Dela via

Tilldela principer i Microsoft Intune

  • Artikel

När du skapar en Intune-princip innehåller den alla inställningar som du har lagt till och konfigurerat i principen. När principen är redo att distribueras är nästa steg att "tilldela" principen till dina användar- eller enhetsgrupper. När du tilldelar principen får användarna och enheterna din princip och de inställningar som du har angett tillämpas.

I Intune kan du skapa och tilldela följande principer:

  • Appskyddsprinciper
  • Appkonfigurationsprinciper
  • Kompatibilitetsprinciper
  • Villkorliga åtkomstprinciper
  • Enhetskonfigurationsprofiler
  • Registreringsprinciper

Den här artikeln visar hur du tilldelar en princip, innehåller viss information om hur du använder omfångstaggar, beskriver när du ska tilldela principer till användargrupper eller enhetsgrupper med mera.

Den här funktionen gäller för:

  • Android
  • iOS/iPadOS
  • macOS
  • Linux
  • Windows

Innan du börjar

  • Se till att du har rätt roll som kan tilldela principer och profiler. Mer information finns i RBAC (rollbaserad åtkomstkontroll) med Microsoft Intune.

  • Överväg att använda Microsoft Copilot i Intune. Några fördelar är:

    • När du skapar en princip och konfigurerar inställningar ger Copilot mer information om varje inställning, kan rekommendera ett värde och hitta potentiella konflikter.
    • När du tilldelar en princip kan Copilot berätta för dig vilka grupper principen har tilldelats och hjälpa dig att förstå principens effekt.

    Mer information finns i Microsoft Copilot i Intune.

Tilldela en princip till användare eller grupper

  1. Logga in på Microsoft Intune administrationscenter.

  2. Välj Enheter>Hantera enheter>Konfiguration. Alla profiler visas.

  3. Välj den profil som du vill tilldela >Egenskaper>Tilldelningar>Redigera:

    Om du till exempel vill tilldela en enhetskonfigurationsprofil:

    1. Gå till Enheter>Hantera enheter>Konfiguration. Alla profiler visas.

    2. Välj den princip som du vill tilldela >Egenskaper>Tilldelningar>Redigera:

      Skärmbild som visar hur du väljer tilldelningar för att distribuera profilen till användare och grupper i Microsoft Intune.

  4. Under inkluderade grupper eller undantagna grupper väljer du Lägg till grupper för att välja en eller flera Microsoft Entra-grupper. Om du tänker distribuera principen brett till alla tillämpliga enheter väljer du Lägg till alla användare eller Lägg till alla enheter.

    Obs!

    Om du väljer "Alla enheter" och "Alla användare" inaktiveras alternativet för att lägga till ytterligare Microsoft Entra-grupper.

  5. Välj Granska + Spara. Det här steget tilldelar inte din princip.

  6. Välj Spara. När du sparar tilldelas principen. Dina grupper får dina principinställningar när enheterna checkar in med Intune-tjänsten.

Tilldelningsfunktioner som du bör känna till och använda

Användargrupper jämfört med enhetsgrupper

Många användare frågar när de ska använda användargrupper och när de ska använda enhetsgrupper. Svaret beror på ditt mål. Här är några riktlinjer som hjälper dig att komma igång.

Enhetsgrupper

Om du vill tillämpa inställningar på en enhet, oavsett vem som är inloggad, tilldelar du dina principer till en enhetsgrupp. Inställningar som tillämpas på enhetsgrupper följer alltid med enheten, inte användaren.

Till exempel:

  • Enhetsgrupper är användbara för att hantera enheter som inte har en dedikerad användare. Du har till exempel enheter som skriver ut biljetter, skannar inventering, delas av arbetspassarbetare, tilldelas till ett visst lager och så vidare. Placera enheterna i en enhetsgrupp och tilldela dina principer till den här enhetsgruppen.

  • Du skapar en DfCI Intune-profil (Device Firmware Configuration Interface) som uppdaterar inställningarna i BIOS. Du kan till exempel konfigurera den här principen för att inaktivera enhetens kamera eller låsa startalternativen för att förhindra att användare startar ett annat operativsystem. Den här principen är ett bra scenario för att tilldela till en enhetsgrupp.

  • På vissa specifika Windows-enheter vill du alltid styra vissa Microsoft Edge inställningar, oavsett vem som använder enheten. Du vill till exempel blockera alla nedladdningar, begränsa alla cookies till den aktuella webbläsarsessionen och ta bort webbhistoriken. I det här scenariot placerar du dessa specifika Windows-enheter i en enhetsgrupp. Skapa sedan en administrativ mall i Intune, lägg till de här enhetsinställningarna och tilldela sedan den här principen till enhetsgruppen.

Sammanfatta genom att använda enhetsgrupper när du inte bryr dig om vem som är inloggad på enheten eller om någon loggar in. Du vill att dina inställningar alltid ska finnas på enheten.

Användargrupper

Principinställningar som tillämpas på användargrupper följer alltid med användaren och följer med användaren när han eller hon är inloggad på sina många enheter. Det är normalt att användarna har många enheter, till exempel en Surface Pro för arbete och en personlig iOS/iPadOS-enhet. Och det är normalt att en person får åtkomst till e-post och andra organisationsresurser från dessa enheter.

Om en användare har flera enheter på samma plattform kan du använda filter på grupptilldelningen. En användare har till exempel en personlig iOS/iPadOS-enhet och en organisationsägd iOS/iPadOS. När du tilldelar en princip för den användaren kan du använda filter för att endast rikta in dig på den organisationsägda enheten.

Följ den här allmänna regeln: Om en funktion tillhör en användare, till exempel e-post eller användarcertifikat, tilldelar du till användargrupper.

Till exempel:

  • Du vill lägga till en supportikon för alla användare på alla deras enheter. I det här scenariot placerar du dessa användare i en användargrupp och tilldelar din supportikonprincip till den här användargruppen.

  • En användare får en ny organisationsägd enhet. Användaren loggar in på enheten med sitt domänkonto. Enheten registreras automatiskt i Microsoft Entra ID och hanteras automatiskt av Intune. Den här principen är ett bra scenario att tilldela till en användargrupp.

  • När en användare loggar in på en enhet vill du styra funktioner i appar, till exempel OneDrive eller Office. I det här scenariot tilldelar du dina OneDrive- eller Office-principinställningar till en användargrupp.

    Du vill till exempel blockera ActiveX-kontroller som inte är betrodda i dina Office-appar. Du kan skapa en Administrativ mall i Intune, konfigurera den här inställningen och sedan tilldela den här principen till en användargrupp.

Sammanfatta genom att använda användargrupper när du vill att dina inställningar och regler alltid ska följa med användaren, oavsett vilken enhet de använder.

Flera sessioner i Azure Virtual Desktop

Du kan använda Intune för att hantera Windows-fjärrskrivbord med flera sessioner som skapats med Azure Virtual Desktop, precis som du hanterar andra delade Windows-klientenheter. När du tilldelar principer till användargrupper eller enheter är Azure Virtual Desktop flera sessioner ett särskilt scenario. Med virtuella datorer måste enhets-CSP:er riktas mot enhetsgrupper. Användar-CSP:er måste vara mål för användargrupper.

Mer information finns i Använda Flera sessioner i Azure Virtual Desktop med Microsoft Intune.

Windows CSP:er och deras beteende

Principinställningarna för Windows-enheter baseras på konfigurationstjänstleverantörerna (CSP:er). De här inställningarna mappas till registernycklar eller filer på enheterna.

Det här behöver du veta om Windows CSP:er:

  • Intune exponerar dessa CSP:er så att du kan konfigurera de här inställningarna och tilldela dem till dina Windows-enheter. De här inställningarna kan konfigureras med hjälp av de inbyggda mallarna och med hjälp av -inställningskatalogen. I inställningskatalogen ser du att vissa inställningar gäller för användaromfånget och vissa inställningar gäller för enhetens omfång.

    Information om hur inställningar för användaromfång och enhetsomfattning tillämpas på Windows-enheter finns i Inställningskatalog: Enhetsomfattning jämfört med inställningar för användaromfång.

  • När en princip tas bort eller inte längre tilldelas till en enhet kan olika saker hända, beroende på inställningarna i principen. Varje molnlösningsleverantör kan hantera principborttagningen på olika sätt.

    En inställning kan till exempel behålla det befintliga värdet och inte återgå till ett standardvärde. Varje CSP styr beteendet. En lista över Windows CSP:er finns i CSP-referens (Configuration Service Provider).

    Om du vill ändra en inställning till ett annat värde skapar du en ny princip, konfigurerar inställningen till Inte konfigurerad och tilldelar principen. När principen gäller för enheten bör användarna ha kontroll över att ändra inställningen till önskat värde.

  • När du konfigurerar de här inställningarna föreslår vi att du distribuerar till en pilotgrupp. Mer information om Intune-distribution finns i skapa en distributionsplan.

Exkludera grupper från en principtilldelning

Med intune-enhetskonfigurationsprinciper kan du inkludera och exkludera grupper från principtilldelning.

Som bästa praxis:

  • Skapa och tilldela principer specifikt för dina användargrupper. Använd filter för att inkludera eller exkludera enheter för dessa användare.
  • Skapa och tilldela olika principer specifikt för dina enhetsgrupper.

Mer information om grupper finns i Lägga till grupper för att organisera användare och enheter.

Principer för att inkludera och exkludering av grupper

När du tilldelar principer och principer tillämpar du följande allmänna principer:

  • Tänk på inkluderade grupper eller undantagna grupper som utgångspunkt för de användare och enheter som ska ta emot dina principer. Microsoft Entra-gruppen är den begränsande gruppen, så använd det minsta möjliga gruppomfånget. Använd filter för att begränsa eller förfina principtilldelningen.

  • Tilldelade Microsoft Entra-grupper, även kallade statiska grupper, kan läggas till i inkluderade grupper eller exkluderade grupper.

    Vanligtvis tilldelar du enheter statiskt till en Microsoft Entra-grupp om de är förregistrerade i Microsoft Entra ID, som med Windows Autopilot. Eller, om du vill kombinera enheter för en engångsdistribution, ad hoc-distribution. Annars kanske det inte är praktiskt att statiskt tilldela enheter till en Microsoft Entra-grupp.

  • Dynamiska Microsoft Entra-användargrupper kan läggas till i inkluderade grupper eller exkluderade grupper.

  • Undantagna grupper kan vara grupper med användare eller grupper med enheter.

  • Dynamiska Microsoft Entra-enhetsgrupper kan läggas till i inkluderade grupper. Men det kan finnas svarstider när du fyller i det dynamiska gruppmedlemskapet. I svarstidskänsliga scenarier använder du filter för att rikta in dig på specifika enheter och tilldela dina principer till användargrupper.

    Du vill till exempel att principer ska tilldelas till enheter så snart de registreras. I den här fördröjningskänsliga situationen skapar du ett filter för att rikta in dig på de enheter du vill använda och tilldela principen med det här filtret till användargrupper. Tilldela inte till enhetsgrupper.

    I ett användarlöst scenario skapar du ett filter för att rikta in dig på de enheter du vill använda och tilldela principen med filtret till gruppen "Alla enheter".

  • Undvik att lägga till dynamiska Microsoft Entra-enhetsgrupper i undantagna grupper. Svarstid i dynamisk enhetsgruppberäkning vid registrering kan orsaka oönskade resultat. Till exempel kan oönskade appar och principer distribueras innan det exkluderade gruppmedlemskapet fylls i.

Stödmatris

Använd följande matris för att förstå stödet för att exkludering av grupper:

  • ✅: Stöds
  • ❌: Stöds inte
  • ❕ : Stöds delvis

Skärmbild som visar de alternativ som stöds för att inkludera eller exkludera grupper från en principtilldelning.

Scenario Support
1 ❕ Delvis stöd för

Det finns stöd för att tilldela principer till en dynamisk enhetsgrupp samtidigt som du utesluter en annan dynamisk enhetsgrupp. Men det rekommenderas inte i scenarier som är känsliga för svarstider. Alla fördröjningar i exkludera gruppmedlemskapsberäkningar kan göra att principer erbjuds till enheter. I det här scenariot rekommenderar vi att du använder filter i stället för dynamiska enhetsgrupper för att exkludering av enheter.

Du har till exempel en enhetsprincip som är tilldelad till Alla enheter. Senare har du ett krav på att nya marknadsföringsenheter inte får den här principen. Så du skapar en dynamisk enhetsgrupp som heter Marketing-enheter baserat på enrollmentProfilenameegenskapen (device.enrollmentProfileName -eq "Marketing_devices"). I principen lägger du till Marketing-enheter dynamisk grupp som en undantagen grupp.

En ny marknadsföringsenhet registreras i Intune för första gången och ett nytt Microsoft Entra-enhetsobjekt skapas. Den dynamiska grupperingsprocessen placerar enheten i gruppen Marketing-enheter med en möjlig fördröjd beräkning. Samtidigt registreras enheten i Intune och börjar ta emot alla tillämpliga principer. Intune-principen kan distribueras innan enheten placeras i undantagsgruppen. Det här beteendet resulterar i att en oönskad princip (eller app) distribueras till gruppen Marketing-enheter.

Därför rekommenderar vi inte att dynamiska enhetsgrupper används för undantag i fördröjningskänsliga scenarier. Använd i stället filter.
2 ✅ Stöds

Det finns stöd för att tilldela en princip till en dynamisk enhetsgrupp samtidigt som en statisk enhetsgrupp exkluderas.
3 ❌ Stöds inte

Det finns inte stöd för att tilldela en princip till en dynamisk enhetsgrupp samtidigt som användargrupper (både dynamiska och statiska) undantas. Intune utvärderar inte användar-till-enhet-grupprelationer och enheter för de inkluderade användarna utesluts inte.
4 ❌ Stöds inte

Det går inte att tilldela en princip till en dynamisk enhetsgrupp och exkludera användargrupper (både dynamiska och statiska). Intune utvärderar inte användar-till-enhet-grupprelationer och enheter för de inkluderade användarna utesluts inte.
5 ❕ Delvis stöd

Det finns stöd för att tilldela en princip till en statisk enhetsgrupp samtidigt som en dynamisk enhetsgrupp exkluderas. Men det rekommenderas inte i scenarier som är känsliga för svarstider. Alla fördröjningar i exkludera gruppmedlemskapsberäkningar kan göra att principer erbjuds till enheter. I det här scenariot rekommenderar vi att du använder filter i stället för dynamiska enhetsgrupper för att exkludering av enheter.
6 ✅ Stöds

Det finns stöd för att tilldela en princip till en statisk enhetsgrupp och exkludera en annan statisk enhetsgrupp.
7 ❌ Stöds inte

Det går inte att tilldela en princip till en statisk enhetsgrupp och exkludera användargrupper (både dynamiska och statiska). Intune utvärderar inte användar-till-enhet-grupprelationer och enheter för de inkluderade användarna utesluts inte.
8 ❌ Stöds inte

Det går inte att tilldela en princip till en statisk enhetsgrupp och exkludera användargrupper (både dynamiska och statiska). Intune utvärderar inte användar-till-enhet-grupprelationer och enheter för de inkluderade användarna utesluts inte.
9 ❌ Stöds inte

Det går inte att tilldela en princip till en dynamisk användargrupp och exkludera enhetsgrupper (både dynamiska och statiska).
10 ❌ Stöds inte

Det går inte att tilldela en princip till en dynamisk användargrupp och exkludera enhetsgrupper (både dynamiska och statiska).
11 ✅ Stöds

Det finns stöd för att tilldela en princip till en dynamisk användargrupp samtidigt som andra användargrupper (både dynamiska och statiska) undantas.
1,2 ✅ Stöds

Det finns stöd för att tilldela en princip till en dynamisk användargrupp samtidigt som andra användargrupper (både dynamiska och statiska) undantas.
1, 3 ❌ Det finns inte stöd för

Det finns inte stöd för att tilldela en princip till en statisk användargrupp samtidigt som enhetsgrupper (både dynamiska och statiska) undantas.
14 ❌ Det finns inte stöd för

Det finns inte stöd för att tilldela en princip till en statisk användargrupp samtidigt som enhetsgrupper (både dynamiska och statiska) undantas.
15 ✅ Stöds

Det finns stöd för att tilldela en princip till en statisk användargrupp samtidigt som andra användargrupper (både dynamiska och statiska) undantas.
16 ✅ Stöds

Det finns stöd för att tilldela en princip till en statisk användargrupp samtidigt som andra användargrupper (både dynamiska och statiska) undantas.

Se övervaka enhetsprofiler för vägledning om hur du övervakar dina principer och de enheter som kör dina principer.