Esercitazione: Configurare endpoint di Windows nativi per il cloud con Microsoft Intune

Questa esercitazione dettagliata illustra come configurare un endpoint Windows nativo per il cloud usando Microsoft Intune e Windows Autopilot. Un endpoint Windows nativo del cloud (a volte scritto come Windows nativo del cloud) è aggiunto a Microsoft Entra, registrato in Microsoft Intune e gestito interamente dal cloud, senza aggiunta a un dominio Active Directory, senza necessità di infrastruttura locale.

Alla fine di questa esercitazione, il dispositivo Windows sarà completamente configurato:

  • Microsoft Entra è stata registrata e registrata in Microsoft Intune
  • Protetto con Antivirus Microsoft Defender, crittografia BitLocker, Windows LAPS e baseline di sicurezza
  • Eseguito il provisioning tramite Windows Autopilot con le app di Microsoft 365, lo spostamento delle cartelle note di OneDrive e il Portale aziendale
  • Pronto per la scalabilità al resto del tuo parco istanze Windows

Per informazioni generali, vedere Che cosa sono gli endpoint nativi del cloud? e Come pianificare l'implementazione del join a Microsoft Entra.

Consiglio

Quando si legge sugli endpoint nativi del cloud, vengono visualizzati i termini seguenti:

  • Endpoint: un endpoint è un dispositivo, come un telefono cellulare, un tablet, un laptop o un computer desktop. "Endpoint" e "dispositivi" sono usati in modo intercambiabile.
  • Endpoint gestiti: endpoint che ricevono criteri dall'organizzazione usando una soluzione MDM o oggetti Criteri di gruppo. Questi dispositivi sono in genere di proprietà dell'organizzazione, ma possono anche essere BYOD o di proprietà personale.
  • Endpoint nativi del cloud: endpoint aggiunti a Microsoft Entra. Non sono uniti ad AD locale.
  • Carico di lavoro: qualsiasi programma, servizio o processo.

Come iniziare

Completa le cinque fasi in ordine, ognuna basata sulla precedente.

Cinque fasi per la configurazione di endpoint di Windows nativi per il cloud tramite Microsoft Intune e Windows Autopilot.

Fase Obiettivo
Fase 1 : configurare l'ambiente Preparare il tenant, il dispositivo di test e i criteri di base di Autopilot
Fase 2 : creare un endpoint Windows nativo per il cloud Effettuare il provisioning del primo endpoint tramite Autopilot
Fase 3 : proteggere l'endpoint Windows nativo per il cloud Applicare la sicurezza degli endpoint: Defender, BitLocker, LAPS, previsioni, aggiornamenti
Fase 4 : applicare le personalizzazioni e rivedere la configurazione locale Aggiungere app, impostazioni specifiche dell'organizzazione ed eseguire la migrazione da Criteri di gruppo
Fase 5 : ridimensionare la distribuzione con Windows Autopilot Ridimensiona il provisioning in base al tuo parco istanze utilizzando la registrazione OEM, gli utenti tipo e gli anelli di rollout

Dopo la distribuzione degli endpoint, usare la sezione Monitoraggio degli endpoint di Windows nativi del cloud per convalidare lo stato di criteri, app e conformità dall'interfaccia di amministrazione di Intune come parte delle operazioni in corso.

Fase 1: configurare l'ambiente

Prima di creare il primo endpoint Windows nativo per il cloud, è necessario controllare alcuni requisiti chiave e una configurazione. Questa fase illustra la verifica dei requisiti, la configurazione di Windows Autopilot e la creazione di alcune impostazioni e applicazioni.

Passaggio 1 - Requisiti di rete

L'endpoint Windows nativo del cloud deve avere accesso a diversi servizi Internet. Inizia il tuo test su una rete aperta. In alternativa, usare la rete aziendale dopo aver fornito l'accesso a tutti gli endpoint elencati nei requisiti di rete di Windows Autopilot.

Se la rete wireless richiede certificati, è possibile iniziare con una connessione Ethernet durante il test mentre si determina l'approccio migliore per le connessioni wireless per il provisioning dei dispositivi.

Passaggio 2: registrazione e gestione delle licenze

Prima di unirti a Microsoft Entra e registrarti a Intune, è necessario verificare alcune cose. Puoi creare un nuovo gruppo Microsoft Entra, ad esempio il nome Utenti MDM di Intune. Aggiungi quindi account utente di test specifici e imposta ciascuna delle seguenti configurazioni su quel gruppo per limitare chi può registrare i dispositivi durante l'impostazione della configurazione. Per creare un gruppo di Microsoft Entra, vai a Gestire i gruppi di Microsoft Entra e l'appartenenza ai gruppi.

  • Restrizioni di registrazione Le restrizioni di registrazione consentono di controllare quali tipi di dispositivi possono essere registrati nella gestione con Intune. Affinché questa guida abbia successo, assicurati che la registrazione di Windows (MDM) sia consentita, che è la configurazione predefinita.

    Per informazioni sulla configurazione delle restrizioni di registrazione, vedere Impostare restrizioni di registrazione in Microsoft Intune.

  • Impostazioni MDM dispositivo Microsoft Entra Quando si esegue l'unione di un dispositivo Windows a Microsoft Entra, è possibile configurare Microsoft Entra per indicare ai dispositivi di registrarsi automaticamente con un MDM. Questa configurazione è necessaria per il funzionamento di Windows Autopilot.

    Per verificare che le impostazioni MDM del dispositivo Microsoft Entra siano abilitate correttamente, passare a Guida introduttiva - Configurare la registrazione automatica in Intune.

  • Marchio aziendale Microsoft Entra L'aggiunta del logo e delle immagini aziendali a Microsoft Entra garantisce agli utenti un aspetto familiare e coerente quando accedono a Microsoft 365. Questa configurazione è necessaria per il funzionamento di Windows Autopilot.

    Per informazioni sulla configurazione del branding personalizzato in Microsoft Entra, vai a Aggiungere branding alla pagina di accesso a Microsoft Entra dell'organizzazione.

  • Gestione licenze Gli utenti che registrano i dispositivi Windows dalla Configurazione guidata in Intune richiedono due funzionalità chiave.

    Gli utenti richiedono le licenze seguenti:

    • Una licenza di Microsoft Intune o Microsoft Intune per Education
    • Una licenza simile a una delle opzioni seguenti che consente la registrazione MDM automatica:
      • Microsoft Entra Premium P1
      • Microsoft Intune per Education

    Per assegnare le licenze, passare a Assegnare le licenze di Microsoft Intune.

    Nota

    Entrambi i tipi di licenze sono in genere inclusi nei bundle di licenze, ad esempio Microsoft 365 E3 (o A3) e versioni successive. Visualizza i confronti delle licenze di Microsoft 365 qui.

Passaggio 3: Importa il dispositivo di test

Per testare l'endpoint di Windows nativo del cloud, dobbiamo iniziare preparando una macchina virtuale o un dispositivo fisico per il test. I seguenti passaggi consentono di ottenere i dettagli del dispositivo e caricarli nel servizio Windows Autopilot, che verranno usati più avanti in questo articolo.

Nota

Anche se la procedura seguente consente di importare un dispositivo per i test, i partner e gli OEM possono importare i dispositivi in Windows Autopilot per conto dell'utente come parte dell'acquisto. Sono disponibili altre informazioni su Windows Autopilot nella fase 5.

  1. Installa Windows in una macchina virtuale o reimposta un dispositivo fisico in modo che sia in attesa nella schermata di installazione della Configurazione guidata. Per una macchina virtuale, è possibile creare facoltativamente un checkpoint.

  2. Completare i passaggi necessari per connettersi a Internet.

  3. Aprire un prompt dei comandi usando la combinazione di tasti MAIUSC + F10 .

  4. Verificare di avere accesso a Internet eseguendo il ping bing.com:

    • ping bing.com

  5. Passare a PowerShell eseguendo il comando:

    • powershell.exe

  6. Scaricare lo script Get-WindowsAutopilotInfo eseguendo i comandi seguenti:

    • Set-ExecutionPolicy -ExecutionPolicy Bypass -Scope Process
    • Install-Script Get-WindowsAutopilotInfo

  7. Quando richiesto, immettere Y per accettare.

  8. Digitare il comando seguente:

    • Get-WindowsAutopilotInfo.ps1 -GroupTag CloudNative -Online

    Nota

    I tag di gruppo consentono di creare gruppi di Microsoft Entra dinamici basati su un sottoinsieme di dispositivi. I tag di gruppo possono essere impostati durante l'importazione dei dispositivi o modificati in un secondo momento nell'interfaccia di amministrazione di Microsoft Intune. Usiamo il tag di gruppo CloudNative nel passaggio 4. Puoi impostare il nome del tag su un valore diverso per i tuoi test.

  9. Quando viene richiesto di specificare le credenziali, accedere con l'account di amministratore di Intune.

  10. Lascia il computer pronto all'uso fino alla Fase 2.

Passaggio 4: Creare un gruppo dinamico di Microsoft Entra per il dispositivo

Per limitare le configurazioni di questa guida ai dispositivi di test importati in Windows Autopilot, creare un gruppo dinamico di Microsoft Entra. Questo gruppo deve includere automaticamente i dispositivi che vengono importati in Windows Autopilot e avere il tag di gruppo CloudNative. È quindi possibile assegnare tutte le configurazioni e le applicazioni a questo gruppo.

  1. Aprire l'interfaccia di amministrazione di Microsoft Intune.

  2. Selezionare Gruppi>,Nuovo gruppo. Immettere i seguenti dettagli:

    • Tipo di gruppo: Seleziona Sicurezza.
    • Nome del gruppo: immettere Autopilot Cloud-Native endpoint di Windows.
    • Tipo di appartenenza: Seleziona Dispositivo dinamico.

  3. Selezionare Aggiungi query dinamica.

  4. Nella sezione Sintassi regola selezionare Modifica.

  5. Incollare il testo seguente:

    (device.devicePhysicalIds -any (_ -eq "[OrderID]:CloudNative"))

  6. Selezionare OK,>salva,>crea.

Consiglio

I gruppi dinamici impiegano alcuni minuti per essere popolati dopo le modifiche. Nelle organizzazioni di grandi dimensioni, può richiedere più tempo. Dopo aver creato un nuovo gruppo, attendi qualche minuto prima di verificare che il dispositivo sia ora un membro del gruppo.

Per altre informazioni sui gruppi dinamici per i dispositivi, vedere Regole per i dispositivi.

Passaggio 5 - Configurare la pagina Stato registrazione

La pagina dello stato di registrazione (ESP) è il meccanismo usato da un professionista IT per controllare l'esperienza dell'utente finale durante il provisioning degli endpoint. Vedere Impostazione della pagina Stato registrazione. Per limitare l'ambito della pagina dello stato di registrazione, è possibile creare un nuovo profilo e assegnare ad Autopilot Cloud-Native gruppo endpoint Windows creato nel passaggio precedente, Creare Microsoft Entra gruppo dinamico per il dispositivo.

  • A scopo di test, è consigliabile utilizzare le impostazioni seguenti, ma è possibile modificarle in base alle esigenze:

    Impostazione Valore
    Mostra stato di configurazione dell'app e del profilo Sì
    Mostra la pagina solo ai dispositivi forniti da OOBE (Out-of-box Experience). Sì (impostazione predefinita)

Passaggio 6 - Creare e assegnare il profilo di Windows Autopilot

Ora è possibile creare il profilo Windows Autopilot e assegnarlo al dispositivo di test. Questo profilo indica al dispositivo di aderire a Microsoft Entra e quali impostazioni applicare durante la Configurazione guidata.

  1. Aprire l'interfaccia di amministrazione di Microsoft Intune.

  2. Selezionare i dispositivi>, laregistrazione>dei> dispositivi,i>profili di WindowsAutopilot> Deployment.

  3. Seleziona Crea profilo>PC Windows.

  4. Immettere il nome Autopilot Cloud-Native endpoint Windows e quindi selezionare Avanti.

  5. Nelle impostazioni della Configurazione guidata , confermare i valori di chiave seguenti e selezionare Avanti:

    Impostazione Valore
    Modalità di distribuzione Guidata dall'utente
    Iscriviti a Microsoft Entra ID come Microsoft Entra ha aderito
    Tipo di account utente Standard
    Applica modello di nome dispositivo Facoltativo. Un modello di denominazione come CloudPC-%SERIAL% rende i dispositivi facili da identificare nell'interfaccia di amministrazione.

    Importante

    Impostare il tipo di account utente su Standard è una procedura consigliata per la sicurezza. Impedisce agli utenti di installare software non approvato e riduce la superficie di attacco sugli endpoint nativi del cloud.

  6. Lasciare i tag degli ambiti e selezionare Avanti.

  7. Assegnare il profilo al gruppo di Microsoft Entra creato denominato Autopilot Cloud-Native endpoint Windows, selezionare Avanti e quindi Crea.

Passaggio 7 - Sincronizzare i dispositivi Windows Autopilot

Il servizio Windows Autopilot viene sincronizzato più volte al giorno. È anche possibile attivare immediatamente una sincronizzazione in modo che il dispositivo sia pronto per il test. Per sincronizzare immediatamente:

  1. Aprire l'interfaccia di amministrazione di Microsoft Intune.

  2. Selezionare i dispositivi,>la registrazione>dei dispositivi>,Windows>, Windows Autopilot>,Dispositivi.

  3. Selezionare Sincronizza.

La sincronizzazione dura alcuni minuti e continua in background. Al termine della sincronizzazione, lo stato del profilo per il dispositivo importato visualizza Assegnato.

Passaggio 8 - Configurare le impostazioni per un'esperienza ottimale di Microsoft 365

Abbiamo selezionato alcune impostazioni da configurare. Queste impostazioni dimostrano un'esperienza ottimale per l'utente finale di Microsoft 365 nel dispositivo Windows nativo per il cloud. Queste impostazioni vengono configurate utilizzando un profilo del catalogo delle impostazioni di configurazione del dispositivo. Per altre informazioni, vedere Creare un criterio usando il catalogo delle impostazioni in Microsoft Intune.

Dopo aver creato il profilo e aggiunto le impostazioni, assegnarlo al gruppo Autopilot Cloud-Native endpoint Windows creato in precedenza.

  • Microsoft Outlook - Per migliorare la prima esperienza di esecuzione di Microsoft Outlook, l'impostazione seguente configura automaticamente un profilo quando Outlook viene aperto per la prima volta.

    Categoria di impostazione Impostazione Valore
    Microsoft Outlook 2016\Impostazioni account\Exchange (impostazione utente) Configurazione automatica solo del primo profilo in base all'indirizzo SMTP primario di Active Directory Enabled

  • Microsoft Edge - Per migliorare l'esperienza della prima esecuzione di Microsoft Edge, le impostazioni seguenti configurano Microsoft Edge in modo che sincronizzi le impostazioni dell'utente e ignori l'esperienza della prima esecuzione.

    Categoria di impostazione Impostazione Valore
    Microsoft Edge Nasconde l'esperienza della prima esecuzione e la schermata iniziale Enabled
      Forza la sincronizzazione dei dati del browser e non visualizzare la richiesta di autorizzazione di sincronizzazione Enabled

  • Microsoft OneDrive - Per migliorare l'esperienza del primo accesso, le impostazioni seguenti configurano Microsoft OneDrive in modo da accedere e reindirizzare automaticamente desktop, immagini e documenti a OneDrive. È consigliato anche Files On-Demand (FOD). È abilitato per impostazione predefinita e non è incluso nell'elenco seguente. Per altre informazioni sulla configurazione consigliata per l'app di sincronizzazione OneDrive, vedere Configurazione consigliata dell'app di sincronizzazione per Microsoft OneDrive.

    Categoria di impostazione Impostazione Valore
    OneDrive Consenti l'accesso automatico degli utenti alll'app sincronizzazione di OneDrive con le proprie credenziali di Windows Enabled
      Sposta automaticamente le cartelle note di Windows in OneDrive Enabled

    Nota

    Per altre informazioni, vedere Reindirizza cartelle note.

Lo screenshot seguente mostra un esempio di profilo del catalogo impostazioni con ognuna delle impostazioni suggerite configurate:

Screenshot che mostra un esempio di profilo del catalogo impostazioni in Microsoft Intune.

Passaggio 9: Creare e assegnare alcune applicazioni

L'endpoint nativo del cloud ha bisogno di alcune applicazioni. Per iniziare, è consigliabile configurare le applicazioni seguenti e indirizzarle al gruppo Autopilot Cloud-Native endpoint di Windows creato in precedenza.

  • Microsoft 365 Apps (in precedenza Office 365 ProPlus) - Microsoft 365 Apps come Word, Excel e Outlook possono essere facilmente distribuite nei dispositivi usando il profilo dell'app Microsoft 365 Apps for Windows integrato in Intune.

    • Selezionare Progettazione configurazione per il formato delle impostazioni, anziché XML.
    • Seleziona il Canale corrente per il canale di aggiornamento.

    Per distribuire Microsoft 365 Apps, passare a Aggiungere Microsoft 365 Apps ai dispositivi Windows usando Microsoft Intune

  • App Portale aziendale - Si consiglia di distribuire l'app Portale aziendale di Intune a tutti i dispositivi come applicazione necessaria. L'app Portale aziendale è l'hub self-service per gli utenti che usano per installare applicazioni da più origini, come Intune, Microsoft Store e Gestione configurazione. Gli utenti usano anche l'app Portale aziendale per sincronizzare il proprio dispositivo con Intune, controllare lo stato di conformità e così via.

    Per distribuire il Portale aziendale nel modo appropriato, vedere Aggiungere e assegnare l'app Portale aziendale di Windows per i dispositivi gestiti da Intune.

  • App Microsoft Store (Whiteboard) - Anche se Intune può distribuire un'ampia gamma di app, per questa guida è stata distribuita un'app dello Store (Microsoft Whiteboard) per semplificare le cose. Seguire la procedura descritta in Aggiungere app di Microsoft Store a Microsoft Intune installare Microsoft Whiteboard.

Successivo: Fase 2: Creare un endpoint Windows nativo per il cloud

Fase 2: creare un endpoint Windows nativo per il cloud

Per creare il primo endpoint Windows nativo per il cloud, usare la stessa macchina virtuale o lo stesso dispositivo fisico raccolto e quindi caricato l'hash hardware nel servizio Windows Autopilot nella fase 1, passaggio 3: importare il dispositivo di test. Con questo dispositivo, eseguire il processo di Windows Autopilot.

  1. Riprendere (o reimpostare se necessario) il PC Windows alla Configurazione guidata.

    Nota

    Se viene chiesto di scegliere la configurazione per un utente o un'organizzazione, il processo di Windows Autopilot non è stato avviato. In questo caso, riavvia il dispositivo e assicurati che disponga dell'accesso a Internet. Se ancora non funziona, prova a ripristinare il PC o a reinstallare Windows.

  2. Accedi con le credenziali di Microsoft Entra (UPN o AzureAD\nomeutente).

  3. La pagina dello stato di registrazione mostra lo stato della configurazione del dispositivo.

Congratulazioni! È stato eseguito il provisioning del primo endpoint Windows nativo per il cloud.

Convalidare l'endpoint

Verifica le attività seguenti nel nuovo dispositivo prima di passare alla Fase 3:

  • Le cartelle di OneDrive (Desktop, Documenti, Immagini) vengono reindirizzate e sincronizzate.
  • Outlook si apre e configura automaticamente il profilo Microsoft 365.
  • Il Portale aziendale viene installato e Microsoft Whiteboard è disponibile.
  • Puoi accedere con le tue credenziali di Microsoft Entra e alle risorse cloud.
  • Le risorse locali (condivisioni file, siti Intranet, stampanti) sono accessibili, se necessario.

Se viene richiesto di immettere una password quando si usa Windows Hello per accedere alle risorse locali, Windows Hello for Business ibrido non è ancora configurato. Puoi continuare il test selezionando l'icona della chiave nella schermata di accesso e utilizzando invece il tuo nome utente e la password. Per altre informazioni, vedi Windows Hello for Business ibrido.

Successivo: Fase 3: proteggere l'endpoint Windows nativo per il cloud

Fase 3: proteggere l'endpoint Windows nativo per il cloud

Questa fase è progettata per aiutarti a creare le impostazioni di sicurezza per la tua organizzazione. Questa sezione richiama l'attenzione sui vari componenti di sicurezza degli endpoint in Microsoft Intune, tra cui:

Antivirus Microsoft Defender (MDAV)

Le impostazioni seguenti sono consigliate come configurazione minima per Antivirus Microsoft Defender, un componente del sistema operativo integrato di Windows. Queste impostazioni non richiedono alcun contratto di licenza specifico, come E3 o E5, e possono essere abilitate nell'interfaccia di amministrazione di Microsoft Intune.

Nell'interfaccia di amministrazione, vai a Antivirus Endpoint Security>>,Crea criteri>Windows e versioni successive>Tipo di = profilo Microsoft Defender Antivirus.

Difensore:

  • Consenti il monitoraggio del comportamento: consentito. Attiva il monitoraggio del comportamento in tempo reale.
  • Consenti protezione cloud: consentito. Attiva Protezione cloud.
  • Consenti analisi Email: consentito. Attiva l'analisi della posta elettronica.
  • Consente la scansione di tutti i file e gli allegati scaricati: Consentito.
  • Consenti il monitoraggio in tempo reale: consentito. Attiva ed esegue il servizio di monitoraggio in tempo reale.
  • Consenti la scansione dei Files di rete: consentito. Analizza i file di rete.
  • Consenti analisi script: consentito.
  • Timeout esteso cloud: 50
  • Giorni per conservare il malware pulito: 30
  • Abilita protezione rete: abilitata (modalità di controllo)
  • Protezione PUA: Protezione PUA attivata. Gli elementi rilevati vengono bloccati. Appariranno nella storia insieme ad altre minacce.
  • Direzione di scansione in tempo reale: monitora tutti i file (bidirezionale).
  • Consenso all'invio di campioni: Invia automaticamente campioni sicuri.
  • Consenti protezione accesso: consentito.
  • Azione correttiva per minacce gravi: quarantena. Sposta i file in quarantena.
  • Azione correttiva per la minaccia di bassa gravità: quarantena. Sposta i file in quarantena.
  • Azione correttiva per le minacce di gravità moderata: quarantena. Sposta i file in quarantena.
  • Azione correttiva per le minacce di gravità elevata: quarantena. Sposta i file in quarantena.

Per altre informazioni sulla configurazione di Windows Defender, incluso Microsoft Defender per endpoint per i clienti con licenza E3 ed E5, vai a:

Microsoft Defender Firewall

Usare Endpoint Security in Microsoft Intune per configurare il firewall e le regole del firewall. Per altre informazioni, vedere Criteri del firewall per la sicurezza degli endpoint in Intune.

Microsoft Defender Firewall può rilevare una rete attendibile tramite il CSP NetworkListManager. Inoltre, può passare al profilo firewall di dominio negli endpoint che eseguono Windows.

L'utilizzo del profilo di rete di dominio consente di separare le regole del firewall in base a una rete attendibile, una rete privata e una rete pubblica. Queste impostazioni possono essere applicate utilizzando un profilo personalizzato di Windows.

Nota

Gli endpoint aggiunti a Microsoft Entra non possono usare LDAP per rilevare una connessione di dominio nello stesso modo degli endpoint aggiunti a un dominio. Usare invece il CSP NetworkListManager per specificare un endpoint TLS che, una volta accessibile, passa l'endpoint al profilo firewall del dominio .

Crittografia BitLocker

Usare Endpoint Security in Microsoft Intune per configurare la crittografia con BitLocker.

Queste impostazioni possono essere abilitate nell'interfaccia di amministrazione di Microsoft Intune. Nell'interfaccia di amministrazione, passare a Sicurezza degli endpoint>,Gestire>la crittografia> del disco,Crea criteri>,Windows e versioni successive>BitLockerdel profilo = .

Quando configuri le impostazioni di BitLocker seguenti, la crittografia a 128 bit per gli utenti standard viene abilitata automaticamente, in uno scenario comune. Tuttavia, l'organizzazione potrebbe avere requisiti di sicurezza diversi, quindi usare la documentazione di BitLocker per altre impostazioni.

Categoria di impostazione Impostazione Valore
BitLocker Richiedi crittografia dispositivo Enabled
  Consenti avviso per altre crittografie del disco Disabled
  Consenti crittografia utente Standard Enabled
  Configura la rotazione della password di ripristino Aggiornamento attivato per i dispositivi aggiunti ad Azure AD
Crittografia unità BitLocker Scegliere il metodo di crittografia dell'unità e la potenza di crittografia Non configurata
  Fornire gli identificatori univoci per l'organizzazione Non configurata
Unità del sistema operativo Applicare il tipo di crittografia unità alle unità del sistema operativo Enabled
  Selezionare il tipo di crittografia (Dispositivo) Crittografia Solo spazio usato
  Richiedere un'autenticazione aggiuntiva all'avvio Enabled
  Consentire BitLocker senza un TPM compatibile (richiede una password o una chiave di avvio in un'unità flash USB) Falso
  Configurare la chiave di avvio e il PIN del TPM Consenti chiave di avvio e PIN con TPM
  Configurare la chiave di avvio del TPM Consenti chiave di avvio con TPM
  Configurare il PIN di avvio del TPM Consenti PIN di avvio con TPM
  Configurare l'avvio del TPM Richiedere TPM
  Configura la lunghezza minima del PIN per l'avvio Non configurata
  Consenti PIN avanzati per l'avvio Non configurata
  Impedire agli utenti standard di modificare il PIN o la password Non configurata
  Consenti ai dispositivi conformi con InstantGo o HSTI di rifiutare esplicitamente il PIN prima dell'avvio Non configurata
  Abilita l'uso dell'autenticazione BitLocker che richiede l'input da tastiera prima dell'avvio negli slate Non configurata
  Scegli come ripristinare le unità del sistema operativo protette con BitLocker Enabled
  Configurare l'archiviazione delle informazioni di ripristino di BitLocker da parte degli utenti Richiedi password di ripristino a 48 cifre
  Consenti agente recupero dati Falso
  Configurare l'archiviazione delle informazioni di ripristino di BitLocker in Servizi di dominio Active Directory Archivia le password di ripristino e i pacchetti di chiavi
  Non abilitare BitLocker finché le informazioni di ripristino non sono state archiviate in Servizi di dominio Active Directory per le unità del sistema operativo Vero
  Omettere le opzioni di ripristino dalla configurazione guidata di BitLocker Vero
  Salvare le informazioni di ripristino di BitLocker in Servizi di dominio Active Directory per le unità del sistema operativo Vero
  Configura il messaggio e l'URL di ripristino prima dell'avvio Non configurata
Unità dati fisse Applicare il tipo di crittografia unità alle unità dati fisse Enabled
  Selezionare il tipo di crittografia: (Dispositivo) Consenti scelta all'utente (impostazione predefinita)
  Scegli come ripristinare le unità fisse protette da BitLocker Enabled
  Configurare l'archiviazione delle informazioni di ripristino di BitLocker da parte degli utenti Richiedi password di ripristino a 48 cifre
  Consenti agente recupero dati Falso
  Configurare l'archiviazione delle informazioni di ripristino di BitLocker in Servizi di dominio Active Directory Eseguire il backup delle password di ripristino e dei pacchetti di chiavi
  Non abilitare BitLocker finché le informazioni di ripristino non sono state archiviate in Servizi di dominio Active Directory per le unità dati fisse Vero
  Omettere le opzioni di ripristino dalla configurazione guidata di BitLocker Vero
  Salvare le informazioni di ripristino di BitLocker in Servizi di dominio Active Directory per le unità dati fisse Vero
  Nega accesso in scrittura alle unità fisse non protette da BitLocker Non configurata
Unità dati rimovibili Controlla l'uso di BitLocker nelle unità rimovibili Enabled
  Consente agli utenti di applicare la protezione BitLocker alle unità dati rimovibili (dispositivo) Falso
  Consente agli utenti di sospendere e decrittografare la protezione BitLocker nelle unità dati rimovibili (dispositivo) Falso
  Nega accesso in scrittura alle unità rimovibili non protette da BitLocker Non configurata

Soluzione password dell'amministratore locale Windows (LAPS)

Per impostazione predefinita, l'account amministratore locale predefinito (SID noto S-1-5-500) è disabilitato. Esistono alcuni scenari in cui un account amministratore locale può essere utile, ad esempio la risoluzione dei problemi, il supporto per gli utenti finali e il ripristino del dispositivo. Se decidi di abilitare l'account amministratore predefinito o di creare un nuovo account amministratore locale, è importante proteggere la password per tale account.

Windows Local Administrator Password Solution (LAPS) è una delle funzionalità che puoi utilizzare per randomizzare e archiviare in modo sicuro la password in Microsoft Entra. Se usi Intune come servizio MDM, segui questa procedura per abilitare Windows LAPS.

Importante

Windows LAPS presuppone che l'account amministratore locale predefinito sia abilitato, anche se viene rinominato o se si crea un altro account amministratore locale. Windows LAPS non crea né abilita alcun account locale per te, a meno che non configuri la modalità di gestione automatica degli account.

È necessario creare o abilitare eventuali account locali separatamente dalla configurazione di Windows LAPS. È possibile eseguire script per questa attività o usare provider di servizi di configurazione (CSP), ad esempio CSP account o CSP Policy.

  1. Assicurati che i tuoi dispositivi Windows abbiano installato l'aggiornamento di sicurezza di aprile 2023 (o successivo).

    Per altre informazioni, vai a Aggiornamenti del sistema operativo Microsoft Entra.

  2. Abilita Windows LAPS in Microsoft Entra:

    1. Accedi a Microsoft Entra.
    2. Per l'impostazione Abilita Soluzione password dell'amministratore locale (LAPS), selezionare Sì>Salva (nella parte superiore della pagina).

    Per altre informazioni, vedere Abilitazione di Windows LAPS con Microsoft Entra.

  3. In Intune creare un criterio di sicurezza degli endpoint:

    1. Accedere all'Interfaccia di amministrazione di Microsoft Intune.
    2. Selezionare la sicurezza> degli endpointProtezione> accountCreare criteri>Soluzione passwordamministratore locale Windows >(Windows LAPS)>Creare.

    Per altre informazioni, vedi Creare un criterio LAPS in Intune.

Linea di base per la sicurezza

È possibile usare le baseline di sicurezza per applicare un set di configurazioni note per aumentare la sicurezza di un endpoint Windows. Per altre informazioni sulle baseline di sicurezza, vedere Impostazioni di base della sicurezza MDM di Windows per Intune.

Le linee di base possono essere applicate utilizzando le impostazioni suggerite e personalizzate in base alle proprie esigenze. Alcune impostazioni all'interno delle baseline potrebbero causare risultati imprevisti o essere incompatibili con app e servizi in esecuzione negli endpoint di Windows. Di conseguenza, i valori di base devono essere testati isolatamente. Applica la previsione solo a un gruppo selettivo di endpoint di test senza altri profili o impostazioni di configurazione.

Problemi noti relativi alle baseline di sicurezza

Le impostazioni seguenti nella baseline di sicurezza di Windows possono causare problemi con Windows Autopilot o il tentativo di installare app come utente standard:

  • Criteri locali Opzioni di sicurezza\Comportamento della richiesta di elevazione dei privilegi dell'amministratore (impostazione predefinita = Richiedi consenso sul desktop sicuro)
  • Comportamento standard della richiesta di elevazione dei privilegi utente (impostazione predefinita = Nega automaticamente richieste di elevazione dei privilegi)

Per altre informazioni, vedere Risoluzione dei conflitti tra criteri e Windows Autopilot.

Criteri client di Windows Update

Windows Update criteri client è la tecnologia cloud per controllare come e quando gli aggiornamenti vengono installati nei dispositivi. In Intune, i criteri client di Windows Update possono essere configurati utilizzando:

Per altre informazioni, vedere:

Consiglio

Per gli ambienti nativi del cloud, prendere in considerazione Windows Autopatch. Autopatch automatizza la gestione e la creazione di report dell'anello di aggiornamento, eliminando la necessità di ottimizzare manualmente i periodi di differimento e le scadenze. È incluso in Microsoft Intune ed è l'approccio consigliato per le organizzazioni che desiderano aggiornamenti di Windows completamente automatizzati e basati su criteri con un sovraccarico di amministrazione minimo.

Criteri di conformità

Un criterio di conformità segnala l'integrità degli endpoint Windows nativi del cloud, ad esempio se BitLocker è abilitato, l'avvio protetto è attivato e Microsoft Defender Antivirus è in esecuzione. I criteri costituiscono anche la base per l'accesso condizionale, pertanto è possibile impedire ai dispositivi non conformi di accedere alle risorse dell'organizzazione.

Per creare un criterio di conformità di Windows:

  1. Accedere all'Interfaccia di amministrazione di Microsoft Intune.

  2. Seleziona Conformità dispositivi>Crea>criterio.

  3. In Piattaforma selezionare Windows 10 e versioni successive>Crea.

  4. In Nozioni di base immettere un nome per il criterio e selezionare Avanti.

  5. In Impostazioni di conformità configurare i valori consigliati seguenti e selezionare Avanti:

    Categoria di impostazione Impostazione Valore
    Integrità del dispositivo Richiedere BitLocker Richiedi
      Rendere obbligatoria l'abilitazione dell'avvio protetto nel dispositivo Richiedi
      Richiedere l'integrità del codice Richiedi
    Sicurezza del sistema Firewall Richiedi
      Antivirus Richiedi
      Antispyware Richiedi
      Richiedere una password per sbloccare i dispositivi mobili Richiedi
      Password semplici Blocca
      Tipo di password Alfanumerico
      Lunghezza minima password 14
      Numero massimo di minuti di inattività prima che sia richiesta la password 1 minuto
      Scadenza password (giorni) 365
      Numero di password precedenti per impedire il riutilizzo 5
    Defender Microsoft Defender Antimalware Richiedi
      Intelligence di sicurezza di Microsoft Defender Antimalware aggiornata Richiedi
      Protezione in tempo reale Richiedi

    Consiglio

    Microsoft e le attuali linee guida NIST non consigliano più la scadenza periodica delle password. La baseline di sicurezza di Windows ha rimosso la scadenza della password nel 2019. Per gli endpoint nativi del cloud, la posizione più efficace consiste nel portare gli utenti all'accesso senza password con Windows Hello for Business e passkey/chiavi di sicurezza FIDO2 e bloccare le password deboli con la protezione con password di protezione di Microsoft Entra. Modifica i valori precedenti in modo che corrispondano ai criteri dell'organizzazione. Per altre informazioni, vedere Autenticazione senza password con Microsoft Intune.

  6. In Azioni per non conformità impostare la pianificazione Contrassegna dispositivo non conforme su giorno (o un altro periodo di tolleranza adatto all'organizzazione 1 ).

    Consiglio

    Se si usa l'Accesso Condizionale, configurare un periodo di tolleranza in modo che i dispositivi non conformi non perdano immediatamente l'accesso alle risorse dell'organizzazione. È anche possibile aggiungere un'azione per inviare agli utenti dei messaggi di posta elettronica i passaggi per ottenere la conformità.

  7. Assegnare i criteri al gruppo Autopilot Cloud-Native endpoint Windows dal passaggio 4 - Creare Microsoft Entra gruppo dinamico per il dispositivo.

Per altre informazioni sulle impostazioni di conformità di Windows, vedere Impostazioni di conformità dei dispositivi Windows in Microsoft Intune.

Accesso condizionale

L'accesso condizionale in Microsoft Entra usa il segnale di conformità di Intune per consentire o bloccare l'accesso alle risorse dell'organizzazione. Il modello nativo del cloud più comune è richiedere un dispositivo conforme per le app Microsoft 365 e altri servizi cloud. Questo modello garantisce che solo i dispositivi integri e gestiti da Intune possano accedere ai dati.

Una tipica baseline di accesso condizionale nativo del cloud include:

  • Richiedere l'autenticazione a più fattori per tutti gli utenti.
  • Richiedere un dispositivo conforme (o un dispositivo ibrido aggiunto a Microsoft Entra) per le app cloud.
  • Blocca i protocolli di autenticazione legacy.

Importante

Testare prima i criteri di accesso condizionale in un gruppo pilota. Un criterio configurato in modo errato può impedire agli amministratori di accedere all'interfaccia di amministrazione di Microsoft Entra.

Per istruzioni dettagliate, vedere:

Successivo: Fase 4: Applicare le personalizzazioni e rivedere la configurazione locale

Fase 4: applicare le personalizzazioni e rivedere la configurazione locale

In questa fase si applicano le impostazioni specifiche dell'organizzazione, le app e si rivede la configurazione locale. La fase consente di creare eventuali personalizzazioni specifiche per l'organizzazione. Si notino i vari componenti di Windows, come è possibile esaminare le configurazioni esistenti da un ambiente di Criteri di gruppo di Active Directory locale e applicarli agli endpoint nativi del cloud. Sono disponibili sezioni per ognuna delle aree seguenti:

Microsoft Edge

Distribuzione di Microsoft Edge

Microsoft Edge è incluso nei dispositivi che eseguino:

  • Windows

Dopo l'accesso degli utenti, Microsoft Edge viene aggiornato automaticamente. Per attivare un aggiornamento per Microsoft Edge durante la distribuzione, è possibile eseguire il comando seguente:

Start-Process -FilePath "C:\Program Files (x86)\Microsoft\EdgeUpdate\MicrosoftEdgeUpdate.exe" -argumentlist "/silent /install appguid={56EB18F8-B008-4CBD-B6D2-8C97FE7E9062}&appname=Microsoft%20Edge&needsadmin=True"

Per distribuire Microsoft Edge alle versioni precedenti di Windows, vai ad Aggiungere Microsoft Edge per Windows a Microsoft Intune.

Configurazione di Microsoft Edge

Due componenti dell'esperienza Microsoft Edge, che si applicano quando gli utenti accedono con le credenziali di Microsoft 365, possono essere configurati dall'interfaccia di amministrazione di Microsoft 365.

  • Il logo della pagina iniziale in Microsoft Edge può essere personalizzato configurando la sezione La tua organizzazione all'interno dell'interfaccia di amministrazione di Microsoft 365. Per altre informazioni, vedere Personalizzare il tema di Microsoft 365 per l'organizzazione.

  • L'esperienza predefinita della pagina Nuova scheda in Microsoft Edge include informazioni su Office 365 e notizie personalizzate. Il modo in cui viene visualizzata questa pagina può essere personalizzato dall'interfaccia di amministrazione di Microsoft 365 in Impostazioni>Impostazioni Impostazioni Notizie>>Pagina della nuova scheda di Microsoft Edge.

È anche possibile impostare altre impostazioni per Microsoft Edge usando i profili del catalogo delle impostazioni. Ad esempio, è possibile configurare impostazioni di sincronizzazione specifiche per l'organizzazione.

  • Microsoft Edge
    • Configura l'elenco dei tipi esclusi dalla sincronizzazione: password

Layout di Start e della barra delle applicazioni

È possibile personalizzare e impostare un layout standard per la schermata Start e la barra delle applicazioni con Intune.

Catalogo delle impostazioni

Il catalogo delle impostazioni è un'unica posizione in cui sono elencate tutte le impostazioni di Windows configurabili. Questa funzionalità semplifica la creazione di un criterio e la visualizzazione di tutte le impostazioni disponibili. Per altre informazioni, vedere Creare un criterio usando il catalogo delle impostazioni in Microsoft Intune.

Consiglio

Molte delle impostazioni già note per i Criteri di gruppo sono incorporate nel catalogo delle impostazioni. Se le impostazioni non sono disponibili nel catalogo delle impostazioni, controlla i modelli dei profili di configurazione del dispositivo.

Di seguito sono riportate alcune impostazioni disponibili nel catalogo delle impostazioni che potrebbero essere rilevanti per l'organizzazione:

  • Dominio tenant preferito di Azure Active Directory: questa impostazione configura il nome di dominio del tenant preferito da aggiungere al nome utente di un utente. Un dominio tenant preferito consente agli utenti di accedere agli endpoint di Microsoft Entra solo con il nome utente anziché con l'intero UPN, purché il nome di dominio dell'utente corrisponda al dominio tenant preferito. Gli utenti con nomi di dominio diversi possono digitare l'intero UPN.

    Categoria di impostazione Impostazione Valore
    Autenticazione Nome di dominio del tenant AAD preferito Immetti il nome del dominio, ad esempio contoso.onmicrosoft.com.

    Nota

    L'etichetta dell'impostazione utilizza la terminologia legacy. "AAD" fa riferimento a Microsoft Entra ID.

  • Contenuti in evidenza di Windows - Per impostazione predefinita, sono abilitate diverse funzionalità per gli utenti consumer di Windows, il che comporta l'installazione di app dello Store selezionate e suggerimenti di terze parti nella schermata di blocco. Puoi controllare questo aspetto usando la sezione Esperienza del catalogo delle impostazioni.

    Categoria di impostazione Impostazione Valore
    Esperienza > : Consenti Contenuti in evidenza di Windows Consenti le funzionalità per gli utenti consumer di Windows Blocca
      Consente suggerimenti di terze parti in Contenuti in evidenza di Windows (utente) Blocca

  • Microsoft Store - Le organizzazioni in genere vogliono limitare le applicazioni che possono essere installate negli endpoint. Usa questa impostazione se l'organizzazione vuole controllare quali applicazioni possono essere installate da Microsoft Store. Questa impostazione impedisce agli utenti di installare le applicazioni a meno che non siano approvate.

    Categoria di impostazione Impostazione Valore
    Microsoft App Store Richiedi solo archiviazione privata È abilitato solo l'archivio privato

    Nota

    Questa impostazione si applica a Windows 10. In Windows 11, questa impostazione blocca l'accesso al Microsoft Store pubblico. Per altre informazioni, vedere:

  • Gioco a blocchi : le organizzazioni potrebbero preferire che gli endpoint aziendali non possano essere usati per giocare. La pagina Giochi all'interno dell'app Impostazioni può essere nascosta completamente usando l'impostazione seguente. Per altre informazioni sulla visibilità della pagina delle impostazioni, vai alla documentazione CSP e al riferimento allo schema URI ms-settings.

    Categoria di impostazione Impostazione Valore
    Impostazioni Elenco visibilità pagina nascondi:gioco-gamebar; gioco-giocodvr; trasmissione di giochi; modalità di gioco; gioco-trueplay; gaming-xboxnetworking; quietmomentsgame

  • Controllare i tenant a cui può accedere il client desktop di Teams: quando in un dispositivo è configurato questo criterio, gli utenti possono accedere solo con account ospitati in un tenant di Microsoft Entra incluso nell'elenco dei tenant consentiti definito in questo criterio. L'elenco dei tenant consentiti è un elenco separato da virgole di ID tenant di Microsoft Entra. Specificando questo criterio e definendo un tenant di Microsoft Entra, si blocca anche l'accesso a Teams per uso personale. Per altre informazioni, vedere Come limitare l'accesso nei dispositivi desktop.

    Categoria di impostazione Impostazione Valore
    Microsoft Teams Limitare l'accesso a Teams agli account in tenant specifici (utente) Enabled

Restrizioni del dispositivo

I modelli di restrizioni del dispositivo di Windows contengono molte delle impostazioni necessarie per proteggere e gestire un endpoint Windows usando i provider di servizi di configurazione di Windows (CSP). Nel corso del tempo, molte di queste impostazioni verranno rese disponibili nel catalogo delle impostazioni. Per altre informazioni, vai a Limitazioni del dispositivo.

Per creare un profilo che usa il modelloRestrizioni del dispositivo, nell'interfaccia di amministrazione di Microsoft Intune vai a Dispositivi>Gestisci configurazione dispositivi>>Crea>nuovo criterio> Seleziona Windows 10 e versioni successive per i modelli di piattaforma >Restrizioni del dispositivo per il tipo di profilo.

  • URL dell'immagine di sfondo del desktop (solo desktop) - Usa questa impostazione per impostare uno sfondo nelle SKU di Windows Enterprise o Windows Education. Il file viene ospitato online o si fa riferimento a un file copiato in locale. Per configurare questa impostazione, nella scheda Impostazioni di configurazione nel profilo Limitazioni del dispositivoespandi Personalizzazione e configural'URL dell'immagine di sfondo del desktop (solo desktop).

  • Richiesta agli utenti di connettersi a una rete durante la configurazione del dispositivo - Questa impostazione riduce il rischio che un dispositivo possa ignorare Windows Autopilot se il computer viene reimpostato. Questa impostazione richiede che i dispositivi dispongano di una connessione di rete durante la fase di esperienza guidata. Per configurare questa impostazione, nella scheda Impostazioni di configurazione nel profilo Limitazioni del dispositivo espandi Generale e configura Richiedi agli utenti di connettersi alla rete durante l'installazione del dispositivo.

    Nota

    L'impostazione diventa effettiva al successivo accesso o ripristino del dispositivo.

Ottimizzazione recapito

Ottimizzazione recapito viene usata per ridurre il consumo della larghezza di banda condividendo il lavoro di download dei pacchetti supportati tra più endpoint. Ottimizzazione recapito è una cache distribuita auto-organizzata che consente ai client di scaricare tali pacchetti da origini alternative, ad esempio i peer sulla rete. Queste fonti peer integrano i tradizionali server basati su Internet. Puoi trovare informazioni su tutte le impostazioni disponibili per Ottimizzazione recapito e sui tipi di download supportati in Ottimizzazione recapito per gli aggiornamenti di Windows.

Per applicare le impostazioni di Ottimizzazione recapito, creare un profilo Ottimizzazione recapito di Intune o un profilo del catalogo delle impostazioni.

Alcune impostazioni comunemente usate dalle organizzazioni sono:

  • Limita selezione peer - Subnet - Questa impostazione limita la memorizzazione nella cache peer ai computer nella stessa subnet.
  • ID gruppo - I client di Ottimizzazione recapito possono essere configurati in modo da condividere il contenuto solo con i dispositivi dello stesso gruppo. Gli ID gruppo possono essere configurati direttamente inviando un GUID tramite criteri o usando le opzioni DHCP negli ambiti DHCP.

I clienti che usano Microsoft Configuration Manager possono distribuire server cache connessi che possono essere usati per ospitare il contenuto di Ottimizzazione recapito. Per altre informazioni, vedi Microsoft Connected Cache in Gestione configurazione.

Amministratori locali

Se è presente un solo gruppo di utenti che deve disporre dell'accesso come amministratore locale a tutti i dispositivi Windows aggiunti a Microsoft Entra, è possibile aggiungerli all'amministratore locale dei dispositivi aggiunti a Microsoft Entra.

Potrebbe essere necessario che l'helpdesk IT o altro personale di supporto disponga dei diritti di amministratore locale per un gruppo selezionato di dispositivi. Per soddisfare questo requisito, è possibile usare i provider di servizi di configurazione (CSP) seguenti.

Per altre informazioni, vedere Come gestire il gruppo di amministratori locali nei dispositivi aggiunti a Microsoft Entra

Criteri di gruppo per la migrazione delle impostazioni MDM

Quando si considera una migrazione dai Criteri di gruppo alla gestione dei dispositivi cloud-native, sono disponibili diverse opzioni per la creazione della configurazione del dispositivo:

  • Inizia da zero e applica le impostazioni personalizzate in base alle esigenze.
  • Esaminare i Criteri di gruppo esistenti e applicare le impostazioni necessarie. Puoi usare strumenti utili come l'analisi dei criteri di gruppo.
  • Usa l'analisi dei criteri di gruppo per creare profili Configurazione dispositivo direttamente per le impostazioni supportate.

La transizione a un endpoint Windows nativo per il cloud rappresenta un'opportunità per rivedere i requisiti di elaborazione degli utenti finali e stabilire una nuova configurazione per il futuro. Se possibile, inizia da zero con un set minimo di criteri. Evitare di portare avanti impostazioni non necessarie o legacy da un ambiente aggiunto a un dominio o da sistemi operativi meno recenti, come Windows 7 o Windows XP.

Per iniziare da zero, rivedere i requisiti correnti e implementare una raccolta minima di impostazioni per soddisfare questi requisiti. I requisiti possono includere impostazioni di sicurezza normative o obbligatorie e impostazioni per migliorare l'esperienza dell'utente finale. È l'azienda a creare un elenco di requisiti, non l'IT. Ogni ambiente dovrebbe essere documentato, compreso e dovrebbe servire a uno scopo.

La migrazione delle impostazioni da Criteri di gruppo esistenti a MDM (Microsoft Intune) non è l'approccio preferito. Quando si passa a Windows nativo del cloud, l'intenzione non deve essere quella di rimuovere e spostare le impostazioni di criteri di gruppo esistenti. Considera invece il gruppo di destinatari e le impostazioni richieste. È dispendioso in termini di tempo e probabilmente poco pratico rivedere ogni impostazione dei criteri di gruppo nel proprio ambiente per determinarne la pertinenza e la compatibilità con un dispositivo gestito moderno. Evitare di provare a valutare tutti i criteri di gruppo e le singole impostazioni. Concentrati invece sulla valutazione di quei criteri comuni che coprono la maggior parte dei dispositivi e degli scenari.

Identifica invece le impostazioni dei criteri di gruppo che sono obbligatorie ed esaminale rispetto alle impostazioni MDM disponibili. Eventuali lacune rappresentano blocchi che possono impedire di procedere con un dispositivo nativo del cloud se non risolti. Strumenti come l'analisi dei criteri di gruppo possono essere usati per analizzare le impostazioni dei criteri di gruppo e determinare se possono essere migrate o meno ai criteri MDM.

Script

È possibile usare gli script di PowerShell per qualsiasi impostazione o personalizzazione da configurare al di fuori dei profili di configurazione integrati. Per altre informazioni, vedere Aggiungere script di PowerShell ai dispositivi Windows in Microsoft Intune.

Mapping di unità di rete e stampanti

Gli scenari nativi del cloud non hanno una soluzione incorporata per le unità di rete mappate. È invece consigliabile che gli utenti eseguano la migrazione a Teams, SharePoint e OneDrive. Se la migrazione non è possibile, valutare l'uso di script, se necessario.

Per l'archiviazione personale, nel passaggio 8 - Configurare le impostazioni per un'esperienza ottimale di Microsoft 365 è stato configurato lo spostamento delle cartelle note di OneDrive. Per altre informazioni, vedere Reindirizza cartelle note.

Per l'archiviazione dei documenti, gli utenti possono anche trarre vantaggio dall'integrazione di SharePoint con Esplora file e dalla possibilità di sincronizzare le raccolte in locale, come indicato qui: Sincronizzare i file di SharePoint e Teams con il computer.

Se si usano modelli di documenti di Office aziendali, che in genere si trovano su server interni, prendere in considerazione l'equivalente più recente basato su cloud che consente agli utenti di accedere ai modelli da qualsiasi posizione.

Per le soluzioni di stampa, prendere in considerazione Stampa universale. Per altre informazioni, vedere:

Applicazioni

Intune supporta la distribuzione di molti tipi diversi di applicazioni Windows.

Se si dispone di applicazioni che utilizzano MSI, EXE o programmi di installazione di script, è possibile distribuire tutte queste applicazioni utilizzando la gestione delle app Win32 in Microsoft Intune. Il wrapping di questi programmi di installazione nel formato Win32 offre maggiore flessibilità e vantaggi, tra cui notifiche, ottimizzazione recapito, dipendenze, regole di rilevamento e supporto per la Pagina stato registrazione in Windows Autopilot.

Nota

Per evitare conflitti durante l'installazione, è consigliabile usare esclusivamente le app line-of-business di Windows o le funzionalità delle app Win32. Se si dispone di applicazioni in pacchetto come .msi o .exe, è possibile convertirle in app Win32 (.intunewin) usando lo strumento di preparazione del contenuto Microsoft Win32 disponibile su GitHub.

Successivo: Fase 5: Ridimensionare la distribuzione con Windows Autopilot

Fase 5: ridimensionare la distribuzione con Windows Autopilot

Hai dimostrato che la nativa del cloud funziona su un dispositivo. Questa fase illustra come passare da un dispositivo di test al parco istanze di produzione: come vengono registrati i dispositivi, come vengono raggruppati per persona, come viene eseguita la distribuzione e come si gestiscono i PC esistenti già gestiti.

Registrare i dispositivi su vasta scala

Nella fase 1 è stato caricato manualmente un hash hardware. Va bene per un laboratorio, ma non è scalabile. Le opzioni pronte per la produzione sono:

Origine registrazione Come funziona Ideale per
OEM o partner hardware I dispositivi vengono spediti dal fornitore già registrato nel tenant (Dell, HP, Lenovo, Microsoft, Surface e altri). Approvvigionamento di nuovo hardware: stato di destinazione consigliato.
Rivenditore o CSP Un partner Microsoft registra i dispositivi per tuo conto. Catene di approvvigionamento indirette o miste.
Caricamento manuale con hash (CSV) Stesso Get-WindowsAutopilotInfo flusso della fase 1, passaggio 3, caricato in blocco come CSV. Progetti pilota, dispositivi di laboratorio, piccoli lotti, dispositivi esistenti a bordo.
Connettore Intune/registrazione diretta I percorsi di registrazione più recenti sono emersi nell'interfaccia di amministrazione. Scenari di registrazione specifici: vedere la panoramica sulla registrazione di Autopilot.

Per i dettagli completi, vedere Registrare i dispositivi di Autopilot.

Consiglio

Ogni volta che acquisti nuovo hardware Windows, chiedi al tuo rivenditore o OEM di registrare i dispositivi nel tuo ID tenant di Microsoft Entra al momento dell'acquisto. Questo approccio è il modello a lungo termine a più basso attrito ed elimina la necessità di raccogliere manualmente un hash.

Usare i tag di gruppo per gli utenti tipo

Il tag gruppo CloudNative è già stato utilizzato nella fase 1 per gestire un gruppo dinamico. Lo stesso modello viene ridimensionato a più utenti tipo di dispositivo. Definire un tag di gruppo per ogni utente tipo, un gruppo dinamico di Microsoft Entra per tag e un profilo di distribuzione Autopilot più la pagina dello stato di registrazione per gruppo.

Utente Tag di gruppo suggerito Profilo di Autopilot Tipo di account utente
Lavoratore della conoscenza KnowledgeWorker Guidata dall'utente Utente Standard
Sviluppatore/utente esperto Developer Guidata dall'utente Amministratore
Chiosco multimediale o dispositivo condiviso Kiosk Distribuzione automatica N/D
Pre-fornito (guanto bianco) PreProvisioned Pre-provisioning Utente Standard

Questo modello mantiene la configurazione, le app e i criteri di sicurezza isolati per ogni utente tipo ed evita eccezioni occasionali che si estendono nel tenant.

Srotolamento ad anelli

Non schierarti su tutta la flotta contemporaneamente. Usa lo stesso concetto di anello usato per gli Aggiornamenti di Windows:

Anello Gruppo di destinatari Finalità
Pilota Team IT e un piccolo gruppo di volontari Convalidare il provisioning e i criteri end-to-end.
Primi utilizzatori ~5% degli utenti, distribuiti in tutti i reparti Individua i problemi specifici di persone e app.
Ampio La flotta rimanente, organizzata per regione o dipartimento Implementazione della produzione.

Usare filtri assegnazione per assegnare anelli anziché creare gruppi duplicati per ogni criterio. Monitorare ogni anello usando la sezione Monitorare gli endpoint di Windows nativi per il cloud prima di passare al successivo.

Gestire i dispositivi esistenti

Per i PC Windows già gestiti, Microsoft consiglia di passare ad Autopilot al prossimo aggiornamento dell'hardware anziché effettuare il riprovisioning dell'intero parco istanze oggi. Windows nativo per il cloud ottiene tutti i vantaggi da un avvio pulito della Configurazione guidata, mentre i cicli di aggiornamento consentono una transizione naturale con il minimo disturbo per l'utente.

Se non puoi attendere l'aggiornamento, sono disponibili due percorsi:

  • Registrazione e ripristino sul posto. Raccogliere l'hash per un dispositivo esistente, registrarlo in Autopilot, quindi reimpostare il PC. Il dispositivo torna tramite la Configurazione guidata come endpoint nativo del cloud. Vedere Aggiungere dispositivi esistenti a Windows Autopilot.
  • Riimmagine all'aggiornamento. Solo l'hardware nuovo o aggiornato viene registrato come cloud-native. I dispositivi esistenti rimangono nella gestione corrente fino al raggiungimento della fine del ciclo di vita.

Attenzione

Non registrare dispositivi gestiti attivamente da Microsoft Configuration Manager senza un piano di co-gestione. Decidere se il dispositivo sarà gestito dal cloud, co-gestito o rimarrà in Gestione configurazione prima di registrarlo in Autopilot. Per altre informazioni, vedi Gestione condivisa per i dispositivi Windows.

Ulteriori informazioni

Se Windows Autopilot non è adatto per lo scenario, vedere Metodi di registrazione di Intune per dispositivi Windows per alternative.

Successivo: Monitorare gli endpoint di Windows nativi per il cloud

Monitorare gli endpoint di Windows nativi per il cloud

Dopo aver eseguito il provisioning e configurato gli endpoint di Windows nativi per il cloud, usa le visualizzazioni di monitoraggio nell'interfaccia di amministrazione di Microsoft Intune per verificare che criteri, script e app vengano distribuiti correttamente e per individuare tempestivamente i problemi. Il monitoraggio è un'attività operativa continua, non un passaggio di configurazione una tantum.

Cosa monitorare Nell'interfaccia di amministrazione Cosa rivedere Ulteriori informazioni
Stato script Dispositivi>Per piattaforma>Finestre>Gestire i dispositivi>Script e correzioni>Script della piattaforma Selezionare uno script >Stato del dispositivo —
Stato di installazione dell'app App>Finestre>App di Windows Selezionare un'app >Stato di installazione del dispositivo o stato di installazione dell'utente Risolvere i problemi relativi alle installazioni delle app
Baseline di sicurezza — — Monitorare le baseline di sicurezza in Intune
Crittografia disco (BitLocker) Sicurezza degli> endpointCrittografia disco Selezionare il criterio > BitLocker Stato installazione dispositivo. Chiavi di ripristino: Dispositivi>Windows> Seleziona un dispositivo >Chiavi di ripristino —
Anelli di Windows Update Dispositivi>Gestire gli aggiornamenti>Windows 10 e aggiornamenti> successiviAnelli di aggiornamento Seleziona un anello >Stato del dispositivo Report per gli anelli di aggiornamento
Conformità Dispositivi>Conformità Selezionare il criterio per visualizzare i risultati delle assegnazioni, i dispositivi non conformi e gli errori per impostazione Monitorare i criteri di conformità
Analisi degli endpoint Rapporti>Analisi degli endpoint Prestazioni di avvio, affidabilità delle app e correzioni proattive in tutto il parco istanze Panoramica dell'analisi degli endpoint · Report di Intune

Seguire le indicazioni per gli endpoint nativi del cloud

  1. Panoramica: che cosa sono gli endpoint nativi del cloud?
  2. 🡺 Esercitazione: configurare endpoint Windows nativi per il cloud con Microsoft Intune (Sei qui)
  3. Concetto: Microsoft Entra unito vs. ibrido Microsoft Entra unito
  4. Concetto: endpoint nativi del cloud e risorse locali
  5. Guida alla pianificazione di alto livello
  6. Problemi noti e informazioni importanti

Domande frequenti

Che cos'è un endpoint di Windows nativo del cloud?

Un endpoint di Windows nativo del cloud è un dispositivo Windows Microsoft Entra aggiunto e registrato in Microsoft Intune, senza dipendenza da Active Directory locale, Criteri di gruppo o controller di dominio. Tutta la configurazione, la sicurezza e la distribuzione delle app vengono gestite dal cloud usando Microsoft Intune e Windows Autopilot.

Qual è la differenza tra l'adesione a Microsoft Entra nativa per il cloud e ibrida?

Un dispositivo aggiunto a Microsoft Entra ibrido viene aggiunto ad Active Directory locale e a Microsoft Entra. Dipende ancora dai controller di dominio per l'autenticazione e dai Criteri di gruppo per la configurazione. Un dispositivo nativo del cloud (solo aggiunto a Microsoft Entra) non ha alcuna dipendenza locale: identità, criteri e app provengono tutti dal cloud. Per un confronto dettagliato, vedere Microsoft Entra unito vs. ibrido Microsoft Entra unito.

È necessario Windows 11 per endpoint nativi del cloud?

No. Windows nativo del cloud funziona con Windows 10 22H2 o versione successiva. Microsoft consiglia Windows 11 per ottenere la migliore esperienza con Windows Autopilot, Windows Hello for Business e le funzionalità di sicurezza moderne.

Posso spostare i dispositivi esistenti aggiunti a un dominio in cloud-native?

Sì, ma Microsoft consiglia di farlo al prossimo aggiornamento dell'hardware piuttosto che effettuare nuovamente il provisioning dell'intera flotta. Windows nativo per il cloud ottiene tutti i suoi vantaggi da un avvio pulito della Configurazione guidata. Per i dispositivi che non è possibile aggiornare con ansia, vedere Gestire i dispositivi esistenti nella Fase 5.

Windows nativo per il cloud funziona con risorse locali come condivisioni file e stampanti?

Sì, con un po' di pianificazione. I dispositivi nativi del cloud possono accedere alle risorse locali tramite VPN o tramite il proxy dell'applicazione Microsoft Entra. Per l'archiviazione dei file, Microsoft consiglia di eseguire la migrazione a OneDrive e SharePoint. Per la stampa, prendere in considerazione Stampa universale. Per indicazioni dettagliate, vedere endpoint nativi del cloud e risorse locali .

Risorse online utili

  • Last updated on