Udostępnij za pośrednictwem

Krok 4. Konfigurowanie funkcji i ustawień urządzenia w celu zabezpieczania urządzeń i uzyskiwania dostępu do zasobów

  • Artykuł

Do tej pory skonfigurowano subskrypcję usługi Intune, utworzono zasady ochrony aplikacji i utworzono zasady zgodności urządzeń.

W tym kroku możesz skonfigurować minimalny lub bazowy zestaw funkcji zabezpieczeń i urządzeń, które muszą mieć wszystkie urządzenia.

Diagram przedstawiający wprowadzenie do usługi Microsoft Intune z krokiem 4, który konfiguruje funkcje urządzeń i ustawienia zabezpieczeń.

Ten artykuł dotyczy:

  • Android
  • iOS/iPadOS
  • macOS
  • System Windows

Podczas tworzenia profilów konfiguracji urządzeń dostępne są różne poziomy i typy zasad. Te poziomy są minimalnymi zalecanymi zasadami firmy Microsoft. Wiedza o tym, że twoje środowisko i potrzeby biznesowe mogą być różne.

  • Poziom 1 — minimalna konfiguracja urządzenia: na tym poziomie firma Microsoft zaleca utworzenie zasad, które:

    • Skoncentruj się na zabezpieczeniach urządzeń, w tym na instalowaniu oprogramowania antywirusowego, tworzeniu silnych zasad haseł i regularnym instalowaniu aktualizacji oprogramowania.
    • Zapewnij użytkownikom dostęp do poczty e-mail organizacji i kontrolowany bezpieczny dostęp do sieci, gdziekolwiek się znajdują.

  • Poziom 2 — ulepszona konfiguracja urządzenia: na tym poziomie firma Microsoft zaleca utworzenie zasad, które:

    • Rozwiń zakres zabezpieczeń urządzeń, w tym konfigurowanie szyfrowania dysków, włączanie bezpiecznego rozruchu i dodawanie kolejnych reguł haseł.
    • Wbudowane funkcje i szablony umożliwiają skonfigurowanie większej liczby ustawień, które są ważne dla organizacji, w tym analizowanie lokalnych obiektów zasad grupy.

  • Poziom 3 — wysoka konfiguracja urządzenia: na tym poziomie firma Microsoft zaleca utworzenie zasad, które:

    • Przejdź do uwierzytelniania bez hasła, w tym korzystania z certyfikatów, konfigurowania logowania jednokrotnego (SSO) do aplikacji, włączania uwierzytelniania wieloskładnikowego (MFA) i konfigurowania aplikacji Microsoft Tunnel.
    • Dodawanie dodatkowych warstw zabezpieczeń przy użyciu trybu typowych kryteriów systemu Android lub tworzenie zasad DFCI dla urządzeń z systemem Windows.
    • Wbudowane funkcje umożliwiają konfigurowanie urządzeń kiosku, dedykowanych urządzeń, urządzeń udostępnionych i innych wyspecjalizowanych urządzeń.
    • Wdróż istniejące skrypty powłoki.

W tym artykule wymieniono różne poziomy zasad konfiguracji urządzeń, których powinny używać organizacje. Większość tych zasad w tym artykule koncentruje się na dostępie do zasobów i zabezpieczeń organizacji.

Te funkcje są konfigurowane w profilach konfiguracji urządzeń w centrum administracyjnym usługi Microsoft Intune. Gdy profile będą gotowe, można je wdrożyć z usługi Intune na urządzeniach.

Porada

Zapoznaj się z przewodnikiem po usłudze Intune i centrum administracyjnym usługi Microsoft Intune.

Poziom 1 — tworzenie punktu odniesienia zabezpieczeń

Aby zapewnić bezpieczeństwo danych i urządzeń organizacji, należy utworzyć różne zasady, które koncentrują się na zabezpieczeniach. Należy utworzyć listę funkcji zabezpieczeń, które muszą mieć wszyscy użytkownicy i/lub wszystkie urządzenia. Ta lista jest punktem odniesienia zabezpieczeń.

W punkcie odniesienia firma Microsoft zaleca co najmniej następujące zasady zabezpieczeń:

  • Instalowanie oprogramowania antywirusowego (AV) i regularne skanowanie pod kątem złośliwego oprogramowania
  • Używanie wykrywania i reagowania
  • Włączanie zapory
  • Regularne instalowanie aktualizacji oprogramowania
  • Tworzenie silnych zasad numeru PIN/hasła

W tej sekcji wymieniono usługi Intune i Microsoft, których można użyć do tworzenia tych zasad zabezpieczeń.

Aby uzyskać bardziej szczegółową listę ustawień systemu Windows i ich zalecanych wartości, przejdź do pozycji Punkty odniesienia zabezpieczeń systemu Windows.

Oprogramowanie antywirusowe i skanowanie

✔️ Instalowanie oprogramowania antywirusowego i regularne skanowanie pod kątem złośliwego oprogramowania

Wszystkie urządzenia powinny mieć zainstalowane oprogramowanie antywirusowe i być regularnie skanowane pod kątem złośliwego oprogramowania. Usługa Intune integruje się z usługami ochrony przed zagrożeniami mobilnymi (MTD) innych partnerów, które zapewniają skanowanie av i zagrożeń. W przypadku systemów macOS i Windows oprogramowanie antywirusowe i skanowanie są wbudowane w usługę Intune za pomocą usługi Microsoft Defender for Endpoint.

Opcje zasad:

Platforma Typ zasad
Android Enterprise - Partner w zakresie
ochrony przed zagrożeniami mobilnymi — usługa Microsoft Defender dla punktu końcowego dla systemu Android może skanować pod kątem złośliwego oprogramowania
iOS/iPadOS Partner w zakresie ochrony przed zagrożeniami mobilnymi
macOS Profil antywirusowy intune Endpoint Security (Microsoft Defender for Endpoint)
Klient systemu Windows — Punkty odniesienia zabezpieczeń usługi Intune (zalecane)
— profil antywirusowy intune Endpoint Security (Microsoft Defender for Endpoint)
— partner w zakresie ochrony przed zagrożeniami mobilnymi

Aby uzyskać więcej informacji na temat tych funkcji, przejdź do:

Wykrywanie i reagowanie

✔️ Wykrywanie ataków i reagowanie na te zagrożenia

Szybkie wykrywanie zagrożeń pozwala zminimalizować wpływ zagrożenia. Po połączeniu tych zasad z dostępem warunkowym można zablokować użytkownikom i urządzeniom dostęp do zasobów organizacji w przypadku wykrycia zagrożenia.

Opcje zasad:

Platforma Typ zasad
Android Enterprise — Partner w zakresie
ochrony przed zagrożeniami mobilnymi — Microsoft Defender for Endpoint w systemie Android
iOS/iPadOS — Partner w zakresie
ochrony przed zagrożeniami mobilnymi — Usługa Microsoft Defender dla punktu końcowego w systemie iOS/iPadOS
macOS Niedostępny
Klient systemu Windows — Punkty odniesienia zabezpieczeń usługi Intune (zalecane)
— profil wykrywania i reagowania punktów końcowych usługi Intune (Microsoft Defender dla punktu końcowego)
— partner w zakresie ochrony przed zagrożeniami mobilnymi

Aby uzyskać więcej informacji na temat tych funkcji, przejdź do:

Zapora

✔️ Włączanie zapory na wszystkich urządzeniach

Niektóre platformy są wyposażone w wbudowaną zaporę, a na innych może być konieczne zainstalowanie zapory oddzielnie. Usługa Intune integruje się z usługami mtd (mobile threat defense) innych partnerów, które mogą zarządzać zaporą dla urządzeń z systemem Android i iOS/iPadOS. W przypadku systemów macOS i Windows zabezpieczenia zapory są wbudowane w usługę Intune przy użyciu usługi Microsoft Defender for Endpoint.

Opcje zasad:

Platforma Typ zasad
Android Enterprise Partner w zakresie ochrony przed zagrożeniami mobilnymi
iOS/iPadOS Partner w zakresie ochrony przed zagrożeniami mobilnymi
macOS Profil zapory zabezpieczeń punktu końcowego usługi Intune (Microsoft Defender dla punktu końcowego)
Klient systemu Windows — Punkty odniesienia zabezpieczeń usługi Intune (zalecane)
— profil zapory punktu końcowego usługi Intune (Microsoft Defender dla punktu końcowego)
— partner w zakresie ochrony przed zagrożeniami mobilnymi

Aby uzyskać więcej informacji na temat tych funkcji, przejdź do:

Zasady haseł

✔️ Tworzenie silnych zasad haseł/numeru PIN i blokowanie prostych kodów dostępu

Numery PIN odblokowywania urządzeń. Na urządzeniach uzyskujących dostęp do danych organizacji, w tym na urządzeniach należących do użytkownika, należy wymagać silnych numerów PIN/kodów dostępu i obsługi danych biometrycznych w celu odblokowania urządzeń. Korzystanie z biometrii jest częścią podejścia bez hasła, które jest zalecane.

Usługa Intune używa profilów ograniczeń urządzeń do tworzenia i konfigurowania wymagań dotyczących haseł.

Opcje zasad:

Platforma Typ zasad
Android Enterprise Profil ograniczeń urządzeń usługi Intune do zarządzania:
— Hasło urządzenia
— Hasło profilu służbowego
AOSP Profil ograniczeń urządzenia usługi Intune
iOS/iPadOS Profil ograniczeń urządzenia usługi Intune
macOS Profil ograniczeń urządzenia usługi Intune
Klient systemu Windows — Punkty odniesienia zabezpieczeń usługi Intune (zalecane)
— profil ograniczeń urządzeń usługi Intune

Aby uzyskać listę ustawień, które można skonfigurować, przejdź do:

Aktualizacje oprogramowania

✔️ Regularne instalowanie aktualizacji oprogramowania

Wszystkie urządzenia powinny być regularnie aktualizowane i należy tworzyć zasady, aby upewnić się, że te aktualizacje zostały pomyślnie zainstalowane. W przypadku większości platform usługa Intune ma dedykowane zasady, które koncentrują się na zarządzaniu aktualizacjami i instalowaniu ich.

Opcje zasad:

Platforma Typ zasad
Urządzenia należące do organizacji z systemem Android Enterprise Ustawienia aktualizacji systemu przy użyciu profilu ograniczeń urządzenia usługi Intune
Urządzenia osobiste z systemem Android Enterprise Niedostępny

Można użyć zasad zgodności, aby ustawić minimalny poziom poprawek, minimalną/maksymalną wersję systemu operacyjnego i nie tylko.
iOS/iPadOS Zasady aktualizacji usługi Intune
macOS Zasady aktualizacji usługi Intune
Klient systemu Windows — Zasady
aktualizacji funkcji usługi Intune — zasady przyspieszonych aktualizacji usługi Intune

Aby uzyskać więcej informacji na temat tych funkcji i/lub ustawień, które można skonfigurować, przejdź do:

Poziom 1 — uzyskiwanie dostępu do poczty e-mail organizacji, nawiązywanie połączenia z siecią VPN lub Wi-Fi

Ta sekcja koncentruje się na uzyskiwaniu dostępu do zasobów w organizacji. Te zasoby obejmują:

  • Poczta e-mail dla kont służbowych
  • Połączenie sieci VPN na potrzeby łączności zdalnej
  • Wi-Fi połączenia dla łączności lokalnej

Diagram przedstawiający profile poczty e-mail, sieci VPN i Wi-Fi wdrożone z usługi Microsoft Intune na urządzeniach użytkowników końcowych.

Poczta e-mail

Wiele organizacji wdraża profile poczty e-mail ze wstępnie skonfigurowanymi ustawieniami na urządzeniach użytkowników.

✔️ Automatyczne nawiązywanie połączenia z kontami e-mail użytkowników

Profil zawiera ustawienia konfiguracji poczty e-mail, które łączą się z serwerem poczty e-mail.

W zależności od skonfigurowanych ustawień profil poczty e-mail może również automatycznie łączyć użytkowników z ich ustawieniami poszczególnych kont e-mail.

✔️ Korzystanie z aplikacji poczty e-mail na poziomie przedsiębiorstwa

Profile poczty e-mail w usłudze Intune używają typowych i popularnych aplikacji poczty e-mail, takich jak Outlook. Aplikacja poczty e-mail jest wdrażana na urządzeniach użytkowników. Po jego wdrożeniu wdrażasz profil konfiguracji urządzenia poczty e-mail z ustawieniami, które konfigurują aplikację poczty e-mail.

Profil konfiguracji urządzenia poczty e-mail zawiera ustawienia łączące się z programem Exchange.

✔️ Uzyskiwanie dostępu do służbowych wiadomości e-mail

Tworzenie profilu poczty e-mail to typowe minimalne zasady punktu odniesienia dla organizacji z użytkownikami korzystającymi z poczty e-mail na swoich urządzeniach.

Usługa Intune ma wbudowane ustawienia poczty e-mail dla urządzeń klienckich z systemem Android, iOS/iPadOS i Windows. Gdy użytkownicy otwierają swoją aplikację poczty e-mail, mogą automatycznie łączyć się, uwierzytelniać i synchronizować konta e-mail organizacji na swoich urządzeniach.

✔️ Wdrażanie w dowolnym momencie

Na nowych urządzeniach zaleca się wdrożenie aplikacji poczty e-mail podczas procesu rejestracji. Po zakończeniu rejestracji wdróż zasady konfiguracji urządzenia poczty e-mail.

Jeśli masz istniejące urządzenia, wdróż aplikację poczty e-mail w dowolnym momencie i wdróż zasady konfiguracji urządzeń poczty e-mail.

Wprowadzenie do profilów poczty e-mail

Aby rozpocząć:

  1. Wdrażanie aplikacji poczty e-mail na urządzeniach. Aby uzyskać wskazówki, przejdź do tematu Dodawanie ustawień poczty e-mail do urządzeń przy użyciu usługi Intune.

  2. Utwórz profil konfiguracji urządzenia poczty e-mail w usłudze Intune. W zależności od aplikacji poczty e-mail używanej przez organizację profil konfiguracji urządzenia poczty e-mail może nie być potrzebny.

    Aby uzyskać wskazówki, przejdź do tematu Dodawanie ustawień poczty e-mail do urządzeń przy użyciu usługi Intune.

  3. W profilu konfiguracji urządzenia poczty e-mail skonfiguruj ustawienia dla platformy:

  4. Przypisz profil konfiguracji urządzenia poczty e-mail do użytkowników lub grup użytkowników.

Sieć VPN

Wiele organizacji wdraża profile sieci VPN ze wstępnie skonfigurowanymi ustawieniami na urządzeniach użytkowników. Sieć VPN łączy urządzenia z wewnętrzną siecią organizacji.

Jeśli Twoja organizacja korzysta z usług w chmurze z nowoczesnym uwierzytelnianiem i bezpiecznymi tożsamościami, prawdopodobnie nie potrzebujesz profilu sieci VPN. Usługi natywne dla chmury nie wymagają połączenia sieci VPN.

Jeśli aplikacje lub usługi nie są oparte na chmurze lub nie są natywne dla chmury, zaleca się wdrożenie profilu sieci VPN w celu nawiązania połączenia z wewnętrzną siecią organizacji.

✔️ Praca z dowolnego miejsca

Tworzenie profilu sieci VPN to typowe zasady minimalnej linii bazowej dla organizacji z pracownikami zdalnymi i hybrydowymi pracownikami.

Ponieważ użytkownicy pracują z dowolnego miejsca, mogą korzystać z profilu sieci VPN, aby bezpiecznie łączyć się z siecią organizacji w celu uzyskania dostępu do zasobów.

Usługa Intune ma wbudowane ustawienia sieci VPN dla urządzeń klienckich z systemami Android, iOS/iPadOS, macOS i Windows. Na urządzeniach użytkowników połączenie sieci VPN jest wyświetlane jako dostępne połączenie. Użytkownicy ją wybierają. W zależności od ustawień profilu sieci VPN użytkownicy mogą automatycznie uwierzytelniać się i łączyć się z siecią VPN na swoich urządzeniach.

✔️ Korzystanie z aplikacji sieci VPN na poziomie przedsiębiorstwa

Profile sieci VPN w usłudze Intune korzystają z typowych aplikacji sieci VPN dla przedsiębiorstw, takich jak Check Point, Cisco, Microsoft Tunnel i inne. Aplikacja sieci VPN jest wdrażana na urządzeniach użytkowników. Po wdrożeniu aplikacji wdrożysz profil połączenia sieci VPN z ustawieniami, które konfigurują aplikację sieci VPN.

Profil konfiguracji urządzenia sieci VPN zawiera ustawienia łączące się z serwerem sieci VPN.

✔️ Wdrażanie w dowolnym momencie

Na nowych urządzeniach zaleca się wdrożenie aplikacji sieci VPN podczas procesu rejestracji. Po zakończeniu rejestracji wdróż zasady konfiguracji urządzenia sieci VPN.

Jeśli masz istniejące urządzenia, wdróż aplikację sieci VPN w dowolnym momencie, a następnie wdróż zasady konfiguracji urządzeń sieci VPN.

Wprowadzenie do profilów sieci VPN

Aby rozpocząć:

  1. Wdrażanie aplikacji sieci VPN na urządzeniach.

  2. Utwórz profil konfiguracji sieci VPN w usłudze Intune.

  3. W profilu konfiguracji urządzenia sieci VPN skonfiguruj ustawienia dla platformy:

  4. Przypisz profil konfiguracji urządzenia sieci VPN do użytkowników lub grup użytkowników.

Wi-Fi

Wiele organizacji wdraża profile Wi-Fi ze wstępnie skonfigurowanymi ustawieniami na urządzeniach użytkowników. Jeśli Twoja organizacja ma pracowników tylko zdalnych, nie musisz wdrażać Wi-Fi profilów połączeń. Wi-Fi profile są opcjonalne i są używane do łączności lokalnej.

✔️ Łączenie bezprzewodowe

Ponieważ użytkownicy pracują z różnych urządzeń przenośnych, mogą korzystać z profilu Wi-Fi, aby bezprzewodowo i bezpiecznie łączyć się z siecią organizacji.

Profil zawiera ustawienia konfiguracji Wi-Fi, które automatycznie łączą się z siecią i/lub identyfikatorem SSID (identyfikator zestawu usług). Użytkownicy nie muszą ręcznie konfigurować ustawień Wi-Fi.

✔️ Obsługa lokalnych urządzeń przenośnych

Tworzenie profilu Wi-Fi to typowe minimalne zasady punktu odniesienia dla organizacji z urządzeniami przenośnymi, które działają lokalnie.

Usługa Intune ma wbudowane ustawienia Wi-Fi dla urządzeń klienckich z systemami Android, iOS/iPadOS, macOS i Windows. Na urządzeniach użytkowników połączenie Wi-Fi jest wyświetlane jako dostępne połączenie. Użytkownicy ją wybierają. W zależności od ustawień profilu Wi-Fi użytkownicy mogą automatycznie uwierzytelniać się i łączyć się z Wi-Fi na swoich urządzeniach.

✔️ Wdrażanie w dowolnym momencie

Na nowych urządzeniach zaleca się wdrożenie zasad konfiguracji urządzenia Wi-Fi podczas rejestrowania urządzeń w usłudze Intune.

Jeśli masz istniejące urządzenia, możesz wdrożyć zasady konfiguracji Wi-Fi urządzenia w dowolnym momencie.

Wprowadzenie do profilów Wi-Fi

Aby rozpocząć:

  1. Utwórz profil konfiguracji urządzenia Wi-Fi w usłudze Intune.

  2. Skonfiguruj ustawienia dla platformy:

  3. Przypisz profil konfiguracji urządzenia Wi-Fi do użytkowników lub grup użytkowników.

Poziom 2 — rozszerzona ochrona i konfiguracja

Ten poziom rozszerza elementy skonfigurowane na poziomie 1 i zwiększa bezpieczeństwo urządzeń. W tej sekcji utworzysz zestaw zasad poziomu 2, które konfigurują więcej ustawień zabezpieczeń dla urządzeń.

Firma Microsoft zaleca następujące zasady zabezpieczeń poziomu 2:

  • Usługa Intune zawiera setki ustawień, które mogą zarządzać funkcjami i ustawieniami urządzeń , takimi jak wyłączanie wbudowanej kamery, kontrolowanie powiadomień, zezwalanie na bluetooth, blokowanie gier i nie tylko.

    Aby wyświetlić i skonfigurować ustawienia, możesz użyć wbudowanych szablonów lub wykazu ustawień .

    • Szablony ograniczeń urządzeń mają wiele wbudowanych ustawień, które mogą kontrolować różne części urządzeń, w tym zabezpieczenia, sprzęt, udostępnianie danych i nie tylko.

      Możesz użyć tych szablonów na następujących platformach:

      • Android
      • iOS/iPadOS
      • macOS
      • System Windows

    • Użyj wykazu ustawień, aby wyświetlić i skonfigurować wszystkie dostępne ustawienia. Wykaz ustawień można użyć na następujących platformach:

      • iOS/iPadOS
      • macOS
      • System Windows

    • Użyj wbudowanych szablonów administracyjnych, podobnie jak w przypadku konfigurowania lokalnych szablonów ADMX. Szablonów ADMX można używać na następującej platformie:

      • System Windows

  • Jeśli używasz lokalnych obiektów zasad grupy i chcesz wiedzieć, czy te same ustawienia są dostępne w usłudze Intune, użyj analizy zasad grupy. Ta funkcja analizuje obiekty zasad grupy i w zależności od analizy może je zaimportować do zasad wykazu ustawień usługi Intune.

    Aby uzyskać więcej informacji, przejdź do tematu Analizowanie lokalnych obiektów zasad grupy i importowanie ich w usłudze Intune.

Poziom 3 — wysoka ochrona i konfiguracja

Ten poziom rozwija się w oparciu o elementy skonfigurowane na poziomach 1 i 2. Dodaje dodatkowe funkcje zabezpieczeń używane w organizacjach na poziomie przedsiębiorstwa.

  1. Konfigurowanie usługi Microsoft Intune
  2. Dodawanie, konfigurowanie i ochrona aplikacji
  3. Planowanie zasad zgodności
  4. 🡺 Konfigurowanie funkcji urządzenia (jesteś tutaj)
  5. Rejestrowanie urządzeń