Scripts wechseln (= Repo-Root), egal von wo gestartet.
+cd "$(dirname "$0")"
+
+echo "=============================================="
+echo " Intune Manager - Start (macOS)"
+echo "=============================================="
+
+# 1) PowerShell 7 vorhanden?
+if ! command -v pwsh >/dev/null 2>&1; then
+  echo "FEHLER: PowerShell 7 (pwsh) ist nicht installiert."
+  echo "        Installieren mit:  brew install --cask powershell"
+  exit 1
+fi
+
+# 2) Graph-Auth-Modul vorhanden? Sonst einmalig installieren.
+if ! pwsh -NoProfile -Command "if (Get-Module -ListAvailable Microsoft.Graph.Authentication) { exit 0 } else { exit 1 }"; then
+  echo "Installiere Microsoft.Graph.Authentication (einmalig, CurrentUser)..."
+  pwsh -NoProfile -Command "Install-Module Microsoft.Graph.Authentication -Scope CurrentUser -Force"
+fi
+
+# 3) Port aus den Argumenten lesen (Default 8077) - nur fuer die Port-Freigabe unten.
+PORT=8077
+args=("$@")
+for ((i=0; i<${#args[@]}; i++)); do
+  if [[ "${args[$i]}" == "-Port" && $((i+1)) -lt ${#args[@]} ]]; then
+    PORT="${args[$((i+1))]}"
+  fi
+done
+
+# 4) Belegten Port freigeben (auf macOS gibt es keinen automatischen Instanz-Kill).
+if lsof -ti ":$PORT" >/dev/null 2>&1; then
+  echo "Port $PORT ist belegt - beende alte Instanz..."
+  lsof -ti ":$PORT" | xargs kill 2>/dev/null || true
+  sleep 1
+fi
+
+# 5) Server starten. Argumente 1:1 an Start.ps1 weitergeben.
+echo "Starte Server auf http://localhost:$PORT/  (Beenden mit Ctrl+C)"
+echo ""
+exec pwsh -NoProfile -File ./Start.ps1 "$@"

www/app.js

@@ -6467,11 +6467,17 @@ async function polExportSelected() {
   setLoading('Exportiere Policies…');
   try {
     let allExports = [];
+    let allErrors  = [];
     for (const [type, ids] of Object.entries(byType)) {
       const res = await api('/api/policies/export', { method: 'POST', body: { type, ids }, timeoutMs: 120000 });
       if (res.exports) allExports = allExports.concat(res.exports);
+      if (res.errors)  allErrors  = allErrors.concat(res.errors);
+    }
+    if (!allExports.length) {
+      const hint = allErrors.length ? ` (${allErrors.length} Fehler, z.B. ${escapeHtml(allErrors[0].error || '')})` : '';
+      toast('Nichts exportiert.' + hint, 'err', 'Export');
+      return;
     }
-    if (!allExports.length) { toast('Nichts exportiert.', 'warn'); return; }
     // Jede ausgewählte Policy als eigene JSON-Datei herunterladen.
     const usedNames = new Set();
     for (let i = 0; i < allExports.length; i++) {
@@ -6484,7 +6490,11 @@ async function polExportSelected() {
       // Kurze Pause, damit der Browser mehrere aufeinanderfolgende Downloads nicht verwirft.
       if (i < allExports.length - 1) await new Promise(r => setTimeout(r, 150));
     }
-    toast(`${allExports.length} Policy(s) als Einzeldatei(en) exportiert (auch im Server-Archiv abgelegt).`, 'ok');
+    if (allErrors.length) {
+      toast(`${allExports.length} exportiert, ${allErrors.length} fehlgeschlagen (z.B. ${escapeHtml(allErrors[0].error || 'Fehler')}).`, 'warn', 'Export');
+    } else {
+      toast(`${allExports.length} Policy(s) als Einzeldatei(en) exportiert (auch im Server-Archiv abgelegt).`, 'ok');
+    }
   } catch (e) {
     toast('Export fehlgeschlagen: ' + e.message, 'err');
   } finally {