01. Technische Analyse: Web Account Manager (WAM)
Der Web Account Manager (WAM) fungiert in modernen Windows-Versionen als primärer Authentication Broker. Bei der Anmeldung an M365-Applikationen initiiert der WAM einen Token-Flow.
"Allow my organization to manage my device"
Dieser Prozess triggert zwei Aktionen:
- Azure AD Registration: Das Gerät erhält eine Identität im Entra ID.
- MDM Enrollment: Sofern der User lizenziert ist, wird versucht, das Gerät in Intune aufzunehmen.
Architektur-Hinweis: Obwohl der Dialog eine Option "No, sign in to this app only" bietet, ist diese UX-seitig de-priorisiert.
02. Auswirkungen auf die Security
- Verwässerung des Inventars (Shadow IT): Private Geräte erscheinen als "Registered" im Entra ID.
- Support-Aufwand (Error 80180014): Korrekt konfigurierte Enrollment Restrictions blockieren private Windows-Geräte.
- Conditional Access Inkonsistenz: Policies können durch hybride Zustände unerwartet greifen.