Przewodnik migracji: konfigurowanie lub przenoszenie do Microsoft Intune

  • Artykuł

Po zaplanowaniu przejścia do Microsoft Intune następnym krokiem jest wybranie podejścia do migracji odpowiedniego dla Twojej organizacji. Te decyzje zależą od bieżącego środowiska zarządzania urządzeniami przenośnymi (MDM), celów biznesowych i wymagań technicznych.

Ten przewodnik migracji zawiera listę i opis opcji wdrażania lub przenoszenia do usługi Intune, które obejmują:

  • Nie używasz rozwiązania do zarządzania urządzeniami przenośnymi
  • Używasz rozwiązania MDM partnera innej firmy
  • Używasz Configuration Manager
  • Używasz lokalnych zasad grupy
  • Używasz Microsoft 365 Basic Mobility and Security

Skorzystaj z tego przewodnika, aby określić najlepsze podejście do migracji i uzyskać wskazówki & zalecenia.

Porada

Przed rozpoczęciem

  • Microsoft Intune to rozwiązanie natywne dla chmury, które ułatwia zarządzanie tożsamościami, urządzeniami i aplikacjami. Jeśli twoim celem jest stać się natywnym dla chmury, możesz dowiedzieć się więcej w następujących artykułach:

  • Wdrożenie usługi Intune może różnić się od poprzedniego wdrożenia rozwiązania MDM. Usługa Intune używa kontroli dostępu opartej na tożsamościach. Dostęp do danych organizacji z urządzeń spoza sieci nie wymaga serwera proxy sieci.

Obecnie nic nie używaj

Jeśli obecnie nie używasz żadnego dostawcy zarządzania aplikacjami mobilnymi lub zarządzania aplikacjami mobilnymi (MAM), masz kilka opcji:

Obecnie używasz dostawcy mdm innej firmy

Urządzenia powinny mieć tylko jednego dostawcę mdm. Jeśli używasz innego dostawcy mdm, takiego jak Workspace ONE (wcześniej o nazwie AirWatch), MobileIron lub MaaS360, możesz przejść do usługi Intune.

Użytkownicy muszą wyrejestrować swoje urządzenia z bieżącego dostawcy mdm przed zarejestrowaniem się w usłudze Intune.

  1. Skonfiguruj usługę Intune, w tym ustawienie urzędu MDM na usługę Intune.

    Aby uzyskać więcej informacji, zobacz:

  2. Wdrażanie aplikacji i tworzenie zasad ochrony aplikacji. Chodzi o to, aby chronić dane organizacji w aplikacjach podczas migracji i do momentu zarejestrowania urządzeń & zarządzanych przez usługę Intune.

    Aby uzyskać więcej informacji, przejdź do kroku 2 — dodawanie, konfigurowanie i ochrona aplikacji za pomocą usługi Intune.

  3. Wyrejestruj urządzenia od bieżącego dostawcy mdm.

    Gdy urządzenia są wyrejestrowane, nie otrzymują zasad, w tym zasad zapewniających ochronę. Urządzenia są narażone na ataki, dopóki nie zostaną zarejestrowane w usłudze Intune i nie zaczną otrzymywać nowych zasad.

    Podaj użytkownikom konkretne kroki wyrejestrowanie. Dołącz wskazówki od istniejącego dostawcy mdm dotyczące wyrejestrowania urządzeń. Przejrzysta i pomocna komunikacja minimalizuje przestoje użytkowników końcowych, niezadowolenie i wywołania pomocy technicznej.

  4. Opcjonalne, ale zalecane. Jeśli masz Microsoft Entra identyfikator P1 lub P2, użyj również dostępu warunkowego, aby zablokować urządzenia do momentu zarejestrowania się w usłudze Intune.

    Aby uzyskać więcej informacji, przejdź do kroku 3 — planowanie zasad zgodności.

  5. Opcjonalne, ale zalecane. Utwórz punkt odniesienia zgodności i ustawień urządzeń, które muszą mieć wszyscy użytkownicy i urządzenia. Te zasady można wdrożyć, gdy użytkownicy zarejestrują się w usłudze Intune.

    Aby uzyskać więcej informacji, zobacz:

  6. Zarejestruj się w usłudze Intune. Upewnij się, że podasz użytkownikom konkretne kroki rejestracji.

    Aby uzyskać więcej informacji, zobacz:

Ważna

Nie konfiguruj jednocześnie usługi Intune ani żadnego istniejącego rozwiązania mdm innej firmy w celu stosowania kontroli dostępu do zasobów, w tym programu Exchange lub SharePoint.

Zalecenia:

  • Jeśli przechodzisz z dostawcy zarządzania urządzeniami mobilnymi/zarządzania aplikacjami mobilnymi partnera, zanotuj uruchomione zadania i funkcje, których używasz. Te informacje dają wyobrażenie o tym, jakie zadania należy wykonywać również w usłudze Intune.

  • Użyj podejścia etapowego. Zacznij od niewielkiej grupy użytkowników pilotażowych i dodaj więcej grup do momentu osiągnięcia wdrożenia na pełną skalę.

  • Monitorowanie obciążenia pomocy technicznej i powodzenia rejestracji w każdej fazie. Pozostaw czas w harmonogramie, aby ocenić kryteria powodzenia dla każdej grupy przed migracją następnej grupy.

    Wdrożenie pilotażowe powinno zweryfikować następujące zadania:

    • Wskaźniki powodzenia rejestracji i niepowodzeń mieszczą się w twoich oczekiwaniach.

    • Produktywność użytkowników:

      • Działają zasoby firmowe, w tym sieć VPN, sieć Wi-Fi, poczta e-mail i certyfikaty.
      • Wdrożone aplikacje są dostępne.

    • Zabezpieczenia danych:

      • Przejrzyj raporty dotyczące zgodności i poszukaj typowych problemów i trendów. Poinformuj dział pomocy technicznej o problemach, rozwiązaniach i trendach.
      • Stosowane są zabezpieczenia aplikacji mobilnych.

  • Jeśli pierwsza faza migracji jest zadowalająca, powtórz cykl migracji dla następnej fazy.

    • Powtarzaj cykle etapowe do momentu migracji wszystkich użytkowników do usługi Intune.
    • Upewnij się, że pomoc techniczna jest gotowa do obsługi użytkowników końcowych w trakcie migracji. Uruchom dobrowolną migrację, dopóki nie będzie można oszacować obciążenia wywołań pomocy technicznej.
    • Nie ustawiaj terminów rejestracji, dopóki pomoc techniczna nie będzie mogła obsłużyć wszystkich pozostałych użytkowników.

Przydatne informacje:

Obecnie używaj Configuration Manager

Configuration Manager obsługuje serwery z systemem Windows i urządzenia klienckie z systemem Windows & macOS. Jeśli Organizacja korzysta z innych platform, może być konieczne zresetowanie urządzeń, a następnie zarejestrowanie ich w usłudze Intune. Po zarejestrowaniu otrzymują utworzone zasady i profile. Aby uzyskać więcej informacji, zobacz przewodnik wdrażania rejestracji w usłudze Intune.

Jeśli obecnie używasz Configuration Manager i chcesz korzystać z usługi Intune, dostępne są następujące opcje.

Opcja 1 — dodawanie dołączania dzierżawy

Dołączanie dzierżawy umożliwia przekazywanie urządzeń Configuration Manager do organizacji w usłudze Intune, znanej również jako "dzierżawa". Po dołączeniu urządzeń użyjesz centrum administracyjnego Microsoft Intune do uruchamiania akcji zdalnych, takich jak maszyna synchronizacji i zasady użytkownika. Możesz również wyświetlić serwery lokalne i uzyskać informacje o systemie operacyjnym.

Dołączanie dzierżawy jest dołączone do licencji współzarządzania Configuration Manager bez dodatkowych kosztów. Jest to najprostszy sposób integracji chmury (Intune) z lokalną konfiguracją Configuration Manager.

Aby uzyskać więcej informacji, zobacz Włączanie dołączania dzierżawy.

Opcja 2 — Konfigurowanie współzarządzania

Ta opcja używa Configuration Manager dla niektórych obciążeń i używa usługi Intune dla innych obciążeń.

  1. W Configuration Manager skonfiguruj współzarządzanie.
  2. Skonfiguruj usługę Intune, w tym ustawienie urzędu MDM na usługę Intune.

Urządzenia są gotowe do zarejestrowania w usłudze Intune i otrzymywania zasad.

Przydatne informacje:

Opcja 3 — przejście z Configuration Manager do usługi Intune

Większość istniejących klientów Configuration Manager chce nadal korzystać z Configuration Manager. Obejmuje ona usługi, które są korzystne dla urządzeń lokalnych.

Te kroki są omówione i są uwzględniane tylko dla tych użytkowników, którzy chcą 100% rozwiązania w chmurze. Korzystając z tej opcji, możesz:

  • Rejestrowanie istniejących lokalna usługa Active Directory urządzeń klienckich z systemem Windows jako urządzeń w Microsoft Entra identyfikatorze.
  • Przenoszenie istniejących obciążeń Configuration Manager lokalnych do usługi Intune.

Ta opcja jest bardziej sprawna dla administratorów, ale może tworzyć bardziej bezproblemowe środowisko dla istniejących urządzeń klienckich z systemem Windows. W przypadku nowych urządzeń klienckich z systemem Windows zalecamy rozpoczęcie od podstaw od platformy Microsoft 365 i usługi Intune (w tym artykule).

  1. Skonfiguruj hybrydową usługę Active Directory i identyfikator Microsoft Entra dla urządzeń. Microsoft Entra urządzenia przyłączone hybrydowo są przyłączone do lokalna usługa Active Directory i zarejestrowane przy użyciu identyfikatora Microsoft Entra. Gdy urządzenia są w Microsoft Entra identyfikatorze, są one również dostępne w usłudze Intune.

    Identyfikator Microsoft Entra hybrydowej obsługuje urządzenia z systemem Windows. Aby uzyskać inne wymagania wstępne, w tym wymagania dotyczące logowania, zobacz Planowanie implementacji przyłączania hybrydowego Microsoft Entra.

  2. W Configuration Manager skonfiguruj współzarządzanie.

  3. Skonfiguruj usługę Intune, w tym ustawienie urzędu MDM na usługę Intune.

  4. W Configuration Manager przesuń wszystkie obciążenia z Configuration Manager do usługi Intune.

  5. Na urządzeniach odinstaluj klienta Configuration Manager. Aby uzyskać więcej informacji, zobacz odinstalowywanie klienta.

    Po skonfigurowaniu usługi Intune można utworzyć zasady konfiguracji aplikacji usługi Intune, które odinstalują klienta Configuration Manager. Możesz na przykład odwrócić kroki opisane w temacie Instalowanie klienta Configuration Manager przy użyciu usługi Intune.

Urządzenia są gotowe do zarejestrowania w usłudze Intune i otrzymywania zasad.

Ważna

Identyfikator Microsoft Entra hybrydowej obsługuje tylko urządzenia z systemem Windows. Configuration Manager obsługuje urządzenia z systemem Windows i macOS. W przypadku urządzeń z systemem macOS zarządzanych w Configuration Manager można:

  1. Odinstaluj klienta Configuration Manager. Po odinstalowaniu urządzenia nie otrzymują zasad, w tym zasad zapewniających ochronę. Są one narażone, dopóki nie zarejestrują się w usłudze Intune i nie zaczną otrzymywać nowych zasad.
  2. Zarejestruj urządzenia w usłudze Intune, aby otrzymywać zasady.

Aby zminimalizować luki w zabezpieczeniach, przenieś urządzenia z systemem macOS po skonfigurowaniu usługi Intune i gdy zasady rejestracji będą gotowe do wdrożenia.

Opcja 4 — rozpoczynanie pracy od podstaw za pomocą platformy Microsoft 365 i usługi Intune

Ta opcja dotyczy urządzeń klienckich z systemem Windows. Jeśli używasz systemu Windows Server, takiego jak Windows Server 2022, nie używaj tej opcji. Użyj Configuration Manager.

Aby zarządzać urządzeniami klienckimi z systemem Windows:

  1. Wdróż platformę Microsoft 365, w tym tworzenie użytkowników i grup. Nie używaj ani nie konfiguruj Microsoft 365 Basic Mobility and Security.

    Przydatne linki:

  2. Skonfiguruj usługę Intune, w tym ustawienie urzędu MDM na usługę Intune.

  3. Na istniejących urządzeniach odinstaluj klienta Configuration Manager. Aby uzyskać więcej informacji, zobacz odinstalowywanie klienta.

Urządzenia są gotowe do zarejestrowania w usłudze Intune i otrzymywania zasad.

Obecnie używaj lokalnych zasad grupy

W chmurze dostawcy oprogramowania MDM, tacy jak Usługa Intune, zarządzają ustawieniami i funkcjami na urządzeniach. Obiekty zasad grupy (GPO) nie są używane.

Podczas zarządzania urządzeniami profile konfiguracji urządzeń usługi Intune zastępują lokalny obiekt zasad grupy. Profile konfiguracji urządzeń używają ustawień udostępnianych przez firmy Apple, Google i Microsoft.

Specjalnie:

Podczas przenoszenia urządzeń z zasad grupy użyj analizy zasad grupy. zasady grupy analytics to narzędzie i funkcja w usłudze Intune, która analizuje obiekty zasad grupy. W usłudze Intune importujesz obiekty zasad grupy i sprawdzasz, które zasady są dostępne (i niedostępne) w usłudze Intune. W przypadku zasad dostępnych w usłudze Intune można utworzyć zasady wykazu ustawień przy użyciu zaimportowanych ustawień. Aby uzyskać więcej informacji na temat tej funkcji, przejdź do tematu Tworzenie zasad wykazu ustawień przy użyciu zaimportowanych obiektów zasad grupy w Microsoft Intune.

Następnie krok 1. Konfigurowanie Microsoft Intune.

Obecnie używaj Microsoft 365 Basic Mobility and Security

Jeśli utworzono i wdrożono zasady Microsoft 365 Basic Mobility and Security, możesz migrować użytkowników, grupy i zasady, aby Microsoft Intune.

Aby uzyskać więcej informacji, przejdź do pozycji Migrowanie z usługi Microsoft 365 Basic Mobility and Security do usługi Intune.

Migracja od dzierżawcy do dzierżawcy

Dzierżawa to Twoja organizacja w Microsoft Entra identyfikatorze, takim jak Contoso. Obejmuje ona dedykowane wystąpienie usługi Microsoft Entra, które firma Contoso otrzymuje po otrzymaniu usługi w chmurze firmy Microsoft, takiej jak Microsoft Intune lub Microsoft 365. Microsoft Entra identyfikator jest używany przez usługę Intune i platformę Microsoft 365 do identyfikowania użytkowników i urządzeń, kontrolowania dostępu do utworzonych zasad i nie tylko.

W usłudze Intune można eksportować i importować niektóre zasady przy użyciu programu Microsoft Graph i Windows PowerShell.

Na przykład tworzysz subskrypcję wersji próbnej Microsoft Intune. W tej dzierżawie wersji próbnej subskrypcji są dostępne zasady, które konfigurują aplikacje i funkcje, sprawdzają zgodność i nie tylko. Chcesz przenieść te zasady do innej dzierżawy.

W tej sekcji pokazano, jak używać skryptów programu Microsoft Graph do migracji dzierżawy do dzierżawy. Zawiera również listę niektórych typów zasad, które mogą lub nie mogą być eksportowane.

Ważna

  • W tych krokach są używane przykłady programu Graph w wersji beta usługi Intune w usłudze GitHub. Przykładowe skrypty wprowadzają zmiany w dzierżawie. Są one dostępne w zależności od stanu i powinny być weryfikowane przy użyciu konta dzierżawy nieprodukcyjnego lub "testowego". Upewnij się, że skrypty są zgodne z wytycznymi dotyczącymi zabezpieczeń organizacji.
  • Skrypty nie eksportują i nie importują wszystkich zasad, takich jak profile certyfikatów. Spodziewaj się wykonać więcej zadań niż to, co jest dostępne w tych skryptach. Należy ponownie utworzyć niektóre zasady.
  • Aby przeprowadzić migrację urządzenia użytkownika, użytkownik musi wyrejestrować urządzenie ze starej dzierżawy, a następnie ponownie zarejestrować je w nowej dzierżawie.

Pobierz przykłady i uruchom skrypt

Ta sekcja zawiera omówienie kroków. Skorzystaj z tych kroków jako wskazówek i dowiedz się, że konkretne kroki mogą być inne.

  1. Pobierz przykłady i użyj Windows PowerShell, aby wyeksportować zasady:

    1. Przejdź do obszaru microsoftgraph/powershell-intune-samples i wybierz pozycję Pobierz kod>ZIP. Wyodrębnij zawartość .zip pliku.

    2. Otwórz aplikację Windows PowerShell jako administrator i zmień katalog na folder. Na przykład wprowadź następujące polecenie:

      cd C:\psscripts\powershell-intune-samples-master

    3. Zainstaluj moduł AzureAD programu PowerShell:

      Install-Module AzureAD

      Wybierz pozycję Y , aby zainstalować moduł z niezaufanego repozytorium. Instalacja może potrwać kilka minut.

    4. Zmień katalog na folder przy użyciu skryptu, który chcesz uruchomić. Na przykład zmień katalog na CompliancePolicy folder:

      cd C:\psscripts\powershell-intune-samples-master\powershell-intune-samples-master\CompliancePolicy

    5. Uruchom skrypt eksportu. Na przykład wprowadź następujące polecenie:

      .\CompliancePolicy_Export.ps1

      Zaloguj się przy użyciu konta. Po wyświetleniu monitu wprowadź ścieżkę, aby umieścić zasady. Na przykład wprowadź:

      C:\psscripts\ExportedIntunePolicies\CompliancePolicies

    W folderze zasady są eksportowane.

  2. Zaimportuj zasady w nowej dzierżawie:

    1. Zmień katalog na folder programu PowerShell przy użyciu skryptu, który chcesz uruchomić. Na przykład zmień katalog na CompliancePolicy folder:

      cd C:\psscripts\powershell-intune-samples-master\powershell-intune-samples-master\CompliancePolicy

    2. Uruchom skrypt importu. Na przykład wprowadź następujące polecenie:

      .\CompliancePolicy_Import_FromJSON.ps1

      Zaloguj się przy użyciu konta. Po wyświetleniu monitu wprowadź ścieżkę do pliku zasad .json , który chcesz zaimportować. Na przykład wprowadź:

      C:\psscripts\ExportedIntunePolicies\CompliancePolicies\PolicyName.json

  3. Zaloguj się do centrum administracyjnego usługi Intune. Zostaną wyświetlone zaimportowane zasady.

Czego nie można zrobić

Istnieją typy zasad, których nie można wyeksportować. Istnieją pewne typy zasad, które można wyeksportować, ale nie można ich zaimportować do innej dzierżawy. Użyj poniższej listy jako przewodnika. Dowiedz się, że istnieją inne typy zasad, których nie ma na liście.

Typ zasad lub profilu Informacji
Aplikacje  
Aplikacje biznesowe dla systemu Android ❌ Eksportu
❌ Importu

Aby dodać aplikację LOB do nowej dzierżawy, potrzebne są również oryginalne .apk pliki źródłowe aplikacji.
Apple — program zakupów zbiorczych (VPP) ❌ Eksportu
❌ Importu

Te aplikacje są synchronizowane z programem VPP firmy Apple. W nowej dzierżawie dodajesz token programu VPP, który pokazuje dostępne aplikacje.
Aplikacje biznesowe dla systemu iOS/iPadOS ❌ Eksportu
❌ Importu

Aby dodać aplikację LOB do nowej dzierżawy, potrzebne są również oryginalne .ipa pliki źródłowe aplikacji.
Zarządzany sklep Google Play ❌ Eksportu
❌ Importu

Te aplikacje i linki internetowe są synchronizowane z zarządzanym sklepem Google Play. W nowej dzierżawie dodajesz konto zarządzanego sklepu Google Play, na którym są wyświetlane dostępne aplikacje.
Microsoft Store dla Firm ❌ Eksportu
❌ Importu

Te aplikacje są synchronizowane z Microsoft Store dla Firm. W nowej dzierżawie dodasz konto Microsoft Store dla Firm, na którym są wyświetlane dostępne aplikacje.
Aplikacja systemu Windows (Win32) ❌ Eksportu
❌ Importu

Aby dodać aplikację LOB do nowej dzierżawy, potrzebne są również oryginalne .intunewin pliki źródłowe aplikacji.
Zasady zgodności  
Akcje dotyczące niezgodności ❌ Eksportu
❌ Importu

Możliwe, że istnieje link do szablonu wiadomości e-mail. Podczas importowania zasad, które mają akcje niezgodności, zamiast tego są dodawane akcje domyślne dla niezgodności.
Przypisania ✔️ Eksportu
❌ Importu

Przypisania są przeznaczone dla identyfikatora grupy. W nowej dzierżawie identyfikator grupy jest inny.
Profile konfiguracji  
Poczta e-mail ✔️ Eksportu

✔️ Jeśli profil poczty e-mail nie używa certyfikatów, import powinien działać.
❌ Jeśli profil poczty e-mail używa certyfikatu głównego, nie można zaimportować profilu do nowej dzierżawy. Identyfikator certyfikatu głównego jest inny w nowej dzierżawie.
Certyfikat SCEP ✔️ Eksportu

❌ Importu

Profile certyfikatów SCEP używają certyfikatu głównego. Identyfikator certyfikatu głównego jest inny w nowej dzierżawie.
Sieć VPN ✔️ Eksportu

✔️ Jeśli profil sieci VPN nie używa certyfikatów, import powinien działać.
❌ Jeśli profil sieci VPN używa certyfikatu głównego, nie można zaimportować profilu do nowej dzierżawy. Identyfikator certyfikatu głównego jest inny w nowej dzierżawie.
Wi-Fi ✔️ Eksportu

✔️ Jeśli profil Wi-Fi nie używa certyfikatów, import powinien działać.
❌ Jeśli profil Wi-Fi używa certyfikatu głównego, nie można zaimportować profilu do nowej dzierżawy. Identyfikator certyfikatu głównego jest inny w nowej dzierżawie.
Przypisania ✔️ Eksportu
❌ Importu

Przypisania są przeznaczone dla identyfikatora grupy. W nowej dzierżawie identyfikator grupy jest inny.
Zabezpieczenia punktu końcowego  
Wykrywanie i reagowanie dotyczące punktów końcowych ❌ Eksportu
❌ Importu

Te zasady są połączone z Ochrona punktu końcowego w usłudze Microsoft Defender. W nowej dzierżawie skonfigurujesz Ochrona punktu końcowego w usłudze Microsoft Defender, która automatycznie obejmuje zasady wykrywania punktów końcowych i reagowania.

Następne kroki