Przewodnik wdrażania: Zarządzanie urządzeniami z systemem Windows

W tym przewodniku opisano sposób ochrony aplikacji i punktów końcowych systemu Windows oraz zarządzania nimi przy użyciu usługi Microsoft Intune, a także zawarto zalecenia dotyczące konfiguracji i zasoby od wymagań wstępnych do rejestracji.

Dla każdej sekcji tego przewodnika przejrzyj skojarzone zadania. Niektóre zadania są wymagane, a niektóre, takie jak konfigurowanie dostępu warunkowego usługi Microsoft Entra, są opcjonalne. Wybierz linki podane w każdej sekcji, aby przejść do zalecanych przez nas dokumentów pomocy w witrynie Microsoft Learn, gdzie można znaleźć bardziej szczegółowe informacje i instrukcje.

Krok 1. Wymagania wstępne

Spełnij następujące wymagania wstępne, aby włączyć możliwości zarządzania punktami końcowymi dzierżawy:

Zalecamy używanie roli o najniższych uprawnieniach, która jest potrzebna do wykonywania zadań. Na przykład rola o najniższych uprawnieniach, która może wykonywać zadania rejestracji urządzeń, to wbudowana rola Menedżera zasad i profilów usługi Intune.

Aby uzyskać więcej informacji na temat wbudowanych ról i ich możliwości, zobacz Kontrola dostępu oparta na rolach (RBAC) z usługą Intune i Wbudowane uprawnienia ról dla usługi Intune.

Aby uzyskać więcej szczegółowych informacji i zaleceń dotyczących sposobu przygotowywania organizacji, dołączania lub wdrażania usługi Intune do zarządzania urządzeniami przenośnymi, zobacz Przewodnik migracji: konfigurowanie lub przenoszenie do usługi Microsoft Intune.

Krok 2. Planowanie wdrożenia

Skorzystaj z przewodnika planowania dotyczącego usługi Microsoft Intune, aby zdefiniować cele, scenariusze przypadków użycia i wymagania dotyczące zarządzania urządzeniami. Użyj tego przewodnika, aby zaplanować wdrożenie, komunikację, pomoc techniczną, testowanie i walidację. Na przykład w niektórych przypadkach nie musisz być obecny, gdy pracownicy i uczniowie rejestrują swoje urządzenia. Zalecamy przygotowanie planu komunikacji, aby użytkownicy wiedzieli, gdzie znaleźć informacje o instalowaniu i używaniu usługi Intune — Portal firmy.

Aby uzyskać więcej informacji, zobacz Przewodnik planowania usługi Microsoft Intune.

Krok 3. Tworzenie zasad zgodności

Stosuj zasady zgodności, aby upewnić się, że urządzenia uzyskujące dostęp do Twoich danych są bezpieczne i spełniają standardy Twojej organizacji. Ostatnim etapem procesu rejestracji jest ocena zgodności, która weryfikuje, czy ustawienia na urządzeniu są zgodne z określonymi zasadami. Użytkownicy urządzeń muszą rozwiązać wszystkie problemy dotyczące zgodności, aby uzyskać dostęp do chronionych zasobów. Usługa Intune oznacza urządzenia, które nie spełniają wymagań dotyczących zgodności, jako niezgodne i podejmuje dodatkowe działania (takie jak wysłanie użytkownikowi powiadomienia, ograniczenie dostępu lub wyczyszczenie urządzenia) zgodnie z działaniami dotyczącymi konfiguracji niezgodności.

Możesz używać zasad dostępu warunkowego usługi Microsoft Entra w połączeniu z zasadami zgodności urządzeń, aby kontrolować dostęp do komputerów z systemem Windows, firmowej poczty e-mail i usług platformy Microsoft 365. Na przykład można utworzyć zasadę blokującą pracownikom dostęp do aplikacji Microsoft Teams w przeglądarce Edge bez uprzedniego zarejestrowania lub zabezpieczenia ich urządzeń.

Porada

Aby zapoznać się z omówieniem zasad zgodności urządzeń, zobacz Omówienie zgodności.

Zadanie	Szczegóły
Tworzenie zasad zgodności	Uzyskaj szczegółowe wskazówki dotyczące tworzenia i przypisywania zasad zgodności do grup użytkowników i urządzeń.
Dodawanie akcji w przypadku niezgodności	Wybierz, co się stanie, gdy urządzenia przestaną spełniać warunki określone przez zasady zgodności. Przykłady akcji obejmują wysyłanie alertów, zdalne blokowanie urządzeń lub wycofywanie urządzeń. Możesz dodać akcje na wypadek niezgodności podczas konfigurowania zasad zgodności urządzenia lub edytując je później.
Tworzenie zasad dostępu warunkowego opartych na urządzeniach lub opartych na aplikacjach	Wybierz aplikacje lub usługi, które chcesz chronić, i zdefiniuj warunki dostępu.
Blokowanie dostępu do aplikacji, które nie korzystają z nowoczesnego uwierzytelniania	Utwórz zasady dostępu warunkowego oparte na aplikacji, aby blokować aplikacje korzystające z metod uwierzytelniania innych niż OAuth2 — na przykład aplikacje, które używają uwierzytelniania podstawowego i uwierzytelniania opartego na formularzach. Zanim jednak zablokujesz dostęp, zaloguj się do usługi Microsoft Entra ID i przejrzyj raport aktywności metod uwierzytelniania, aby sprawdzić, czy użytkownicy korzystają z uwierzytelniania podstawowego, aby uzyskać dostęp do podstawowych rzeczy, o których zapomnieli lub o których nie są świadomi. Na przykład z uwierzytelniania podstawowego mogą korzystać kioski kalendarza sali konferencyjnej.
Dodawanie niestandardowych ustawień zgodności	Za pomocą niestandardowych ustawień zgodności można pisać własne skrypty powłoki Bash dla scenariuszy zgodności, które nie zostały jeszcze uwzględnione w opcjach zgodności urządzeń wbudowanych w usługę Microsoft Intune. W tym artykule opisano sposób tworzenia, monitorowania i rozwiązywania problemów z niestandardowymi zasadami zgodności dla urządzeń z systemem Windows. Niestandardowe ustawienia zgodności wymagają utworzenia skryptu niestandardowego , który identyfikuje pary ustawień i wartości.

Krok 4: Skonfiguruj zabezpieczenia punktu końcowego

Użyj funkcji zabezpieczeń punktu końcowego usługi Intune, aby skonfigurować zabezpieczenia urządzeń i zarządzać zadaniami zabezpieczeń dla zagrożonych urządzeń.

Zadanie	Szczegóły
Zarządzanie urządzeniami za pomocą funkcji zabezpieczeń punktu końcowego	Użyj ustawień zabezpieczeń punktu końcowego w usłudze Intune, aby skutecznie zarządzać zabezpieczeniami urządzeń i naprawiać związane z nimi problemy.
Dodawanie ustawień ochrony punktu końcowego	Skonfiguruj typowe funkcje zabezpieczeń ochrony punktów końcowych, takie jak zapora, funkcja BitLocker i usługa Microsoft Defender . Opis ustawień w tym obszarze można znaleźć w dokumentacji ustawień ochrony punktu końcowego.
Konfiguruj ochronę punktu końcowego w usłudze Microsoft Defender w usłudze Intune	Zintegrowanie Intune z Ochrona punktu końcowego w usłudze Microsoft Defender nie tylko pomaga zapobiegać naruszeniom zabezpieczeń, ale także umożliwia korzystanie z Microsoft Defender do zarządzania zagrożeniami & lukami w zabezpieczeniach punktów końcowych (TVM) oraz Intune w celu skorygowania słabości punktu końcowego zidentyfikowanej przez TVM.
Zarządzanie zasadami funkcji BitLocker	Upewnij się, że urządzenia są szyfrowane podczas rejestracji, tworząc zasady konfigurujące funkcję BitLocker na zarządzanych urządzeniach.
Zarządzanie profilami podstawowymi zabezpieczeń	Skorzystaj z podstawowych zabezpieczeń w usłudze Intune, aby ułatwić sobie zabezpieczanie i ochronę użytkowników oraz urządzeń. Punkt odniesienia zabezpieczeń zawiera najważniejsze wskazówki i zalecenia dotyczące ustawień mających wpływ na zabezpieczenia.
Używanie zasad klienta usługi Windows Update do aktualizacji oprogramowania	Skonfiguruj strategię wdrażania usługi Windows Update przy użyciu zasad klienta usługi Windows Update. W tym artykule przedstawiono typy zasad, za pomocą których można zarządzać aktualizacjami oprogramowania systemu Windows, oraz sposób przechodzenia z odroczeń w pierścieniu aktualizacji na zasady aktualizacji funkcji.

Krok 5: Skonfiguruj ustawienia urządzenia

Włączanie i wyłączanie funkcji i ustawień systemu Windows na urządzeniach przy użyciu usługi Microsoft Intune. Aby skonfigurować i wymusić te ustawienia, utwórz profil konfiguracji urządzenia, a następnie przypisz ten profil do grup w organizacji. Urządzenia otrzymają profil po ich zarejestrowaniu.

Zadanie	Szczegóły
Tworzenie profilu urządzenia	Utwórz profil urządzenia w usłudze Microsoft Intune i znajdź zasoby dotyczące wszystkich typów profilów urządzeń.
Konfigurowanie ustawień urządzenia	Użyj katalogu ustawień, aby skonfigurować ustawienia w usłudze Microsoft Intune. Katalog ustawień zawiera setki ustawień, które można skonfigurować dla przeglądarki Microsoft Edge, usługi OneDrive, pulpitu zdalnego, aplikacji pakietu Office i nie tylko. Te ustawienia działają podobnie do obiektów zasad grupy i są w 100% oparte na chmurze.
Konfigurowanie profilu sieci Wi-Fi	Ten profil umożliwia użytkownikom znajdowanie sieci Wi-Fi organizacji i łączenie się z nią. Opis ustawień w tym obszarze można znaleźć w dokumentacji ustawień sieci Wi-Fi dla systemu Windows.
Konfigurowanie profilu sieci VPN	Skonfiguruj opcję bezpiecznej sieci VPN, taką jak aplikacja Microsoft Tunnel, dla osób łączących się z siecią organizacji. Aby uzyskać opis ustawień w tym obszarze, zobacz dokumentację ustawień sieci VPN.
Konfigurowanie profilu poczty e-mail	Skonfiguruj ustawienia poczty e-mail, aby użytkownicy mogli łączyć się z serwerem poczty i korzystać ze służbowego adresu e-mail. Aby uzyskać opis ustawień w tym obszarze, zobacz dokumentację ustawień poczty e-mail.
Ograniczanie funkcji urządzeń	Chroń użytkowników przed nieautoryzowanym dostępem i rozproszeniem uwagi, ograniczając funkcje urządzeń, z których korzystają służbowo. Aby zapoznać się z opisem ustawień w tym obszarze, zobacz informacje o ograniczeniach dotyczących urządzeń w systemie Windows.
Konfigurowanie profilu niestandardowego	Dodaj i przypisz ustawienia i funkcje urządzenia, które nie są wbudowane w usługę Intune. Opis ustawień w tym obszarze można znaleźć w dokumentacji ustawień niestandardowych.
Konfigurowanie ustawień systemu BIOS	Skonfiguruj usługę Intune, aby można było kontrolować ustawienia UEFI (BIOS) na zarejestrowanych urządzeniach przy użyciu interfejsu konfiguracji oprogramowania układowego urządzenia (DFCI)
Konfigurowanie przyłączania do domeny	Jeśli planujesz zarejestrować urządzenia dołączone do usługi Microsoft Entra, utwórz profil przyłączenia do domeny, aby usługa Intune wiedziała, do której domeny lokalnej dołączyć.
Konfigurowanie ustawień optymalizacji dostarczania	Użyj tych ustawień, aby zmniejszyć zużycie przepustowości na urządzeniach pobierających aplikacje i aktualizacje.
Dostosowywanie procesu znakowania i rejestracji	Dostosowywanie portalu firmy i aplikacji Microsoft Intune przy użyciu tekstów, znakowania, preferencji ekranu i informacji kontaktowych organizacji.
Konfigurowanie kiosków i dedykowanych urządzeń	Utwórz profil kiosku, aby zarządzać urządzeniami działającymi w trybie kiosku.
Dostosowywanie urządzeń udostępnionych	Kontroluj dostęp, konta i funkcje zasilania na urządzeniach udostępnionych lub obejmujących wielu użytkowników.
Konfigurowanie granicy sieci	Utwórz profil granicy sieci, aby chronić środowisko przed witrynami, którym nie ufasz.
Konfigurowanie monitorowania kondycji systemu Windows	Utwórz profil monitorowania kondycji systemu Windows, aby umożliwić firmie Microsoft zbieranie danych dotyczących wydajności i dostarczanie zaleceń dotyczących ulepszeń. Utworzenie profilu włącza funkcję analizy punktu końcowego w usłudze Microsoft Intune, która analizuje zebrane dane, zaleca oprogramowanie, pomaga zwiększyć wydajność uruchamiania i rozwiązuje typowe problemy z pomocą techniczną.
Konfigurowanie aplikacji Wypełnij test dla uczniów	Skonfiguruj aplikację Wypełnij test dla uczniów przystępujących do testów lub egzaminów na zarejestrowanych urządzeniach.
Konfigurowanie profilu sieci komórkowej eSim	Dla urządzeń obsługujących karty ESIM, takich jak Surface LTE Pro, można skonfigurować rozwiązanie eSIM w celu łączenia się z Internetem przez połączenie danych komórkowych. Ta konfiguracja jest idealna dla osób podróżujących po całym świecie, które muszą zachować łączność i elastyczność podczas podróży, a także eliminuje potrzebę używania karty SIM.

Krok 6. Konfigurowanie bezpiecznych metod uwierzytelniania

Skonfiguruj metody uwierzytelniania w usłudze Intune, aby upewnić się, że dostęp do zasobów wewnętrznych mają tylko autoryzowane osoby. Usługa Intune obsługuje uwierzytelnianie wieloskładnikowe, certyfikaty i poświadczenia pochodne. Certyfikaty mogą być również używane do podpisywania i szyfrowania poczty e-mail przy użyciu protokołu S/MIME.

Zadanie	Szczegóły
Wymaganie uwierzytelniania wieloskładnikowego (MFA)	Wymaganie podania dwóch form poświadczeń w czasie rejestracji urządzenia. Ta zasada działa w połączeniu z zasadami dostępu warunkowego usługi Microsoft Entra.
Tworzenie profilu zaufanego certyfikatu	Zanim utworzysz profil certyfikatu SCEP, PKCS lub zaimportowanego certyfikatu PKCS, utwórz i wdróż profil certyfikatu zaufanego. Profil certyfikatu zaufanego wdraża zaufany certyfikat główny dla urządzeń i użytkowników przy użyciu certyfikatów SCEP, PKCS i zaimportowanego certyfikatu PKCS.
Używanie certyfikatów SCEP w usłudze Intune	Dowiedz się, co jest potrzebne do korzystania z certyfikatów SCEP w usłudze Intune i skonfigurowania wymaganej infrastruktury. Następnie możesz utworzyć profil certyfikatu SCEP lub skonfigurować zewnętrzny urząd certyfikacji za pomocą protokołu SCEP.
Używanie certyfikatów PKCS w usłudze Intune	Skonfiguruj wymaganą infrastrukturę (na przykład lokalne łączniki certyfikatów), wyeksportuj certyfikat PKCS, a następnie dodaj go do profilu konfiguracji urządzenia w usłudze Intune.
Korzystanie z zaimportowanych certyfikatów PKCS w usłudze Intune	Skonfiguruj zaimportowane certyfikaty PKCS, które umożliwiają konfigurowanie protokołu S/MIME i używanie go do szyfrowanie wiadomości e-mail.
Konfigurowanie wystawcy poświadczeń pochodnych	Aprowizuj urządzenia z systemem Windows za pomocą certyfikatów pochodzących z kart inteligentnych użytkowników.
Integracja funkcji Windows Hello dla Firm z usługą Microsoft Intune	Utwórz zasadę funkcji Windows Hello dla firm, aby włączyć lub wyłączyć funkcję Windows Hello dla firm podczas rejestracji urządzenia. Hello dla firm to alternatywna metoda logowania, która używa usługi Active Directory lub konta usługi Microsoft Entra w celu zastąpienia hasła, karty inteligentnej lub wirtualnej karty inteligentnej.

Krok 7. Wdrażanie aplikacji

Podczas konfigurowania aplikacji i zasad dotyczących aplikacji należy zastanowić się nad wymaganiami organizacji, takimi jak platformy, które będą obsługiwane, zadania wykonywane przez pracowników, typ aplikacji potrzebnych do wykonywania tych zadań oraz osoby, które ich potrzebują. Za pomocą usługi Intune można zarządzać całym urządzeniem (w tym aplikacjami) lub za pomocą usługi Intune można zarządzać tylko aplikacjami.

Zadanie	Szczegóły
Dodawanie aplikacji biznesowych	Dodaj aplikacje biznesowe dla systemu Windows (LOB) do usługi Intune i przypisz je do grup.
Dodaj przeglądarkę Microsoft Edge	Dodaj i przypisz przeglądarkę Microsoft Edge dla systemu Windows.
Dodawanie aplikacji Intune — Portal firmy ze sklepu Microsoft Store	Ręcznie dodaj i przypisz aplikację Intune — Portal firmy jako wymaganą aplikację.
Dodawanie aplikacji Intune — Portal firmy dla rozwiązania Windows Autopilot	Dodaj aplikację Portal firmy do urządzeń obsługiwanych przez rozwiązanie Windows Autopilot.
Dodawanie aplikacji platformy Microsoft 365	Dodaj Aplikacje Microsoft 365 dla przedsiębiorstw
Przypisywanie aplikacji do grup	Po dodaniu aplikacji do usługi Intune przypisz je do użytkowników i urządzeń.
Dołączanie i wykluczanie przypisań aplikacji	Kontroluj dostęp do aplikacji, dołączając i wykluczając wybrane grupy z przypisania.
Używanie skryptów programu PowerShell	Przekaż skrypty programu PowerShell, aby rozszerzyć możliwości zarządzania urządzeniami z systemem Windows w usłudze Intune i ułatwić przejście na nowoczesne zarządzanie.

Krok 8. Rejestrowanie urządzeń

Podczas rejestracji urządzenie jest rejestrowane w usłudze Microsoft Entra ID i oceniane pod kątem zgodności. Aby uzyskać informacje o każdej metodzie rejestracji i sposobie wyboru odpowiedniej dla Twojej organizacji, zobacz Przewodnik rejestracji urządzeń z systemem Windows dla usługi Microsoft Intune.

Zadanie	Szczegóły
Włączanie automatycznej rejestracji w usłudze MDM	Uprość rejestrację, włączając rejestrację automatyczną, która automatycznie rejestruje urządzenia w usłudze Intune, które dołączają lub rejestrują się za pomocą usługi Microsoft Entra ID. Automatyczna rejestracja upraszcza wdrażanie programu Windows Autopilot, rejestrację BYOD, rejestrację przy użyciu zasady grupy i rejestrację zbiorczą za pośrednictwem pakietu aprowizacyjnego.
Włącz automatyczne odnajdowanie serwera MDM	Jeśli nie masz usługi Microsoft Entra ID P1 lub P2, zalecamy utworzenie typu rekordu CNAME dla serwerów rejestracji usługi Intune. Rekord CNAME przekierowuje żądania rejestracji na właściwy serwer, dzięki czemu rejestrujący użytkownicy nie muszą ręcznie wpisywać nazwy serwera.
Scenariusze rozwiązania Windows Autopilot	Uprość oparte na użytkownikach lub samodzielnie wdrażane OOBE dla siebie i Twoich użytkowników, konfigurując rejestrację urządzeń usługi Microsoft Intune tak, aby odbywała się automatycznie podczas rozwiązania Windows Autopilot.
Rejestrowanie urządzeń dołączonych hybrydowo do usługi Microsoft Entra za pomocą rozwiązania Windows Autopilot	Łącznik usługi Intune dla usługi Active Directory umożliwia urządzeniom w usługach Active Directory Domain Services dołączanie do usługi Microsoft Entra ID, a następnie automatyczne rejestrowanie się w usłudze Intune. Zalecamy tę opcję rejestracji dla środowisk lokalnych, które korzystają z usług Active Directory Domain Services i obecnie nie mogą przenieść swoich tożsamości do usługi Microsoft Entra ID.
Rejestrowanie urządzeń za pomocą zasady grupy	Wyzwalanie automatycznej rejestracji w usłudze Intune przy użyciu zasad grupy.
Zbiorcze rejestrowanie urządzeń	Utwórz pakiet aprowizacyjny w programie Windows Configuration Designer, który zarówno łączy dużą liczbę nowych urządzeń z systemem Windows z usługą Microsoft Entra ID, jak i rejestruje je w usłudze Intune.
Konfigurowanie strony stanu rejestracji	Utwórz profil strony stanu rejestracji z ustawieniami niestandardowymi, aby przeprowadzić użytkowników przez proces konfiguracji i rejestracji urządzenia.
Zmień etykietę własności urządzenia	Po zarejestrowaniu urządzenia możesz zmienić jego etykietę własności w usłudze Intune na własność firmową lub osobistą. Ta zmiana zmienia sposób zarządzania urządzeniem i może włączyć więcej możliwości zarządzania i identyfikacji w usłudze Intune lub je ograniczyć.
Rozwiązywanie problemów z rejestracją	Rozwiąż problemy występujące podczas rejestracji.

Krok 9. Uruchamianie akcji zdalnych

Po skonfigurowaniu urządzeń możesz używać obsługiwanych akcji zdalnych do zarządzania urządzeniami i rozwiązywania związanych z nimi problemów na odległość. Poniższe artykuły stanowią wprowadzenie do akcji zdalnych dla systemu Windows. Jeśli akcja jest nieobecna lub wyłączona w portalu, nie jest obsługiwana w systemie Windows.

Zadanie	Szczegóły
Zdalne działania na urządzeniach	Dowiedz się, jak przejść do szczegółów i zdalnie zarządzać poszczególnymi urządzeniami oraz rozwiązywać związane z nimi problemy w usłudze Intune. Ten artykuł zawiera listę wszystkich akcji zdalnych dostępnych w usłudze Intune oraz linki do tych procedur.
Używanie aplikacji TeamViewer do zdalnego administrowania urządzeniami usługi Intune	Skonfiguruj aplikację TeamViewer w usłudze Intune i dowiedz się, jak zdalnie administrować urządzeniem.
Wyświetlanie zagrożeń i luk w zabezpieczeniach przy użyciu zadań zabezpieczeń	Użyj usługi Intune, aby skorygować słabość punktu końcowego zidentyfikowaną przez usługę Ochrona punktu końcowego w usłudze Microsoft Defender. Zanim będzie można pracować z zadaniami zabezpieczeń, należy zintegrować usługę Ochrona punktu końcowego w usłudze Microsoft Defender z usługą Intune.

Krok 10. Pomaganie pracownikom i uczniom

Zasoby w tej sekcji znajdują się w dokumentacji Pomocy dla użytkowników usługi Microsoft Intune. Ta dokumentacja jest przeznaczona dla pracowników, uczniów i innych licencjonowanych użytkowników urządzeń usługi Intune, którzy rejestrują urządzenie osobiste lub firmowe. Linki do dokumentacji są dostępne w całej aplikacji Intune — Portal firmy i wskazują następujące informacje:

Metody rejestracji wraz z instruktażem rejestracji
Ustawienia i funkcje aplikacji Portal firmy
Jak wyrejestrować i usunąć przechowywane dane
Aktualizowanie ustawień urządzenia pod kątem wymagań dotyczących zgodności
Jak zgłaszać problemy z aplikacjami