教程：使用 Microsoft Intune 设置云原生 Windows 终结点

本分步教程介绍如何使用 Microsoft Intune 和 Windows Autopilot 设置云原生 Windows 终结点。 云原生 Windows 终结点 (有时写成云原生 Windows) ，它是Microsoft Entra加入、注册Microsoft Intune，并完全从云中进行管理 — 无需加入 Active Directory 域，无需本地基础结构。

在本教程结束时，你将拥有一台完全配置的 Windows 设备：

  • Microsoft Entra 加入并注册了 Microsoft Intune
  • 使用 Microsoft Defender 防病毒、BitLocker 加密、Windows LAPS 和安全基线进行保护
  • 通过 Windows Autopilot 预配，包含 Microsoft 365 应用、OneDrive 已知文件夹移动和公司门户
  • 已准备好扩展到 Windows fleet 的其余部分

有关背景，请参阅什么是云原生终结点？以及如何规划 Microsoft Entra 加入实现。

提示

阅读有关云原生终结点的信息时，你会看到以下术语：

  • 终结点：终结点是一种设备，例如移动电话、平板电脑、笔记本电脑或台式计算机。 “终结点”和“设备”可互换使用。
  • 托管终结点：使用 MDM 解决方案或组策略对象从组织接收策略的终结点。 这些设备通常是组织拥有的，但也可以是 BYOD 或个人拥有的设备。
  • 云原生终结点：已加入 Microsoft Entra 的终结点。 它们未加入本地 AD。
  • 工作负载：任何程序、服务或进程。

如何开始使用

按顺序完成五个阶段 — 每个阶段都建立在前一个阶段的基础上。

使用 Microsoft Intune 和 Windows Autopilot 设置云原生 Windows 终结点的五个阶段。

阶段 目标
阶段 1 - 设置环境 准备租户、测试设备和基线 Autopilot 策略
阶段 2 - 生成云原生 Windows 终结点 通过 Autopilot 预配第一个终结点
阶段 3 – 保护云原生 Windows 终结点 应用终结点安全性：Defender、BitLocker、LAPS、基线、更新
阶段 4 - 应用自定义项并查看本地配置 添加特定于组织的应用、设置，并从组策略迁移
阶段 5 – 使用 Windows Autopilot 扩展部署 使用 OEM 注册、角色和推出圈将预配扩展到舰队

部署终结点后，作为持续操作的一部分，请使用“监视云原生 Windows 终结点”部分从 Intune 管理中心验证策略、应用和合规性状态。

第 1 阶段 - 设置环境

构建首个云本机 Windows 终结点之前，需要检查一些关键要求和配置。 此阶段将引导你检查要求、配置 Windows Autopilot 以及创建一些设置和应用程序。

步骤 1 - 网络要求

云原生 Windows 终结点需要访问多个 Internet 服务。 在开放网络上开始测试。 或在对 Windows Autopilot 网络要求 中列出的所有终结点提供访问权限后，使用公司网络。

如果无线网络需要证书，可以在测试期间先测试以太网连接，同时确定用于设备预配的无线连接的最佳方法。

步骤 2 - 注册和许可

在加入 Microsoft Entra 并注册 Intune 之前，需要检查一些事项。 可以创建新的 Microsoft Entra 组，例如名称 Intune MDM 用户。 然后，添加特定的测试用户帐户，并将以下每个配置定位到该组，以限制谁可以在设置配置时注册设备。 若要创建 Microsoft Entra 组，请转到“管理 Microsoft Entra 组和组成员身份”。

  • 注册限制注册限制允许你控制哪些类型的设备可以注册到 Intune 管理中。 若要使本指南成功，请确保允许 Windows (MDM) 注册，这是默认配置。

    有关配置注册限制的信息，请转到在 Microsoft Intune 中设置注册限制。

  • Microsoft Entra 设备 MDM 设置 将 Windows 设备加入 Microsoft Entra 时，可以将 Microsoft Entra 配置为告诉设备自动向 MDM 注册。 Windows Autopilot 需要此配置才能正常工作。

    若要检查是否已正确启用 Microsoft Entra 设备 MDM 设置，请转到快速入门 - 在 Intune 中设置自动注册。

  • Microsoft Entra 公司品牌 将公司徽标和图像添加到 Microsoft Entra 可确保用户在登录 Microsoft 365 时看到熟悉且一致的外观。 Windows Autopilot 需要此配置才能正常工作。

    有关在 Microsoft Entra 中配置自定义品牌的信息，请转到将品牌添加到组织的 Microsoft Entra 登录页。

  • 许可用户从全新体验 (OOBE) Intune 中注册 Windows 设备需要两个关键功能。

    用户需要以下许可证：

    • 适用于 Microsoft Intune 或 Microsoft Intune教育版的许可证
    • 允许自动 MDM 注册的许可证，如以下选项之一：
      • Microsoft Entra Premium P1
      • Microsoft Intune for Education

    若要分配许可证，请转到 分配 Microsoft Intune 许可证。

    注意

    这两种类型的许可证通常都包含在许可捆绑包中，例如 Microsoft 365 E3 (或 A3) 及更高版本。 在 此处查看 Microsoft 365 许可的比较。

步骤 3 - 导入测试设备

若要测试云本机 Windows 终结点，首先需要准备好虚拟机或物理设备进行测试。 以下步骤获取设备详细信息，并将其上传到本文稍后将使用的 Windows Autopilot 服务中。

注意

尽管以下步骤提供了一种导入设备进行测试的方法，但合作伙伴和 OEM 可以在购买时代表你将设备导入 Windows Autopilot。 有关 第 5 阶段 Windows Autopilot 的详细信息。

  1. 在虚拟机中安装 Windows 或重置物理设备，使其在 OOBE 安装屏幕上处于等待状态。 对于虚拟机，可以选择创建检查点。

  2. 完成连接到 Internet 的必要步骤。

  3. 使用 Shift + F10 键盘组合打开命令提示符。

  4. 通过 ping bing.com 验证你是否具有 Internet 访问权限：

    • ping bing.com

  5. 通过运行命令切换到 PowerShell：

    • powershell.exe

  6. 通过运行以下命令下载 Get-WindowsAutopilotInfo 脚本：

    • Set-ExecutionPolicy -ExecutionPolicy Bypass -Scope Process
    • Install-Script Get-WindowsAutopilotInfo

  7. 当系统提示时，输入 Y 接受。

  8. 键入以下命令：

    • Get-WindowsAutopilotInfo.ps1 -GroupTag CloudNative -Online

    注意

    组标记允许你基于设备子集创建动态 Microsoft Entra 组。 可以在导入设备时设置组标记，也可以稍后在 Microsoft Intune 管理中心中更改组标记。 我们在第 4 步中使用组标记 CloudNative 。 可以将标记名称设置为其他名称以进行测试。

  9. 当系统提示输入凭据时，请使用 Intune 管理员帐户登录。

  10. 将计算机保留为开箱即用体验，直到 阶段 2。

步骤 4 - 为设备创建 Microsoft Entra 动态组

若要将本指南中的配置限制为导入到 Windows Autopilot 的测试设备，请创建一个动态 Microsoft Entra 组。 此组应自动包括导入到 Windows Autopilot 并具有组标记 CloudNative 的设备。 然后，可以将所有配置和应用程序定向到该组。

  1. 打开 Microsoft Intune 管理中心。

  2. 选择 组>新建组。 输入以下详细信息：

    • 组类型：选择“安全组”。
    • 组名称： 输入 Autopilot Cloud-Native Windows 终结点。
    • 成员身份类型：选择 动态设备。

  3. 选择“添加动态查询”。

  4. 在“规则语法”部分，选择“编辑”。

  5. 粘贴以下文本：

    (device.devicePhysicalIds -any (_ -eq "[OrderID]:CloudNative"))

  6. 选择“确定”保存>>“”创建“。

提示

发生更改后，动态组需要几分钟时间来填充。 在大型组织中，这 可能需要更长的时间。 创建新组后，请等待几分钟，然后再检查以确认设备现在是组的成员。

有关设备的动态组的详细信息，请转到 设备规则。

步骤 5 - 配置注册状态页

注册状态页 (ESP) 是 IT 专业人员用于在终结点预配期间控制最终用户体验的机制。 请参阅 设置注册状态页。 若要限制注册状态页的范围，可以创建新的配置文件，并针对在上一步创建的 Autopilot Cloud-Native Windows 终结点组为设备创建动态组Microsoft Entra目标。

  • 为了进行测试，我们建议使用以下设置，但可以根据需要随时调整：

    设置 值
    显示应用和配置文件配置进度 是
    仅向通过全新安装体验 (OOBE) 预配的设备显示页面 是 (默认)

步骤 6 - 创建和分配 Windows Autopilot 配置文件

现在，我们可以创建 Windows Autopilot 配置文件并将其分配到测试设备。 此配置文件告知你的设备加入 Microsoft Entra 以及要在 OOBE 期间应用哪些设置。

  1. 打开 Microsoft Intune 管理中心。

  2. 选择 设备>设备载入>注册>Windows>Windows Autopilot>部署配置文件。

  3. 选择“创建配置文件”>“Windows 电脑”。

  4. 输入名称 Autopilot Cloud-Native Windows 终结点，然后选择 “下一步”。

  5. 在“ OOBE) 设置 (全新体验 ”中，确认以下键值并选择 “下一步”：

    设置 值
    部署模式 用户驱动
    以以下身份加入 Microsoft Entra ID 已加入 Microsoft Entra
    用户帐户类型 Standard
    应用设备名称模板 可选。 此类 CloudPC-%SERIAL% 命名模板使设备易于在管理中心识别。

    重要

    将用户帐户类型设置为 Standard 是安全最佳做法。 它可以防止用户安装未经批准的软件，并减少对云原生端点的攻击面。

  6. 保留范围标记，然后选择“下一步”。

  7. 将配置文件分配给创建的名为 Autopilot Cloud-Native Windows 终结点的Microsoft Entra组，选择“下一步”，然后选择“创建”。

步骤 7 - 同步 Windows Autopilot 设备

Windows Autopilot 服务每天同步几次。 还可以立即触发同步，以便使设备准备好进行测试。 若要立即同步，请执行以下操作：

  1. 打开 Microsoft Intune 管理中心。

  2. 选择 设备、>设备载入>注册、>Windows>Windows Autopilot>设备。

  3. 选择“同步”。

同步需要几分钟时间，并在后台继续。 同步完成后，导入设备的配置文件状态将显示为“已分配”。

步骤 8 - 配置设置以实现最佳 Microsoft 365 体验

我们已经选择了一些要配置的设置。 这些设置演示了 Windows 云原生设备上的最佳 Microsoft 365 最终用户体验。 这些设置是使用设备配置设置目录配置文件配置的。 有关详细信息，请转到 使用 Microsoft Intune 中的设置目录创建策略。

创建配置文件并添加设置后，将配置文件分配给之前创建的 Autopilot Cloud-Native Windows 终结点 组。

  • Microsoft Outlook - 为了改善 Microsoft Outlook 的首次运行体验，以下设置会在首次打开 Outlook 时自动配置配置文件。

    设置类别 设置 值
    Microsoft Outlook 2016\Account Settings\Exchange (用户设置) 仅基于 Active Directory 主 SMTP 地址自动配置第一个配置文件 Enabled

  • Microsoft Edge - 为了改善 Microsoft Edge 的首次运行体验，以下设置将 Microsoft Edge 配置为同步用户的设置并跳过首次运行体验。

    设置类别 设置 值
    Microsoft Edge 隐藏首次运行体验和初始屏幕 Enabled
      强制同步浏览器数据，但不显示同步许可提示 Enabled

  • Microsoft OneDrive - 为了改善首次登录体验，以下设置配置 Microsoft OneDrive 以自动登录并将桌面、图片和文档重定向到 OneDrive。 还建议使用按需文件 (FOD)。 它默认为启用，不包含在以下列表中。 有关 OneDrive 同步应用的建议配置的详细信息，请转到 Microsoft OneDrive 的建议同步应用配置。

    设置类别 设置 值
    OneDrive 让客户使用 Windows 凭据以无提示方式登录 OneDrive 同步应用 Enabled
      将 Windows 已知文件夹以无提示方式移动到 OneDrive Enabled

    注意

    有关详细信息，请转到重定向已知文件夹。

以下屏幕截图显示了一个设置目录配置文件的示例，其中配置了每个建议的设置：

显示 Microsoft Intune 中设置目录配置文件示例的屏幕截图。

步骤 9 - 创建和分配一些应用程序

云原生终结点需要一些应用程序。 若要开始，我们建议配置以下应用程序，并将它们定向到之前创建的 Autopilot 云本机 Windows 终结点 组。

  • Microsoft 365 应用版 (以前Office 365 专业增强版) - Word、Excel 和 Outlook 等Microsoft 365 应用版可以使用 Intune 中内置的适用于 Windows 应用的 Microsoft 365 应用配置文件轻松部署到设备上。

    • 选择 配置设计器 设置格式，而不是 XML。
    • 选择“当前频道”作为更新频道。

    若要部署 Microsoft 365 应用版，请转到 使用 Microsoft Intune 将 Microsoft 365 应用版添加到 Windows 设备

  • 公司门户应用 - 建议将 Intune 公司门户应用作为所需的应用程序部署到所有设备。 公司门户应用是用户的自助服务中心，他们使用它从多个源（如 Intune、Microsoft Store 和 Configuration Manager）安装应用程序。 用户还使用公司门户应用将其设备与 Intune 同步、检查符合性状态等。

    若要根据需要部署公司门户，请参阅为 Intune 托管设备添加和分配 Windows 公司门户应用。

  • Microsoft 应用商店应用 (Whiteboard) - 虽然 Intune 可以部署各种应用，但我们 (Microsoft Whiteboard) 部署应用商店应用，以帮助简化本指南的工作。 按照将 Microsoft Store 应用添加到 Microsoft Intune 中的步骤安装 Microsoft Whiteboard。

下一阶段： 阶段 2 – 生成云原生 Windows 终结点

阶段 2 - 生成云原生 Windows 终结点

若要生成第一个云原生 Windows 终结点，请使用在 第 1 阶段第 3 步 - 导入测试设备中收集并将硬件哈希上传到 Windows Autopilot 服务的同一虚拟机或物理设备。 使用此设备，完成 Windows Autopilot 过程。

  1. 将你的 Windows 电脑恢复 (或根据需要重置) 为开箱即用体验 (OOBE)。

    注意

    如果系统提示你为个人或组织选择安装程序，则 Windows Autopilot 进程未启动。 在这种情况下，请重新启动设备并确保其可以访问 Internet。 如果仍然无法工作，请尝试重置电脑或重新安装 Windows。

  2. 使用 UPN 或 AzureAD\username) (Microsoft Entra凭据登录。

  3. 注册状态页显示设备配置的状态。

恭喜！ 你预配了第一个云原生 Windows 终结点！

验证你的终结点

在进入阶段 3 之前，请验证新设备上的以下任务：

  • 桌面、文档、图片) (OneDrive 文件夹会被重定向和同步。
  • Outlook 将打开并自动配置 Microsoft 365 配置文件。
  • 已安装公司门户并且 Microsoft Whiteboard 可用。
  • 可以使用 Microsoft Entra 凭据登录并访问云资源。
  • 如果需要，可以访问本地资源 (文件共享、Intranet 站点、打印机) 。

如果在使用 Windows Hello 访问本地资源时提示输入密码，则表示尚未配置 Windows Hello 企业版混合。 可以通过选择登录屏幕上的密钥图标并改用用户名和密码来继续测试。 有关详细信息，请参阅 Windows Hello 企业版混合。

下一步： 阶段 3 - 保护云原生 Windows 终结点

第 3 阶段 - 保护云本机 Windows 终结点

此阶段旨在帮助你为组织构建安全设置。 本部分将介绍 Microsoft Intune 中的各种终结点安全组件，包括：

Microsoft Defender 防病毒 (MDAV)

建议将以下设置作为 Microsoft Defender 防病毒 (Windows 的内置 OS 组件) 的最低配置。 这些设置不需要任何特定的许可协议（如 E3 或 E5），并且可以在 Microsoft Intune 管理中心中启用。

在管理中心中，转到 Endpoint Security>防病毒创建>策略>窗口及更高版本>配置文件类型 = Microsoft Defender 防病毒。

防守者：

  • 允许行为监视： 允许。启用实时行为监视。
  • 允许云保护： 允许。启用云保护。
  • Allow Email Scanning：允许。打开电子邮件扫描。
  • 允许扫描所有下载的文件和附件： 允许。
  • 允许实时监视： 允许。打开并运行实时监视服务。
  • Allow Scanning Network Files：允许。扫描网络文件。
  • 允许脚本扫描： 允许。
  • 云扩展超时： 50
  • 已清除恶意软件的保留天数： 30
  • 启用网络保护： 已启用 (审核模式)
  • PUA 保护： PUA 保护打开。阻止检测到的项。它们将与其他威胁一起出现在历史中。
  • 实时扫描方向： (双向) 监控所有文件。
  • 提交样品同意： 自动发送安全样品。
  • 允许访问保护： 允许。
  • 严重威胁的修正措施： 隔离。将文件移动到隔离区。
  • 低严重性威胁的修正措施： 隔离。将文件移动到隔离区。
  • 中等严重性威胁的修正措施： 隔离。将文件移动到隔离区。
  • 针对高严重性威胁的修正措施： 隔离。将文件移动到隔离区。

有关 Windows Defender 配置的详细信息，包括客户获得 E3 和 E5 许可的 Microsoft Defender for Endpoint，请转到：

Microsoft Defender 防火墙

使用 Microsoft Intune 中的终结点安全性配置防火墙和防火墙规则。 有关详细信息，请转到 Intune 中终结点安全性的防火墙策略。

Microsoft Defender 防火墙可以使用 NetworkListManager CSP 检测受信任的网络。 此外，它可以切换到运行 Windows 的终结点上的 域 防火墙配置文件。

使用 域 网络配置文件，可以根据受信任的网络、专用网络和公共网络来分隔防火墙规则。 可以使用 Windows 自定义配置文件应用这些设置。

注意

加入 Microsoft Entra 的终结点无法像加入域的终结点那样使用 LDAP 来检测域连接。 相反，请使用 NetworkListManager CSP 指定 TLS 终结点，该终结点在可访问时将终结点切换到 域 防火墙配置文件。

BitLocker 加密

使用 Microsoft Intune 中的终结点安全性通过 BitLocker 配置加密。

可以在 Microsoft Intune 管理中心启用这些设置。 在管理中心中，转到“终结点安全性>”、“管理>磁盘加密>”、“创建策略>”、“Windows 及更高版本>”、“配置文件”、“ = BitLocker”。

配置以下 BitLocker 设置时，它们会以无提示方式为标准用户启用 128 位加密，这是常见情况。 但是，你的组织可能有不同的安全要求，因此请使用 BitLocker 文档 了解更多设置。

设置类别 设置 值
BitLocker 要求设备加密 Enabled
  允许对其他磁盘加密发出警告 Disabled
  允许 Standard 用户加密 Enabled
  配置恢复密码轮换 为已加入 Azure AD 的设备刷新
BitLocker 驱动器加密 选择驱动器加密方法和密码强度 未配置
  为组织提供唯一标识符 未配置
操作系统驱动器 强制操作系统驱动器上的驱动器加密类型 Enabled
  选择“设备) ” (加密类型 仅已用空间加密
  启动时需要进行额外身份验证 Enabled
  允许在没有兼容 TPM 的情况下使用 BitLocker (需要密码或 U 盘上的启动密钥) False
  配置 TPM 启动密钥和 PIN 允许使用 TPM 使用启动密钥和 PIN
  配置 TPM 启动密钥 允许使用 TPM 使用启动密钥
  配置 TPM 启动 PIN 允许使用 TPM 启动 PIN
  配置 TPM 启动 要求 TPM
  配置启动的最小 PIN 长度 未配置
  允许增强型启动 PIN 未配置
  不允许标准用户更改 PIN 或密码 未配置
  允许符合 InstantGo 或 HSTI 的设备选择退出预启动 PIN 未配置
  启用 BitLocker 身份验证，要求盖板上的预启动键盘输入 未配置
  选择如何恢复受 BitLocker 保护的操作系统驱动器 Enabled
  配置 BitLocker 恢复信息的用户存储 需要 48 位恢复密码
  允许数据恢复代理 False
  配置将 BitLocker 恢复信息存储到 AD DS 存储恢复密码和密钥包
  在将恢复信息存储到操作系统驱动器的 AD DS 之前，请勿启用 BitLocker True
  省略 BitLocker 安装向导中的恢复选项 True
  将 BitLocker 恢复信息保存到操作系统驱动器的 AD DS True
  配置预启动恢复消息和 URL 未配置
固定数据驱动器 强制固定数据驱动器上的驱动器加密类型 Enabled
  选择加密类型： (设备) 允许用户选择默认 ()
  选择如何恢复受 BitLocker 保护的固定驱动器 Enabled
  配置 BitLocker 恢复信息的用户存储 需要 48 位恢复密码
  允许数据恢复代理 False
  配置将 BitLocker 恢复信息存储到 AD DS 备份恢复密码和密钥包
  在将恢复信息存储到固定数据驱动器的 AD DS 之前，请勿启用 BitLocker True
  省略 BitLocker 安装向导中的恢复选项 True
  将 BitLocker 恢复信息保存到固定数据驱动器的 AD DS True
  拒绝对不受 BitLocker 保护的固定驱动器进行写入访问 未配置
可移动数据驱动器 控制在可移除驱动器上对 BitLocker 的使用 Enabled
  允许用户在设备) (可移动数据驱动器上应用 BitLocker 保护 False
  允许用户在设备) (可移动数据驱动器上暂停和解密 BitLocker 保护 False
  拒绝对不受 BitLocker 保护的可移动驱动器进行写入访问 未配置

Windows 本地管理员密码解决方案 (LAPS)

默认情况下，内置本地管理员帐户 (众所周知的 SID S-1-5-500) 处于禁用状态。 在某些情况下，本地管理员帐户可能会有所帮助，例如故障排除、最终用户支持和设备恢复。 如果决定启用内置管理员帐户，或创建新的本地管理员帐户，请务必保护该帐户的密码。

Windows 本地管理员密码解决方案 (LAPS) 是可用于在 Microsoft Entra 中随机化并安全地存储密码的功能之一。 如果使用 Intune 作为 MDM 服务，请使用以下步骤启用 Windows LAPS。

重要

Windows LAPS 假定默认本地管理员帐户已启用，即使该帐户已重命名或你创建了另一个本地管理员帐户也是如此。 Windows LAPS 不会为你创建或启用任何本地帐户，除非你配置 了自动帐户管理模式。

您需要创建或启用任何本地帐户，而不是配置 Windows LAPS。 可以编写此任务脚本，也可以使用配置服务提供程序 (CSP) ，如 帐户 CSP 或 策略 CSP。

  1. 确保 Windows 设备安装了 2023 年 4 月 (或更高版本的) 安全更新。

    有关详细信息，请转到 Microsoft Entra 操作系统更新。

  2. 在 Microsoft Entra 中启用 Windows LAPS：

    1. 登录到 Microsoft Entra。
    2. 对于“启用本地管理员密码解决方案 (LAPS) ”设置，选择“是>”保存 (页顶部) “。

    有关详细信息，请转到使用 Microsoft Entra 启用 Windows LAPS。

  3. 在 Intune 中，创建一个终结点安全策略：

    1. 登录到 Microsoft Intune 管理中心。
    2. 选择 Endpoint Security>Account Protection> 创建策略>Windows>本地管理员密码解决方案 (Windows LAPS) >创建。

    有关详细信息，请转到“在 Intune 中创建 LAPS 策略）。

安全基线

可以使用安全基线应用一组已知可以提高 Windows 的安全性的配置。 有关安全基线的详细信息，请转到 Intune 的 Windows MDM 安全基线设置。

基线可以使用建议设置应用，并根据需要进行自定义。 基线中的某些设置可能会导致意外结果或与在 Windows 终结点上运行的应用和服务不兼容。 因此，应隔离测试基线。 仅将基线应用于一组选择性的测试终结点，而不应用任何其他配置文件或设置。

安全基线已知问题

Windows 安全基线中的以下设置可能会导致 Windows Autopilot 或尝试以标准用户身份安装应用时出现问题：

  • 本地策略安全选项\管理员提升提示行为（默认 = 在安全桌面上提示同意）
  • 标准用户提升提示行为（默认 = 自动拒绝提升请求）

有关详细信息，请参阅排查与 Windows Autopilot 的策略冲突。

Windows 更新客户端策略

Windows 更新客户端策略是一种云技术，用于控制在设备上安装更新的方式和时间。 在 Intune 中，可以使用以下命令配置 Windows 更新客户端策略：

有关详细信息，请转到：

提示

对于云原生环境，请考虑 Windows 自动更新。 Autopatch 自动执行更新通道管理和报告，无需手动调整延迟期和截止时间。 它包含在 Microsoft Intune 中，是希望完全自动化、策略驱动的 Windows 更新且管理开销最低的组织的推荐方法。

合规性策略

合规性策略会报告云原生 Windows 终结点的运行状况，例如是否启用 BitLocker、是否打开安全启动，以及是否正在运行 Microsoft Defender 防病毒。 该策略也是条件访问的基础，因此可以阻止不合规的设备访问组织资源。

若要创建 Windows 合规性策略，请执行以下操作：

  1. 登录到 Microsoft Intune 管理中心。

  2. 选择 设备>合规性创建>策略。

  3. 对于“平台”，选择“Windows 10 及更高版本>”创建“。

  4. 在 “基本信息”中，输入策略的名称，然后选择 “下一步”。

  5. 在 “合规性设置”中，配置以下建议值并选择 “下一步”：

    设置类别 设置 值
    设备运行状况 需要 BitLocker 需要
      需要在设备上启用安全启动 需要
      要求代码完整性 需要
    系统安全 防火墙 需要
      防病毒 需要
      反间谍软件 需要
      需要密码才可解锁移动设备 需要
      简单密码 阻止
      密码类型 字母数字
      最短密码长度 14
      最长经过多少分钟的非活动状态后需要提供密码 1 分钟
      密码过期（天数） 365
      阻止重用的曾用密码数 5
    Defender Microsoft Defender 反恶意软件 需要
      Microsoft Defender 反恶意软件安全智能为最新版本 需要
      实时保护 需要

    提示

    Microsoft 和当前 NIST 指南 不再建议定期密码过期。 Windows 安全基线在 2019 年删除了密码过期。 对于云原生终结点，最强的态势是将用户转移到使用 Windows Hello 企业版和密钥/FIDO2 安全密钥进行无密码登录，并使用 Microsoft Entra 密码保护阻止弱密码。 调整上述值以匹配组织的策略。 若要了解详细信息，请参阅 使用 Microsoft Intune 进行无密码身份验证。

  6. 在“ 针对不合规的操作”中，将“ 将设备不合规计划标记 为 1 第 (天或其他适合组织) 的宽限期。

    提示

    如果使用条件访问，请配置宽限期，以便不合规的设备不会立即失去对组织资源的访问权限。 您还可以向用户发送电子邮件添加操作，其中包含实现合规性的步骤。

  7. 将策略分配给“第 4 步 - 为设备创建动态组”中的 Autopilot Cloud-Native Windows 终结点组Microsoft Entra。

有关 Windows 合规性设置的详细信息，请参阅 Microsoft Intune 中的 Windows 设备合规性设置。

条件访问

Microsoft Entra 中的条件访问使用来自 Intune 的合规性信号来允许或阻止对组织资源的访问。 最常见的云原生模式是 Microsoft 365 应用和其他云服务需要 合规设备 。 此模式可确保只有 Intune 托管的正常设备才能访问数据。

典型的云原生条件访问基线包括：

  • 要求对所有用户进行多重身份验证。
  • 要求为云应用 (兼容设备或已加入混合Microsoft Entra的设备) 。
  • 阻止旧身份验证 协议。

重要

首先在试点组上测试条件访问策略。 配置错误的策略可能会将管理员锁定在 Microsoft Entra 管理中心之外。

有关分步指南，请参阅：

下一步： 阶段 4 - 应用自定义项并查看本地配置

第 4 阶段 – 应用自定义项并查看本地配置

在此阶段，应用特定于组织的设置、应用，并查看本地配置。 该阶段可帮助你生成特定于组织的任何自定义项。 请注意 Windows 的各种组件，如何从本地 AD 组策略环境中查看现有配置，并将其应用到云原生终结点。 以下每项都有专门的部分介绍：

Microsoft Edge

Microsoft Edge部署

运行以下操作系统的设备随附 Microsoft Edge：

  • Windows

用户登录后，Microsoft Edge 将自动更新。 若要在部署期间触发Microsoft Edge更新，可以运行以下命令：

Start-Process -FilePath "C:\Program Files (x86)\Microsoft\EdgeUpdate\MicrosoftEdgeUpdate.exe" -argumentlist "/silent /install appguid={56EB18F8-B008-4CBD-B6D2-8C97FE7E9062}&appname=Microsoft%20Edge&needsadmin=True"

若要将Microsoft Edge部署到以前版本的 Windows，请转到 向 Microsoft Intune 添加适用于 Windows 的Microsoft Edge。

Microsoft Edge配置

可以从 Microsoft 365 管理中心配置用户使用 Microsoft 365 凭据登录时应用的 Microsoft Edge 体验的两个组件。

  • Microsoft Edge 中的起始页徽标可以通过在Microsoft 365 管理中心中配置“组织”部分进行自定义。 有关详细信息，请转到“为组织自定义 Microsoft 365 主题”。

  • Microsoft Edge 中默认的新选项卡页体验包括 Office 365 信息和个性化新闻。 可以在 Microsoft 365 管理中心的“设置>”、“组织设置>”、“新闻”、“>Microsoft Edge 新选项卡页”自定义此页面的显示方式。

还可以使用设置目录配置文件为 Microsoft Edge 设置其他设置。 例如，你可能想要为组织配置特定的同步设置。

  • Microsoft Edge
    • 配置从同步中排除的类型列表 - 密码

"开始"菜单和任务栏布局

可以使用 Intune 自定义和设置标准"开始"菜单和任务栏布局。

设置目录

设置目录是一个位置，其中列出了所有可配置的 Windows 设置。 此功能简化了创建策略以及查看所有可用设置的方式。 有关详细信息，请转到 使用 Microsoft Intune 中的设置目录创建策略。

提示

你熟悉的组策略中的许多设置都内置于设置目录中。 如果设置目录中不提供设置，请检查设备配置文件模板。

以下是设置目录中可能与组织相关的一些设置：

  • Azure Active Directory 首选租户域 - 此设置配置要附加到用户用户名的首选租户域名。 只要用户的域名与首选租户域匹配，首选租户域允许用户仅使用其用户名而不是整个 UPN 登录到 Microsoft Entra 终结点。 具有不同域名的用户可以键入其完整 UPN。

    设置类别 设置 值
    身份验证 首选 AAD 租户域名 输入域名，如 contoso.onmicrosoft.com。

    注意

    设置标签使用旧术语。 “AAD”是指 Microsoft Entra ID。

  • Windows 聚焦 - 默认情况下，启用 Windows 的多个使用者功能，这会导致在锁屏界面上安装所选的 Microsoft Store 应用和第三方建议。 可以使用设置目录的"体验"部分来控制此功能。

    设置类别 设置 值
    体验 > 允许 Windows 聚焦 允许 Windows 使用者功能 阻止
      在 Windows 聚焦中允许第三方建议 (用户) 阻止

  • Microsoft Store - 组织通常希望限制可以在终结点上安装的应用程序。 如果你的组织想要控制哪些应用程序可以从 Microsoft Store 安装，请使用该设置。 此设置可防止用户安装未经批准的应用程序。

    设置类别 设置 值
    Microsoft App Store 仅需要专用应用商店 仅启用专用应用商店

    注意

    此设置适用于 Windows 10。 在 Windows 11 上，此设置会阻止访问公共 Microsoft Store。 有关详细信息，请转到：

  • 阻止游戏 - 组织可能更希望不能使用公司终结点来玩游戏。 可以使用以下设置完全隐藏"设置"应用中的"游戏"页面。 有关设置页面可见性的其他信息，请转到 CSP 文档 和 ms-settings URI 方案参考。

    设置类别 设置 值
    设置 页面可见性列表 hide：gaming-gamebar;Gaming-GameDVR;游戏广播;gaming-gamemode;gaming-trueplay;Gaming-XboxNetworking;QuietMomentsGame

  • 控制 Teams 桌面客户端可以登录到的租户 - 在设备上配置此策略时，用户仅可使用位于此策略中定义的“租户允许列表”中包含的 Microsoft Entra 租户中的帐户登录。 “租户允许列表”是 Microsoft Entra 租户 ID 的逗号分隔列表。 通过指定此策略并定义 Microsoft Entra 租户，还可以阻止登录到 Teams 供个人使用。 有关详细信息，请转到 如何限制在桌面设备上登录。

    设置类别 设置 值
    Microsoft Teams 将 Teams 的登录限制为特定租户中的帐户 (用户) Enabled

设备限制

Windows 设备限制模板包含使用 Windows 配置服务提供程序 （CSP） 保护和管理 Windows 终结点所需的许多设置。 随着时间推移，这些设置中的更多设置将在设置目录中提供。 有关详细信息，请转到“设备限制”。

若要创建使用设备限制模板的配置文件，请在 Microsoft Intune 管理中心转到设备>管理设备配置>>>创建新策略> 为平台>模板选择 Windows 10 及更高版本 配置文件类型的设备限制。

  • 桌面背景图片 URL (仅限桌面) - 使用此设置可在 Windows 企业版或 Windows 教育版 SKU 上设置壁纸。 联机托管文件或引用本地复制的文件。 若要配置此设置，请在“设备限制”配置文件的“配置设置”选项卡上，展开“个性化”，然后配置“仅桌面” (“桌面背景图片 URL”) 。

  • 要求用户在设备设置期间连接到网络 - 此设置可降低重置计算机时设备跳过 Windows Autopilot 的风险。 此设置要求设备在开箱即用体验阶段具有网络连接。 若要配置此设置，请在“设备限制”配置文件的“配置设置”选项卡上，展开“常规”，并配置“要求用户在设备设置期间连接到网络”。

    注意

    该设置在下次擦除或重置设备时生效。

传递优化

传递优化是用来减少带宽消耗，方法是在多个终结点之间共享下载受支持包的工作量。 传递优化是一种自组织分布式缓存，使客户端能够从备用源（如网络上的对等）下载这些包。 这些对等源补充了传统的基于 Internet 的服务器。 你可以在适用于 Windows 更新的传递优化了解可用于传递优化的所有设置，以及支持哪些类型的下载。

若要应用传递优化设置，请创建 Intune 传递优化配置文件 或设置目录配置文件。

组织常用的一些设置包括：

  • 限制对等体选择 - 子网 - 此设置将对等缓存限制为同一子网上的计算机。
  • 组 ID - 传递优化客户端可以配置为仅与同一组中的设备共享内容。 可以通过策略发送 GUID 或在 DHCP 作用域中使用 DHCP 选项直接配置组 ID。

使用 Microsoft Configuration Manager 的客户可以部署可用于托管传递优化内容的连接缓存服务器。 有关详细信息，请转到 Configuration Manager 中的 Microsoft 联网缓存。

本地管理员

如果只有一个用户组需要本地管理员访问所有已加入 Microsoft Entra 的 Windows 设备，则可以将其添加到已加入 Microsoft Entra 的设备本地管理员。

你可能要求 IT 支持人员或其他支持人员对一组选定的设备拥有本地管理员权限。 可以通过使用以下配置服务提供程序 (CSP) 来满足此要求。

有关详细信息，请转到如何在已加入 Microsoft Entra 的设备上管理本地管理员组

组策略到 MDM 设置迁移

考虑从组策略迁移到云本机设备管理时，有多种创建设备配置的选项：

  • 重新开始并根据需要应用自定义设置。
  • 查看现有组策略并应用所需的设置。 可以使用工具来提供帮助，例如组策略分析。
  • 使用组策略分析直接为支持的设置创建设备配置文件。

过渡到云本机 Windows 终结点的过程提供了一个查看最终用户计算要求并在将来建立新配置的机会。 尽可能使用最少的一组策略重新开始。 避免从已加入域的环境或较旧的操作系统（如 Windows 7 或 Windows XP）中带入不必要的或旧版设置。

若要重新开始，请查看当前要求并实现最少的设置集合以满足这些要求。 要求可能包括法规或强制性安全设置，以及用于增强最终用户体验的设置。 业务部门创建需求列表，而不是 IT。 每个设置都应被记录、理解，并且有一个明确目的。

将设置从现有组策略迁移到 MDM (Microsoft Intune) 并不是首选方法。 转换到云原生 Windows 时，其目的不应是直接迁移现有的组策略设置。 相反，请考虑目标受众及其所需的设置。 查看环境中的每个组策略设置以确定其与新式托管设备的相关性和兼容性非常耗时，可能不切实际。 避免尝试评估每个组策略和单个设置。 相反，应专注于评估涵盖大多数设备和方案的常见策略。

相反，应确定强制的组策略设置，并针对可用的 MDM 设置审核这些设置。 如果有差距，且不得到解决，可能会成为阻止你进一步使用云本机设备的障碍。 组策略分析等工具可用于分析组策略设置，并确定是否可以将其迁移到 MDM 策略。

脚本

可以将 PowerShell 脚本用于在内置配置文件之外需要配置的任何设置或自定义项。 有关详细信息，请转到 在 Microsoft Intune 中将 PowerShell 脚本添加到 Windows 设备。

映射网络驱动器和打印机

云本机方案没有用于映射网络驱动器的内置解决方案。 相反，我们建议用户迁移到 Teams、SharePoint 和 OneDrive。 如果无法迁移，请考虑使用脚本（如有必要）。

对于个人存储，在步骤 8 - 配置设置以实现最佳 Microsoft 365 体验中，我们配置了 OneDrive 已知文件夹移动。 有关详细信息，请转到重定向已知文件夹。

对于文档存储，用户还可以从 SharePoint 与文件资源管理器的集成以及在本地同步库的能力中获益，如下所述：将 SharePoint 和 Teams 文件与计算机同步。

如果使用公司 Office 文档模板（通常位于内部服务器上），请考虑使用较新的基于云的等效项，以允许用户从任何位置访问模板。

对于打印解决方案，请考虑使用通用打印。 有关详细信息，请转到：

应用程序

Intune 支持部署许多不同的 Windows 应用程序类型。

如果你有使用 MSI、EXE 或脚本安装程序的应用程序，则可以使用Microsoft Intune 中的 Win32 应用管理部署所有这些应用程序。 以 Win32 格式包装这些安装程序可提供更大的灵活性和优势，包括通知、传递优化、依赖项、检测规则以及对 Windows Autopilot 中注册状态页的支持。

注意

为了防止安装期间发生冲突，我们建议仅使用 Windows 业务线应用或 Win32 应用功能。 如果应用程序打包为 .msi 或 .exe，则可以使用 GitHub 上提供的 Microsoft Win32 内容准备工具将它们转换为 Win32 应用， (.intunewin) 。

下一阶段： 阶段 5 – 使用 Windows Autopilot 扩展部署

阶段 5 – 使用 Windows Autopilot 扩展部署

云原生已在一台设备上运行。 此阶段介绍如何从测试设备迁移到生产队列 — 如何注册设备、如何按角色对设备进行分组、如何暂存推出以及如何处理已管理的现有电脑。

大规模注册设备

在 第 1 阶段，你手动上传了硬件哈希。 这对实验室来说很好，但无法缩放。 生产就绪选项包括：

注册源 运作方式 最适合
OEM 或硬件合作伙伴 设备从已注册到租户的供应商发运， (戴尔、惠普、联想、Microsoft、Surface 和其他) 。 新硬件采购 — 建议的目标状态。
经销商或 CSP Microsoft 合作伙伴代表你注册设备。 间接或混合供应链。
手动将哈希上传 (CSV) 与阶段 1 步骤 3 的相同Get-WindowsAutopilotInfo流，批量上传为 CSV。 试点、实验室设备、小批量、正在载入的现有设备。
Intune 连接器/直接注册 管理中心中出现了较新的注册路径。 具体注册方案 — 请参阅 Autopilot 注册概述。

有关完整详细信息，请参阅 注册 Autopilot 设备。

提示

每当购买新的 Windows 硬件时，请在购买时要求经销商或 OEM 将设备注册到你的 Microsoft Entra 租户 ID。 这种方法是摩擦最小的长期模式，无需手动收集哈希值。

对角色使用组标记

你已在阶段 1 中使用组标记来 CloudNative 驱动动态组。 同一模式扩展到多个设备角色。 为每个角色定义一个组标记，为每个标记定义一个动态 Microsoft Entra 组，每个组定义一个 Autopilot 部署配置文件和注册状态页。

Persona 建议的组标记 Autopilot 配置文件 用户帐户类型
知识工作者 KnowledgeWorker 用户驱动 Standard user
开发人员/高级用户 Developer 用户驱动 管理员
展台或共享设备 Kiosk 自部署 不适用
预配 (白手套) PreProvisioned 已预配置 Standard user

此模式可使每个角色的配置、应用和安全策略隔离，并避免一次性异常在租户中蔓延。

分圈推出

不要一次部署到整个舰队。 使用与 Windows 汇报相同的振铃概念：

环 受众 用途
试点 IT 团队和一小组志愿者 验证端到端预配和策略。
早期采用者 ~5% 的用户，分布在各个部门 捕获特定于角色和应用的问题。
宽泛 其余车队，按区域或部门暂存 生产推出。

使用 分配筛选器 来定位圈，而不是为每个策略创建重复组。 在升级到下一个环之前，使用“ 监视云原生 Windows 终结点” 部分监视每个环。

处理现有设备

对于已管理的 Windows 电脑，Microsoft 建议在 下次硬件刷新 时迁移到 Autopilot，而不是立即重新预配整个队列。 云原生 Windows 可从干净的 OOBE 启动中获得全部优势，并且刷新周期允许你在最大程度上减少用户中断的情况下自然过渡。

如果无法等待刷新，有两个路径可用：

  • 就地注册和重置。 收集现有设备的哈希，将其注册到 Autopilot，然后重置电脑。 设备作为云原生终结点通过 OOBE 返回。 请参阅 将现有设备添加到 Windows Autopilot。
  • 刷新时重新映像。 只有新的或更新的硬件才注册为云原生。 现有设备将一直使用当前管理，直到使用寿命结束。

警告

在没有共同管理计划的情况下，请勿注册由 Microsoft Configuration Manager 主动管理的设备。 在将设备注册到 Autopilot 之前，请决定设备是云托管、共同管理还是保留在 Configuration Manager 上。 有关详细信息，请参阅 Windows 设备的共同管理。

了解详细信息

如果 Windows Autopilot 不适合你的方案，请参阅适用于 Windows 设备的 Intune 注册方法，了解备选方法。

下一步： 监视云原生 Windows 终结点

监视云原生 Windows 终结点

预配和配置云原生 Windows 终结点后，请使用 Microsoft Intune 管理中心中的监视视图来确认策略、脚本和应用部署成功，并及早发现问题。 监控是一项持续的操作任务，而不是一次性设置步骤。

要监视的内容 在管理中心 要评审的内容 更多信息
脚本状态 设备>按平台>Windows>管理设备>脚本和修正>平台脚本 选择脚本 >设备状态 —
应用安装状态 应用>Windows>Windows 应用 选择应用 >设备安装状态 或 用户安装状态 应用安装疑难解答
安全基线 — — 在 Intune 中监视安全基线
BitLocker) (磁盘加密 终结点安全性>磁盘加密 选择 BitLocker 策略 >设备安装状态。 恢复密钥： 设备>Windows> 选择设备 >恢复密钥 —
Windows 更新环 设备>管理更新>Windows 10 及更高版本更新>更新环 选择戒指 >设备状态 更新通道的报告
合规性 设备>合规性 选择策略以查看分配结果、不合规的设备和按设置失败 监视合规性策略
终结点分析 报告>终结点分析 跨队列的启动性能、应用可靠性和主动修复 终结点分析概述 ·Intune 报表

遵循云原生终结点的指南

  1. 概述：什么是云原生终结点？
  2. 🡺 教程：使用 Microsoft Intune 设置云原生 Windows 终结点 (你在这里)
  3. 概念：已加入 Microsoft Entra 与已加入混合 Microsoft Entra
  4. 概念：云原声终结点和本地资源
  5. 高级规划指南
  6. 已知问题和重要信息

常见问题解答

什么是云原生 Windows 终结点？

云原生 Windows 终结点是已加入 Microsoft Entra 并在 Microsoft Intune 中注册的 Windows 设备，不依赖于本地 Active Directory、组策略或域控制器。 所有配置、安全性和应用部署都使用 Microsoft Intune 和 Windows Autopilot 从云中进行管理。

加入云原生和混合 Microsoft Entra 有什么区别？

已加入 Microsoft Entra 的混合设备会同时加入本地 Active Directory 和 Microsoft Entra。 它仍然依赖于域控制器进行身份验证，依赖于组策略进行配置。 仅加入) 设备的云原生 (Microsoft Entra 没有本地依赖关系 — 标识、策略和应用都来自云。 有关详细比较，请参阅加入 Microsoft Entra 与已加入的混合 Microsoft Entra。

云原生终结点是否需要 Windows 11？

不正确。 云原生 Windows 适用于 Windows 10 22H2 或更高版本。 Microsoft 建议使用 Windows 11，以获得 Windows Autopilot、Windows Hello 企业版和新式安全功能的最佳体验。

是否可以将现有的域加入设备移动到云原生设备？

可以，但 Microsoft 建议在 下次硬件刷新 时执行此操作，而不是重新预配整个队列。 云原生 Windows 可从干净的 OOBE 启动中获得全部优势。 对于迫不及待想要刷新的设备，请参阅处理阶段 5 中的 现有设备 。

云原生 Windows 是否可以使用文件共享和打印机等本地资源？

是的，有一些计划。 云原生设备可以通过 VPN 或 Microsoft Entra 应用程序代理访问本地资源。 对于文件存储，Microsoft 建议迁移到 OneDrive 和 SharePoint。 对于打印，请考虑 通用打印。 有关详细指南，请参阅 云原生终结点和本地资源 。

有用的联机资源

  • Last updated on