步骤 5 - 在 Microsoft Intune 中注册设备

在部署的最后阶段，将在 Microsoft Entra ID 中注册或加入设备，在 Microsoft Intune 中注册设备，并检查合规性。

该图显示了从步骤 5 开始使用 Microsoft Intune，该步骤正在注册要由 Intune 管理的设备。

在注册期间，Microsoft Intune 会在设备上安装移动设备管理 (MDM) 证书，这使Intune能够强制实施注册策略、注册限制以及你在本指南前面创建的策略。

本文内容：

  • 如何在 Microsoft Intune 中为公司拥有的和用户拥有的设备准备注册。
  • 每个 OS 平台的注册选项。
  • 注册后监视、疑难解答和资源。

入门

如果这是你第一次使用 Intune 部署注册策略，或者你正在尝试新的配置，请从小规模开始，并使用分阶段方法。 将注册策略分配给试点或测试组。 初始测试后，将更多用户添加到试点组。 如果一切顺利，请将注册策略分配给更多试点组。 有关详细信息和建议，请参阅 规划指南： 步骤 5 - 创建推出计划。

在 Microsoft Entra ID 中注册是 Intune 管理的必需步骤。 设备在 Intune 中注册之前，设备的用户必须在组织的 Microsoft Entra ID 中进行身份验证并建立设备标识。 此步骤授予用户单一登录对基于云的工作应用和其他资源的访问权限。 必须知道你正在使用的身份选项，因为它决定了你可以使用的注册方法，还决定了设备用户的登录体验。 标识选项包括：

  • Microsoft Entra 注册是可用于个人和公司拥有的移动设备的设备标识选项。 这些设备上的用户通过使用其 Microsoft Entra ID 工作帐户登录工作资源（如应用和 Web 浏览器）进行身份验证。
  • 加入 Microsoft Entra 是设备标识选项，可用于利用共同管理选项的公司拥有的 Windows 设备。 这些设备上的用户通过使用其 Microsoft Entra ID 工作帐户登录到设备进行身份验证。

预注册配置

通过配置注册功能（如注册限制、设备分类和设备注册管理器）为注册准备设备。 这些配置有助于改善和简化你和设备用户的注册体验，并帮助你在管理中心保持井然有序。 在创建注册策略之前配置它们。

设置可用性因 OS 平台而异。

取消注册和重置现有设备

如果设备当前已在另一个 MDM 提供程序中注册，请先从现有 MDM 提供商取消注册这些设备，然后再将其注册到 Intune。 下表显示了在注册到 Intune 之前需要恢复出厂设置的设备。

平台 是否需要恢复出厂设置？
Android Enterprise 个人拥有的工作配置文件设备 (BYOD) 否
Android Enterprise 公司拥有的工作配置文件 (COPE) 是
Android Enterprise 完全托管 (COBO) 是
Android Enterprise 专用设备 (COSU) 是
Android 设备管理员 (DA) 否
iOS/iPadOS (BYOD) 否
iOS/iPadOS (ADE) 是
tvOS (ADE) 是
visionOS (ADE) 是
Linux 否
macOS (BYOD) 否
macOS (ADE) 是
Windows 否

不需要重置的设备在注册后立即开始安装 Intune 策略。 如果在注册前未在 Intune 中更改以前配置的设置，这些设置可能会保留在设备上。

添加设备注册管理器

建议在需要注册和准备大量设备以供分发时使用设备注册管理器。 设备注册管理器帐户最多可以注册和管理 1,000 台设备，而标准非管理员帐户只能注册 15 台设备。 设备注册管理器是非管理员 Microsoft Entra 用户，可以：

  • 在 Intune 中注册最多 1000 台公司拥有的设备
  • 登录到 Intune 公司门户以获取公司应用
  • 通过将特定于角色的应用部署到设备来配置对公司数据的访问

某些注册方法（例如 Apple 自动设备注册）与设备注册管理器帐户不兼容，因此在开始设置之前，请确保支持你选取的方法。

有关详细信息和限制，请参阅 添加设备注册管理器。

创建设备注册限制

在 Microsoft Intune 管理中心使用此功能限制某些设备在 Intune 中注册。 可在 Microsoft Intune 中配置两种类型的设备注册限制：

  • 设备平台限制：根据设备平台、版本、制造商或所有权类型限制设备。
  • 设备限制限制：限制用户可以在 Intune 中注册的设备数。

注册限制不适用于 Linux 和某些 Windows 注册方案。 有关详细信息，请参阅 注册限制概述 。

创建条款和条件策略

可以使用 Intune 条款和条件策略在注册之前向设备用户披露法律免责声明和合规性要求。 此策略要求设备用户在注册其设备或访问受保护的资源之前接受组织的条款和条件。 这些条款和条件将在 Intune 公司门户应用中向目标用户显示。

如果要进行更多控制（包括条款的出现位置），请考虑配置 Microsoft Entra 使用条款。 当用户登录到目标应用和资源时，会向用户显示 Microsoft Entra 条款，并提供比 Intune 条款和条件更精细的设置。

有关详细信息，请参阅 用户访问条款和条件。

要求多重身份验证

要求用户在注册期间通过多重身份验证 (MFA) 进行身份验证。 如果需要 MFA，想要注册设备的人员必须使用另一台设备和两种形式的凭据进行身份验证，然后才能注册其设备。 这是一次性有条件的步骤，可确保设备上的用户是他们所说的人。 可以通过将条件访问策略与 MFA 策略配合使用，为除 Linux 之外的所有平台启用此行为。 需要 Microsoft Entra ID P1 或 P2。

有关详细信息，请参阅 Intune 设备注册需要多重身份验证。

将设备分类到组中

在 Intune 中创建设备类别，例如护理或营销，Intune 会自动将属于该类别的所有设备添加到 Intune 中的相应设备组。

此功能适用于除 Linux 以外的所有平台。 有关详细信息，请参阅 将设备分类到组中。

Android 设备注册

可以在 Intune 中注册个人或公司拥有的 Android 设备。 我们建议为使用 Google 移动服务的个人和公司拥有的设备使用 Android 企业版注册解决方案。 对于没有 Google 移动服务且是根据 Android 开源项目 (AOSP) 构建的公司拥有的设备，请使用 AOSP 注册方法。

先决条件

将 Intune 连接到托管的 Google Play 帐户。 所有 Android 企业版管理选项都需要该连接，包括：

  • Android Enterprise 个人拥有的工作配置文件
  • Android Enterprise 公司拥有的工作配置文件
  • Android Enterprise 完全托管设备
  • 专用 Android Enterprise

Android 注册方法

以下选项卡介绍了 Intune 支持的 Android 和 AOSP 注册选项。

  • 具有工作配置文件的公司所拥有设备：注册公司所拥有的设备，这些设备也已获准供个人使用。 此方法会在设备上创建单独的工作配置文件，以便用户可以在个人应用和工作应用之间轻松、安全地切换。 设备用户通过 Microsoft Intune 应用注册设备。 作为管理员，你可以管理工作配置文件中的应用和数据。 此方法与 Android 企业版公司拥有的工作配置文件 管理解决方案一致。

  • 完全托管：注册公司拥有的设备，专用于工作，而不是个人使用。 有一个用户与已注册的设备关联。 可以管理整个设备，并强制实施 Android 企业版工作配置文件方法不可用的策略控制。 此方法与 Android 企业版完全托管 管理解决方案一致。

  • 专用设备：注册用于数字标牌、票证打印或库存管理等业务的公司拥有的一次性设备或展台设备。 使用此方法，可以限制设备上可用的应用和 Web 链接，并防止用户在预期范围之外使用设备。 此方法与 Android 企业版专用设备 管理解决方案一致。

  • 公司拥有的无用户设备：将从 Android 开放源代码项目构建 (AOSP) 且没有 Google 移动服务的设备注册为 公司拥有的无用户设备。 这些设备没有与之关联的用户，旨在共享，就像在库或实验室中一样。

  • 公司拥有的用户关联设备：将基于 AOSP 构建且不包含 Google Mobile 服务的设备注册为 公司拥有的用户关联设备。 这些设备与单个用户相关联，并且仅供工作使用。

  • 零接触注册：建议使用零接触注册进行批量注册，并简化远程工作人员的注册。 通过此方法，你可以提前准备公司拥有的设备，以便在用户打开设备时自动预配并注册为完全托管的设备。

重要

Android 设备管理员 (DA) 管理已弃用，不再适用于有权访问 Google 移动服务 (GMS) 的设备。 如果当前使用 DA 管理，建议切换到其他 Android 管理选项。 支持和帮助文档仍然适用于某些没有 GMS 的 Android 15 及更早版本的设备。 有关详细信息，请参阅终止对 GMS 设备上的 Android 设备管理员的支持。

Apple 设备注册

本部分介绍 Intune 中适用于 iOS/iPadOS 和 Mac 设备的注册选项。

先决条件

在为 Apple 设备创建注册策略之前，请完成以下先决条件：

Apple 注册解决方案

下表介绍了运行 iOS/iPadOS 和 macOS 的设备的注册解决方案。

  • 适用于 iOS/iPadOS 和 Mac 设备的自动设备注册：使用自动设备注册注册从 Apple Business 或 Apple 校务管理购买的新设备或擦除设备。 这种适用于公司拥有设备的自动注册方法应用了 Apple Business 和 Apple 校园教务管理中的组织设置，支持监督模式，并且无需你触摸设备即可注册设备。 当用户打开设备时，Apple 设置助理会指导他们完成设置和注册。

  • 适用于 iOS/iPadOS 和 Mac 设备的 Apple 配置器：通过 Apple 配置器手动注册新的或现有的公司拥有的设备。 此选项非常适合批量注册，以及当你无法访问 Apple 校园教务管理、Apple 商务版或需要有线网络连接时。 您必须对设备进行物理访问，因为您必须在 Mac 上连接设备并配置设备。 可以采取两种不同的路径：

    • 设置助手注册：此方法会擦除设备并准备在 Apple Configurator 中注册。 当用户打开其设备时，设置助手将启动，然后设备将在 Intune 中注册。 必须有权访问设备序列号，因为需要将其输入到管理中心。
    • 直接注册：此方法允许你在分发之前注册设备，并且不会擦除设备。 以这种方式注册的设备不会与用户关联，因此我们建议对共享或展台设备使用此选项。 macOS 和 iOS 设备的说明不同，因此请务必为设备使用正确的操作方法文档。

注册 Linux

BYOD 方案中的员工和学生可以在 Microsoft Intune 中注册个人 Linux 设备。 注册使他们能够访问 Microsoft Edge 中的工作资源。

作为 Intune 管理员，无需执行任何操作即可在管理中心启用 Linux 注册。 它会自动启用。 当用户注册其 Linux 设备时，你将在管理中心看到它们。 有关详细信息，请参阅在 Microsoft Intune 中注册 Linux 桌面设备。

Windows 注册

本部分介绍适用于运行 Windows 的个人和公司拥有的设备的注册解决方案。

注意

云环境中的设备支持 Microsoft Intune 注册。 本地环境中支持与 Configuration Manager 共同管理。

Windows 注册方法

下表介绍了运行 Windows 的设备支持的注册方法。

通过启用 Intune 自动注册，使员工和学生更容易在 Intune 中注册。 有关详细信息，请参阅 启用自动注册。

  • 具有自动注册的 Microsoft Entra 加入：你或设备用户为工作使用的设备购买的设备上支持此选项。 在开箱即用体验期间进行注册，即用户使用其工作帐户登录并加入 Microsoft Entra ID 后，或者在 Windows 设备注册指南 - 最终用户任务) 中所述从“设置”应用连接工作或学校帐户时选择加入设备 Microsoft Entra ID (。 此解决方案适用于你无法访问设备的情况，例如在远程工作环境中。 注册这些设备后，其设备所有权将更改为公司所有，并且你可以访问标记为个人拥有的设备上不可用的管理功能。

  • Windows Autopilot 用户驱动或自部署模式：Windows Autopilot 用户驱动 (支持自动注册，适用于 Microsoft Entra 混合联接和Microsoft Entra联接方案) 或自部署 (Microsoft Entra 仅加入) 策略，并且可用于公司拥有的台式机、笔记本电脑和展台。 安装所需的软件和策略后，设备用户将获得桌面访问权限。 需要 Microsoft Entra ID P1 或 P2 许可证。 建议仅使用 Microsoft Entra 联接，这样能提供最佳用户体验，并且更易于配置。 在仍需要本地 Active Directory 的情况下，可以使用 Microsoft Entra 混合联接，但必须安装适用于 Active Directory 的 Intune 连接器，并且设备必须能够通过本地网络或 VPN 连接连接到域控制器。

  • 与 Configuration Manager 共同管理：共同管理最适合已使用 Configuration Manager 管理设备并希望集成 Microsoft Intune 工作负载的环境。 共同管理是将工作负载从 Configuration Manager 移动到 Intune 并告知 Windows 客户端该特定工作负载的管理机构是谁的行为。 例如，可以在 Intune 中使用合规性策略和设备配置工作负载管理设备，并将 Configuration Manager 用于所有其他功能，例如应用部署和安全策略。

  • 使用组策略注册：可以使用组策略触发自动注册 Microsoft Entra 混合联接设备，无需任何用户交互。 注册过程在后台 (通过计划任务) 在 Microsoft Entra ID 同步的用户登录设备后开始。 在设备加入 Microsoft Entra 混合且未使用 Configuration Manager 管理的环境中，建议使用此方法。

更多 Windows 注册功能

Intune 中还有其他 Windows 注册选项，可帮助改善或简化你和员工的设备管理体验：

  • 共同管理设置：启用共同管理设置以将 Configuration Manager 工作负载与 Intune 集成。 共同管理使你能够同时使用 Intune 和 Configuration Manager 功能来管理设备。
  • CNAME 验证：验证域名服务器 (DNS) 别名 (CNAME 记录类型) 创建，以将注册请求重定向到 Intune 服务器。 该别名简化了在没有 Microsoft Entra ID P1 或 P2 的情况下的用户注册和自动注册。
  • 注册状态页：启用注册状态页，以便正在进行设备设置的人员可以查看和跟踪安装进度。

报告和故障排除

跟踪 不完整和放弃的用户注册。 此 Microsoft Intune 报告将告知用户在公司门户中无法完成注册过程的位置。

有关疑难解答文档，请参阅 设备注册疑难解答。

资源

Microsoft Intune 文档中提供了其他注册指南。 这些指南包括每个受支持平台的视觉比较、操作步骤、提示和注册最佳实践。

后续步骤

本文是介绍如何部署 Microsoft Intune 的五步系列的一部分。 本系列包括以下文章，按顺序排列：

  1. 设置 Microsoft Intune
  2. 添加、配置和保护应用
  3. 规划合规性策略
  4. 创建设备配置策略
  5. 🡺 (本文注册 设备)
  • 上次更新时间为