Udostępnij przez

Wprowadzenie do agenta odłączania urządzeń

Agent odłączania urządzeń identyfikuje nieaktualne lub niewyrównane urządzenia w Intune i identyfikatorze Entra, zapewniając praktyczne szczegółowe informacje i wymagające zatwierdzenia przez administratora przed odłączeniem jakichkolwiek urządzeń. Agent odłączania urządzeń uzupełnia istniejącą automatyzację Intune przez uzyskiwanie szczegółowych informacji i obsługę niejednoznacznych przypadków, w których automatyczne oczyszczanie może nie wystarczyć.

Wymagania wstępne

Wymagania dotyczące chmury

Agent jest obsługiwany tylko w chmurze publicznej. Nie jest ona obsługiwana w chmurach rządowych.

Wymagania dotyczące licencjonowania

Aby korzystać z agentów Security Copilot w Microsoft Intune, organizacja musi spełniać określone wymagania licencyjne.

Wymagane licencje:

Wymagania dotyczące wtyczek

Wtyczki umożliwiają agentom Security Copilot nawiązywanie połączenia z usługami firmy Microsoft i wykonywanie wyspecjalizowanych akcji.

Agent odłączania urządzenia wymaga następującej wtyczki:

Dowiedz się więcej o wtyczkach.

Wymagania dotyczące platformy urządzeń

Agent obsługuje urządzenia zarządzane przez Intune na wielu platformach, w tym Windows, iOS/iPadOS, macOS, Android i Linux.
Dotyczy to zarówno scenariuszy należących do firmy, jak i BYOD (bring-your-own-device).

Agent nie obsługuje:

  • Urządzenia z systemem Windows przyłączone hybrydowo
  • Urządzenia z rozwiązaniem Windows Autopilot
  • Urządzenia udostępnione
  • Telefony usługi Microsoft Teams

Wymagania dotyczące ról

Wymagania dotyczące ról różnią się w zależności od tego, czy konfigurujesz agenta, czy go używasz, oraz od określonych wykonanych akcji.

Aby włączyć, skonfigurować i usunąć agenta odłączania urządzeń, użyj konta z następującymi rolami:

Intune ról:

Role Entra:

role Security Copilot:

Aby użyć agenta i wykonać akcje odłączania, użyj konta z co najmniej następującymi rolami:

Intune ról:

Role Entra:

role Security Copilot:

Jak to działa

Aby obsługiwać bezpieczne i wydajne zarządzanie cyklem życia urządzeń, agent odłączania urządzeń wykonuje serię zautomatyzowanych ocen i akcji. Oto podział przepływu pracy:

1. Agregacja sygnałów

Agent odłączania urządzeń rozpoczyna się od agregowania sygnałów z Microsoft Intune i Tożsamość Microsoft Entra. Te sygnały obejmują wskaźniki, które pomagają określić, czy urządzenie jest aktywne, nieaktualne, czy nieprawidłowo skonfigurowane.

2. Ocena

Agent ocenia każde urządzenie przy użyciu wstępnie zdefiniowanej logiki i dowolnych opcjonalnych instrukcji niestandardowych dostarczonych przez administratora.

3. Zalecenia

Na podstawie tej oceny agent generuje zalecenia, które flagują urządzenia pod kątem odłączania, wraz z sugerowanymi akcjami i uzasadnieniem.

4. zatwierdzenie Administracja

Żadne zmiany nie są wprowadzane na urządzeniach bez jawnej zgody administratora. Agent udostępnia szczegółowe zalecenia, ale ostateczna decyzja o odłączaniu urządzenia należy do administratora IT.

5. Wspomagane korygowanie

Po zatwierdzeniu przez administratora agent odłączania urządzenia wyłącza odpowiednie obiekty identyfikatora Entra. Ułatwia to również proces odłączania, zapewniając wskazówki dotyczące dodatkowych kroków korygowania, takich jak usuwanie urządzeń z Microsoft Defender lub Apple Business Manager.

Tożsamość agenta

Agent odłączania urządzeń jest uruchamiany pod tożsamością i uprawnieniami konta administratora Intune używanego podczas instalacji. Jego akcje są ograniczone do uprawnień tego konta, a tożsamość jest odświeżana przy każdym uruchomieniu. Jeśli agent nie zostanie uruchomiony przez 90 kolejnych dni, jego uwierzytelnianie wygaśnie, a kolejne przebiegi nie powiodą się do czasu odnowienia. Aby zachować funkcjonalność, odnów tożsamość agenta przed 90-dniowym limitem.

Zagadnienia operacyjne

Przed uruchomieniem agenta odłączania urządzenia należy pamiętać o następujących kwestiach:

  • Administratorzy muszą uruchomić agenta ręcznie; po uruchomieniu nie można go wstrzymać ani zatrzymać.
  • Administratorzy mogą uruchamiać agenta tylko z centrum administracyjnego Microsoft Intune.
  • Tylko administrator, który skonfigurował agenta, może wyświetlać szczegóły sesji w portalu Microsoft Security Copilot.
  • Agent identyfikuje urządzenia, które zostały wycofane, wyczyszczone lub usunięte z Intune w ciągu ostatnich 30 dni.
  • Agent ogranicza wyniki do pierwszych 10 000 urządzeń.
  • Po zatwierdzeniu przez administratora odłączenia agent wyłącza obiekty Entra ID. Inne kroki korygowania są udostępniane jako instrukcje dla administratorów.
  • Agent nie utrwala sugestii między przebiegami; Ponowne uruchomienie czyści poprzednie zalecenia.
  • Na dzierżawę jest obsługiwane tylko jedno wystąpienie agenta.

Ważna

Dane zgłaszane przez agenta są przekazywane za pomocą sugestii agenta. Te informacje mogą być widoczne dla administratorów, którzy mają dostęp do agenta w centrum administracyjnym Intune, nawet jeśli zawierają dane poza przypisanymi jednostkami administracyjnymi (AU) w Tożsamość Microsoft Entra.

Włączanie agenta

Aby włączyć agenta odłączania urządzeń, wykonaj następujące kroki:

  1. W centrum administracyjnym Microsoft Intune wybierz pozycję Agenci i wybierz agenta, który chcesz włączyć.
  2. Wybierz pozycję Skonfiguruj agenta , aby otworzyć okienko konfiguracji.
  3. Przejrzyj szczegóły, aby upewnić się, że wymagania są spełnione, a następnie wybierz pozycję Uruchom agenta.

Agent działa do momentu zakończenia działania, a następnie wyświetla wyniki na karcie Przegląd .

Zrzut ekranu przedstawiający okienko konfiguracji agenta odłączania urządzeń.

Konfigurowanie instrukcji niestandardowych

Użyj instrukcji niestandardowych, aby kierować logiką agenta w zależności od potrzeb organizacji. Instrukcje niestandardowe ułatwiają uściślanie kryteriów oceny agenta, umożliwiając dołączanie lub wykluczanie określonych urządzeń z zaleceń dotyczących odłączania.

Te instrukcje mogą służyć do:

  • Uwzględnij lub wyklucz określone identyfikatory obiektów.
  • Ustaw progi dla działania urządzenia.

Jeśli na przykład organizacja ma urządzenia wykonawcze, których nie chcesz flagować na potrzeby odłączania, możesz użyć niestandardowych instrukcji, aby je wykluczyć. Bez tego wykluczenia agent może wykrywać niezgodności tożsamości na tych urządzeniach i używać jednostek SCU do sugerowania odłączania — nawet jeśli nie jest to właściwe. Instrukcje niestandardowe pomagają zapobiegać temu problemowi, kierując logikę agenta na podstawie potrzeb organizacji.

Instrukcje niestandardowe są utrwalane między przebiegami agentów, więc po ich ustawieniu są one oceniane za każdym razem, gdy agent jest uruchamiany. Instrukcje niestandardowe można zmienić w dowolnym momencie na karcie Ustawienia i ponownie uruchomić agenta. W sekcji Czynniki w sugestii wyróżniono szczegóły dotyczące tego, które instrukcje niestandardowe zostały uwzględnione podczas tworzenia listy sugerowanych urządzeń do odłączenia.

Aby skonfigurować instrukcje niestandardowe:

  1. W centrum administracyjnym Microsoft Intune wybierz pozycję Agentagenta odłączania urządzeń agenta> (wersja zapoznawcza).
  2. Wybierz kartę Ustawienia.
  3. W polu Instrukcje wprowadź monit o dostosowanie kryteriów oceny agenta.

Przykłady niestandardowych instrukcji, których można użyć

Wyklucz urządzenia z identyfikatorami [...]

Wyklucz urządzenia z ostatnim działaniem po [...]

Wyklucz urządzenia z ostatnim działaniem przed [...]

Uwzględnij tylko urządzenia o identyfikatorach [...]

Ważna

Jeśli uwzględnisz co najmniej jeden identyfikator urządzenia i żaden z nich nie został wycofany, wyczyszczony lub usunięty w ciągu ostatnich 30 dni, nie można uruchomić agenta.

Uwzględnij tylko urządzenia z ostatnim działaniem po [...]

Uwzględnij tylko urządzenia z ostatnim działaniem przed [...]

Odnawianie agenta

Agenci wygasają po upływie 90 dni braku aktywności. Po wygaśnięciu uwierzytelniania uruchamianie agenta kończy się niepowodzeniem do momentu ponownego uwierzytelnienia. Uwierzytelnianie można odnowić w dowolnym momencie.

W miarę zbliżania się wygaśnięcia Intune wyświetla ostrzeżenie na stronie przeglądu agenta. Zarówno właściciele rozwiązania Copilot , jak i współautorzy rozwiązania Copilot widzą ten baner, który monituje o odnowienie tożsamości agenta.

Aby odnowić agenta:

  1. Otwórz centrum administracyjne Microsoft Security Copilot i zaloguj się przy użyciu konta z wymaganymi uprawnieniami.
  2. Wybierz pozycję Agenci.
  3. Znajdź agenta wymagającego odnowienia i wybierz pozycję Przejdź do agenta.
  4. Na stronie szczegółów agenta wybierz pozycję ..., a następnie wybierz pozycję Edytuj.
  5. Wybierz pozycję Odnów uwierzytelnianie. Agent domyślnie używa poświadczeń logowania. Aby użyć różnych poświadczeń, wybierz pozycję Ponownie uwierzytelnij i podaj je.

Po odnowieniu baner ostrzegawczy znika, a wyskakujące powiadomienie potwierdza powodzenie.

Usuwanie agenta

Po usunięciu agenta wszystkie wygenerowane skojarzone dane, w tym sugestie i działania, zostaną usunięte. Wcześniej zastosowane sugestie pozostają niezmienione.

Kroki usuwania wystąpienia agenta:

  1. W centrum administracyjnym Microsoft Intune wybierz pozycję Agenci.
  2. Wybierz wystąpienie agenta, które chcesz usunąć.
  3. Wybierz pozycję Usuń agenta i potwierdź usunięcie.

Po usunięciu:

  • Okienko agenta powraca do pierwotnego stanu.
  • Administrator może ponownie zainstalować agenta później, powtarzając proces instalacji.

Pomoc w kształtowaniu przyszłości agentów Intune

Dołącz do naszego forum opinii agentów Intune, aby udostępniać szczegółowe informacje i wpływać na nadchodzące możliwości w Microsoft Intune.

Zarejestruj się i dowiedz się więcej: https://aka.ms/IntuneAgentsForum

Następne kroki

Dowiedz się, jak używać agenta odłączania urządzeń

  • Last updated on