通过符合性策略为使用 Intune 管理的设备设置规则

Microsoft Intune 合规性策略是一组规则和条件，可用于评估受管理设备的配置。 这些策略可帮助你保护组织数据和资源免受不满足这些配置要求的设备的影响。 托管设备必须满足策略中设置的条件，Intune 才能将其视为合规。

如果将策略的合规性结果与 Microsoft Entra 条件访问集成，则可以从额外的安全层中受益。 条件访问根据设备的当前合规性状态强制实施 Microsoft Entra 访问控制，帮助确保只有合规的设备才能访问公司资源。

Intune 合规性策略分为两个方面：

  • 合规性策略设置 是租户范围的配置，其作用类似于每个设备都会接收的内置合规性策略。 符合性策略设置可建立符合性策略在 Intune 环境中的工作方式，包括如何处理未分配显式设备符合性策略的设备。

  • 设备合规性策略 是一组特定于平台的规则和设置，部署到用户组或设备。 设备评估策略中的规则以报告设备合规性状态。 不合规状态可能导致一项或多项不合规操作。 Microsoft Entra 条件访问策略还可以使用该状态来阻止从该设备访问组织资源。

合规性策略设置

符合性策略设置是租户范围的设置，用于确定 Intune 的符合性服务如何与设备交互。 这些设置不同于在设备符合性策略中配置的设置。

若要管理合规性策略设置，请登录到 Microsoft Intune 管理中心，然后转到终结点安全性>设备合规性>合规性策略设置。

合规性策略设置包括：

  • 将未分配到符合性策略的设备标记为

    此设置确定 Intune 如何处理未分配设备合规性策略的设备。 此设置具有两个值：

    • 符合（默认值）：此安全功能已关闭。 未收到设备符合性策略的设备被视为“符合”。
    • 不符合：此安全功能已启用。 没有设备合规性策略的设备被视为不合规。

    如果将条件访问与设备合规性策略配合使用，请将此设置更改为“ 不符合” ，以确保只有确认为合规的设备才能访问你的资源。

    如果最终用户由于未向其分配策略而不合规，公司门户应用将显示尚未分配合规性策略。

  • 符合性状态有效期(天)

    指定设备必须成功报告其接收的所有符合性策略的时间段。 如果设备未能在有效期结束之前报告策略的符合性状态，则设备将被视为“不符合”。

    默认情况下，此时间段设置为 30 天。 你可将时间段配置为 1 到 120 天。

    可以查看有关设备符合有效期设置的详细信息。 登录到 Microsoft Intune 管理中心，然后转到“设备>监视器>”设置合规性。 此设置在“设置”列中的名称为“处于活动状态”。 有关此设置和相关合规性状态视图的详细信息，请参阅 监视设备合规性。

设备符合性策略

Intune 设备合规性策略是一组离散的特定于平台的规则和设置，可部署到用户组或设备。 使用合规性策略可以：

  • 定义用户和托管设备符合要求所必须满足的规则和设置。 规则示例包括要求设备运行最低 OS 版本、未越狱或 root 权限，以及处于或低于与 Intune 集成的威胁管理软件指定的威胁级别。

  • 支持针对不符合策略合规性规则的设备的不 合规操作 。 针对不合规的操作示例包括将设备标记为不合规、远程锁定以及向设备用户发送有关设备状态的电子邮件以便他们进行修复。

使用设备合规性策略时：

  • 某些合规性策略配置可以覆盖也通过设备配置策略管理的设置配置。 若要详细了解策略的冲突解决，请参阅冲突的合规性和设备配置策略。

  • 可以将策略部署到用户组中的用户或设备组中的设备。 将合规性策略部署到用户时，Intune 会检查用户的所有设备的合规性。 在此方案中使用设备组有助于生成符合性报告。

  • 如果使用 Microsoft Entra 条件访问，条件访问策略可以使用设备合规性结果来阻止不合规设备对资源的访问。

  • 与其他 Intune 策略一样，设备的合规性策略评估取决于设备何时使用 Intune 签入，以及策略和配置文件刷新周期。 对于 Windows 设备，Intune 还支持客户端驱动的合规性评估。 借助此功能，受支持的设备可以在检测到本地状态更改时主动请求合规性重新评估。

可在设备符合性策略中指定的可用设置取决于创建策略时选择的平台类型。 不同的设备平台支持不同的设置，每种平台类型都需要单独的策略。

以下主题链接到针对设备合规性策略不同方面的专门文章。

  • 不合规操作 - 默认情况下，每个设备合规性策略都包括在设备不符合策略规则时将其标记为不合规的操作。 每个策略可以支持基于设备平台的更多操作。 额外操作的示例包括：

    • 向用户和组发送电子邮件警报，告知关于不合规设备的详细信息。 可将策略配置为在标记为“不符合”时立即发送电子邮件，然后定期发送，直到设备符合要求为止。
    • 远程锁定一段时间内不合规的设备。
    • 如果设备有一段时间不合规，请将其停用。 此操作将符合条件的设备标记为已准备好停用。 然后，管理员可以查看标记为停用的设备列表，并且必须执行显式操作以停用一个或多个设备。 停用设备将从 Intune 管理中删除该设备并从设备中删除所有公司数据。 有关此操作详细信息，请参阅可用于处理不符合性的操作。

  • 创建合规性策略 - 借助链接文章中的信息，可以查看先决条件、完成配置规则的选项、指定不合规操作以及将策略分配给组。 本文还包括有关策略刷新时间的信息。

    请查看不同设备平台的设备符合性设置：

  • 自定义符合性设置 - 通过使用自定义符合性设置，可以扩展 Intune 的内置设备符合性选项。 自定义设置提供了基于设备上可用设置的灵活性，而无需等待 Intune 添加这些设置。

    可以将自定义合规性设置用于以下平台：

    • Linux
      • Ubuntu 桌面版本 24.04 LTS 或 26.04 LTS
      • RedHat Enterprise Linux 9 或 10
    • macOS
    • Windows

监视符合性状态

Intune 包含设备合规性仪表板，可用于监视设备的合规性状态，并深入了解策略和设备以获取详细信息。 要详细了解此仪表板，请参阅监视设备符合性。

与条件访问集成

使用条件访问时，可将条件访问策略配置为使用设备符合性策略的结果来确定哪些设备可访问组织资源。 此访问控制是对设备符合性策略中包含的针对非符合性的操作的补充，并与之分离。

当设备在 Intune 中注册时，它将在 Microsoft Entra ID 中注册。 设备的合规性状态会报告给 Microsoft Entra ID。 如果条件访问策略将访问控制设置为“ 要求设备标记为合规”，则条件访问使用该合规性状态来确定是授予还是阻止对电子邮件和其他组织资源的访问。

如果将设备符合性状态与条件访问策略配合使用，请查看租户如何配置将未 分配合规性策略的设备标记为 选项，该选项可在 合规性策略设置下进行管理。

有关将条件访问与设备合规性策略配合使用的详细信息，请参阅 基于设备的条件访问。

在 Microsoft Entra 文档中了解有关条件访问的详细信息：

不同平台上的不合规和条件访问的参考

下表介绍了在将符合性策略与条件访问策略配合使用时如何管理不符合的设置。

  • 已修正：设备操作系统强制合规性。 例如，强制用户设置 PIN。

  • 已隔离：设备操作系统不会强制执行符合性。 例如，Android 和 Android Enterprise 设备不强制用户加密设备。 设备不符合时，系统将进行以下操作：

    • 如果对用户应用了条件访问策略，设备将被阻止。
    • 公司门户应用会就任何符合性问题通知用户。
策略设置 平台
允许的发行版 Linux仅 () - 隔离
设备加密 - Android 4.0 及更高版本：已隔离
- Samsung Knox Standard 4.0 及更高版本：已隔离
- Android Enterprise：已隔离

- iOS 8.0 及更高版本：已修正（通过设置 PIN）
- macOS 10.11 及更高版本：已隔离

- Linux：隔离

- Windows：已隔离
电子邮件配置文件 - Android 4.0 及更高版本：不适用
- Samsung Knox Standard 4.0 及更高版本：不适用
- Android Enterprise：不适用

- iOS 8.0 及更高版本：已隔离
- macOS 10.11 及更高版本：已隔离

- Linux：不适用

- Windows：不适用
已越狱或取得 root 权限的设备 - Android 4.0 及更高版本：已隔离（不是设置）
- Samsung Knox Standard 4.0 及更高版本：已隔离（不是设置）
- Android Enterprise：：已隔离（不是设置）

- iOS 8.0 及更高版本：已隔离（不是设置）
- macOS 10.11 及更高版本：不适用

- Linux：不适用

- Windows：不适用
最高操作系统版本 - Android 4.0 及更高版本：已隔离
- Samsung Knox Standard 4.0 及更高版本：已隔离
- Android Enterprise：已隔离

- iOS 8.0 及更高版本：已隔离
- macOS 10.11 及更高版本：已隔离

- Linux： 查看允许的发行版

- Windows：已隔离
最低操作系统版本 - Android 4.0 及更高版本：已隔离
- Samsung Knox Standard 4.0 及更高版本：已隔离
- Android Enterprise：已隔离

- iOS 8.0 及更高版本：已隔离
- macOS 10.11 及更高版本：已隔离

- Linux： 查看允许的发行版

- Windows：已隔离
PIN 或密码配置 - Android 4.0 及更高版本：已隔离
- Samsung Knox Standard 4.0 及更高版本：已隔离
- Android Enterprise：已隔离

- iOS 8.0 及更高版本：已修正
- macOS 10.11 及更高版本：已修正

- Linux：隔离

- Windows：已修正
Windows 运行状况证明 - Android 4.0 及更高版本：不适用
- Samsung Knox Standard 4.0 及更高版本：不适用
- Android Enterprise：不适用

- iOS 8.0 及更高版本：不适用
- macOS 10.11 及更高版本：不适用

- Linux：不适用

- Windows：已隔离

注意

当用户登录应用，设备在 30 天或更长时间内未成功检查 Intune (或设备由于“失去联系合规性原因”) 而不符合要求时，公司门户 应用就会进入注册修正流。 在此流中，Intune 会尝试再次启动检查。 如果该检查不成功，Intune 会发出停用命令，允许用户手动重新注册设备。

后续步骤

  • 上次更新时间为