AAD Joined Devices - Deny local-admin login

Christopher Goldschmidt · 15. Dezember 2020

Hello,

i am considering moving our devices from our AD to our AAD. In this thought-process i asked myslef and now you because couldn't google it:

Can i define AAD-users which have local admin rights on AAD joined devices but are unable to login to windows?

So i can give everyone who needs local admin rights an account which they can use to install sofware but they can't login/work with it?

Could i also force MFA on the UAC Elevation?

Best regards

Chris

Thomas LST

Hallo Bernd,
 vielen Dank für deine Anfrage.
 Gehe wie hier beschrieben vor: https://learn.microsoft.com/de-de/t...ry/maximum-number-of-devices-joined-workplace
 Ich freue mich auf deine Rückmeldung.

MarcelReichelt

Hallo Desislava,

danke für die Mühe! Ich habe den Befehlt ausgeführt. Hier ist das Ergebnis:

Get-MailboxPermission -Identity efb@******.onmi

crosoft.com | Format-List

RunspaceId : 9ea31582-6517-47fe-ba30-a94621bc54fc

AccessRights : {FullAccess, ReadPermission}

Deny : False

InheritanceType : None

User : NT AUTHORITY\SELF

Identity : efb

IsInherited : False

IsValid : True

ObjectState : Unchanged

RunspaceId : 9ea31582-6517-47fe-ba30-a94621bc54fc

AccessRights : {FullAccess, ExternalAccount, ReadPermission}

Deny : False

InheritanceType : Descendents

User : NT AUTHORITY\SELF

Identity : ***

IsInherited : False

IsValid : True

ObjectState : Unchanged

RunspaceId : 9ea31582-6517-47fe-ba30-a94621bc54fc

AccessRights : {FullAccess}

Deny : False

InheritanceType : All

User : marcel.reichelt@*******.onmicrosoft.com

Identity : ***

IsInherited : False

IsValid : True

ObjectState : Unchanged

RunspaceId : 9ea31582-6517-47fe-ba30-a94621bc54fc

AccessRights : {FullAccess}

Deny : True

InheritanceType : All

User : EURPRD04\Administrator

Identity : ***

IsInherited : True

IsValid : True

ObjectState : Unchanged

RunspaceId : 9ea31582-6517-47fe-ba30-a94621bc54fc

AccessRights : {FullAccess}

Deny : True

InheritanceType : All

User : EURPRD04\Domain Admins

Identity : ***

IsInherited : True

IsValid : True

ObjectState : Unchanged

RunspaceId : 9ea31582-6517-47fe-ba30-a94621bc54fc

AccessRights : {FullAccess}

Deny : True

InheritanceType : All

User : EURPRD04\Enterprise Admins

Identity : efb

IsInherited : True

IsValid : True

ObjectState : Unchanged

RunspaceId : 9ea31582-6517-47fe-ba30-a94621bc54fc

AccessRights : {FullAccess}

Deny : True

InheritanceType : All

User : EURPRD04\Organization Management

Identity : ***

IsInherited : True

IsValid : True

ObjectState : Unchanged

RunspaceId : 9ea31582-6517-47fe-ba30-a94621bc54fc

AccessRights : {FullAccess}

Deny : False

InheritanceType : All

User : NT AUTHORITY\SYSTEM

Identity : ***

IsInherited : True

IsValid : True

ObjectState : Unchanged

RunspaceId : 9ea31582-6517-47fe-ba30-a94621bc54fc

AccessRights : {ReadPermission}

Deny : False

InheritanceType : All

User : NT AUTHORITY\NETWORK SERVICE

Identity : efb

IsInherited : True

IsValid : True

ObjectState : Unchanged

RunspaceId : 9ea31582-6517-47fe-ba30-a94621bc54fc

AccessRights : {ReadPermission}

Deny : False

InheritanceType : All

User : PRDMGT01\View-Only Organization Management

Identity : ***

IsInherited : True

IsValid : True

ObjectState : Unchanged

RunspaceId : 9ea31582-6517-47fe-ba30-a94621bc54fc

AccessRights : {FullAccess, DeleteItem, ReadPermission, ChangePermission, Ch

angeOwner}

Deny : False

InheritanceType : All

User : EURPRD04\Administrator

Identity : ***

IsInherited : True

IsValid : True

ObjectState : Unchanged

RunspaceId : 9ea31582-6517-47fe-ba30-a94621bc54fc

AccessRights : {FullAccess, DeleteItem, ReadPermission, ChangePermission, Ch

angeOwner}

Deny : False

InheritanceType : All

User : EURPRD04\Domain Admins

Identity : ***

IsInherited : True

IsValid : True

ObjectState : Unchanged

RunspaceId : 9ea31582-6517-47fe-ba30-a94621bc54fc

AccessRights : {FullAccess, DeleteItem, ReadPermission, ChangePermission, Ch

angeOwner}

Deny : False

InheritanceType : All

User : EURPRD04\Enterprise Admins

Identity : ***

IsInherited : True

IsValid : True

ObjectState : Unchanged

RunspaceId : 9ea31582-6517-47fe-ba30-a94621bc54fc

AccessRights : {FullAccess, DeleteItem, ReadPermission, ChangePermission, Ch

angeOwner}

Deny : False

InheritanceType : All

User : EURPRD04\Organization Management

Identity : ***

IsInherited : True

IsValid : True

ObjectState : Unchanged

RunspaceId : 9ea31582-6517-47fe-ba30-a94621bc54fc

AccessRights : {ReadPermission}

Deny : False

InheritanceType : All

User : EURPRD04\Public Folder Management

Identity : ***

IsInherited : True

IsValid : True

ObjectState : Unchanged

RunspaceId : 9ea31582-6517-47fe-ba30-a94621bc54fc

AccessRights : {FullAccess, ReadPermission}

Deny : False

InheritanceType : All

User : EURPRD04\Exchange Servers

Identity : ***

IsInherited : True

IsValid : True

ObjectState : Unchanged

RunspaceId : 9ea31582-6517-47fe-ba30-a94621bc54fc

AccessRights : {FullAccess, DeleteItem, ReadPermission, ChangePermission, Ch

angeOwner}

Deny : False

InheritanceType : All

User : EURPRD04\Exchange Trusted Subsystem

Identity : ***

IsInherited : True

IsValid : True

ObjectState : Unchanged

RunspaceId : 9ea31582-6517-47fe-ba30-a94621bc54fc

AccessRights : {ReadPermission}

Deny : False

InheritanceType : All

User : EURPRD04\Managed Availability Servers

Identity : ***

IsInherited : True

IsValid : True

ObjectState : Unchanged

Ich hoffe, dass das weiterhilft

DANKE!

Alexandar Petrov

Hallo Franziska,
 
 vielen Dank für deine Anfrage.
 
 Bei der neuen Einrichtung von Windows kann man einen privaten kostenlosen Microsoft Account verwenden, oder einen lokalen Account. Damit man sich mit dem Office 365 für Business Account anmelden kann, muss den Office 365 für Business Admin diesen PC als Gerät im Azure AD einbinden. Wie man das macht, soll man selber entscheiden. Wenn du Office mit deinem Uni installieren darfst, kannst du diese Office 365 Lizenz verwenden, um Office auf bis zum 5 Geräte zu installieren und aktivieren.
 
 Mit freundlichen Grüßen
 Alexander Petrov
 Microsoft Office 365 Support Engineer

Galin Karlovv

Hallo Louisa,

Bitte gehe im Admin Center / Azure AD Admin Center / Azure Active directory / Devices und prüf, ob das Gerät deaktiviert ist.

Mit freundlichen GrüssenGalin KarlovMicrosoft Support Engineer

Petrocelli_Firma

Hallo Alexander,
 ok, danke für die Info. Der Preis für die Enterprise-Lizenz ist ja dann doch etwas teurer.
 Und wo ist der Unterschied zwischen Microsoft Intune und Microsoft Intune Device? Die Lizenz für Intune Device ist ja auch günstiger. Nur wenn ich das im Admin Center vergleiche, sehe ich da keinen Unterschied. Würde Microsoft Intune Device (App-Kontrolle, Sperren+Löschen) für unsere Zwecke ausreichen?
 Gruß,
 Petro

Hi,

willkommen im Windows Forum!

AAD Joined Devices - Deny local-admin login - Similar Threads - AAD Joined Devices	Forum	Datum
On-Prem File Server with Azure AD: Access from Azure-joined Devices without Local DC? On-Prem File Server with Azure AD: Access from Azure-joined Devices without Local DC?: Hi everyone,I’m currently exploring whether it’s possible to run a traditional on-premises file server Server 2025 without having to set up a full on-prem Active Directory no local Domain...	Microsoft Office	8. Juli 2025
Admin Login M365, login funktioniert nicht Admin Login M365, login funktioniert nicht: Vor einem halben Jahr habe wir ein AdminLogin für M365 eröffnet um eine Domäne zuzufügen.Aktiv gentzt wurde s noch nicht.Jetzt kann ich mit diesem Login nicht mehr zugreifen, es kommt kein Fehler...	Microsoft Office	16. Januar 2025
MacOS Verbindung mit AAD joined Windows 11Client MacOS Verbindung mit AAD joined Windows 11Client: Hallo,ich nutze ein Mac Client und habe dort die aktuelle Windows APP installiert. Ich besitze eine EntraID mit einer Windows365 Pro Lizenz. Ein Zugriff auf den Cloud PC kann ich herstellen.Ich...	Apps	29. Oktober 2024
MacOS Verbindung mit AAD joined Windows 11Client MacOS Verbindung mit AAD joined Windows 11Client: Hallo,ich nutze ein Mac Client und habe dort die aktuelle Windows APP installiert. Ich besitze eine EntraID mit einer Windows365 Pro Lizenz. Ein Zugriff auf den Cloud PC kann ich herstellen.Ich...	Games und Spiele	29. Oktober 2024
Kein Zugriff mehr auf 2FA Device für Admin login Kein Zugriff mehr auf 2FA Device für Admin login: Hallo zusammen,ich habe ein Problem mit dem M365 Tenant. Der Admin-Account waren für 2-Faktor-Authentizierung über den MS-Authenticator konfiguriert. Leider ist das dazugehörige Handy defekt. Ich...	Microsoft Office	10. September 2024
admin center login problem admin center login problem: Hi, unzwar habe ich ein problem mit meinem admin center account da die authenticator app gelöscht worden ist komme ich nicht mehr in meinen anderen account da er einen code von der app...	Microsoft Office	20. Juni 2024
Admin Center Login Admin Center Login: Hallo,ich kann das Admin-Center nicht mehr öffnen, es erschein im Browser folgender text:You can try refreshing the page to solve the problem. You can also wait a few minutes and try...	Microsoft Office	20. Januar 2022

AAD Joined Devices - Deny local-admin login

AAD Joined Devices - Deny local-admin login

Problem am AD Azure Join mit mehreren Geschäftsaccounts

Exchange Online: Mehrere Benutzer und Sammelpostfach

Neues Surface einrichten

Fehlercode 135011

Frage zu Geräteverwaltung

User Advert

AAD Joined Devices - Deny local-admin login - Microsoft Office

AAD Joined Devices - Deny local-admin login - Similar Threads - AAD Joined Devices

On-Prem File Server with Azure AD: Access from Azure-joined Devices without Local DC?

Admin Login M365, login funktioniert nicht

MacOS Verbindung mit AAD joined Windows 11Client

MacOS Verbindung mit AAD joined Windows 11Client

Kein Zugriff mehr auf 2FA Device für Admin login

admin center login problem

Admin Center Login

AAD Joined Devices - Deny local-admin login solved