Używanie zasad zgodności do ustawiania reguł dla urządzeń zarządzanych za pomocą usługi Intune

Zasady zgodności usługi Microsoft Intune to zestawy reguł i warunków używanych do oceny konfiguracji zarządzanych urządzeń. Te zasady pomagają zabezpieczyć dane i zasoby organizacji z urządzeń, które nie spełniają tych wymagań konfiguracyjnych. Zarządzane urządzenia muszą spełniać warunki określone w zasadach, aby zostały uznane za zgodne przez usługę Intune.

Jeśli zintegrujesz wyniki zgodności z Twoich zasad z dostępem warunkowym usługi Microsoft Entra, możesz skorzystać z dodatkowej warstwy zabezpieczeń. Dostęp warunkowy wymusza mechanizmy kontroli dostępu usługi Microsoft Entra na podstawie bieżącego stanu zgodności urządzenia, pomagając zapewnić, że tylko zgodne urządzenia mogą uzyskiwać dostęp do zasobów firmowych.

Zasady zgodności usługi Intune są podzielone na dwa obszary:

  • Ustawienia zasad zgodności to konfiguracje dotyczące całej dzierżawy, które działają jak wbudowane zasady zgodności, które otrzymują każde urządzenie. Ustawienia zasad zgodności określają sposób działania zasad zgodności w środowisku usługi Intune, w tym sposób postępowania z urządzeniami, które nie są przypisane do jawnych zasad zgodności urządzeń.

  • Zasady zgodności urządzeń to osobne zestawy reguł i ustawień specyficznych dla platformy wdrażanych dla grup użytkowników lub urządzeń. Urządzenia oceniają reguły zawarte w zasadach, aby zgłosić stan zgodności urządzenia. Stan niezgodności może skutkować co najmniej jedną akcją dotyczącą niezgodności. Zasady dostępu warunkowego usługi Microsoft Entra mogą również używać tego stanu do blokowania dostępu do zasobów organizacji z tego urządzenia.

Ustawienia zasad zgodności

Ustawienia zasad zgodności to ustawienia dotyczące całej dzierżawy, które określają sposób interakcji usługi zgodności usługi Intune z urządzeniami. Te ustawienia różnią się od ustawień konfigurowanych w zasadach zgodności urządzenia.

Aby zarządzać ustawieniami zasad zgodności, zaloguj się do centrum administracyjnego usługi Microsoft Intune i przejdź do pozycji Zabezpieczenia> punktu końcowego, Ustawienia>zasad zgodności urządzenia.

Ustawienia zasad zgodności obejmują:

  • Oznacz urządzenia bez przypisanych zasad zgodności jako

    To ustawienie określa, jak usługa Intune traktuje urządzenia, które nie są przypisane do zasad zgodności urządzeń. To ustawienie ma dwie wartości:

    • Zgodne (domyślne): ta funkcja zabezpieczeń jest wyłączona. Urządzenia, do których nie zostały wysłane zasady zgodności urządzenia, są uznawane za zgodne.
    • Niezgodne: ta funkcja zabezpieczeń jest włączona. Urządzenia bez zasad zgodności urządzeń są uznawane za niezgodne.

    Jeśli używasz dostępu warunkowego z zasadami zgodności urządzenia, zmień to ustawienie na Niezgodne , aby upewnić się, że tylko urządzenia, które zostały potwierdzone jako zgodne, mogą uzyskiwać dostęp do zasobów.

    Jeśli użytkownik końcowy nie jest zgodny, ponieważ zasady nie są do niego przypisane, w aplikacji Portal firmy zostanie wyświetlony komunikat Nie przypisano żadnych zasad zgodności.

  • Okres ważności stanu zgodności (dni)

    Określ okres, w którym urządzenia muszą pomyślnie raportować wszystkie otrzymane zasady zgodności. Jeśli urządzenie nie zgłosi stanu zgodności zasad przed upływem okresu ważności, jest traktowane jako niezgodne.

    Domyślnie okres ten jest ustawiony na 30 dni. Możesz skonfigurować okres od 1 do 120 dni.

    Możesz wyświetlić szczegóły zachowania zgodności urządzenia z ustawieniem okresu ważności. Zaloguj się do centrum administracyjnego usługi Microsoft Intune i przejdź dopozycji Zgodność ustawieńmonitora>urządzeń>. To ustawienie ma nazwę Jest aktywne w kolumnie Ustawienie . Aby uzyskać więcej informacji na temat tego ustawienia i powiązanych widoków stanu zgodności, zobacz Monitorowanie zgodności urządzenia.

Zasady zgodności urządzeń

Zasady zgodności urządzeń z usługą Intune to odrębne zestawy reguł i ustawień specyficznych dla platformy, które wdraża się dla grup użytkowników lub urządzeń. Zasady zgodności umożliwiają:

  • Zdefiniuj reguły i ustawienia, które muszą spełniać użytkownicy i zarządzane urządzenia, aby były zgodne. Przykłady reguł obejmują wymaganie od urządzeń uruchomienia minimalnej wersji systemu operacyjnego, brak jailbreakingu lub rootowania oraz bycie na poziomie zagrożenia lub poniżej określonego przez oprogramowanie do zarządzania zagrożeniami, które integruje się z usługą Intune.

  • Wspieraj akcje dotyczące niezgodności, które mają zastosowanie do urządzeń, które nie spełniają reguł zgodności zasad. Przykłady działań w przypadku niezgodności obejmują oznaczenie urządzenia jako niezgodnego, zdalne zablokowanie i wysłanie użytkownikowi urządzenia wiadomości e-mail o stanie urządzenia, aby mógł go naprawić.

W przypadku korzystania z zasad zgodności urządzeń:

  • Niektóre konfiguracje zasad zgodności mogą zastąpić konfigurację ustawień, którymi zarządzasz również za pośrednictwem zasad konfiguracji urządzeń. Aby dowiedzieć się więcej o rozwiązywaniu konfliktów zasad, zobacz Zasady zgodności i konfiguracji urządzeń, które powodują konflikt.

  • Zasady można wdrażać u użytkowników w grupach użytkowników lub urządzeniach w grupach urządzeń. When you deploy a compliance policy to a user, Intune check all the user devices for compliance. Używanie grup urządzeń w tym scenariuszu ułatwia raportowanie zgodności.

  • Jeśli używasz dostępu warunkowego usługi Microsoft Entra, zasady dostępu warunkowego mogą używać wyników zgodności urządzenia w celu blokowania dostępu do zasobów z niezgodnych urządzeń.

  • Podobnie jak w przypadku innych zasad usługi Intune, oceny zasad zgodności dla urządzenia zależą od tego, kiedy urządzenie jest zaewidencjonowane w usłudze Intune oraz od cykli odświeżania zasad i profilu. W przypadku urządzeń z systemem Windows usługa Intune obsługuje również ocenę zgodności opartą na kliencie. Dzięki tej funkcji obsługiwane urządzenia mogą proaktywnie żądać ponownej oceny zgodności w przypadku wykrycia zmian stanu lokalnego.

Dostępne ustawienia, które można określić w zasadach zgodności urządzenia, zależą od typu platformy wybranego podczas tworzenia zasad. Różne platformy urządzeń obsługują różne ustawienia i każdy typ platformy wymaga osobnych zasad.

Poniższe tematy zawierają linki do dedykowanych artykułów dotyczących różnych aspektów zasad zgodności urządzeń.

  • Akcje w przypadku niezgodności — domyślnie każde zasady zgodności urządzenia zawierają akcję oznaczania urządzenia jako niezgodnego, jeśli nie spełnia reguły zasad. Każda zasada może obsługiwać więcej akcji w zależności od platformy urządzenia. Oto przykłady dodatkowych działań:

    • Wysyłanie alertów e-mail do użytkowników i grup ze szczegółowymi informacjami o niezgodnym urządzeniu. Można skonfigurować zasady tak, aby wiadomość e-mail była wysyłana natychmiast po oznaczeniu jej jako niezgodne, a następnie ponownie okresowo, do momentu, gdy urządzenie stanie się zgodne.
    • Zdalnie zablokuj urządzenia , które są niezgodne przez pewien czas.
    • Wycofaj urządzenia , które są niezgodne przez pewien czas. Ta akcja oznacza, że kwalifikujące się urządzenie jest gotowe do wycofania. Administrator może wówczas wyświetlić listę urządzeń oznaczonych do wycofania i musi podjąć konkretne działanie, aby wycofać jedno lub więcej urządzeń. Wycofanie urządzenia powoduje usunięcie urządzenia z zarządzania usługą Intune i usunięcie wszystkich danych firmowych z urządzenia. Aby uzyskać więcej informacji na temat tej akcji, zobacz Dostępne akcje w przypadku niezgodności.

  • Tworzenie zasad zgodności — dzięki informacjom zawartym w połączonym artykule możesz przejrzeć wymagania wstępne, przejść przez opcje konfigurowania reguł, określania akcji w przypadku niezgodności i przypisywania zasad do grup. Ten artykuł zawiera również informacje o czasach odświeżania zasad.

    Wyświetl ustawienia zgodności urządzeń dla różnych platform urządzeń:

  • Niestandardowe ustawienia zgodności — za pomocą niestandardowych ustawień zgodności można rozszerzyć wbudowane opcje zgodności urządzeń usługi Intune. Ustawienia niestandardowe zapewniają elastyczność w zakresie oparcia zgodności na ustawieniach, które są dostępne na urządzeniu, bez konieczności czekania na dodanie tych ustawień przez usługę Intune.

    Niestandardowych ustawień zgodności można używać z następującymi platformami:

    • Linux
      • Ubuntu Desktop, wersja 24.04 LTS lub 26.04 LTS
      • RedHat Enterprise Linux 9 lub 10
    • macOS
    • System Windows

Monitorowanie stanu zgodności

Usługa Intune zawiera pulpit nawigacyjny zgodności urządzeń, który służy do monitorowania stanu zgodności urządzeń i przechodzenia do szczegółów zasad i urządzeń, aby uzyskać więcej informacji. Aby dowiedzieć się więcej o tym pulpicie nawigacyjnym, zobacz Monitorowanie zgodności urządzenia.

Integracja z dostępem warunkowym

W przypadku korzystania z dostępu warunkowego można skonfigurować zasady dostępu warunkowego tak, aby na podstawie wyników zasad zgodności urządzeń określić, które urządzenia mogą uzyskiwać dostęp do zasobów organizacji. Ta kontrola dostępu jest dodatkiem do działań dotyczących niezgodności uwzględnionych w zasadach zgodności urządzeń i jest od nich niezależna.

Gdy urządzenie rejestruje się w usłudze Intune, rejestruje się w usłudze Microsoft Entra ID. Stan zgodności urządzeń jest zgłaszany do usługi Microsoft Entra ID. Jeśli zasady dostępu warunkowego mają ustawienia kontroli dostępu Wymagaj oznaczenia urządzenia jako zgodne, funkcja dostępu warunkowego użyje tego stanu zgodności, aby określić, czy udzielić lub zablokować dostęp do poczty e-mail i innych zasobów organizacji.

Jeśli używasz stanu zgodności urządzeń z zasadami dostępu warunkowego, sprawdź, jak dzierżawa konfiguruje opcję Oznacz urządzenia bez przypisanych zasad zgodności, którą zarządzasz w ustawieniach zasad zgodności.

Aby uzyskać więcej informacji na temat używania dostępu warunkowego z zasadami zgodności urządzeń, zobacz Dostęp warunkowy oparty na urządzeniach.

Dowiedz się więcej o dostępie warunkowym w dokumentacji usługi Microsoft Entra:

Informacje dotyczące niezgodności i dostępu warunkowego na różnych platformach

W poniższej tabeli opisano sposób zarządzania niezgodnymi ustawieniami w przypadku używania zasad zgodności z zasadami dostępu warunkowego.

  • Skorygowane: system operacyjny urządzenia wymusza zgodność. Na przykład użytkownik jest zmuszany do ustawienia numeru PIN.

  • Kwarantanna: system operacyjny urządzenia nie wymusza zgodności. Na przykład urządzenia z systemami Android i Android Enterprise nie wymuszają na użytkowniku szyfrowania urządzenia. Jeśli urządzenie nie jest zgodne, wykonywane są następujące działania:

    • Jeśli zasada dostępu warunkowego ma zastosowanie do użytkownika, urządzenie zostanie zablokowane.
    • Aplikacja Portal firmy powiadamia użytkownika o wszelkich problemach ze zgodnością.
Ustawienie zasad Platforma
Dozwolone dystrybucje Linux(tylko) — Kwarantanna
Szyfrowanie urządzeń - Android 4.0 i nowsze: poddano kwarantannie
- Samsung Knox Standard 4.0 i nowsze: poddano kwarantannie
- Android Enterprise: poddano kwarantannie

- iOS 8.0 i nowsze: Działania naprawcze (przez ustawienie numeru PIN)
- macOS 10.11 i nowsze: poddane kwarantannie

- Linux: Kwarantanna

- Windows: Poddano kwarantannie
Profil aplikacji Email - Android 4.0 i nowsze: Nie dotyczy
- Samsung Knox Standard 4.0 i nowsze: Nie dotyczy
- Android Enterprise: Nie dotyczy

- iOS 8.0 i nowsze: poddano kwarantannie
- macOS 10.11 i nowsze: poddane kwarantannie

- Linux: Nie dotyczy

- Windows: Nie dotyczy
Urządzenie ze zdjętymi zabezpieczeniami systemu lub odblokowane do konta administratora - Android 4.0 i nowsze: Poddano kwarantannie (nie ustawienie)
- Samsung Knox Standard 4.0 i nowsze: Poddano kwarantannie (nie ustawienie)
- Android Enterprise: poddano kwarantannie (nie ustawienie)

- iOS 8.0 i nowsze: poddano kwarantannie (nie ustawienie)
- macOS 10.11 i nowsze: Nie dotyczy

- Linux: Nie dotyczy

- Windows: Nie dotyczy
Maksymalna wersja systemu operacyjnego - Android 4.0 i nowsze: poddano kwarantannie
- Samsung Knox Standard 4.0 i nowsze: poddano kwarantannie
- Android Enterprise: poddano kwarantannie

- iOS 8.0 i nowsze: poddano kwarantannie
- macOS 10.11 i nowsze: poddane kwarantannie

- Linux: zobacz dozwolone dystrybucje

- Windows: Poddano kwarantannie
Minimalna wersja systemu operacyjnego - Android 4.0 i nowsze: poddano kwarantannie
- Samsung Knox Standard 4.0 i nowsze: poddano kwarantannie
- Android Enterprise: poddano kwarantannie

- iOS 8.0 i nowsze: poddano kwarantannie
- macOS 10.11 i nowsze: poddane kwarantannie

- Linux: zobacz dozwolone dystrybucje

- Windows: Poddano kwarantannie
Konfiguracja kodu PIN lub hasła - Android 4.0 i nowsze: poddano kwarantannie
- Samsung Knox Standard 4.0 i nowsze: poddano kwarantannie
- Android Enterprise: poddano kwarantannie

- iOS 8.0 i nowsze: naprawione
- macOS 10.11 i nowsze: naprawione

- Linux: Kwarantanna

- Windows: naprawione
Zaświadczanie kondycji systemu Windows - Android 4.0 i nowsze: Nie dotyczy
- Samsung Knox Standard 4.0 i nowsze: Nie dotyczy
- Android Enterprise: Nie dotyczy

- iOS 8.0 i nowsze: Nie dotyczy
- macOS 10.11 i nowsze: Nie dotyczy

- Linux: Nie dotyczy

- Windows: Poddano kwarantannie

Uwaga

Aplikacja Portal firmy przechodzi do procesu korygowania rejestracji, gdy użytkownik zaloguje się do aplikacji, a urządzenie nie zostanie pomyślnie zaewidencjonowane w usłudze Intune przez co najmniej 30 dni (lub urządzenie jest niezgodne z powodu braku kontaktu ze zgodnością). In this flow, Intune attempts to initiation a check-in again time. Jeśli to zaewidencjonowanie nie powiedzie się, usługa Intune wyda polecenie wycofania, aby umożliwić użytkownikowi ręczną ponowną rejestrację urządzenia.

Następne kroki

  • Last updated on