本文列出了 Microsoft Intune 部署中的代理设置所需的 IP 地址和端口设置。 本页末尾有一个合并列表。 合并的终结点列表
警告
以前提供的用于检索 Microsoft Intune 终结点 IP 地址和 FQDN 的 PowerShell 脚本不再从 Office 365 终结点服务返回准确数据。 请改用本文提供的合并列表。 使用 Office 365 终结点服务中的原始脚本或终结点列表是不够的，并且可能导致配置不正确。
作为仅限云的服务，Intune 不需要服务器或网关等本地基础结构。
受管理设备的访问权限
若要管理防火墙和代理服务器后面的设备，必须启用 Intune 的通信。
注意
本部分中的信息也适用于 Microsoft Intune 证书连接器。 连接器的网络要求与托管设备相同。
本文中的终结点允许访问下表中列出的端口。
对于某些任务，Intune 需要未经身份验证的代理服务器访问 manage.microsoft.com、*.azureedge.net 和 graph.microsoft.com。
注意
“*.manage.microsoft.com”、“*.dm.microsoft.com”或 “合规性”部分中列出的 “*.”、“*.”或设备运行状况证明 (DHA) 终结点不支持 SSL 流量检查。
可以修改单个客户端计算机上的代理服务器设置。 还可以使用“组策略”设置来更改位于指定代理服务器后面的所有客户端计算机的设置。
托管的设备需要允许“所有用户”通过防火墙访问服务的配置。
终结点
还需要 Microsoft 365 要求中包含的 FQDN。 作为参考，下表显示了它们所绑定到的服务以及返回的 URL 列表。
表中显示的数据列为：
ID：行的 ID 号，也称为终结点集。 此 ID 与 Web 服务为终结点集返回的 ID 相同。
类别：显示端点集是归类为优化、允许还是默认。 此列还列出了哪些终结点集需要建立网络连接。 对于不需要具有网络连接的终结点集，我们会在此字段中提供备注，以指示在阻止终结点集时会缺少哪些功能。 如果排除整个服务区域，则按需要列出的终结点集不需要连接。
可以在 新 Microsoft 365 终结点类别中阅读这些类别及其管理指南。
ER：如果 Microsoft 365 路由前缀的 Azure ExpressRoute 支持终结点集，则此值为“是/真”。 包含所示路由前缀的 BGP 社区与列出的服务区域一致。 当 ER 为 No / False 时，此终结点集不支持 ExpressRoute。
地址：列出终结点集的 FQDN 或通配符域名和 IP 地址范围。 请注意，IP 地址范围是 CIDR 格式，可能包括指定网络中的许多单个 IP 地址。
端口：列出与列出的 IP 地址组合形成网络终结点的 TCP 或 UDP 端口。 你可能会注意到列出不同端口的 IP 地址范围内存在一些重复。
Intune 核心服务
注意
如果使用的防火墙允许使用域名创建防火墙规则，请使用 *.manage.microsoft.com and manage.microsoft.com 域。 但是，如果使用的防火墙提供程序不允许使用域名创建防火墙规则，建议使用本部分中所有子网的批准列表。
注意
Intune 终结点还使用 Azure Front Door 与 Intune 服务通信。 Microsoft安全) Intune (部分的 IP 范围已添加到下表。 Intune 特定终结点在 JSON 文件中由名称AzureFrontDoor.MicrosoftSecurity引用。 有关利用 Azure Front Door 的所有服务的完整列表以及有关使用 JSON 文件的说明，请参阅 Azure Front Door 和服务标记文档。
Azure Front Door IP 范围和服务标记
| ID | 后代 | 类别 | ER | Addresses | 端口 |
|---|---|---|---|---|---|
| 163 | Intune 客户端和主机服务 | 允许 必填 |
False | *.manage.microsoft.commanage.microsoft.com*.dm.microsoft.comEnterpriseEnrollment.manage.microsoft.com104.46.162.96/27, 13.67.13.176/28, 13.67.15.128/27, 13.69.231.128/28, 13.69.67.224/28, 13.70.78.128/28, 13.70.79.128/27, 13.74.111.192/27, 13.77.53.176/28, 13.86.221.176/28,13.89.174.240/28, 13.89.175.192/28, 20.189.229.0/25, 20.191.167.0/25, 20.37.153.0/24, 20.37.192.128/25, 20.38.81.0/24, 20.41.1.0/24, 20.42.1.0/24, 20.42.130.0/24, 20.42.224.128/25, 20.43.129.0/24, 20.44.19.224/27, 40.119.8.128/25, 40.67.121.224/27, 40.70.151.32/28, 40.71.14.96/28, 40.74.25.0/24, 40.78.245.240/28, 40.78.247.128/27, 40.79.197.64/27, 40.79.197.96/28, 40.80.180.208/28, 40.80.180.224/27, 40.80.184.128/25, 40.82.248.224/28, 40.82.249.128/25, 52.150.137.0/25, 52.162.111.96/28, 52.168.116.128/27, 52.182.141.192/27, 52.236.189.96/27, 52.240.244.160/27, 20.204.193.12/30, 20.204.193.10/31, 20.192.174.216/29, 20.192.159.40/29, 104.208.197.64/27, 172.160.217.160/27, 172.201.237.160/27, 172.202.86.192/27, 172.205.63.0/25, 172.212.214.0/25, 172.215.131.0/27, 20.168.189.128/27, 20.199.207.192/28, 20.204.194.128/31, 20.208.149.192/27, 20.208.157.128/27, 20.214.131.176/29, 20.43.129.0/24, 20.91.147.72/29, 4.145.74.224/27, 4.150.254.64/27, 4.154.145.224/27, 4.200.254.32/27, 4.207.244.0/27, 4.213.25.64/27, 4.213.86.128/25, 4.216.205.32/27, 4.237.143.128/25, 40.84.70.128/25, 48.218.252.128/25, 57.151.0.192/27, 57.153.235.0/25, 57.154.140.128/25, 57.154.195.0/25, 57.155.45.128/25, 68.218.134.96/27, 74.224.214.64/27, 74.242.35.0/25, 172.208.170.0/25, 74.241.231.0/25, 74.242.184.128/25Azure Front Door Endpoints: 13.107.219.0/24, 13.107.227.0/24, 13.107.228.0/23, 150.171.97.0/24, 2620:1ec:40::/48, 2620:1ec:49::/48, 2620:1ec:4a::/47 |
TCP： 80,443 |
| 172 | MDM 传递优化 | 默认值 必填 |
False | *.do.dsp.mp.microsoft.com*.dl.delivery.mp.microsoft.com |
TCP： 80,443 |
| 170 | MEM - Win32Apps | 默认值 必填 |
False | swda01-mscdn.manage.microsoft.comswda02-mscdn.manage.microsoft.comswdb01-mscdn.manage.microsoft.comswdb02-mscdn.manage.microsoft.comswdc01-mscdn.manage.microsoft.comswdc02-mscdn.manage.microsoft<.comswdd01-mscdn.manage.microsoft.comswdd02-mscdn.manage.microsoft.comswdin01-mscdn.manage.microsoft.comswdin02-mscdn.manage.microsoft.comaam-content-cdn.manage.microsoft.com (此终结点仅适用于企业应用目录应用) |
TCP： 80,443 |
| 97 | 使用者 Outlook.com、OneDrive、设备身份验证和Microsoft帐户 | 默认值 必填 |
False | account.live.comlogin.live.com |
TCP：443 |
| 190 | 终结点发现 | 默认值 必填 |
False | go.microsoft.com |
TCP： 80,443 |
| 189 | 依赖关系 - 功能部署 | 默认值 必填 |
False | config.edge.skype.comecs.office.com |
TCP：443 |
| 192 | 组织邮件 | 默认值 必填 |
False | fd.api.orgmsg.microsoft.comris.prod.api.personalization.ideas.microsoft.com` |
TCP：443 |
身份验证依赖项
| ID | 后代 | 类别 | ER | Addresses | 端口 |
|---|---|---|---|---|---|
| 56 | 身份验证和标识，包括 Microsoft Entra ID 和 Entra ID 相关服务。 | 允许 必填 |
True | login.microsoftonline.comgraph.windows.net |
TCP： 80,443 |
| 150 | Office 自定义服务提供 Office 365 专业增强版部署配置、应用程序设置和基于云的策略管理。 | 默认值 | False | *.officeconfig.msocdn.comconfig.office.com |
TCP：443 |
| 59 | 标识支持服务 & CDN。 | 默认值 必填 |
False | enterpriseregistration.windows.netcertauth.enterpriseregistration.windows.net |
TCP： 80,443 |
有关详细信息，请参阅 Office 365 URL 和 IP 地址范围。
Intune 依赖项
在本部分中，下表列出了 Intune 依赖项以及 Intune 客户端访问的端口和服务。
Android 企业版依赖项
Google Android 企业版 - Google 在 Android 企业版帮助中心提供所需网络端口和目标主机名的文档。
Android 推送通知 - Intune 使用 Google Firebase Cloud Messaging (FCM) 作为推送通知触发设备操作和检查。Android 设备管理员和 Android 企业版都需要此项。 有关 FCM 网络要求的信息，请参阅 Google 的 FCM 端口和防火墙。
Android AOSP 依赖项
| ID | 后代 | 类别 | ER | Addresses | 端口 |
|---|---|---|---|---|---|
| 179 | MEM - Android AOSP 依赖项 | 默认值 必填 |
False | intunecdnpeasd.manage.microsoft.com |
TCP：443 |
注意
由于 Google 移动服务在中国不可用，因此在中国由 Intune 管理的设备无法使用需要 Google 移动服务的功能。 这些功能包括：Google Play Protect 功能，例如 Play Integrity 判定、管理 Google Play 商店中的应用、Android 企业版功能 (请参阅此 Google 文档) 。 此外，Android 版 Intune 公司门户应用使用 Google 移动服务与 Microsoft Intune 服务进行通信。 由于 Google Play 服务在中国不可用，因此某些任务最长可能需要 8 小时才能完成。 有关详细信息，请参阅 GMS 不可用时的 Intune 管理限制。
Android 端口信息 - 根据你选择管理 Android 设备的方式，可能需要打开 Google Android Enterprise 端口和/或 Android 推送通知。 有关支持的 Android 管理方法的更多信息，请参阅 Android 注册文档。
Apple 依赖项
有关 Apple 特定终结点的信息，请参阅以下资源：
- 在企业网络上使用 Apple 产品
- Apple 软件产品使用的 TCP 和 UDP 端口
- 关于 macOS、iOS/iPadOS 和 iTunes 服务器主机连接和 iTunes 后台进程
- 如果你的 macOS 和 iOS/iPadOS 客户端不获取 Apple 推送通知
传递优化依赖项
| ID | 后代 | 类别 | ER | Addresses | 端口 |
|---|---|---|---|---|---|
| 172 | MDM - 传递优化依赖项 | 默认值 必填 |
False | *.do.dsp.mp.microsoft.com*.dl.delivery.mp.microsoft.com |
TCP： 80,443 |
端口要求 - 对于客户端服务通信，它通过端口 80/443 使用 HTTP 或 HTTPS。 （可选）对于对等流量，传递优化将 7680 用于 TCP/IP，在端口 3544 上使用 Teredo 进行 NAT 遍历。 有关详细信息，请参阅 传递优化文档
代理要求 - 若要使用传递优化，必须允许字节范围请求。 有关详细信息，请参阅 传递优化的代理要求。
防火墙要求 - 允许以下主机名通过防火墙以支持传递优化。 对于客户端与传递优化云服务之间的通信：
*.do.dsp.mp.microsoft.com
对于传递优化元数据：
*.dl.delivery.mp.microsoft.com
提示
查看用于帮助确保支持基于云的管理的客户端服务对等解决方案的依赖关系。 例如，Windows BranchCache 依赖于本地可用的组，这些组可能无法通过 Microsoft Entra ID（Intune 的标识解决方案）获得。
Windows 推送通知服务 (WNS) 依赖项
| ID | 后代 | 类别 | ER | Addresses | 端口 |
|---|---|---|---|---|---|
| 171 | MEM - WNS 依赖项 | 默认值 必填 |
False | *.notify.windows.com*.wns.windows.comsinwns1011421.wns.windows.comsin.notify.windows.com |
TCP：443 |
对于使用移动设备管理 (MDM) 管理的由 Intune 管理的 Windows 设备，设备操作和其他即时活动需要使用 Windows 推送通知服务 (WNS)。 有关详细信息，请参阅允许 Windows 通知流量通过企业防火墙。
远程帮助
除了配置下表列出的网络要求外，还需要配置 Azure 通信服务的网络要求。 有关详细信息，请参阅 Azure 通信服务网络要求。
| ID | 后代 | 类别 | ER | Addresses | 端口 | 注释 |
|---|---|---|---|---|---|---|
| 181 | MEM - 远程帮助功能 | 默认值 必填 |
False | *.support.services.microsoft.comremoteassistance.support.services.microsoft.comteams.microsoft.comremoteassistanceprodacs.communication.azure.comedge.skype.comaadcdn.msftauth.netaadcdn.msauth.netalcdn.msauth.netwcpstatic.microsoft.com*.aria.microsoft.combrowser.pipe.aria.microsoft.com*.events.data.microsoft.comv10c.events.data.microsoft.com*.monitor.azure.comjs.monitor.azure.comedge.microsoft.com*.trouter.communication.microsoft.com*.trouter.teams.microsoft.com*.trouter.communications.svc.cloud.microsoft (将于 2026 年 3 月推出到 6 月)go-amer.trouter.communications.svc.cloud.microsoft (将于 2026 年 3 月推出至 6 月，仅适用于北美、ROW 客户)go-apac.trouter.communications.svc.cloud.microsoft (将于 2026 年 3 月推出至 6 月，仅适用于) 亚太地区客户go-eu.trouter.communications.svc.cloud.microsoft (将于 2026 年 3 月推出至 6 月，仅适用于) 欧盟客户api.flightproxy.skype.comecs.communication.microsoft.comremotehelp.microsoft.comremoteassistanceprodacseu.communication.azure.com (此终结点仅适用于欧盟客户) |
TCP：443 | |
| 187 | 依赖项 - 远程帮助 Web pubsub | 默认值 必填 |
False | *.webpubsub.azure.comAMSUA0101-RemoteAssistService-pubsub.webpubsub.azure.com |
TCP：443 | |
| 188 | GCC 客户的远程帮助依赖项 | 默认值 必填 |
False | remoteassistanceweb-gcc.usgov.communication.azure.usgcc.remotehelp.microsoft.comgcc.relay.remotehelp.microsoft.com*.gov.teams.microsoft.us |
TCP：443 | |
| 不适用 | Windows 远程帮助无人参与访问 - 远程登录依赖项 | 默认值 必填 |
不适用 | 查看备注 | 查看备注 | 远程登录需要 Azure 虚拟桌面会话主机终结点。 商业客户应使用 Azure 云终结点。 政府社区云 (GCC) 客户应将 Azure用于美国政府终结点。 |
Windows Autopilot 依赖项
| ID | 后代 | 类别 | ER | Addresses | 端口 |
|---|---|---|---|---|---|
| 164 | Windows Autopilot - Windows 更新 | 默认值 必填 |
False | *.windowsupdate.com*.dl.delivery.mp.microsoft.com*.prod.do.dsp.mp.microsoft.com*.delivery.mp.microsoft.com*.update.microsoft.comtsfe.trafficshaping.dsp.mp.microsoft.comadl.windows.com |
TCP： 80,443 |
| 165 | Windows Autopilot - NTP 同步 | 默认值 必填 |
False | time.windows.com |
UDP： 123 |
| 169 | Windows Autopilot - WNS 依赖项 | 默认值 必填 |
False | clientconfig.passport.netwindowsphone.com*.s-microsoft.comc.s-microsoft.com |
TCP：443 |
| 173 | Windows Autopilot - 第三方部署依赖项 | 默认值 必填 |
False | ekop.intel.comekcert.spserv.microsoft.comftpm.amd.com |
TCP：443 |
| 182 | Windows Autopilot - 诊断上传 | 默认值 必填 |
False | amsua0101lmsas.blob.core.windows.netamsua0102lmsas.blob.core.windows.netamsua0201lmsas.blob.core.windows.netamsua0202lmsas.blob.core.windows.netamsua0401lmsas.blob.core.windows.netamsua0402lmsas.blob.core.windows.netamsua0501lmsas.blob.core.windows.netamsua0502lmsas.blob.core.windows.netamsua0601lmsas.blob.core.windows.netamsua0602lmsas.blob.core.windows.netamsua0701lmsas.blob.core.windows.netamsua0702lmsas.blob.core.windows.netamsua0801lmsas.blob.core.windows.netamsua0901lmsas.blob.core.windows.netamsua0902lmsas.blob.core.windows.netamsub0101lmsas.blob.core.windows.netamsub0102lmsas.blob.core.windows.netamsub0201lmsas.blob.core.windows.netamsub0202lmsas.blob.core.windows.netamsub0301lmsas.blob.core.windows.netamsub0302lmsas.blob.core.windows.netamsub0501lmsas.blob.core.windows.netamsub0502lmsas.blob.core.windows.netamsub0601lmsas.blob.core.windows.netamsub0701lmsas.blob.core.windows.netamsub0801lmsas.blob.core.windows.netamsub0901lmsas.blob.core.windows.netamsuc0101lmsas.blob.core.windows.netamsuc0201lmsas.blob.core.windows.netamsuc0301lmsas.blob.core.windows.netamsuc0501lmsas.blob.core.windows.netamsuc0601lmsas.blob.core.windows.netamsud0101lmsas.blob.core.windows.netamsuin01lmsas.blob.core.windows.net |
TCP：443 |
终结点分析
有关终结点分析所需终结点的详细信息，请参阅设备操作：收集诊断。
诊断集合
有关诊断收集所需终结点的详细信息，请参阅 网络和连接要求。
Microsoft Defender for Endpoint
有关配置 Defender for Endpoint 连接的详细信息，请参阅 连接要求。
若要支持 Defender for Endpoint 安全设置管理，请允许以下主机名通过防火墙。 对于客户端与云服务之间的通信：
*.dm.microsoft.com- 通配符的使用支持用于注册、签入和报告的云服务终结点，这些终结点可能会随着服务的扩展而更改。重要
Microsoft Defender for Endpoint 所需的终结点不支持 SSL 检查。
Microsoft Intune Endpoint Privilege Management
若要支持 Endpoint Privilege Management，请允许 TCP 端口 443 上的以下主机名通过防火墙
对于客户端与云服务之间的通信：
*.dm.microsoft.com- 通配符的使用支持用于注册、签入和报告的云服务终结点，这些终结点可能会随着服务的扩展而更改。*.events.data.microsoft.com- 由 Intune 托管设备用于将可选报告数据发送到 Intune 数据收集终结点。重要
Endpoint Privilege Management 所需的终结点不支持 Endpoint Privilege Management SSL 检查。
有关详细信息，请参阅 Endpoint Privilege Management 概述。
智能 智能 Microsoft Security Copilot 副驾驶® 副驾驶®
若要确保 Security Copilot 与某些安全解决方案之间的通信，必须允许 Security Copilot 的出口 IP 与解决方案联系。 有关所需终结点的信息，请参阅 Security Copilot 文档中的 智能 智能 Microsoft Security Copilot 副驾驶® 副驾驶®出口 IP。
Microsoft Store
使用 Microsoft Store 获取、安装或更新应用的托管 Windows 设备需要通过防火墙访问 TCP 端口 80 和 443 上的这些终结点。
Microsoft Store API (AppInstallManager) ：
displaycatalog.mp.microsoft.compurchase.md.mp.microsoft.comlicensing.mp.microsoft.comstoreedgefd.dsx.mp.microsoft.com
重要
Microsoft Store API 所需的终结点不支持 SSL 检查。
Windows 更新代理：
有关详细信息，请参阅以下资源：
管理 Windows 10 企业版版本 21H2 的连接终结点
注意
2025 年 10 月 14 日，Windows 10 终止支持，将不会收到质量和功能更新。 Windows 10 是 Intune 中允许的版本。 运行此版本的设备仍然可以在 Intune 中注册并使用符合条件的功能，但无法保证功能，并且可能会有所不同。
Win32 内容下载：
Win32 内容下载位置和终结点因应用程序而异，由外部发布者提供。 你可以在测试系统上使用以下命令查找每个 Win32 应用商店应用的位置 (可以通过在将应用添加到应用后引用应用商店应用的程序包标识符属性来获取它的 [PackageId Microsoft Intune) ：
winget show [PackageId]
安装程序 URL 属性显示外部下载位置或基于区域的 (Microsoft托管的) 回退缓存（具体取决于缓存是否正在使用）。 内容下载位置可以在缓存和外部位置之间更改。
Microsoft 托管的 Win32 应用回退缓存：
cdn.storeedgefd.dsx.mp.microsoft.com
传递优化 (可选的，对等) 是必需的：
有关详细信息，请参阅以下资源：
将设备运行状况证明合规性策略迁移到 Microsoft Azure 证明
如果客户启用任何 Windows 合规性策略 - 设备运行状况设置，则Windows 11设备将开始根据其Intune租户位置使用 Microsoft Azure 证明 (MAA) 服务。 但是，Windows 10 和 GCCH/DOD 环境将继续使用现有的设备运行状况证明 DHA 终结点“has.spserv.microsoft.com”进行设备运行状况证明报告，并且不受此更改的影响。
如果客户的防火墙策略阻止访问新的 Windows 11 Intune MAA 服务，则使用 BitLocker、安全启动、代码完整性) 的任何设备运行状况设置 (分配了合规性策略的Windows 11设备将不合规，因为它们无法访问其所在位置的 MAA 证明终结点。
确保没有防火墙规则阻止出站 HTTPS/443 流量，并且没有根据 Intune 租户的位置对本部分列出的终结点进行 SSL 流量检查。
若要查找租户位置，请导航到 Intune 管理>中心 租户管理>租户状态>租户详细信息，请参阅租户位置。
'https://intunemaape1.eus.attest.azure.net'
'https://intunemaape2.eus2.attest.azure.net'
'https://intunemaape3.cus.attest.azure.net'
'https://intunemaape4.wus.attest.azure.net'
'https://intunemaape5.scus.attest.azure.net'
'https://intunemaape6.ncus.attest.azure.net'
macOS 应用和脚本部署的网络要求
如果使用 Intune 在 macOS 上部署应用或脚本，还需要授予对租户当前所在终结点的访问权限。
根据租户位置使用不同的终结点。 若要查找租户位置，请登录到 Microsoft Intune 管理中心，选择“租户管理”租户详细信息>> 值为“北美 0501 或类似字段的租户位置”。 使用 北美 0501) 中位置 (北美 中的区域，查看下表所需的 CDN 终结点和端口：
| 地区 | CDN | 端口 |
|---|---|---|
| 北美 | macsidecar.manage.microsoft.com |
TCP：443 |
| 欧洲 | macsidecareu.manage.microsoft.com |
TCP：443 |
| 亚太地区 | macsidecarap.manage.microsoft.com |
TCP：443 |
PowerShell 脚本和 Win32 应用的网络要求
如果将 Intune 用于使用 Intune 管理扩展的方案（例如部署 Win32 应用、PowerShell 脚本、修正、终结点分析、自定义合规性策略或 BIOS 配置文件），则还需要授予对租户当前所在的终结点的访问权限。
根据租户位置使用不同的终结点。 若要查找租户位置，请登录到 Microsoft Intune 管理中心，选择“租户管理”租户详细信息>> 值为“北美 0501 或类似字段的租户位置”。 使用 北美 0501) 中位置 (北美 中的区域，查看下表所需的 CDN 终结点和端口：
注意
允许 HTTP 脚本 & Win32 应用终结点需要部分响应。
| 地区 | CDN | 端口 |
|---|---|---|
| 北美 | imeswda-afd-primary.manage.microsoft.comimeswda-afd-secondary.manage.microsoft.comimeswda-afd-hotfix.manage.microsoft.com |
TCP：443 |
| 欧洲 | imeswdb-afd-primary.manage.microsoft.comimeswdb-afd-secondary.manage.microsoft.comimeswdb-afd-hotfix.manage.microsoft.com |
TCP：443 |
| 亚太地区 | imeswdc-afd-primary.manage.microsoft.comimeswdc-afd-secondary.manage.microsoft.comimeswdc-afd-hotfix.manage.microsoft.com |
TCP：443 |
对于用于监视客户端组件运行状况的诊断数据：
*.events.data.microsoft.com
Windows Autopatch
有关 Windows 自动更新所需终结点的详细信息，请参阅 Windows 自动更新先决条件。
Azure Front Door 连接诊断工具
为了帮助验证与 Azure Front Door (AFD) Intune使用的 IP 地址的连接，可以使用 Test-IntuneAFDConnectivity.ps1 脚本来测试与所需的 AFD IP 地址范围和服务终结点的连接。
此诊断工具包括以下项检查：
- Intune 服务终结点的 DNS 解析
- 端口 80 和 443 到 AFD IP 地址的出站 TCP 连接
- 对 Intune 云服务进行 HTTPS 验证
先决条件
在运行脚本之前，请确保你有：
- PowerShell 5.1 或更高版本
- 连接到 Microsoft Intune 的网络终结点，如本文所定义。
用法
从 Intune 托管设备运行脚本，以使用 Azure Front Door 测试与 Intune 网络终结点的连接。 该脚本可以在登录用户的上下文中运行，也可以作为本地系统帐户 (设备上下文) 运行。
脚本执行
选项 1：以当前用户身份运行
以当前用户身份打开 PowerShell ，导航到包含脚本的目录，然后使用以下命令运行：
.\Test-IntuneAFDConnectivity.ps1
选项 2：作为系统 (设备上下文) 运行
若要像设备本身一样测试连接，请使用 Microsoft Sysinternals 中的 PsExec。
下载 PsExec
以管理员身份打开 PowerShell 。 导航到包含 PsExec 的目录。
运行以下命令以作为 SYSTEM 运行脚本：
.\psexec.exe -accepteula -i -s powershell.exe
- 在新的 PowerShell 窗口中，导航到包含脚本的目录，并使用以下命令运行：
.\Test-IntuneAFDConnectivity.ps1
选项和命令
请根据环境使用以下选项：
| 云 | 命令 | 注释 |
|---|---|---|
| 公有云 (默认) | .\Test-IntuneAFDConnectivity.ps1 |
测试与公有云环境的连接 |
| 政府云 | .\Test-IntuneAFDConnectivity.ps1 -CloudType gov |
测试与美国政府、GCC High 和 DoD 环境的连接 |
| 使用详细日志记录导出结果 | .\Test-IntuneAFDConnectivity.ps1 -LogLevel Detailed -OutputPath "C:\Logs" -Verbose |
运行带有详细日志记录的测试，并将结果保存到指定的输出目录 |
疑难解答
如果脚本报告失败 (请退出代码 1) ：
如果 Azure Front Door IP 地址测试显示失败的 IP 或 IP 范围：防火墙、代理或 VPN 可能会阻止端口 443 或 80 上到这些 Azure Front Door IP 的出站连接。
如果服务终结点测试显示“HTTPS 终结点无法访问”：所需的 Intune 服务 FQDN 或 Azure Front Door IP 可能无法访问，或者 DNS、代理或 HTTPS 检查问题正在阻止连接到 Intune 服务 FQDN。
查看网络终结点以查找Microsoft Intune (，如本文) 中所述，并确保防火墙、VPN 或代理允许所有必需的 Intune 服务 FQDN、Azure Front Door IP 范围和端口。
检查保存的输出文件中的详细结果，或运行具有详细日志记录的脚本 (-LogLevel Detailed 和 -Verbose) 以捕获更多诊断信息。
合并终结点列表
为了便于通过防火墙配置服务，以下是 Intune 托管设备使用的 FQDN 和 IP 子网的汇总列表。
这些列表仅包括 Intune 托管设备使用的终结点。 这些列表不包括由 Office 365 终结点服务提供但未由 Intune 使用的其他终结点。
FQDN
*.delivery.mp.microsoft.com
*.dl.delivery.mp.microsoft.com
*.dm.microsoft.com
*.do.dsp.mp.microsoft.com
*.events.data.microsoft.com
*.gov.teams.microsoft.us
*.manage.microsoft.com
*.monitor.azure.com
*.notify.windows.com
*.powershellgallery.com
*.s-microsoft.com
*.support.services.microsoft.com
*.trouter.communication.microsoft.com
*.trouter.communications.svc.cloud.microsoft
*.trouter.teams.microsoft.com
*.update.microsoft.com
*.webpubsub.azure.com
*.windowsupdate.com
*.wns.windows.com
aadcdn.msauth.net
aadcdn.msftauth.net
aam-content-cdn.manage.microsoft.com
adl.windows.com
aka.ms
api.flightproxy.skype.com
browser.pipe.aria.microsoft.com
cdn.oneget.org
certauth.enterpriseregistration.windows.net
clientconfig.passport.net
config.edge.skype.com
config.office.com
displaycatalog.mp.microsoft.com
dl.delivery.mp.microsoft.com
ecs.communication.microsoft.com
ecs.office.com
edge.microsoft.com
edge.skype.com
ekcert.spserv.microsoft.com
ekop.intel.com
enterpriseregistration.windows.net
fd.api.orgmsg.microsoft.com
ftpm.amd.com
go-amer.trouter.communications.svc.cloud.microsoft
go-apac.trouter.communications.svc.cloud.microsoft
go-eu.trouter.communications.svc.cloud.microsoft
go.microsoft.com
graph.windows.net
intunemaape1.eus.attest.azure.net
intunemaape2.eus2.attest.azure.net
intunemaape3.cus.attest.azure.net
intunemaape4.wus.attest.azure.net
intunemaape5.scus.attest.azure.net
intunemaape7.neu.attest.azure.net
intunemaape8.neu.attest.azure.net
intunemaape9.neu.attest.azure.net
intunemaape10.weu.attest.azure.net
intunemaape11.weu.attest.azure.net
intunemaape12.weu.attest.azure.net
intunemaape13.jpe.attest.azure.net
intunemaape17.jpe.attest.azure.net
intunemaape18.jpe.attest.azure.net
intunemaape19.jpe.attest.azure.net
amsua0101lmsas.blob.core.windows.net
amsua0102lmsas.blob.core.windows.net
amsua0201lmsas.blob.core.windows.net
amsua0202lmsas.blob.core.windows.net
amsua0401lmsas.blob.core.windows.net
amsua0402lmsas.blob.core.windows.net
amsua0501lmsas.blob.core.windows.net
amsua0502lmsas.blob.core.windows.net
amsua0601lmsas.blob.core.windows.net
amsua0602lmsas.blob.core.windows.net
amsua0701lmsas.blob.core.windows.net
amsua0702lmsas.blob.core.windows.net
amsua0801lmsas.blob.core.windows.net
amsua0901lmsas.blob.core.windows.net
amsua0902lmsas.blob.core.windows.net
amsub0101lmsas.blob.core.windows.net
amsub0102lmsas.blob.core.windows.net
amsub0201lmsas.blob.core.windows.net
amsub0202lmsas.blob.core.windows.net
amsub0301lmsas.blob.core.windows.net
amsub0302lmsas.blob.core.windows.net
amsub0501lmsas.blob.core.windows.net
amsub0502lmsas.blob.core.windows.net
amsub0601lmsas.blob.core.windows.net
amsub0701lmsas.blob.core.windows.net
amsub0801lmsas.blob.core.windows.net
amsub0901lmsas.blob.core.windows.net
amsuc0101lmsas.blob.core.windows.net
amsuc0201lmsas.blob.core.windows.net
amsuc0301lmsas.blob.core.windows.net
amsuc0501lmsas.blob.core.windows.net
amsuc0601lmsas.blob.core.windows.net
amsud0101lmsas.blob.core.windows.net
amsuin01lmsas.blob.core.windows.net
licensing.mp.microsoft.com
login.live.com
login.microsoftonline.com
manage.microsoft.com
purchase.md.mp.microsoft.com
remoteassistanceprodacs.communication.azure.com
remoteassistanceprodacseu.communication.azure.com
remoteassistanceweb.usgov.communication.azure.us
remotehelp.microsoft.com
ris.prod.api.personalization.ideas.microsoft.com
storeedgefd.dsx.mp.microsoft.com
teams.microsoft.com
time.windows.com
tsfe.trafficshaping.dsp.mp.microsoft.com
wcpstatic.microsoft.com
windowsphone.com
IP 子网
4.145.74.224/27
4.150.254.64/27
4.154.145.224/27
4.200.254.32/27
4.207.244.0/27
4.213.25.64/27
4.213.86.128/25
4.216.205.32/27
4.237.143.128/25
13.67.13.176/28
13.67.15.128/27
13.69.67.224/28
13.69.231.128/28
13.70.78.128/28
13.70.79.128/27
13.74.111.192/27
13.77.53.176/28
13.86.221.176/28
13.89.174.240/28
13.89.175.192/28
20.37.153.0/24
20.37.192.128/25
20.38.81.0/24
20.41.1.0/24
20.42.1.0/24
20.42.130.0/24
20.42.224.128/25
20.43.129.0/24
20.44.19.224/27
20.91.147.72/29
20.168.189.128/27
20.189.172.160/27
20.189.229.0/25
20.191.167.0/25
20.192.159.40/29
20.192.174.216/29
20.199.207.192/28
20.204.193.10/31
20.204.193.12/30
20.204.194.128/31
20.208.149.192/27
20.208.157.128/27
20.214.131.176/29
40.67.121.224/27
40.70.151.32/28
40.71.14.96/28
40.74.25.0/24
40.78.245.240/28
40.78.247.128/27
40.79.197.64/27
40.79.197.96/28
40.80.180.208/28
40.80.180.224/27
40.80.184.128/25
40.82.248.224/28
40.82.249.128/25
40.84.70.128/25
40.119.8.128/25
48.218.252.128/25
52.150.137.0/25
52.162.111.96/28
52.168.116.128/27
52.182.141.192/27
52.236.189.96/27
52.240.244.160/27
57.151.0.192/27
57.153.235.0/25
57.154.140.128/25
57.154.195.0/25
57.155.45.128/25
68.218.134.96/27
74.224.214.64/27
74.242.35.0/25
104.46.162.96/27
104.208.197.64/27
172.160.217.160/27
172.201.237.160/27
172.202.86.192/27
172.205.63.0/25
172.212.214.0/25
172.215.131.0/27
13.107.219.0/24
13.107.227.0/24
13.107.228.0/23
150.171.97.0/24
2620:1ec:40::/48
2620:1ec:49::/48
2620:1ec:4a::/47