Level unter Linux über Intune installieren

Wenn Ihre Linux-Desktops in Microsoft Intune registriert sind, können Sie den Level-Agenten mithilfe eines Bash-Plattformskripts auf diese übertragen. Dies ist die vollständige Methode: Es gibt kein Paket zum Hochladen und kein Profil zu erstellen.

Intune verwaltet Linux anders als Windows und macOS. Es gibt keine App-Bereitstellung für Linux und keine Konfigurationsprofile, weshalb die PKG-App und die PPPC-Schritte aus dem macOS-Leitfaden hier nicht zutreffen. Was Intune unter Linux bietet, ist die Möglichkeit, ein Bash-Skript nach einem Zeitplan auszuführen, und Level lässt sich mit einem einzigen Befehl installieren – beides passt daher gut zusammen.

ℹ️ HINWEIS: Diese Methode gilt ausschließlich für Intune-verwaltete Linux- Desktops nur. Intune verwaltet keine Linux-Server. Für Server verwenden Sie Level's Einzeiler-Installation direkt oder Ihre Konfigurationsverwaltungs-Tools. Siehe Linux-Installation.

⚙️ VORAUSSETZUNGEN

Linux-Desktops, die in Intune registriert sind. Intune unterstützt Ubuntu Desktop 24.04 LTS oder 26.04 LTS sowie Red Hat Enterprise Linux 8 oder 9 auf x86-64-Hardware als unternehmenseigene Geräte. Informationen zu den Registrierungsschritten finden Sie in Microsofts Linux-Desktopgeräte registrieren Leitfaden.
Zugang zum Microsoft Intune Admin Center
Ein Level-Konto mit Berechtigung zum Hinzufügen von Geräten
Der Level-Installationsbefehl für die Gruppe, der die Geräte zugeordnet werden sollen (abrufbar unter Neues Gerät hinzufügen → Linux in Level)

⚠️ WARNUNG: Intune-verwaltetes Linux ist nur für x86-64 verfügbar. Level läuft zwar auf ARM64-Linux, aber Intune kann diese Geräte nicht registrieren oder verwalten, sodass diese Methode sie nicht erreicht. Installieren Sie Level auf ARM-Linux stattdessen direkt.

Schritt 1: Den Level-Installationsbefehl abrufen

Öffnen Sie in Level die Geräteübersicht und klicken Sie auf Neues Gerät hinzufügen.
Wählen Sie Linux aus dem Betriebssystem-Dropdown.
Auf der Einzeiler-Befehl Registerkarte, wählen Sie optional eine Gerätegruppe aus, damit der Installationsschlüssel die Gruppen-ID enthält.
Kopieren Sie den generierten Befehl.

Der Befehl ist ein curl-Einzeiler, der den Agenten herunterlädt, die Architektur erkennt und das Gerät bei Ihrem Konto registriert. Der Installationsschlüssel im Befehl bestimmt, welchem Konto (und optional welcher Gruppe) das Gerät zugeordnet wird.

Schritt 2: Den Befehl als Bash-Skript speichern

Fügen Sie den Befehl in eine neue Datei ein und speichern Sie diese mit einer .sh Erweiterung. Intune akzeptiert nur .sh Dateien für Linux-Plattformskripte.

Fügen Sie eine Schutzabfrage hinzu, damit das Skript nach der Installation des Agenten ein sauberes No-Op ist. Intune führt Linux-Skripte regelmäßig erneut aus (siehe Schritt 3), daher sollen wiederholte Ausführungen still beendet werden, anstatt eine Neuinstallation durchzuführen:

#!/bin/bash
# Exit cleanly if Level is already installed
if [ -x /usr/local/bin/level ]; then
    echo "Level already installed"
    exit 0
fi

# Paste your Level install command below
# Get it from: Level → Add new device → Linux → One-line command

💡 TIPP: Level's Installationsprogramm beendet sich bereits, wenn es eine vorhandene Installation erkennt, sodass Wiederholungsläufe auch ohne die Schutzabfrage harmlos sind. Die Schutzabfrage hält lediglich Ihre Protokolle sauber und verhindert, dass das Installationsprogramm in jedem Zyklus unnötige Arbeit verrichtet.

Schritt 3: Das Plattformskript in Intune erstellen

Melden Sie sich beim Microsoft Intune Admin Center.
Navigieren Sie zu Geräte → Linux → Skripte (oder Geräte → Geräte verwalten → Skripte und Korrekturen → Plattformskripte), dann klicken Sie auf Hinzufügen → Linuxan.
Geben Sie dem Skript einen Namen (zum Beispiel „Level-Agent installieren") und klicken Sie auf Weiter.
Unter Konfigurationseinstellungen, legen Sie Folgendes fest:
- Ausführungskontext: Root. Level's Installation benötigt erhöhte Rechte. Root führt das Skript auf Geräteebene aus, unabhängig davon, ob ein Benutzer angemeldet ist. Der Benutzerkontext wird nur ausgeführt, wenn sich jemand anmeldet, was unbeaufsichtigte Geräte nicht zuverlässig erreicht.
- Ausführungshäufigkeit: das kürzeste sinnvolle Intervall. Der Standard ist alle 15 Minuten.
- Ausführungswiederholungen: optional, bei vorübergehenden Fehlern.
Verwenden Sie die Dateiauswahl, um Ihre .sh Datei. Klicken Sie auf Weiter.

⚠️ WARNUNG: Intune hat keine echte „Einmalig ausführen"-Option für Linux-Skripte. Das längste Intervall ist wöchentlich und der Standard ist alle 15 Minuten, sodass Ihr Skript wird wiederholt ausgeführt wird. Deshalb ist die Schutzabfrage in Schritt 2 wichtig.

Schritt 4: Das Skript zuweisen

Auf der Bereichstags Seite, fügen Sie optional ein Tag hinzu und klicken Sie dann auf Weiter.
Auf der Zuweisungen Seite, wählen Sie die Gruppen aus, die den Agenten erhalten sollen. Klicken Sie auf Weiter.
Überprüfen Sie und klicken Sie auf Erstellen.

Das Skript wird beim nächsten Synchronisierungsvorgang der zugewiesenen Geräte ausgeführt. Der Zeitpunkt der ersten Verbindungsaufnahme variiert, daher sollten Sie etwas Zeit einplanen, bevor die Geräte in Level erscheinen.

Schritt 5: Registrierung bestätigen

Warten Sie, bis die zugewiesenen Geräte synchronisiert sind (oder lösen Sie eine Synchronisierung über die Intune-App auf einem Testgerät aus).
Bestätigen Sie, dass das Gerät in Ihrer Level- Geräteübersicht.
Im Intune Admin Center zeigt der Gerätestatus des Skripts Erfolg oder Fehler pro Gerät an.

ℹ️ HINWEIS: Wenn ein Gerät installiert wird, aber nie in Level erscheint, überprüfen Sie, ob der Installationsschlüssel aktuell ist und ob kein Sicherheitstool den Agenten blockiert hat. Siehe Offline-Fehlerbehebung und AV/EDR-Fehlerkennungen.

Was unter Linux nicht benötigt wird

Wenn Sie den macOS-Leitfaden kennen, haben zwei seiner Schritte kein Linux-Äquivalent:

Kein Datenschutzprofil. Linux verfügt über nichts Vergleichbares wie macOS's TCC-Berechtigungen, daher gibt es kein PPPC-Profil bereitzustellen. Der Agent verfügt über alles, was er benötigt, sobald er als Root installiert ist.
Kein Dienstkonto. Das macOS-Dienstkonto dient dazu, FileVault für die Patch-Verwaltung auf Apple Silicon zu entsperren. Linux-Patching läuft über den nativen Paketmanager und systemd, sodass kein entsprechendes Konto erstellt werden muss.

Häufig gestellte Fragen

Muss ich es wirklich als Root ausführen? Ja. Die Installation des Agenten erfordert erhöhte Rechte, und der Benutzerkontext wird nur ausgeführt, wenn sich jemand anmeldet – unbeaufsichtigte oder headless-Geräte werden so nicht erreicht. Setzen Sie den Ausführungskontext auf Root.
Wird Level dadurch nicht alle 15 Minuten neu installiert? Nein. Level's Installationsprogramm beendet sich, wenn der Agent bereits vorhanden ist, und die Schutzabfrage im Beispielskript wird beendet, bevor der Installationsbefehl überhaupt ausgeführt wird. Das Skript wird planmäßig erneut ausgeführt, aber nach der ersten erfolgreichen Installation tut es nichts anderes, als eine Zeile zu protokollieren und sich zu beenden.
Mein Root-Kontext-Skript wird überhaupt nicht ausgeführt. Was ist los? Es gibt ein bekanntes Problem, bei dem Linux-Skripte im Root-Kontext bei einigen neueren Ubuntu-Builds und Intune-Agentversionen lautlos nicht ausgeführt werden, während Skripte im Benutzerkontext problemlos laufen. Wenn Ihr Skript nie ausgeführt wird und keine Protokolle erzeugt, überprüfen Sie, ob Ihr Intune-Linux-Agent aktuell ist, testen Sie dasselbe Skript manuell auf dem Gerät, um zu bestätigen, dass es funktioniert, und verfolgen Sie Microsofts Linux-Plattformskript-Hinweise auf Aktualisierungen. Dies liegt auf Microsofts Seite, nicht auf der von Level.
Für welche Distributionen funktioniert das? Was Intune registrieren kann: Ubuntu Desktop 24.04/26.04 LTS und RHEL 8/9 auf x86-64. Level selbst läuft auf mehr Linux-Distributionen, aber diese Methode ist durch das begrenzt, was Intune verwaltet.
Kann ich das für Linux-Server verwenden? Nein. Intune verwaltet Linux-Desktops, keine Server. Für Server führen Sie Level's Einzeiler-Installation direkt aus oder übertragen Sie sie über Ihre Konfigurationsverwaltungs-Tools.
Kann ich bestimmte Gruppen statt aller Geräte als Ziel festlegen? Ja. Weisen Sie das Skript auf der Seite „Zuweisungen" bestimmten Entra ID-Gruppen zu. Um Geräte in verschiedene Level-Gruppen einzuordnen, generieren Sie einen separaten Installationsbefehl pro Gruppe und erstellen Sie ein separates Skript pro Gruppe.
Das Gerät wurde in Intune registriert, aber Level zeigt nichts an. Wo suche ich zuerst? Bestätigen Sie, dass das Skript tatsächlich ausgeführt wurde (überprüfen Sie seinen gerätespezifischen Status in Intune), und bestätigen Sie dann, dass der Installationsschlüssel aktuell ist. Wenn beides in Ordnung scheint, prüfen Sie, ob ein AV/EDR-Tool den Agenten in Quarantäne gestellt hat.