Guida alla pianificazione di alto livello per il passaggio agli endpoint nativi del cloud

Consiglio

Quando si legge sugli endpoint nativi del cloud, vengono visualizzati i termini seguenti:

  • Endpoint: un endpoint è un dispositivo, come un telefono cellulare, un tablet, un laptop o un computer desktop. "Endpoint" e "dispositivi" sono usati in modo intercambiabile.
  • Endpoint gestiti: endpoint che ricevono criteri dall'organizzazione usando una soluzione MDM o oggetti Criteri di gruppo. Questi dispositivi sono in genere di proprietà dell'organizzazione, ma possono anche essere BYOD o di proprietà personale.
  • Endpoint nativi del cloud: endpoint aggiunti a Microsoft Entra. Non sono uniti ad AD locale.
  • Carico di lavoro: qualsiasi programma, servizio o processo.

Questa guida alla pianificazione di alto livello include idee e suggerimenti da considerare per l'adozione e la migrazione agli endpoint nativi del cloud. Illustra la gestione dei dispositivi, la revisione & la transizione dei carichi di lavoro esistenti, l'esecuzione di modifiche all'organizzazione, l'uso di Windows Autopilot e altro ancora.

Questa funzionalità si applica a:

  • Endpoint nativi del cloud di Windows

Il passaggio degli endpoint di Windows al cloud-native presenta molti vantaggi, tra cui quelli a lungo termine. Non è un processo immediato e deve essere pianificato in modo da evitare problemi, interruzioni e un impatto negativo sull'utente.

Per altre informazioni sui vantaggi per l'organizzazione e gli utenti, vedere Che cosa sono gli endpoint nativi del cloud.

Per avere successo, considerare le aree chiave descritte in questo articolo per la pianificazione e la distribuzione. Con una pianificazione, comunicazioni e aggiornamenti dei processi adeguati, l'organizzazione può essere nativa del cloud.

Gestire i dispositivi usando un provider MDM nativo del cloud

La gestione degli endpoint, inclusi gli endpoint nativi del cloud, è un'attività importante per tutte le organizzazioni. Con gli endpoint nativi del cloud, gli strumenti di gestione usati devono gestire gli endpoint ovunque si trovino.

Se attualmente non usi una soluzione di gestione dei dispositivi mobili (MDM) o desideri passare a una soluzione Microsoft, gli articoli seguenti sono utili risorse:

Con la famiglia di prodotti e servizi Microsoft Intune, sono disponibili le seguenti opzioni di gestione degli endpoint:

Rivedere i carichi di lavoro di endpoint e utenti

A livello generale, la distribuzione di endpoint nativi del cloud richiede strategie moderne per l'identità, la distribuzione del software, la gestione dei dispositivi, gli aggiornamenti del sistema operativo e la gestione dei dati & della configurazione degli utenti. Microsoft offre soluzioni che supportano queste aree per gli endpoint nativi del cloud.

Per iniziare, esaminare ogni carico di lavoro e determinare come può o supporterà gli endpoint nativi del cloud. Alcuni carichi di lavoro potrebbero già supportare endpoint nativi del cloud. Il supporto nativo dipende dal carico di lavoro specifico, dal modo in cui l'organizzazione implementa i servizi del carico di lavoro e dal modo in cui gli utenti usano i servizi.

Per determinare se i carichi di lavoro supportano endpoint nativi del cloud, è necessario esaminare e convalidare questi servizi.

Se un servizio o una soluzione non supporta gli endpoint nativi del cloud, determinarne l'impatto e la criticità sugli utenti e sull'organizzazione. Una volta ottenute queste informazioni, è possibile determinare i passaggi successivi, che possono includere:

  • Collaborazione con il fornitore di servizi
  • Aggiornamento a una nuova versione
  • Utilizzo di un nuovo servizio
  • Implementazione di una soluzione alternativa per l'accesso e l'uso di tale servizio da un endpoint nativo del cloud
  • Convalida dei requisiti di servizio
  • Accettare che il servizio non è compatibile con il cloud-native, cosa che può essere accettabile per gli utenti e l'organizzazione

In entrambi i casi, è consigliabile pianificare l'aggiornamento dei carichi di lavoro in modo da supportare endpoint nativi del cloud.

I carichi di lavoro devono avere le caratteristiche seguenti:

  • Accesso sicuro alle app e ai dati ovunque si trovino gli utenti. Access non richiede una connessione a una rete interna o aziendale.
  • Ospitato, ospitato o ospitato tramite un servizio cloud.
  • Non richiede né dipende da un dispositivo specifico.

Carichi di lavoro e soluzioni comuni

Gli endpoint nativi del cloud includono anche i servizi e i carichi di lavoro che supportano gli endpoint.

I carichi di lavoro seguenti sono la configurazione, gli strumenti, i processi e i servizi per l'abilitazione della produttività degli utenti e la gestione degli endpoint.

I carichi di lavoro esatti, i dettagli e le modalità di aggiornamento per gli endpoint nativi del cloud potrebbero essere diversi. Inoltre, non è necessario eseguire la transizione di tutti i carichi di lavoro. Tuttavia, è necessario considerare ogni carico di lavoro, il relativo impatto sulla produttività degli utenti e le funzionalità di gestione dei dispositivi. La conversione di alcuni carichi di lavoro per l'uso di endpoint nativi del cloud potrebbe richiedere più tempo di altri. I carichi di lavoro possono anche avere interdipendenze reciproche.

  • Identità dispositivo

    L'identità di un dispositivo è determinata dai provider di identità (IdP) che sono a conoscenza del dispositivo e hanno un trust di sicurezza con il dispositivo. Per gli endpoint Windows, gli IdP più comuni sono Active Directory locale (AD) e Microsoft Entra ID. Gli endpoint con identità da uno di questi IdP sono in genere uniti a uno o a entrambi.

    • Per gli endpoint nativi del cloud, l'aggiunta a Microsoft Entra è la scelta migliore per l'identità del dispositivo. Non richiede alcuna connettività a una rete, una risorsa o un servizio locale.
    • L'aggiunta AD locale e l'aggiunta ibrida a Microsoft Entra richiedono la connettività a un controller di dominio locale. Hanno bisogno di connettività per l'accesso iniziale degli utenti, per fornire criteri di gruppo e modificare le password. Queste opzioni non sono adatte per gli endpoint nativi del cloud.

    Nota

    La registrazione di Microsoft Entra, talvolta indicata come aggiunta al luogo di lavoro, è solo per scenari BYOD (Bring Your Own Device). Non deve essere usato per gli endpoint Windows di proprietà dell'organizzazione. Alcune funzionalità potrebbero non essere supportate o non funzionare come previsto negli endpoint di Windows registrati in Microsoft Entra.

  • Effettuare il provisioning degli endpoint

    Per gli endpoint di aggiunta a Microsoft Entra appena distribuiti, usare Windows Autopilot per preconfigurare i dispositivi. L'iscrizione a Microsoft Entra è in genere un'attività guidata dall'utente e Windows Autopilot è progettato pensando agli utenti. Windows Autopilot consente il provisioning tramite il cloud da qualsiasi posizione su Internet e da parte di qualsiasi utente.

    Per altre informazioni, vedere:

  • Distribuire software e applicazioni

    La maggior parte degli utenti ha bisogno e utilizza software e applicazioni non inclusi nel sistema operativo principale. In molti casi, il reparto IT non conosce o non comprende i requisiti specifici dell'app. Tuttavia, la distribuzione e la gestione di queste applicazioni è ancora responsabilità del team IT. Gli utenti devono essere in grado di richiedere e installare le applicazioni di cui hanno bisogno per svolgere il proprio lavoro, indipendentemente dall'endpoint che stanno usando o da dove lo stanno usando.

    • Per distribuire software e applicazioni, usare un sistema basato sul cloud, ad esempio Intune o Gestione configurazione (con un gateway di gestione cloud e la co-gestione).

    • Creare una linea di base di app che gli endpoint devono avere, come Microsoft Outlook e Teams. Per le altre app, consentire agli utenti di installare le proprie app.

      Negli endpoint è possibile usare l'app Portale aziendale come repository delle app. In alternativa, usare un portale rivolto agli utenti che elenca le app che è possibile installare. Questa opzione self-service riduce i tempi di provisioning dei dispositivi nuovi ed esistenti. Inoltre, riduce il carico di lavoro dell'IT e non è necessario distribuire applicazioni non necessarie agli utenti.

    Per altre informazioni, vedere:

  • Configurare le impostazioni del dispositivo usando i criteri

    La gestione delle policy e della sicurezza è fondamentale nella gestione degli endpoint. I criteri endpoint consentono all'organizzazione di applicare una baseline di sicurezza specifica e una configurazione standard agli endpoint gestiti. Sono disponibili molte impostazioni che è possibile gestire e controllare negli endpoint. Creare criteri che configurano solo gli elementi necessari nella previsione. NON creare criteri che controllano le preferenze utente comuni.

  • Distribuire gli aggiornamenti di sicurezza, funzionalità e app

    Molte soluzioni locali non possono distribuire gli aggiornamenti agli endpoint nativi del cloud o distribuirli in modo efficiente. Dal punto di vista della sicurezza, questo carico di lavoro può essere il più importante. Dovrebbe essere il primo carico di lavoro di transizione per supportare gli endpoint di Windows nativi del cloud.

  • Gestire i dati e le impostazioni degli utenti

    I dati utente includono gli elementi seguenti:

    • Documenti utente
    • Configurazione dell'app Posta
    • Preferiti del Web browser
    • Dati specifici dell'applicazione line-of-business (LOB)
    • Impostazioni di configurazione specifiche dell'applicazione line-of-business (LOB)

    Gli utenti devono creare e accedere ai propri dati da qualsiasi endpoint. Anche questi dati devono essere protetti e potrebbe essere necessario condividerli con altri utenti.

    • Archiviare i dati e le impostazioni dell'utente in un provider di archiviazione cloud, come Microsoft OneDrive. I provider di archiviazione cloud possono gestire la sincronizzazione dei dati, la condivisione, l'accesso offline, la risoluzione dei conflitti e altro ancora.

      Per altre informazioni, passare alla Guida di OneDrive per le aziende.

    Importante

    Alcune impostazioni utente, come le preferenze del sistema operativo o le impostazioni specifiche dell'applicazione, sono archiviate nel registro di sistema. L'accesso a queste impostazioni da qualsiasi posizione potrebbe non essere realistico e potrebbe non essere possibile eseguire la sincronizzazione con endpoint diversi.

    È possibile che queste impostazioni possano essere esportate e quindi importate in un altro dispositivo. Ad esempio, è possibile esportare le impostazioni utente da Outlook, Word e altre app di Office.

  • Accedere alle risorse locali

    Alcune organizzazioni non possono eseguire la transizione di alcuni carichi di lavoro a soluzioni native del cloud. L'unica opzione potrebbe essere l'accesso alle risorse o ai servizi locali esistenti da un endpoint nativo del cloud. Per questi scenari, gli utenti devono accedere.

    Per questi servizi, risorse e applicazioni locali, prendere in considerazione le attività seguenti:

    Nota

    Microsoft Entra non supporta il protocollo di autenticazione Kerberos. AD locale supporta il protocollo di autenticazione Kerberos. Durante la pianificazione sono disponibili altre informazioni su Microsoft Entra Kerberos. Una volta configurati, gli utenti accedono a un endpoint nativo del cloud usando il proprio account Microsoft Entra e possono accedere alle app o ai servizi locali che usano l'autenticazione Kerberos.

    Microsoft Entra Kerberos:

    • Non viene usato in soluzioni native del cloud.
    • Non risolve alcun problema di connettività per le risorse che richiedono l'autenticazione tramite Microsoft Entra.
    • Non è la risposta o la soluzione alternativa per eventuali requisiti di autenticazione del dominio tramite Microsoft Entra.
    • Non risolve i problemi di autenticazione del computer elencati in Problemi noti e informazioni importanti.

    Per una comprensione più approfondita di Microsoft Entra Kerberos e degli scenari che può affrontare, vai ai blog seguenti:

Esegui la transizione dei carichi di lavoro in fasi

La modernizzazione dei carichi di lavoro e l'adozione di endpoint nativi per il cloud richiedono modifiche ai processi e alle procedure operative. Ad esempio:

  • Gli amministratori devono comprendere in che modo le modifiche ai carichi di lavoro esistenti potrebbero modificare i loro processi.
  • Il service desk deve comprendere i nuovi scenari che supporterà.

Quando esamini gli endpoint e i carichi di lavoro, suddividi la transizione in fasi. Questa sezione fornisce una panoramica su alcune fasi consigliate che l'organizzazione può usare. Queste fasi possono essere ripetute tutte le volte che è necessario.

Fase 1: ottenere informazioni sui carichi di lavoro

Questa fase è la fase di raccolta delle informazioni. Consente di stabilire l'ambito di ciò che è necessario considerare per l'organizzazione per la transizione al cloud-native. Implica la definizione esatta di quali servizi, prodotti e applicazioni sono coinvolti in ogni carico di lavoro nell'ambiente.

In questa fase:

  1. Fare l'inventario delle informazioni e dei dettagli del carico di lavoro corrente. Ad esempio, è possibile conoscere il loro stato attuale, cosa forniscono, chi servono, chi li gestisce, se sono fondamentali per il cloud-native e come sono ospitati.

    Una volta ottenute queste informazioni, è possibile comprendere e definire l'obiettivo finale, che dovrebbe essere:

    • Per supportare gli endpoint nativi del cloud
    • Conoscere i servizi, i prodotti e le applicazioni usati da ogni carico di lavoro

    È necessario coordinarsi con i proprietari dei diversi servizi, prodotti e applicazioni. Vuoi assicurarti che gli endpoint nativi del cloud supportino la produttività degli utenti senza vincoli di connettività o di posizione.

    Esempi di servizi e applicazioni comuni includono applicazioni line-of-business (LOB), siti Web interni, condivisioni file, requisiti di autenticazione, meccanismi di aggiornamento del sistema operativo e delle applicazioni e configurazione delle applicazioni. Fondamentalmente, includono tutto ciò di cui gli utenti hanno bisogno per svolgere appieno il proprio lavoro.

  2. Verificare lo stato finale per ogni carico di lavoro. Identificare i blocchi noti che impediscono di raggiungere questo stato finale o di supportare gli endpoint nativi del cloud.

    Alcuni carichi di lavoro e relativi servizi & applicazioni potrebbero già essere ottimizzati per il cloud o abilitati. Alcuni potrebbero non esserlo. Raggiungere lo stato finale per ogni carico di lavoro può richiedere investimenti & sforzi dell'organizzazione. Può includere l'aggiornamento del software, il "sollevamento e lo spostamento" su una nuova piattaforma, la migrazione a una nuova soluzione o le modifiche alla configurazione.

    I passaggi necessari per ogni carico di lavoro sono diversi per ogni organizzazione. Dipendono dal modo in cui il servizio o l'applicazione è ospitato e accessibile agli utenti. Questo stato finale deve affrontare la sfida principale di consentire agli utenti di svolgere il proprio lavoro su un endpoint nativo del cloud, indipendentemente dalla posizione o dalla connettività alla rete interna.

    In base a ogni stato finale definito, è possibile individuare o definire che l'abilitazione al cloud di un servizio o di un'applicazione è difficile o bloccata. Questa situazione può verificarsi per diversi motivi, tra cui limitazioni tecniche o finanziarie. Questi limiti devono essere chiari ed essere compresi. È necessario esaminarne l'impatto e determinare come spostare ciascun carico di lavoro in modo che sia compatibile con il cloud-native.

Fase 2: dare priorità a tutti gli ostacoli

Dopo aver identificato i carichi di lavoro chiave e i relativi blocchi dello stato finale, quindi:

  1. Assegna priorità a ogni blocco e valuta ogni blocco per la risoluzione.

    Potrebbe non essere opportuno o necessario risolvere tutti gli ostacoli. Ad esempio, l'organizzazione potrebbe avere carichi di lavoro, o una parte di essi, che non supportano gli endpoint nativi del cloud. Questa mancanza di supporto può essere significativa o meno per l'organizzazione o gli utenti. Questa decisione può essere presa dall'utente e dalla sua organizzazione.

  2. Per supportare i test e il modello di verifica (POC), iniziare con un set minimo di carichi di lavoro. L'obiettivo è testare e convalidare un campione dei carichi di lavoro.

    Come parte del modello di verifica, identificare un set di utenti e dispositivi in un progetto pilota per eseguire uno scenario di produzione reale. Questo passaggio consente di dimostrare se lo stato finale abilita la produttività dell'utente.

    In molte organizzazioni, la migrazione di un ruolo o di un gruppo aziendale è più semplice. Ad esempio, è possibile scegliere come destinazione i seguenti scenari nel modello di verifica:

    • Team di vendita altamente mobile i cui requisiti principali sono strumenti di produttività e una soluzione online di gestione delle relazioni con i clienti
    • Lavoratori della conoscenza che accedono principalmente a contenuti già presenti nel cloud e si affidano in larga misura alle app di Microsoft 365
    • Dispositivi di lavoro in prima linea altamente mobili o che si trovano in ambienti in cui non hanno accesso alla rete dell'organizzazione

    Per questi gruppi, rivedere i carichi di lavoro. Determinare in che modo questi carichi di lavoro possono passare alla gestione moderna, tra cui identità, distribuzione software, gestione dei dispositivi e altro ancora.

    Per ognuna delle aree del progetto pilota, il numero di elementi o attività deve essere basso. Questo progetto pilota iniziale consente di creare i processi e le procedure necessari per più gruppi. Aiuta anche a creare la tua strategia a lungo termine.

    Per altre indicazioni e suggerimenti, vai alla guida alla pianificazione di Microsoft Intune. Si applica a Intune, ma include anche alcune indicazioni per l'uso di gruppi pilota e la creazione di piani di implementazione.

Fase 3: transizione dei carichi di lavoro

In questa fase sei pronto per implementare le modifiche.

  1. Sposta i carichi di lavoro sbloccati nelle soluzioni native del cloud pianificate o nello stato finale. Idealmente, questo passaggio è suddiviso in elementi di lavoro più piccoli. L'obiettivo è continuare le operazioni aziendali con interruzioni minime.

  2. Dopo il primo set di carichi di lavoro, supporta gli endpoint nativi del cloud, identifica altri carichi di lavoro e continua il processo.

Fase 4: preparare gli utenti

Gli utenti hanno esperienze diverse per quanto riguarda la ricezione, la distribuzione e il supporto nei dispositivi. Gli amministratori devono:

  • Esaminare i processi e la documentazione esistenti per identificare i settori in cui le modifiche sono visibili agli utenti.
  • Aggiornare la documentazione.
  • Creare una strategia educativa per condividere i cambiamenti e i vantaggi che gli utenti sperimenteranno.

Transizione dell'organizzazione per fasi

Le fasi seguenti sono un approccio di alto livello che consente alle organizzazioni di spostare il proprio ambiente in modo da supportare endpoint di Windows nativi del cloud. Queste fasi sono parallele alla transizione degli endpoint e dei carichi di lavoro degli utenti. Possono dipendere dal fatto che la transizione di determinati carichi di lavoro sia parzialmente o completamente per supportare gli endpoint di Windows nativi del cloud.

Fase 1: definire endpoint, dipendenze e attività cardine

Questa fase è il primo passaggio affinché la migrazione dell'organizzazione sia completamente nativa per il cloud. Rivedi ciò che hai attualmente, definisci i criteri di successo e inizia a pianificare come i tuoi dispositivi verranno aggiunti a Microsoft Entra.

  1. Definire gli endpoint che richiedono un'identità cloud

    • Gli endpoint che usano l'accesso a Internet richiedono un'identità cloud. Si aggiungeranno questi endpoint a Microsoft Entra.
    • Gli endpoint che non usano Internet o che vengono usati solo in locale non devono avere un'identità cloud. Non eseguire la migrazione di questi scenari per essere nativi del cloud.

  2. Definire le dipendenze

    I carichi di lavoro, gli utenti e i dispositivi hanno dipendenze tecniche e non tecniche. Per eseguire una transizione con un impatto minimo sugli utenti e sull'organizzazione, è necessario tenere conto di queste dipendenze.

    Ad esempio, una dipendenza può essere:

    • Processi aziendali e continuità
    • Standard di sicurezza
    • Leggi e normative locali
    • Conoscenza e uso del carico di lavoro da parte degli utenti
    • Capitale, costi operativi e budget

    Per ogni carico di lavoro, chiedere "Che cosa influisce se modifichiamo qualcosa dei servizi forniti da questo carico di lavoro?". Devi tenere conto degli effetti di questo cambiamento.

  3. Definire attività cardine e criteri di successo per ogni carico di lavoro

    Ogni carico di lavoro ha le proprie attività cardine e i propri criteri di successo. Possono essere basati sull'uso del carico di lavoro da parte dell'organizzazione e sulla sua applicabilità a endpoint e utenti specifici.

    Per comprendere e definire lo stato di avanzamento della transizione, tenere traccia e monitorare queste informazioni.

  4. Pianificare la distribuzione di Windows Autopilot

    • Determinare come e quando i dispositivi verranno registrati per l'organizzazione.
    • Determinare e creare i tag di gruppo necessari per i criteri di Windows Autopilot.
    • Creare il profilo di Windows Autopilot con le relative impostazioni di configurazione e assegnare i dispositivi che riceveranno il profilo.

    Per altre informazioni, vedere:

Fase 2: abilitare l'identità ibrida nel cloud degli endpoint (facoltativo)

Per essere completamente nativi del cloud, Microsoft consiglia di reimpostare gli endpoint Windows esistenti come parte di un ciclo di aggiornamento hardware. Quando si reimposta, l'endpoint viene ripristinato alle impostazioni di fabbrica. Tutte le app, le impostazioni e i dati personali nel dispositivo vengono eliminati.

Se non sei pronto per reimpostare gli endpoint, puoi abilitare l'aggiunta ibrida a Microsoft Entra. Viene creata un'identità cloud per gli endpoint di aggiunta ibridi di Microsoft Entra. Tenere presente che l'aggiunta ibrida a Microsoft Entra richiede comunque la connettività locale.

Ricorda, l'adesione ibrida a Microsoft Entra è un passaggio di transizione verso il cloud-native e non è l'obiettivo finale. L'obiettivo finale è che tutti gli endpoint esistenti siano completamente nativi del cloud.

Quando gli endpoint sono completamente nativi del cloud, i dati degli utenti vengono archiviati in un provider di archiviazione cloud, come OneDrive. In questo modo, quando un endpoint viene reimpostato, le applicazioni utente, la configurazione e i dati sono ancora accessibili e possono essere replicati in un endpoint di cui è stato appena effettuato il provisioning.

Per altre informazioni, vedere:

Nota

Microsoft non dispone di un'utilità di migrazione per convertire gli endpoint esistenti da dominio locale aggiunto o ibrido Microsoft Entra aggiunto a Microsoft Entra unito. Microsoft consiglia di reimpostare e ridistribuire questi dispositivi nell'ambito di un aggiornamento hardware.

Fase 3: Gestione configurazione con collegamento di cloud (facoltativo)

Se usi Gestione configurazione, collega il cloud del tuo ambiente a Microsoft Intune. Se non usi Gestione configurazione, ignora questo passaggio.

Quando si collega al cloud, è possibile gestire in remoto gli endpoint client, cogestire gli endpoint con Intune (cloud) e Gestione configurazione (locale) e accedere all'interfaccia di amministrazione di Intune.

Per informazioni più specifiche, vai a Collegare nel cloud l'ambiente di Gestione configurazione e Percorri l'interfaccia di amministrazione di Microsoft Intune.

Fase 4: creazione di un modello di verifica unito a Microsoft Entra

Questa fase critica può iniziare in qualsiasi momento. Consente di identificare potenziali problemi, problemi sconosciuti e convalida le funzionalità complessive e le risoluzioni a tali problemi. Come per tutti i POC, l'obiettivo è dimostrare e convalidare le funzionalità in un ambiente aziendale reale anziché in un ambiente di laboratorio.

I passaggi importanti per questa fase includono:

  1. Implementare una configurazione di base minima usando Intune

    Questo passaggio è importante. Non si desidera introdurre nella rete o nella produzione endpoint che:

    • Non seguire gli standard di sicurezza dell'organizzazione
    • Non sono configurati per consentire agli utenti di svolgere il loro lavoro.

    Questa configurazione minima non prevede e non dovrebbe essere applicate tutte le configurazioni possibili. Tenere presente che l'intento è quello di individuare altre configurazioni necessarie per consentire agli utenti di avere esito positivo.

  2. Configurare Windows Autopilot per gli endpoint aggiunti a Microsoft Entra

    L'uso di Windows Autopilot per il provisioning di nuovi endpoint e il reprovisioning degli endpoint esistenti è il modo più rapido per introdurre i sistemi aggiunti a Microsoft Entra nell'organizzazione. È una parte importante del POC.

  3. Distribuire un POC per i sistemi aggiunti a Microsoft Entra

    • Usa una combinazione di endpoint che rappresentano configurazioni e utenti diversi. È necessaria la maggior quantità possibile di convalida di questo nuovo stato del sistema.

    • Solo l'uso della produzione reale da parte degli utenti della produzione reale convaliderà completamente i carichi di lavoro e le relative funzionalità. Attraverso l'uso naturale e quotidiano degli endpoint POC di Microsoft Entra, gli utenti testano e convalidano in modo organico i carichi di lavoro.

    • Creare elenchi di controllo di funzionalità e scenari business critical e fornire questi elenchi agli utenti POC. Gli elenchi di controllo sono specifici per ogni organizzazione e possono cambiare man mano che i carichi di lavoro vengono trasferiti a carichi di lavoro compatibili con il cloud native.

  4. Convalidare la funzionalità

    La convalida è un processo ripetitivo. Si basa sui carichi di lavoro e sulla relativa configurazione all'interno dell'organizzazione.

    • Raccogliere il feedback degli utenti sugli endpoint POC, i carichi di lavoro e le relative funzionalità. Il feedback deve provenire dagli utenti che usano gli endpoint nativi del cloud.

      Potrebbero essere individuati altri blocchi e carichi di lavoro/scenari precedentemente sconosciuti o non contabilizzati.

    • Utilizzare le attività cardine e i criteri di successo stabiliti in precedenza per ogni carico di lavoro. Aiuteranno a determinare lo stato e l'ambito del POC.

Fase 5: Microsoft Entra Aggiungere gli endpoint Windows esistenti

Questa fase trasferisce il provisioning di nuovi endpoint Windows a Microsoft Entra aggiunti. Dopo aver risolto tutti i blocchi e i problemi, puoi spostare i dispositivi esistenti in modo che siano completamente nativi per il cloud. Sono disponibili le opzioni seguenti:

  • Opzione 1: sostituisci i dispositivi. Se i dispositivi sono alla fine del ciclo di vita o non supportano la sicurezza moderna, sostituirli è la scelta migliore. I dispositivi moderni supportano funzionalità di sicurezza nuove e migliorate, inclusa la tecnologia TPM (Trusted Platform Module).

  • Opzione 2: reimposta i dispositivi Windows. Se i dispositivi esistenti supportano le funzionalità di sicurezza più recenti, puoi reimpostare i dispositivi. Durante la Configurazione guidata o quando gli utenti eseguono l'accesso, possono aggiungere i dispositivi a Microsoft Entra.

    Prima di reimpostare un endpoint Windows esistente, assicurati di:

    1. Eliminare il dispositivo in Intune.
    2. Eliminare la registrazione del dispositivo Windows Autopilot.
    3. Eliminare l'oggetto dispositivo Microsoft Entra esistente.

    Reimpostare quindi il dispositivo e ripetere il provisioning dell'endpoint.

Quando i dispositivi sono pronti, unisci questi dispositivi a Microsoft Entra utilizzando l'opzione migliore per la tua organizzazione. Per informazioni più specifiche, vedere Dispositivi aggiunti a Microsoft Entra e Procedura: pianificare l'implementazione dell'adesione a Microsoft Entra.

Spostarsi dagli oggetti Criteri di gruppo

Molte organizzazioni usano oggetti Criteri di gruppo per configurare e gestire i propri endpoint di Windows.

Nel corso del tempo, la situazione si complica a causa della mancanza di documentazione, della mancanza di chiarezza sullo scopo o sui requisiti della politica, dell'uso di politiche legacy o non funzionali e dell'uso di funzionalità complesse. Ad esempio, potrebbero esserci criteri che includono filtri WMI, hanno strutture UO complesse e usano il blocco dell'ereditarietà, il loopback o il filtro di sicurezza.

Gestire le impostazioni con Intune

Microsoft Intune include molte impostazioni predefinite che possono essere configurate e distribuite negli endpoint nativi del cloud. Quando si passa a Intune per la gestione dei criteri, sono disponibili alcune opzioni.

Queste opzioni non si escludono necessariamente a vicenda. È possibile eseguire la migrazione di un sottoinsieme di criteri e crearne uno nuovo per gli altri.

  • Opzione 1: nuovo avvio (scelta consigliata): Intune offre molte impostazioni per configurare e gestire gli endpoint. È possibile creare un criterio, aggiungere e configurare le impostazioni nel criterio, quindi distribuire il criterio.

    Molti criteri di gruppo esistenti includono criteri che potrebbero non essere applicabili agli endpoint nativi del cloud. L'avvio da zero consente a un'organizzazione di convalidare e semplificare i criteri applicati esistenti, eliminando al contempo i criteri legacy, dimenticati o persino dannosi. Intune include modelli predefiniti che raggruppano le impostazioni comuni, ad esempio VPN, Wi-Fi, protezione degli endpoint e altro ancora.

  • Opzione 2: migrazione: questa opzione comporta il sollevamento dei criteri esistenti e il loro spostamento nel motore dei criteri di Intune. Può essere ingombrante e richiedere molto tempo. Ad esempio, potrebbero essere presenti molti criteri di gruppo esistenti e ci saranno differenze tra le impostazioni locali e quelle nel cloud.

    Se si sceglie questa opzione, è necessario esaminare e analizzare i criteri di gruppo esistenti e determinare se sono ancora necessari o validi negli endpoint nativi del cloud. Si desidera eliminare i criteri non necessari, inclusi i criteri che potrebbero causare un sovraccarico o ridurre le prestazioni del sistema o l'esperienza utente. Non spostare i criteri di gruppo in Intune finché non sai cosa fanno.

Funzionalità di Intune che dovresti conoscere

Intune include anche funzionalità predefinite che consentono di configurare gli endpoint nativi del cloud:

  • Analisi dei criteri di gruppo: è possibile importare gli oggetti Criteri di gruppo nell'interfaccia di amministrazione di Microsoft Intune ed eseguire un'analisi dei criteri. È possibile visualizzare i criteri esistenti in Intune e i criteri deprecati.

    Se si usano oggetti Criteri di gruppo, l'uso di questo strumento è un primo passo prezioso.

    Per altre informazioni, passare ad Analisi dei criteri di gruppo in Intune.

  • Catalogo delle impostazioni: vedere tutte le impostazioni disponibili in Intune e creare, configurare & distribuire un criterio usando queste impostazioni. Anche le attività che è possibile completare usando il Catalogo impostazioni in Intune possono essere una buona risorsa. Se si creano oggetti Criteri di gruppo, il catalogo delle impostazioni è una transizione naturale alla configurazione degli endpoint nativa del cloud.

    In combinazione con l'analisi dei criteri di gruppo, è possibile distribuire i criteri usati in locale negli endpoint nativi del cloud.

    Per altre informazioni, vai al catalogo delle impostazioni in Intune.

  • Baseline di sicurezza: una baseline di sicurezza è un gruppo di impostazioni di Windows preconfigurate. Consentono di applicare e applicare impostazioni di sicurezza granulari consigliate dai team di sicurezza. Quando si crea una baseline di sicurezza, è inoltre possibile personalizzare ogni baseline per applicare solo le impostazioni desiderate.

    Puoi creare una baseline di sicurezza per Windows, Microsoft Edge e altro ancora. Se non si è certi di dove iniziare o si desidera che gli esperti di sicurezza consiglino le impostazioni di sicurezza, esaminare le baseline di sicurezza.

    Per altre informazioni, vedere Baseline di sicurezza in Intune.

Usare Windows Autopilot per eseguire il provisioning di endpoint di Windows nuovi o esistenti

Se si acquistano endpoint da un OEM o da un partner, è consigliabile usare Windows Autopilot.

Alcuni dei vantaggi includono:

  • Processo di installazione di Windows integrato: presenta un'esperienza utente per l'utente finale personalizzata, guidata e semplificata.

  • Esegui la spedizione degli endpoint direttamente agli utenti finali: fornitori e OEM possono spedire gli endpoint direttamente agli utenti. Gli utenti ricevono gli endpoint, accedono con il proprio account dell'organizzazione (user@contoso.com) e Windows Autopilot effettua automaticamente il provisioning dell'endpoint.

    Questa funzionalità consente di limitare il sovraccarico e i costi associati ai processi IT interni e alla spedizione.

    Per risultati ottimali, pre-registra gli endpoint con gli OEM o i fornitori. La pre-registrazione consente di evitare i ritardi che possono verificarsi durante la registrazione manuale degli endpoint.

  • Gli utenti possono reimpostare autonomamente gli endpoint esistenti: Se gli utenti hanno endpoint Windows esistenti, possono reimpostare i dispositivi autonomamente. Quando vengono reimpostati, vengono ripristinati gli endpoint a una linea di base minima e a uno stato gestito. Non richiede un intervento IT costoso o l'accesso fisico all'endpoint.

Nota

Non è consigliabile usare Windows Autopilot per aggiungere l'ibrido a Microsoft Entra agli endpoint di cui è appena stato effettuato il provisioning. Funziona, ma ci sono alcune sfide. Negli endpoint di cui è appena stato eseguito il provisioning usare l'aggiunta da Windows Autopilot a Microsoft Entra (non l'aggiunta ibrida a Microsoft Entra).

Per determinare il metodo di join più adatto alla propria organizzazione, passare a confronto tra Microsoft Entra e Microsoft Entra ibrido aggiunto.

Per altre informazioni su Windows Autopilot, vai a:

Seguire le indicazioni per gli endpoint nativi del cloud

  1. Panoramica: che cosa sono gli endpoint nativi del cloud?
  2. Esercitazione: Configurare endpoint di Windows nativi per il cloud con Microsoft Intune
  3. Concetto: Microsoft Entra unito vs. ibrido Microsoft Entra unito
  4. Concetto: endpoint nativi del cloud e risorse locali
  5. 🡺 Guida alla pianificazione di alto livello (sei qui)
  6. Problemi noti e informazioni importanti

Contenuto correlato

  • Last updated on