Lokales Admin Konto mit Intune erstellen

Die Erstellung von lokalen Konten und auch Adminkonten kann nicht nur für die Verwendung von LAPS nützlich sein.
Wie ihr das Konto erstellt und es in die entsprechende Berechtigungsgruppe verschiebt zeige ich euch in diesem kurzen Blogartikel

Gerätekonfiguration erstellen

Zunächst einmal müssen wir im Intune Admin Center ein neues „Configuration profile“ für Windows Geräte anlegen. Die Konfiguration, die wir benötigen ist leider nicht im Katalog enthalten und muss manuell über OMA-URI Einträge vorgenommen werden. Daher wählen wir als „Profile type“ „Templates“ aus und wählen das „Custom“ Template.

Danach benennt ihr eure Richtlinie entsprechend und könnt dann manuelle Einstellungen hinzufügen.

Lokales Konto erstellen

Um einen User Account mit entsprechendem Passwort anzulegen, müssen wir folgenden Eintrag anlegen

OMA-URI
./Device/Vendor/MSFT/Accounts/Users/$DisplayNamedesKontos$/Password

Wichtig ist, dass ihr im String den vorletzten Wert mit eurem Wunschnamen anpasst.
Setzt ihr LAPS ein, wird das hier vergebene Passwort durch die LAPS Policy überschrieben.

Konto in lokale Administratorengruppe hinzufügen

Damit haben wir nun aber nur einen lokalen User erstellt. Damit dieser auch lokaler Admin wird, müssen wir ihn noch der Gruppe der lokalen Administratoren hinzufügen. Dies geschieht auch über einen OMA-URI Eintrag im gleichen Profil. Wir fügen also einen weiteren Eintrag hinzu mit folgenden Werten

OMA-URI
./Device/Vendor/MSFT/Accounts/Users/$DisplayNamedesKontos$/LocalUserGroup

Auch hier bitte wieder darauf achten, dass der vorletzte Wert identisch zu eurem davor erstellten Account ist.

Anschließend weist ihr das Profil den gewünschten Gruppen zu.

Konfiguration wird als fehlerhaft angezeigt

Nachdem das Profil auf die Geräte verteilt wurde, zeigt Intune Fehler in der Übersicht an

Schauen wir uns das im Detail an, sehen wir das der Error Code „-2016281112“ zurückgegeben wird.

Fakt ist allerdings, dass die Konfiguration funktioniert und der lokale Admin erstellt wird. In meinen bisherigen Recherchen konnte ich keine Antworten auf diesen Fehler finden. In verschiedenen Foren geht man davon aus, dass es einfach ein Bug ist. Wie auch immer: Hauptsache ist, dass es funktioniert.