Konfigurowanie rejestracji dla urządzeń z systemem Windows

Dotyczy

  • Windows 10
  • Windows 11

Ten artykuł ułatwia administratorom IT uproszczenie rejestracji systemu Windows dla użytkowników. Po skonfigurowaniu Intune użytkownicy rejestrują urządzenia z systemem Windows, logując się przy użyciu konta służbowego.

Jako administrator Intune możesz uprościć rejestrację w następujący sposób:

Dwa czynniki określają, jak można uprościć rejestrację urządzeń z systemem Windows:

  • Czy używasz Azure Active Directory — wersja Premium? Azure AD Premium jest dołączony do Enterprise Mobility + Security i innych planów licencjonowania.
  • Jakie wersje klientów systemu Windows będą rejestrować użytkownicy? Urządzenia z systemem Windows 11 lub Windows 10 mogą zostać automatycznie zarejestrowane przez dodanie konta służbowego. Urządzenia z wcześniejszymi wersjami muszą zostać zarejestrowane przy użyciu aplikacji Portal firmy.
Azure AD Premium Inne usługi AD
Windows 10/11 Rejestracja automatyczna Rejestracja użytkownika
Wcześniejsze wersje systemu Windows Rejestracja użytkownika Rejestracja użytkownika

Organizacje, które mogą korzystać z automatycznej rejestracji, mogą również konfigurować zbiorcze rejestrowanie urządzeń przy użyciu aplikacji Projektant konfiguracji systemu Windows.

Wymagania wstępne dotyczące rejestracji urządzeń

Zanim administrator będzie mógł zarejestrować urządzenia do Intune do zarządzania, licencje powinny być już przypisane do konta administratora. Przeczytaj o przypisywaniu licencji na potrzeby rejestracji urządzeń.

Możesz również zezwolić nielicencjonowanym administratorom na logowanie się do usługi MEM. Aby uzyskać więcej informacji, zobacz Nielicencjonowani administratorzy.

Obsługa wielu użytkowników

Intune obsługuje wielu użytkowników na urządzeniach, które:

  • Uruchamianie Windows 11 lub aktualizacji Windows 10 Twórca
  • Dołączanie do domeny usługi Azure Active Directory

Gdy użytkownicy standardowi logują się przy użyciu swoich poświadczeń Azure AD, otrzymują aplikacje i zasady przypisane do nazwy użytkownika. Tylko użytkownik podstawowy urządzenia może używać Portal firmy w scenariuszach samoobsługowych, takich jak instalowanie aplikacji i akcji urządzenia (takich jak usuwanie lub resetowanie). W przypadku urządzeń udostępnionych Windows 10/11, które nie mają przypisanego użytkownika podstawowego, nadal można użyć Portal firmy do instalowania dostępnych aplikacji.

Włączanie automatycznej rejestracji systemu Windows

Automatyczna rejestracja umożliwia użytkownikom rejestrowanie urządzeń z systemem Windows w usłudze Intune. Aby zarejestrować urządzenie, użytkownicy dodają swoje konto służbowe do swoich urządzeń osobistych lub dołączają urządzenia należące do firmy do usługi Azure Active Directory. W tle urządzenie zostaje zarejestrowane i przyłączone do usługi Azure Active Directory. Po zarejestrowaniu urządzenie jest zarządzane za pomocą usługi Intune.

Wymagania wstępne

  • Subskrypcja usługi Azure Active Directory — wersja Premium (subskrypcja wersji próbnej)
  • Subskrypcja usługi Microsoft Intune
  • Uprawnienia administratora globalnego

Konfigurowanie automatycznej rejestracji w usłudze MDM

  1. Zaloguj się do portalu Azure Portal i wybierz pozycję Azure Active Directory > Mobility (MDM i MAM) > Microsoft Intune.

    Zrzut ekranu przedstawiający opcje wybrane w witrynie Azure Portal.

  2. Skonfiguruj zakres użytkownika usługi MDM. Określ użytkowników, których urządzenia powinny być zarządzane przez usługę Microsoft Intune. Te urządzenia z systemem Windows 10 mogą zostać automatycznie zarejestrowane do zarządzania za pomocą usługi Microsoft Intune.

    • Brak — automatyczne rejestrowanie w usłudze zarządzania urządzeniami mobilnymi (MDM) jest wyłączone

    • Niektóre — wybierz grupy, które mogą automatycznie rejestrować swoje urządzenia z systemem Windows 10

    • Wszystkie — wszyscy użytkownicy mogą automatycznie rejestrować swoje urządzenia z systemem Windows 10

      Ważne

      W przypadku urządzeń BYOD z systemem Windows zakres użytkownika funkcji MAM ma pierwszeństwo, jeśli dla wszystkich użytkowników (lub tych samych grup użytkowników) jest włączony zarówno zakres użytkownika funkcji MAM, jak i zakres użytkownika oprogramowania MDM (automatyczne rejestrowanie MDM). Urządzenie nie zostanie zarejestrowane przez oprogramowanie MDM i będą stosowane zasady funkcji Windows Information Protection (WIP), jeśli je skonfigurowano.

      Jeśli Twoją intencją jest włączenie automatycznego rejestrowania urządzeń BYOD z systemem Windows przez oprogramowanie MDM: skonfiguruj zakres użytkowników oprogramowania MDM Wszyscy (lub Niektórzy i określ grupę), a także skonfiguruj zakres użytkowników funkcji MAM Brak (lub Niektórzy i określ grupę, upewniając się, że użytkownicy nie są członkami grupy objętej zarówno zakresem użytkowników oprogramowania MDM, jak i funkcji MAM).

      W przypadku urządzeń firmowych zakres użytkowników oprogramowania MDM ma pierwszeństwo, jeśli włączone są zakresy użytkowników zarówno oprogramowania MDM, jak i funkcji MAM. Urządzenie zostanie automatycznie zarejestrowane w skonfigurowanym oprogramowaniu MDM.

    Uwaga

    Zakres użytkowników usługi MDM musi być ustawiony na grupę Azure AD, która zawiera obiekty użytkowników.

    Zrzut ekranu przedstawiający witrynę Azure Portal, w której można skonfigurować zakres użytkownika usługi M D M.

  3. Użyj wartości domyślnych dla następujących adresów URL:

    • Adres URL Warunków użytkowania zarządzania urządzeniami mobilnymi
    • Adres URL odnajdywania zarządzania urządzeniami przenośnymi
    • Adres URL zgodności oprogramowania MDM
  4. Wybierz Zapisz.

Uwierzytelnianie dwuskładnikowe nie jest domyślnie włączone dla usługi. Zaleca się jednak korzystanie z uwierzytelniania dwuskładnikowego podczas rejestrowania urządzenia. Aby włączyć uwierzytelnianie dwuskładnikowe, należy skonfigurować dostawcę usługi uwierzytelniania dwuskładnikowego w usłudze Azure AD i skonfigurować konta użytkowników do uwierzytelniania wieloskładnikowego. Aby uzyskać więcej informacji, zobacz Wprowadzenie do serwera Azure Active Directory wieloskładnikowego.

Uproszczenie rejestracji w systemie Windows bez Azure AD Premium

Aby uprościć rejestrację, utwórz alias serwera nazw domen (DNS) (typ rekordu CNAME), który przekierowuje żądania rejestracji do serwerów Intune. W przeciwnym razie użytkownicy próbujący nawiązać połączenie z Intune muszą wprowadzić nazwę serwera Intune podczas rejestracji.

Krok 1. Tworzenie CNAME (opcjonalnie)

Utwórz rekordy zasobów DNS CNAME dla domeny twojej firmy. Jeśli na przykład witryna internetowa twojej firmy jest contoso.com, należy utworzyć w systemie DNS nazwę CNAME, która przekierowuje EnterpriseEnrollment.contoso.com do enterpriseenrollment-s.manage.microsoft.com.

Chociaż tworzenie wpisów DNS CNAME jest opcjonalne, rekordy CNAME ułatwiają rejestrację użytkownikom. Jeśli rekord CNAME rejestracji nie zostanie znaleziony, użytkownicy będą monitować o ręczne wprowadzenie nazwy serwera MDM, enrollment.manage.microsoft.com.

Wpisać Nazwa hosta Wskazuje na Czas wygaśnięcia
CNAME EnterpriseEnrollment.company_domain.com EnterpriseEnrollment-s.manage.microsoft.com 1 godzina
CNAME EnterpriseRegistration.company_domain.com EnterpriseRegistration.windows.net 1 godzina

Jeśli firma używa więcej niż jednego sufiksu nazwy UPN, należy utworzyć jeden rekord CNAME dla każdej nazwy domeny i wskazać każdą z nich, aby EnterpriseEnrollment-s.manage.microsoft.com. Na przykład użytkownicy firmy Contoso używają następujących formatów jako nazwy e-mail/nazwy UPN:

  • name@contoso.com
  • name@us.contoso.com
  • name@eu.contoso.com

Administrator DNS firmy Contoso powinien utworzyć następujące węzły CNAME:

Wpisać Nazwa hosta Wskazuje na Czas wygaśnięcia
CNAME EnterpriseEnrollment.contoso.com EnterpriseEnrollment-s.manage.microsoft.com 1 godzina
CNAME EnterpriseEnrollment.us.contoso.com EnterpriseEnrollment-s.manage.microsoft.com 1 godzina
CNAME EnterpriseEnrollment.eu.contoso.com EnterpriseEnrollment-s.manage.microsoft.com 1 godzina

EnterpriseEnrollment-s.manage.microsoft.com— obsługuje przekierowanie do usługi Intune z rozpoznawaniem domeny z nazwy domeny wiadomości e-mail

Propagacja zmian rekordów DNS może potrwać do 72 godzin. Nie można zweryfikować zmiany dns w Intune, dopóki rekord DNS nie zostanie propagowany.

Krok 2. Weryfikowanie CNAME (opcjonalnie)

  1. W centrum administracyjnym microsoft Endpoint Manager wybierz pozycję Urządzenia > Rejestracja > systemu Windows > Walidacja CNAME.
  2. W polu Domena wprowadź witrynę internetową firmy, a następnie wybierz pozycję Testuj.

Dodatkowe punkty końcowe, które nie są obsługiwane

EnterpriseEnrollment-s.manage.microsoft.com jest preferowaną nazwą FQDN dla rejestracji. Istnieją dwa inne punkty końcowe, które były wcześniej używane i nadal działają. Nie są one jednak już obsługiwane. EnterpriseEnrollment.manage.microsoft.com (bez -s) i manage.microsoft.com działają jako element docelowy serwera automatycznego odnajdywania, ale użytkownik będzie musiał dotknąć przycisku OK w komunikacie potwierdzenia. Jeśli wskażesz EnterpriseEnrollment-s.manage.microsoft.com, użytkownik nie będzie musiał wykonać kolejnego kroku potwierdzenia, dlatego jest to zalecana konfiguracja

Alternatywne metody przekierowania nie są obsługiwane

Używanie metody innej niż konfiguracja CNAME nie jest obsługiwane. Na przykład użycie serwera proxy do przekierowania enterpriseenrollment.contoso.com/EnrollmentServer/Discovery.svc do enterpriseenrollment-s.manage.microsoft.com/EnrollmentServer/Discovery.svc lub manage.microsoft.com/EnrollmentServer/Discovery.svc nie jest obsługiwane.

Poinformuj użytkowników, jak zarejestrować urządzenia z systemem Windows

Dokumentacja Microsoft Intune user-help udostępnia informacje koncepcyjne, samouczki i przewodniki z instrukcjami dla pracowników i uczniów konfiguruje swoje urządzenia. Możesz skierować osoby bezpośrednio do nich lub skorzystać z tych artykułów jako wskazówek podczas opracowywania i aktualizowania dokumentacji zarządzania urządzeniami organizacji.

W tych artykułach opisano sposób rejestrowania urządzeń z systemem Windows:

Aby uzyskać informacje o tym, jak rejestracja wpływa na urządzenie i jakie informacje na nim znajdują się, zobacz Jakie informacje może zobaczyć moja organizacja po zarejestrowaniu urządzenia?

Uwaga

Użytkownicy końcowi muszą uzyskać dostęp do witryny internetowej Portal firmy za pośrednictwem przeglądarki Microsoft Edge, aby wyświetlać aplikacje systemu Windows przypisane do określonych wersji systemu Windows. Inne przeglądarki, w tym Google Chrome, Mozilla Firefox i Internet Explorer, nie obsługują tego typu filtrowania.

Ważne

Jeśli rejestracja automatycznego zarządzania urządzeniami przenośnymi nie jest włączona, ale masz urządzenia Windows 10/11, które zostały przyłączone do Azure AD, dwa rekordy będą widoczne w konsoli Intune po rejestracji. Możesz to zatrzymać, upewniając się, że użytkownicy z urządzeniami przyłączonymi do Azure AD przechodzą do pozycji Konta > Dostęp do pracy lub szkoły i Połącz przy użyciu tego samego konta.

Rejestrowanie i rejestrowanie CNAME

Usługa Azure Active Directory ma inną nazwę CNAME używaną do rejestracji urządzeń z systemami iOS/iPadOS, Android i Windows. Intune dostęp warunkowy wymaga zarejestrowania urządzeń, nazywanych również "przyłączonymi do miejsca pracy". Jeśli planujesz użycie dostępu warunkowego, należy również skonfigurować nazwę CNAME EnterpriseRegistration dla każdej nazwy firmy.

Wpisać Nazwa hosta Wskazuje na Czas wygaśnięcia
CNAME EnterpriseRegistration.company_domain.com EnterpriseRegistration.windows.net 1 godzina

Aby uzyskać więcej informacji na temat rejestracji urządzeń, zobacz Zarządzanie tożsamościami urządzeń przy użyciu Azure Portal

Automatyczna rejestracja systemu Windows i rejestracja urządzeń

Ta sekcja dotyczy klientów w chmurze dla instytucji rządowych USA na urządzeniach z systemem Windows 10 lub Windows 11.

Chociaż tworzenie wpisów DNS CNAME jest opcjonalne, rekordy CNAME ułatwiają rejestrację użytkownikom. Jeśli rekord CNAME rejestracji nie zostanie znaleziony, użytkownicy będą monitować o ręczne wprowadzenie nazwy serwera MDM, enrollment.manage.microsoft.us.

Wpisać Nazwa hosta Wskazuje na Czas wygaśnięcia
CNAME EnterpriseEnrollment.company_domain.com EnterpriseEnrollment-s.manage.microsoft.us 1 godzina
CNAME EnterpriseRegistration.company_domain.com EnterpriseRegistration.windows.net 1 godzina

Następne kroki