Przewodnik wdrażania: zarządzanie urządzeniami z systemem Windows 10/11

Artykuł
08/21/2024

W tym przewodniku opisano, jak chronić aplikacje i punkty końcowe systemu Windows i zarządzać nimi przy użyciu usługi Microsoft Intune, a także przedstawiono zalecenia i zasoby dotyczące konfiguracji, od wymagań wstępnych po rejestrację.

W każdej sekcji w tym przewodniku przejrzyj skojarzone zadania. Niektóre zadania są wymagane, a niektóre, takie jak konfigurowanie dostępu warunkowego w usłudze Microsoft Entra, są opcjonalne. Wybierz podane linki w każdej sekcji, aby przejść do naszych zalecanych dokumentów pomocy w witrynie Microsoft Learn, gdzie można znaleźć bardziej szczegółowe informacje i instrukcje.

Krok 1. Wymagania wstępne

Wykonaj następujące wymagania wstępne, aby włączyć możliwości zarządzania punktami końcowymi dzierżawy:

Aby uzyskać informacje o rolach i uprawnieniach usługi Microsoft Intune, zobacz RBAC with Microsoft Intune (Kontrola dostępu oparta na rolach w usłudze Microsoft Intune). Role administratora globalnego usługi Microsoft Entra i administratora usługi Intune mają pełne prawa w usłudze Microsoft Intune. Te role są wysoce uprzywilejowane i mają większy dostęp niż jest to wymagane w przypadku wielu zadań zarządzania urządzeniami w usłudze Microsoft Intune. Zalecamy użycie najmniej uprzywilejowanej wbudowanej roli, która jest dostępna do wykonywania zadań.

Aby uzyskać więcej szczegółów i zaleceń dotyczących przygotowywania organizacji, dołączania lub wdrażania usługi Intune do zarządzania urządzeniami przenośnymi, zobacz Przewodnik migracji: Konfigurowanie lub przenoszenie do usługi Microsoft Intune.

Krok 2. Planowanie wdrożenia

Skorzystaj z przewodnika planowania usługi Microsoft Intune, aby zdefiniować cele zarządzania urządzeniami, scenariusze przypadków użycia i wymagania. Skorzystaj z przewodnika, aby zaplanować wdrożenie, komunikację, pomoc techniczną, testowanie i walidację. Na przykład w niektórych przypadkach nie musisz być obecny, gdy pracownicy i studenci rejestrują swoje urządzenia. Zalecamy posiadanie planu komunikacji, aby użytkownicy wiedzieli, gdzie znaleźć informacje o instalowaniu i korzystaniu z portalu firmy usługi Intune.

Aby uzyskać więcej informacji, zobacz Przewodnik planowania usługi Microsoft Intune.

Krok 3. Tworzenie zasad zgodności

Zasady zgodności umożliwiają zapewnienie, że urządzenia uzyskujące dostęp do danych są bezpieczne i spełniają standardy organizacji. Ostatnim etapem procesu rejestracji jest ocena zgodności, która sprawdza, czy ustawienia na urządzeniu spełniają twoje zasady. Użytkownicy urządzeń muszą rozwiązać wszystkie problemy ze zgodnością, aby uzyskać dostęp do chronionych zasobów. Usługa Intune oznacza urządzenia, które nie spełniają wymagań dotyczących zgodności, jako niezgodne i podejmuje dodatkowe działania (takie jak wysyłanie użytkownikowi powiadomienia, ograniczanie dostępu lub czyszczenie urządzenia) zgodnie z akcją dotyczącą konfiguracji niezgodności .

Zasady dostępu warunkowego w usłudze Microsoft Entra można używać w połączeniu z zasadami zgodności urządzeń w celu kontrolowania dostępu do komputerów z systemem Windows, firmowej poczty e-mail i usług platformy Microsoft 365. Można na przykład utworzyć zasady, które blokują pracownikom dostęp do usługi Microsoft Teams w przeglądarce Edge bez uprzedniego rejestrowania lub zabezpieczania urządzenia.

Porada

Aby zapoznać się z omówieniem zasad zgodności urządzeń, zobacz Omówienie zgodności.

Zadanie	Szczegóły
Tworzenie zasad zgodności	Uzyskaj szczegółowe wskazówki dotyczące tworzenia i przypisywania zasad zgodności do grup użytkowników i urządzeń.
Dodawanie akcji w przypadku niezgodności	Wybierz, co się stanie, gdy urządzenia przestaną spełniać warunki określone przez zasady zgodności. Przykłady akcji obejmują wysyłanie alertów, zdalne blokowanie urządzeń lub wycofywanie urządzeń. Możesz dodać akcje na wypadek niezgodności podczas konfigurowania zasad zgodności urządzenia lub edytując je później.
Tworzenie zasad dostępu warunkowego opartego na urządzeniu lub aplikacji	Wybierz aplikacje lub usługi, które chcesz chronić, i zdefiniuj warunki dostępu.
Blokowanie dostępu do aplikacji, które nie korzystają z nowoczesnego uwierzytelniania	Utwórz zasady dostępu warunkowego oparte na aplikacji, aby blokować aplikacje korzystające z metod uwierzytelniania innych niż OAuth2 — na przykład aplikacje, które używają uwierzytelniania podstawowego i uwierzytelniania opartego na formularzach. Zanim jednak zablokujesz dostęp, zaloguj się do usługi Microsoft Entra ID i przejrzyj raport aktywności metod uwierzytelniania , aby sprawdzić, czy użytkownicy korzystają z uwierzytelniania podstawowego w celu uzyskania dostępu do podstawowych elementów, o których nie pamiętasz lub o których nie wiesz. Na przykład z uwierzytelniania podstawowego mogą korzystać kioski kalendarza sali konferencyjnej.
Dodawanie niestandardowych ustawień zgodności	Za pomocą niestandardowych ustawień zgodności możesz napisać własne skrypty powłoki Bash, aby rozwiązać problem scenariuszy zgodności, które nie zostały jeszcze uwzględnione w opcjach zgodności urządzeń wbudowanych w usługę Microsoft Intune. W tym artykule opisano sposób tworzenia, monitorowania i rozwiązywania problemów z niestandardowymi zasadami zgodności dla urządzeń z systemem Windows. Niestandardowe ustawienia zgodności wymagają utworzenia niestandardowego skryptu identyfikującego pary ustawień i wartości.

Krok 4. Konfigurowanie zabezpieczeń punktu końcowego

Użyj funkcji zabezpieczeń punktu końcowego usługi Intune, aby skonfigurować zabezpieczenia urządzeń i zarządzać zadaniami zabezpieczeń dla zagrożonych urządzeń.

Zadanie	Szczegóły
Zarządzanie urządzeniami za pomocą funkcji zabezpieczeń punktu końcowego	Użyj ustawień zabezpieczeń punktu końcowego w usłudze Intune, aby skutecznie zarządzać zabezpieczeniami urządzeń i naprawiać związane z nimi problemy.
Dodawanie ustawień ochrony punktu końcowego	Skonfiguruj typowe funkcje zabezpieczeń programu Endpoint Protection, takie jak zapora, funkcja BitLocker i usługa Microsoft Defender. Opis ustawień w tym obszarze można znaleźć w dokumentacji ustawień programu Endpoint Protection.
Konfiguruj ochronę punktu końcowego w usłudze Microsoft Defender w usłudze Intune	Podczas integracji usługi Intune z usługą Microsoft Defender for Endpoint nie tylko pomagasz zapobiegać naruszeniom zabezpieczeń, ale możesz skorzystać z usługi Microsoft Defender for Endpoints Threat & Vulnerability Management (TVM) i użyć usługi Intune do skorygowania słabości punktu końcowego zidentyfikowanego przez program TVM.
Zarządzanie zasadami funkcji BitLocker	Upewnij się, że urządzenia są szyfrowane podczas rejestracji, tworząc zasady, które konfigurują funkcję BitLocker na zarządzanych urządzeniach.
Zarządzanie profilami punktów odniesienia zabezpieczeń	Punkty odniesienia zabezpieczeń w usłudze Intune ułatwiają zabezpieczanie i ochronę użytkowników i urządzeń. Punkt odniesienia zabezpieczeń zawiera najlepsze rozwiązania i zalecenia dotyczące ustawień, które mają wpływ na zabezpieczenia.
Korzystanie z usługi Windows Update dla firm w przypadku aktualizacji oprogramowania	Skonfiguruj strategię wdrażania usługi Windows Update za pomocą usługi Windows Update dla firm. W tym artykule przedstawiono typy zasad, których można użyć do zarządzania aktualizacjami oprogramowania systemu Windows 10/11, oraz sposób przejścia z odroczeń pierścienia aktualizacji do zasad aktualizacji funkcji.

Krok 5. Konfigurowanie ustawień urządzenia

Użyj usługi Microsoft Intune, aby włączyć lub wyłączyć ustawienia i funkcje systemu Windows na urządzeniach. Aby skonfigurować i wymusić te ustawienia, utwórz profil konfiguracji urządzenia, a następnie przypisz ten profil do grup w organizacji. Urządzenia otrzymają profil po ich zarejestrowaniu.

Zadanie	Szczegóły
Tworzenie profilu urządzenia	Utwórz profil urządzenia w usłudze Microsoft Intune i znajdź zasoby dotyczące wszystkich typów profilów urządzeń. Możesz również użyć katalogu ustawień , aby utworzyć zasady od podstaw.
Konfigurowanie ustawień zasad grupy	Użyj szablonów systemu Windows 10, aby skonfigurować ustawienia zasad grupy w usłudze Microsoft Intune. Szablony administracyjne obejmują setki ustawień, które można skonfigurować dla programów Internet Explorer, Microsoft Edge, OneDrive, pulpitu zdalnego, Word, Excel i innych programów pakietu Office. Te szablony zapewniają administratorom uproszczony widok ustawień podobnych do zasad grupy i są w 100% oparte na chmurze.
Konfigurowanie profilu sieci Wi-Fi	Ten profil umożliwia użytkownikom znajdowanie sieci Wi-Fi organizacji i łączenie się z nią. Opis ustawień w tym obszarze można znaleźć w dokumentacji ustawień sieci Wi-Fi dla systemu Windows 10 i nowszych.
Konfigurowanie profilu sieci VPN	Skonfiguruj opcję bezpiecznej sieci VPN, taką jak aplikacja Microsoft Tunnel, dla osób łączących się z siecią organizacji. Aby uzyskać opis ustawień w tym obszarze, zobacz dokumentację ustawień sieci VPN.
Konfigurowanie profilu poczty e-mail	Skonfiguruj ustawienia poczty e-mail, aby użytkownicy mogli łączyć się z serwerem poczty i korzystać ze służbowego adresu e-mail. Aby uzyskać opis ustawień w tym obszarze, zobacz dokumentację ustawień poczty e-mail.
Ograniczanie funkcji urządzeń	Chroń użytkowników przed nieautoryzowanym dostępem i rozproszeniem uwagi, ograniczając funkcje urządzeń, z których korzystają służbowo. Opis ustawień w tym obszarze można znaleźć w dokumentacji dotyczącej ograniczeń urządzeń dla systemów Windows 10/11 i Windows 10 Teams.
Konfigurowanie profilu niestandardowego	Dodaj i przypisz ustawienia i funkcje urządzenia, które nie są wbudowane w usługę Intune. Opis ustawień w tym obszarze można znaleźć w dokumentacji ustawień niestandardowych.
Konfigurowanie ustawień systemu BIOS	Skonfiguruj usługę Intune, aby można było kontrolować ustawienia interfejsu UEFI (BIOS) na zarejestrowanych urządzeniach przy użyciu interfejsu konfiguracji oprogramowania układowego urządzenia (DFCI)
Konfigurowanie przyłączania do domeny	Jeśli planujesz zarejestrować urządzenia przyłączone do usługi Microsoft Entra, pamiętaj o utworzeniu profilu dołączania do domeny, aby usługa Intune wiedziała, do której domeny lokalnej dołączyć.
Konfigurowanie ustawień optymalizacji dostarczania	Użyj tych ustawień, aby zmniejszyć zużycie przepustowości na urządzeniach pobierających aplikacje i aktualizacje.
Dostosowywanie procesu znakowania i rejestracji	Dostosowywanie portalu firmy i aplikacji Microsoft Intune przy użyciu tekstów, znakowania, preferencji ekranu i informacji kontaktowych organizacji.
Konfigurowanie kiosków i dedykowanych urządzeń	Utwórz profil kiosku do zarządzania urządzeniami działającymi w trybie kiosku.
Dostosowywanie udostępnionych urządzeń	Kontrolowanie dostępu, kont i funkcji zasilania na urządzeniach udostępnionych lub urządzeniach z wieloma użytkownikami.
Konfigurowanie granicy sieci	Utwórz profil granicy sieci, aby chronić środowisko przed witrynami, którym nie ufasz.
Konfigurowanie monitorowania kondycji systemu Windows	Utwórz profil monitorowania kondycji systemu Windows, aby umożliwić firmie Microsoft zbieranie danych dotyczących wydajności i zapewnianie zaleceń dotyczących ulepszeń. Utworzenie profilu umożliwia korzystanie z funkcji analizy punktów końcowych w usłudze Microsoft Intune, która analizuje zebrane dane, zaleca oprogramowanie, pomaga zwiększyć wydajność uruchamiania i rozwiązuje typowe problemy z pomocą techniczną.
Konfigurowanie aplikacji Take a Test dla uczniów	Skonfiguruj aplikację Take a Test dla uczniów biorących testy lub egzaminy na zarejestrowanych urządzeniach.
Konfigurowanie profilu sieci komórkowej eSim	Możesz skonfigurować kartę eSIM dla urządzeń z obsługą karty ESIM, takich jak Surface LTE Pro, w celu nawiązania połączenia z Internetem za pośrednictwem połączenia danych komórkowych. Ta konfiguracja jest idealna dla podróżnych na całym świecie, którzy muszą pozostawać w kontakcie i elastyczni podczas podróży, i eliminuje potrzebę posiadania karty SIM.

Krok 6. Konfigurowanie bezpiecznych metod uwierzytelniania

Skonfiguruj metody uwierzytelniania w usłudze Intune, aby upewnić się, że dostęp do zasobów wewnętrznych mają tylko autoryzowane osoby. Usługa Intune obsługuje uwierzytelnianie wieloskładnikowe, certyfikaty i poświadczenia pochodne. Certyfikaty mogą być również używane do podpisywania i szyfrowania poczty e-mail przy użyciu protokołu S/MIME.

Zadanie	Szczegóły
Wymaganie uwierzytelniania wieloskładnikowego (MFA)	Wymagaj od użytkowników podania dwóch form poświadczeń w czasie rejestracji urządzenia. Te zasady działają w połączeniu z zasadami dostępu warunkowego usługi Microsoft Entra.
Tworzenie profilu zaufanego certyfikatu	Zanim utworzysz profil certyfikatu SCEP, PKCS lub zaimportowanego certyfikatu PKCS, utwórz i wdróż profil certyfikatu zaufanego. Profil certyfikatu zaufanego wdraża zaufany certyfikat główny dla urządzeń i użytkowników przy użyciu certyfikatów SCEP, PKCS i zaimportowanego certyfikatu PKCS.
Używanie certyfikatów SCEP w usłudze Intune	Dowiedz się, co jest potrzebne do korzystania z certyfikatów SCEPT w usłudze Intune, i skonfiguruj wymaganą infrastrukturę. Następnie możesz utworzyć profil certyfikatu SCEP lub skonfigurować urząd certyfikacji innej firmy przy użyciu protokołu SCEP.
Używanie certyfikatów PKCS w usłudze Intune	Skonfiguruj wymaganą infrastrukturę (na przykład lokalne łączniki certyfikatów), wyeksportuj certyfikat PKCS, a następnie dodaj go do profilu konfiguracji urządzenia w usłudze Intune.
Korzystanie z zaimportowanych certyfikatów PKCS w usłudze Intune	Skonfiguruj zaimportowane certyfikaty PKCS, które umożliwiają konfigurowanie protokołu S/MIME i używanie go do szyfrowanie wiadomości e-mail.
Konfigurowanie wystawcy poświadczeń pochodnych	Aprowizowanie urządzeń z systemem Windows przy użyciu certyfikatów pochodzących z kart inteligentnych użytkownika.
Integrowanie usługi Windows Hello dla firm z usługą Microsoft Intune	Utwórz zasady usługi Windows Hello dla firm, aby włączyć lub wyłączyć funkcję Windows Hello dla firm podczas rejestracji urządzeń. Hello for Business to alternatywna metoda logowania, która używa usługi Active Directory lub konta Microsoft Entra do zastąpienia hasła, karty inteligentnej lub wirtualnej karty inteligentnej.

Krok 7. Wdrażanie aplikacji

Podczas konfigurowania aplikacji i zasad aplikacji zastanów się nad wymaganiami organizacji, takimi jak platformy, które będziesz obsługiwać, zadania wykonywane przez użytkowników, typ aplikacji potrzebnych do wykonywania tych zadań i to, kto ich potrzebuje. Usługa Intune umożliwia zarządzanie całym urządzeniem (w tym aplikacjami) lub używanie usługi Intune do zarządzania tylko aplikacjami.

Zadanie	Szczegóły
Dodawanie aplikacji biznesowych	Dodawanie aplikacji biznesowych (LOB) dla systemu macOS do usługi Intune i przypisywanie ich do grup.
Dodawanie przeglądarki Microsoft Edge	Dodaj i przypisz przeglądarkę Microsoft Edge dla systemu Windows.
Dodawanie aplikacji Portal firmy usługi Intune ze sklepu Microsoft Store	Ręcznie dodaj i przypisz aplikację Portal firmy usługi Intune jako wymaganą aplikację.
Dodawanie aplikacji Portal firmy usługi Intune dla rozwiązania Autopilot	Dodaj aplikację Portal firmy do urządzeń aprowizowanych przez rozwiązanie Windows Autopilot.
Dodawanie aplikacji platformy Microsoft 365	Dodaj aplikacje platformy Microsoft 365 dla przedsiębiorstw.
Przypisywanie aplikacji do grup	Po dodaniu aplikacji do usługi Intune przypisz je do użytkowników i urządzeń.
Dołączanie i wykluczanie przypisań aplikacji	Kontroluj dostęp do aplikacji, dołączając i wykluczając wybrane grupy z przypisania.
Używanie skryptów programu PowerShell	Przekaż skrypty programu PowerShell, aby rozszerzyć możliwości zarządzania urządzeniami z systemem Windows w usłudze Intune i ułatwić przejście do nowoczesnego zarządzania.

Krok 8. Rejestrowanie urządzeń

Podczas rejestracji urządzenie jest zarejestrowane w usłudze Microsoft Entra ID i oceniane pod kątem zgodności. Aby uzyskać informacje o każdej metodzie rejestracji i o tym, jak wybrać odpowiednią dla Twojej organizacji, zobacz Przewodnik rejestracji urządzeń z systemem Windows dla usługi Microsoft Intune.

Zadanie	Szczegóły
Włączanie automatycznej rejestracji w usłudze MDM	Uprość rejestrację, włączając automatyczną rejestrację, która automatycznie rejestruje urządzenia w usłudze Intune, które dołączają lub rejestrują się przy użyciu identyfikatora Microsoft Entra. Automatyczna rejestracja upraszcza wdrażanie rozwiązania Windows Autopilot, rejestrację BYOD, rejestrację przy użyciu zasad grupy i rejestrację zbiorczą za pośrednictwem pakietu aprowizacji.
Włączanie automatycznego odnajdywania serwera MDM	Jeśli nie masz identyfikatora Microsoft Entra P1 lub P2, zalecamy utworzenie typu rekordu CNAME dla serwerów rejestracji usługi Intune. Rekord CNAME przekierowuje żądania rejestracji na odpowiedni serwer, aby zarejestrowani użytkownicy nie musieli ręcznie wpisywać nazwy serwera.
Scenariusze rozwiązania Windows Autopilot	Uprość funkcję OOBE opartą na użytkownikach lub wdrażaną samodzielnie dla Ciebie i Twoich użytkowników, konfigurując rejestrację urządzeń w usłudze Microsoft Intune tak, aby odbywała się automatycznie podczas pracy z rozwiązaniem Windows Autopilot.
Rejestrowanie urządzeń przyłączonych hybrydowo do usługi Microsoft Entra przy użyciu rozwiązania Windows Autopilot	Łącznik usługi Intune dla usługi Active Directory umożliwia urządzeniom w usługach Active Directory Domain Services dołączanie do identyfikatora Entra firmy Microsoft, a następnie automatyczne rejestrowanie w usłudze Intune. Zalecamy tę opcję rejestracji w środowiskach lokalnych, które korzystają z usług Active Directory Domain Services i nie mogą obecnie przenosić swoich tożsamości do identyfikatora Entra firmy Microsoft.
Rejestrowanie urządzeń przy użyciu zasad grupy	Wyzwalanie automatycznej rejestracji w usłudze Intune przy użyciu zasad grupy.
Zbiorcze rejestrowanie urządzeń	Utwórz pakiet aprowizacji w projektancie konfiguracji systemu Windows, który łączy dużą liczbę nowych urządzeń z systemem Windows z identyfikatorem Entra firmy Microsoft i rejestruje je w usłudze Intune.
Konfigurowanie strony stanu rejestracji (ESP)	Utwórz profil strony ze stanem rejestracji z ustawieniami niestandardowymi, aby prowadzić użytkowników przez konfigurację urządzenia i rejestrację.
Zmienianie etykiety własności urządzenia	Po zarejestrowaniu urządzenia możesz zmienić jego etykietę własności w usłudze Intune na własność firmową lub osobistą. Ta korekta zmienia sposób zarządzania urządzeniem i może umożliwić większe możliwości zarządzania i identyfikacji w usłudze Intune lub ograniczyć je.
Konfigurowanie serwera proxy dla łącznika usługi Intune Active Directory	Skonfiguruj łącznik usługi Intune dla usługi Active Directory do pracy z istniejącymi wychodzącymi serwerami proxy.
Rozwiązywanie problemów z rejestracją	Rozwiąż problemy występujące podczas rejestracji.

Krok 9. Uruchamianie akcji zdalnych

Po skonfigurowaniu urządzeń można używać obsługiwanych akcji zdalnych do zarządzania urządzeniami i rozwiązywania problemów z nimi z daleka. W poniższych artykułach przedstawiono akcje zdalne dla systemu Windows. Jeśli akcja jest nieobecna lub wyłączona w portalu, nie jest obsługiwana w systemie Windows.

Zadanie	Szczegóły
Zdalne działania na urządzeniach	Dowiedz się, jak przejść do szczegółów i zdalnie zarządzać poszczególnymi urządzeniami oraz rozwiązywać związane z nimi problemy w usłudze Intune. Ten artykuł zawiera listę wszystkich akcji zdalnych dostępnych w usłudze Intune oraz linki do tych procedur.
Używanie aplikacji TeamViewer do zdalnego administrowania urządzeniami usługi Intune	Skonfiguruj aplikację TeamViewer w usłudze Intune i dowiedz się, jak zdalnie administrować urządzeniem.
Wyświetlanie zagrożeń i luk w zabezpieczeniach przy użyciu zadań zabezpieczeń	Użyj usługi Intune, aby skorygować słabość punktu końcowego zidentyfikowaną przez usługę Microsoft Defender dla punktu końcowego. Przed rozpoczęciem pracy z zadaniami zabezpieczeń należy zintegrować usługę Microsoft Defender for Endpoint z usługą Intune.

Krok 10. Pomoc pracownikom i uczniom

Zasoby w tej sekcji znajdują się w dokumentacji pomocy użytkownika usługi Microsoft Intune. Ta dokumentacja jest przeznaczona dla pracowników, studentów i innych użytkowników urządzeń licencjonowanych przez usługę Intune, którzy rejestrują urządzenie osobiste lub firmowe. Linki do dokumentacji są dostępne w aplikacji Portal firmy usługi Intune i wskazują informacje na temat:

Metody rejestracji z przewodnikami dotyczącymi rejestrowania
Ustawienia i funkcje portalu firmy
Jak wyrejestrować i usunąć przechowywane dane
Aktualizowanie ustawień urządzenia pod kątem wymagań dotyczących zgodności
Jak zgłaszać problemy z aplikacjami