> For the complete documentation index, see [llms.txt](https://docs.devolutions.net/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://docs.devolutions.net/unigetui/de/fur-it-teams/organization/devolutions-agent.md).

# Genehmigte Apps ohne Administratorrechte installieren

Lassen Sie Standardbenutzer die Apps installieren und aktualisieren, die Sie genehmigen, ohne Administratorrechte oder UAC-Aufforderungen, indem Sie Vorgänge an Devolutions Agent delegieren.

Standardbenutzer können die meisten Installationsprogramme unter Windows nicht ausführen. Mit Devolutions Agent müssen sie das nicht: UniGetUI übergibt den Vorgang an den Agent, der ihn anhand **Ihrer Richtlinie** prüft und mit den nötigen Rechten ausführt. Benutzer erhalten die Apps, die sie haben dürfen, und sonst nichts.

{% hint style="info" %}
Nur Windows. Erfordert Devolutions Agent.
{% endhint %}

## So funktioniert es

1. Ein Benutzer klickt in UniGetUI auf ***Installieren***, ***Aktualisieren*** oder ***Deinstallieren***.
2. Statt eine UAC-Aufforderung zu zeigen, sendet UniGetUI die Anforderung an den Paketbroker von Devolutions Agent.
3. Der Agent vergleicht die Anforderung mit der Richtlinie, die Sie festgelegt haben: welche Apps, Quellen, Vorgänge und Versionen erlaubt sind.
4. Wenn die Richtlinie es erlaubt, führt der Agent den Vorgang aus und UniGetUI zeigt Fortschritt und Ausgabe wie gewohnt. Andernfalls schlägt der Vorgang mit ***Operation denied by policy*** und dem Grund fehl, den Sie in der Regel geschrieben haben.

**Im Fehlerfall wird abgelehnt.** Wenn der Agent nicht installiert ist, nicht läuft oder nicht erreichbar ist, schlägt der Vorgang fehl. UniGetUI fällt nie auf eine UAC-Aufforderung zurück. Und wenn ein Benutzer den Broker in UniGetUI ausschaltet, ist er wieder bei UAC-Aufforderungen, die er ohne Administratoranmeldeinformationen nicht bestätigen kann, also gewinnt er nichts.

Vorgänge von WinGet, Chocolatey, Scoop, Windows PowerShell, PowerShell 7, pip, npm, Bun, Cargo, .NET Tool und vcpkg können über den Agent laufen. Apps, die UniGetUI auf dem Computer nur erkennt (Quelle ***Lokaler PC***), werden nicht an ihn gesendet.

{% stepper %}
{% step %}

### Den Broker in Devolutions Agent installieren und aktivieren

Installieren Sie Devolutions Agent auf den Computern. Siehe [Devolutions Agent im Hintergrund bereitstellen](https://docs.devolutions.net/resources/de/devolutions-agent/deploy-devolutions-agent-silently).

{% hint style="warning" %}
**Dokumentation folgt.** Die Schritte, um den Paketbroker in Devolutions Agent zu aktivieren und festzulegen, wo der Agent seine Richtliniendatei liest und ob UniGetUI sie ändern darf, sind noch nicht dokumentiert. Wenden Sie sich an den Devolutions-Support, wenn Sie sie jetzt brauchen.
{% endhint %}

Installieren Sie außerdem [UniGetUI für alle Benutzer](/unigetui/de/fur-it-teams/organization/deploy.md) (`/ALLUSERS`). Das ist erforderlich, um die Richtlinie aus UniGetUI zu erstellen oder zu bearbeiten.
{% endstep %}

{% step %}

### Den Broker in UniGetUI aktivieren

1. Gehen Sie zu ***Einstellungen*** – ***Administratorrechte und andere riskante Einstellungen***.
2. Aktivieren Sie ***Paketvorgänge an den Devolutions Agent-Broker delegieren***.

Ab jetzt laufen Installation, Update und Deinstallation über den Agent.
{% endstep %}

{% step %}

### Die Richtlinie erstellen

1. Klicken Sie auf derselben Einstellungsseite auf ***Inspect active package broker policy***.
2. Wenn ***State*** anzeigt, dass keine Richtlinie existiert, klicken Sie auf ***Create***. Um eine vorhandene Richtlinie zu ändern, klicken Sie auf ***Edit***.
3. Geben Sie eine ***Policy ID*** ein (zum Beispiel `contoso-workstations`) und einen ***Herausgeber***. Fügen Sie optional eine ***Description*** und eine ***Support URL*** hinzu, unter der Benutzer eine Ausnahme anfragen können.
4. Lassen Sie ***Default decision*** auf ***Deny***, damit alles blockiert wird, was Sie nicht ausdrücklich erlauben.
5. Klicken Sie für jede Gruppe von Apps, die Sie erlauben möchten, auf ***Add rule*** (siehe unten).
6. Klicken Sie auf ***Speichern*** und bestätigen Sie die Windows-Administratoraufforderung.

{% hint style="info" %}
Erster Rollout? Setzen Sie ***Audit mode*** auf ***Ja***. Der Agent protokolliert, was er ablehnen würde, lässt aber alles durch. Wenn die Protokolle stimmen, setzen Sie ihn zurück auf ***Nein***.
{% endhint %}
{% endstep %}

{% step %}

### Prüfen, ob es funktioniert

Installieren Sie von einem Standardbenutzerkonto eine erlaubte und eine verbotene App. Die erste sollte ohne Aufforderung installiert werden; die zweite sollte mit ***Operation denied by policy*** fehlschlagen.
{% endstep %}
{% endstepper %}

## Was eine Richtlinie steuern kann

Jede Regel ***Allow*** oder ***Deny*** die Anforderungen, die ihr entsprechen. Regeln werden der Reihe nach ausgewertet; verwenden Sie ***Move up*** und ***Move down***, um die Reihenfolge zu ändern. Lassen Sie ein Kriterium leer, um alles zu treffen.

<table><thead><tr><th width="220">STEUERUNG</th><th>BEISPIELE</th></tr></thead><tbody><tr><td><strong>Packages</strong></td><td>Genaue IDs (<code>Mozilla.Firefox</code>) oder Muster (<code>Contoso.*</code>).</td></tr><tr><td><strong>Quellen</strong></td><td>Nur die Quelle <code>winget</code> oder Ihr interner Chocolatey-Feed. Verfügbar, wenn ein Paketmanager ausgewählt ist.</td></tr><tr><td><strong>Vorgänge</strong></td><td>Updates für alles erlauben, Installationen aber nur für eine kurze Liste.</td></tr><tr><td><strong>Versions</strong></td><td>Genaue Versionen oder ein Bereich mit einer Mindest- und einer Höchstversion, mit oder ohne Vorabversionen.</td></tr><tr><td><strong>Scope, architecture, privilege</strong></td><td>Installationen für den Benutzer oder den Computer; x86, x64, Arm64; Standard- oder erhöhte Anforderungen.</td></tr><tr><td><strong>Request options</strong></td><td>Interaktive Installationen, übersprungene Hash-Prüfungen, benutzerdefinierte Parameter, benutzerdefinierter Installationsort, Befehle davor/danach und mehr.</td></tr></tbody></table>

Wählen Sie bei einer Regel ***Allow*** ***Add safety limits to this Allow rule***, um einzuschränken, was eine passende Anforderung tun darf, zum Beispiel benutzerdefinierte Parameter oder einen benutzerdefinierten Installationsort zu verbieten.

{% hint style="danger" %}
Das Überspringen von Hash-Prüfungen, benutzerdefinierte Parameter und Befehle davor/danach können beliebigen Code mit erhöhten Rechten ausführen. Lassen Sie sie in Ihren Allow-Regeln aus, es sei denn, Sie haben einen konkreten Bedarf geprüft.
{% endhint %}

Sie können auch mit ***Valid from*** und ***Valid until*** begrenzen, wann die ganze Richtlinie gilt. Außerhalb dieses Zeitraums lehnt der Agent Paketvorgänge ab.

## Die aktive Richtlinie prüfen

Jeder kann prüfen, was auf einem Computer erzwungen wird. Das hilft, wenn ein Benutzer eine abgelehnte App meldet.

1. Gehen Sie zu ***Einstellungen*** – ***Administratorrechte und andere riskante Einstellungen***.
2. Klicken Sie auf ***Inspect active package broker policy***.
3. Prüfen Sie den Abschnitt ***Package broker policy*** und dann die Regeln. Klicken Sie nach einer Richtlinienänderung auf ***Refresh***.

<table><thead><tr><th width="260">FELD</th><th>WAS ES IHNEN SAGT</th></tr></thead><tbody><tr><td><strong>State</strong></td><td>Ob eine gültige Richtlinie in Kraft, fehlend oder ungültig ist. Eine ungültige Richtlinie muss von einem Administrator außerhalb von UniGetUI korrigiert oder ersetzt werden.</td></tr><tr><td><strong>Configured path</strong> / <strong>Path source</strong></td><td>Wo der Agent die Richtliniendatei liest und ob das sein Standardspeicherort ist.</td></tr><tr><td><strong>Agent write capability</strong></td><td>Ob der Agent das Ändern der Richtlinie zulässt: <strong>Writable</strong>, <strong>Read-only</strong> oder <strong>Unsupported</strong>.</td></tr><tr><td><strong>Policy changes from this app</strong> / <strong>Reason</strong></td><td>Ob Sie die Richtlinie aus diesem UniGetUI bearbeiten können, und warum nicht. Das Bearbeiten braucht die Erlaubnis des Agent und eine Installation für alle Benutzer.</td></tr><tr><td><strong>Elevation required</strong></td><td>Ob das Speichern die Bestätigung eines Windows-Administrators verlangt.</td></tr></tbody></table>

Wenn die Seite ***Devolutions Agent is unavailable*** anzeigt, prüfen Sie, dass der Agent installiert ist und sein Dienst läuft, und klicken Sie dann auf ***Refresh***.

## Was Benutzer sehen

Für Benutzer ändert sich nichts: Sie installieren und aktualisieren Apps wie gewohnt, ohne UAC-Aufforderungen. Wenn etwas schiefgeht, schlägt der Vorgang mit einer dieser Meldungen fehl:

<table><thead><tr><th width="280">MELDUNG</th><th>WAS ZU TUN IST</th></tr></thead><tbody><tr><td><strong>Operation denied by policy</strong></td><td>Die Richtlinie erlaubt diese App, Quelle, diesen Vorgang oder diese Version nicht. Der Grund der Regel wird angezeigt. Fragen Sie Ihren Administrator.</td></tr><tr><td><strong>Agent broker unavailable</strong></td><td>Devolutions Agent ist nicht installiert oder läuft nicht.</td></tr><tr><td><strong>Operation unsupported by broker</strong></td><td>Der Agent unterstützt diesen Vorgang oder diese Option nicht.</td></tr><tr><td><strong>Broker communication error</strong></td><td>Der Agent hat nicht rechtzeitig geantwortet. Der Vorgang läuft möglicherweise noch.</td></tr><tr><td><strong>Operation failed via broker</strong></td><td>Der Agent hat die Anforderung angenommen, aber die Installation ist fehlgeschlagen. Öffnen Sie die Ausgabe des Vorgangs für Details.</td></tr></tbody></table>

## Wenn es nicht funktioniert

* Jeder Vorgang schlägt mit ***Agent broker unavailable*** fehl: Der Agent-Dienst ist beendet oder fehlt. Siehe [Ein Update oder eine Installation schlägt fehl](/unigetui/de/hilfe/troubleshooting/update-or-install-fails.md).
* Sie können nicht auf ***Create*** oder ***Edit*** klicken: Lesen Sie das Feld ***Reason***. Meist ist UniGetUI nicht für alle Benutzer installiert, oder der Agent erlaubt keine Richtlinienänderungen.
* Ein Benutzer braucht Unterstützung: [Protokolle an den Support senden](/unigetui/de/hilfe/troubleshooting/send-logs-to-support.md).

## Als Nächstes

* [Riskante Einstellungen sperren](/unigetui/de/fur-it-teams/organization/restrict-settings.md)
* [Arbeitsplätze vereinheitlichen](/unigetui/de/fur-it-teams/organization/standard-workstations.md)
* [Dokumentation zu Devolutions Agent](https://docs.devolutions.net/resources/de/devolutions-agent)


---

# Agent Instructions
This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com.

## Querying This Documentation
If you need additional information that is not directly available in this page, you can query the documentation by asking a question.

Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters:

```
GET https://docs.devolutions.net/unigetui/de/fur-it-teams/organization/devolutions-agent.md?ask=<question>&goal=<user_goal>
```

`ask` is the immediate question: it should be specific, self-contained, and written in natural language.
`goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case.

The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.

Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.