Agenten per GPO, Intune und Jamf massenhaft bereitstellen

Einen Agenten auf zweihundert Geräten einzeln zu installieren, ist nicht tragbar. GPO, Intune und Jamf erledigen den Rollout, ohne dass Sie eine einzige Tastatur anfassen, vorausgesetzt, das Installationspaket ist sauber vorbereitet. Hier ist der vollständige Ablauf für jeden Weg, samt der Fehler, die am häufigsten auftreten. Der Artikel setzt Grundkenntnisse in der jeweiligen Verwaltungskonsole voraus, beschreibt aber jeden Schritt so konkret, dass Sie ihn direkt nachvollziehen können.

Vorbereitung

Fünf Schritte, die Stunden sparen:

• Laden Sie das Installationspaket des Agents für den unbeaufsichtigten Zugriff von Ubidesk für jede Plattform herunter.
• Stellen Sie eine Pilotgruppe aus fünf bis zehn repräsentativen Geräten zusammen.
• Stellen Sie sicher, dass der Datenverkehr über Port 443 abfließen kann: Mehr braucht der Agent nicht, zusätzliche Firewall-Regeln sind nicht nötig.
• Legen Sie eine Namenskonvention fest, damit die Geräte in der Geräteverwaltung sortiert erscheinen.
• Dokumentieren Sie den Rückbauplan: wie Sie den Agenten entfernen, falls Sie eines Tages wechseln.
• Planen Sie den Rollout in lastarmen Zeiten, damit er nicht mit der Bandbreite konkurriert.

Welcher Weg für welchen Bestand?

Die Wahl hängt von Ihrer vorhandenen Infrastruktur ab:

• Lokale Domäne mit Active Directory: GPO ist der direkteste Weg und verursacht keine Zusatzkosten.
• Hybride Bestände oder Umgebungen ohne Domäne: Intune bündelt Windows und bindet den Agenten an den Gerätelebenszyklus.
• Verwaltete macOS-Geräte: Jamf ist der natürliche Weg, Richtlinien folgen dem Gerät auch bei Nutzerwechseln.

In allen Fällen installiert sich der Agent ohne Zutun und erscheint anschließend in der Verwaltungskonsole.

Rollout per GPO

Der klassische Weg in Active-Directory-Domänen:

1. Kopieren Sie das MSI auf eine Netzwerkfreigabe, die für die Geräte lesbar ist.
2. Erstellen Sie ein GPO und nutzen Sie die Softwarezuweisung für Computer (Computerkonfiguration, Richtlinien, Softwareeinstellungen).
3. Verknüpfen Sie das GPO mit der richtigen Organisationseinheit und führen Sie auf einem Testgerät gpupdate /force aus.
4. Starten Sie das Pilotgerät neu: Der Agent installiert sich beim Start ohne Benutzerinteraktion.

Typische Fehler: das GPO mit der falschen Organisationseinheit verknüpfen, unzureichende Leseberechtigungen auf der Freigabe und die Zuweisung pro Benutzer auf gemeinsam genutzten Geräten testen, wo sich niemand mit dem erwarteten Konto anmeldet. Prüfen Sie die Zuweisung außerdem auf einem Gerät, das seit Tagen aus war: Es ist der ehrlichste Test für den verzögerten Rollout.

Rollout per Intune

Für hybride Bestände oder Umgebungen ohne Domäne:

1. Verpacken Sie das Installationspaket mit dem Microsoft Content-Preparation-Tool als .intunewin.
2. Laden Sie das Paket als Win32-App hoch.
3. Weisen Sie die App Gerätegruppen zu, nicht Benutzergruppen: Der Agent muss sich installieren, auch wenn das Gerät am Anmeldebildschirm wartet.
4. Prüfen Sie den Installationsstatus in der Konsole und beheben Sie fehlerhafte Geräte, bevor Sie die Zuweisung ausweiten.

Das Installationspaket des Agents läuft ohne Interaktion, daher braucht es keine aufwendige Erkennungsregel: Es genügt, den installierten Dienst oder die ausführbare Datei zu prüfen.

Rollout per Jamf

Für verwaltete macOS-Geräte:

1. Laden Sie das PKG in Jamf Admin oder direkt in die Konsole hoch.
2. Erstellen Sie eine Richtlinie mit Auslöser bei Registrierung oder periodischem Start.
3. Begrenzen Sie den Geltungsbereich zunächst auf eine Test-Smart-Gruppe und prüfen Sie die Richtlinienprotokolle.
4. Weiten Sie den Geltungsbereich nach der Validierung schrittweise aus.

Bestätigen Sie unter macOS, dass der Agent die nötigen Berechtigungen für die Fernsteuerung besitzt und in der Konsole erscheint, bevor Sie das Gerät als ausgerollt abhaken.

Prüfung nach dem Rollout

Der Rollout endet nicht, wenn das Installationspaket durchläuft. Er endet, wenn Sie bestätigt haben:

• Dass die Geräte mit dem erwarteten Namen in der Verwaltungskonsole erscheinen.
• Dass ein neu gestartetes Gerät sich selbstständig neu verbindet, auch im abgesicherten Modus.
• Dass Wake-on-LAN ein ausgeschaltetes Gerät aus der Konsole einschaltet.
• Dass auf allen Geräten die erwartete Agentenversion läuft.

Besteht der Pilot diese drei Prüfungen, weiten Sie den Rollout phasenweise aus. Dieselbe Logik trägt Migrationen: Die Anleitung Von ScreenConnect migrieren baut auf diesem Rollout auf. Für IT-Teams mit großen Beständen zeigt die Lösung für IT-Teams den Rahmen.