教程：为现有 Configuration Manager 客户端启用共同管理

借助共同管理，可以保留你已确立的流程，以使用 Configuration Manager 来管理组织中的电脑。 与此同时，可以通过使用 Intune 来投资云，以进行安全性和新式预配。

在本教程中，你将设置已在 Configuration Manager 中注册的 Windows 10 或更高版本设备的共同管理。 本教程从已使用 Configuration Manager 管理 Windows 10 或更高版本设备的前提开始。

在以下情况下使用本教程：

• 你有一个本地 Active Directory，可以在混合Microsoft Entra 配置中连接到Microsoft Entra ID。

  如果无法部署将本地 AD 与 Microsoft Entra ID 联接的混合Microsoft Entra ID，我们建议按照我们的配套教程 “为基于 Internet 的新 Windows 10 或更高版本设备启用共同管理”操作。

• 你已有要云附加的 Configuration Manager 客户端。

在本教程中，你将：

• 查看 Azure 和本地环境的先决条件
• 设置混合Microsoft Entra ID
• 配置 Configuration Manager 客户端代理以使用 Microsoft Entra ID 注册
• 配置 Intune 来自动注册设备
• 在 Configuration Manager 中启用共同管理

先决条件

Azure 服务和环境

• Azure 订阅 (免费试用)

• Microsoft Entra ID P1 或 P2

• Microsoft Intune 订阅

  提示

  企业移动性 + 安全性 (EMS) 订阅包括 Microsoft Entra ID P1 或 P2 以及 Microsoft Intune。 EMS 订阅 (免费试用) 。

如果环境中尚不存在，在本教程中，你将在本地 Active Directory 与 Microsoft Entra 租户之间配置 Microsoft Entra Connect。

注意

共同管理不支持仅向 Microsoft Entra ID 注册的设备。 此配置有时称为 已加入工作区。 它们需要联接到 entra ID Microsoft 或Microsoft Entra 混合联接。 有关详细信息，请参阅 处理具有已注册状态Microsoft的设备。

本地基础结构

• 受支持的 Configuration Manager Current Branch 版本
• 必须将移动设备管理 (MDM) 机构设置为 Intune。

权限

在本教程中，使用以下权限完成任务：

• 作为本地基础结构的 域管理员 的帐户
• 作为 Configuration Manager 中所有范围的完全管理员的帐户
• Microsoft Entra ID 中作为 全局管理员 的帐户
  • 确保已将 Intune 许可证分配给用于登录租户的帐户。 否则，登录失败并显示错误消息“ 发生意外错误”。

设置混合Microsoft Entra ID

设置混合Microsoft Entra ID 时，实际上是使用 Microsoft Entra Connect 和 Active Directory Federated Services (ADFS) 设置本地 AD 与 Microsoft Entra ID 的集成。 成功配置后，辅助角色可以使用其本地 AD 凭据无缝登录到外部系统。

重要

本教程详细介绍了为托管域设置混合Microsoft Entra ID 的裸露过程。 建议熟悉此过程，不要依赖本教程来了解和部署混合Microsoft Entra ID。

有关混合Microsoft Entra ID 的详细信息，请从 Microsoft Entra 文档中的以下文章开始：

• 规划Microsoft Entra 联接实现
• 规划Microsoft Entra 混合联接实现
• 控制设备的Microsoft Entra 混合联接
• 为联合域配置Microsoft Entra 混合联接

设置 Microsoft Entra Connect

混合Microsoft Entra ID 需要配置 Microsoft Entra Connect，以使本地 Active Directory (AD) 中的计算机帐户和 Microsoft Entra ID 中的设备对象保持同步。

从版本 1.1.819.0 开始，Microsoft Entra Connect 提供了一个向导来配置Microsoft Entra 混合联接。 使用该向导可简化配置过程。

若要配置 Microsoft Entra Connect，需要全局管理员的凭据才能Microsoft Entra ID。 以下过程不应被视为设置 Microsoft Entra Connect 的权威过程，但此处提供的过程有助于简化 Intune 和 Configuration Manager 之间的共同管理配置。 有关设置Microsoft Entra ID 的相关过程的权威内容，请参阅 Microsoft Entra 文档中的为托管域配置 Microsoft Entra 混合联接 。

使用 Microsoft Entra Connect 配置Microsoft Entra 混合联接

1. 获取并安装 最新版本的 Microsoft Entra Connect (1.1.819.0 或更高版本) 。

2. 启动Microsoft Entra Connect，然后选择“ 配置”。

3. 在“ 其他任务 ”页上，选择“ 配置设备选项”，然后选择“ 下一步”。

4. 在 “概述 ”页上，选择“ 下一步”。

5. 在 “连接到 Microsoft Entra ID ”页上，输入全局管理员Microsoft Entra ID 的凭据。

6. 在“ 设备选项” 页上，选择“ 配置Microsoft Entra 混合联接”，然后选择“ 下一步”。

7. 在 “设备操作系统 ”页上，选择 Active Directory 环境中设备使用的操作系统，然后选择“ 下一步”。

   可以选择支持 Windows 下层加入域的设备的选项，但请记住，仅 Windows 10 或更高版本支持共同管理设备。

8. 在 SCP 页上，对于要Microsoft Entra Connect 配置服务连接点 (SCP) 的每个本地林，执行以下步骤，然后选择“ 下一步”：

   1. 选择林。
   2. 选择身份验证服务。 如果你有联合域，请选择 AD FS 服务器，除非你的组织具有独占 Windows 10 或更高版本的客户端，并且你已配置计算机/设备同步，或者你的组织正在使用 无缝SSO。
   3. 单击“ 添加 ”以输入企业管理员凭据。

9. 如果有托管域，请跳过此步骤。

   在 “联合身份验证配置 ”页上，输入 AD FS 管理员的凭据，然后选择“ 下一步”。

10. 在 “准备配置 ”页上，选择“ 配置”。

11. 在 “配置完成 ”页上，选择“ 退出”。

如果在为已加入域的 Windows 设备完成Microsoft Entra 混合加入时遇到问题，请参阅 对 Windows 当前设备Microsoft Entra 混合联接进行故障排除。

配置“客户端设置”以指示客户端向 Microsoft Entra ID 注册

使用客户端设置将 Configuration Manager 客户端配置为自动注册Microsoft Entra ID。

1. 打开 Configuration Manager 控制台>“管理>概述>客户端设置”，然后编辑 “默认客户端设置”。

2. 选择“ 云服务”。

3. 在 “默认设置” 页上，将“ 使用 Microsoft Entra ID 自动注册新加入 Windows 10 域的设备 ”设置为“ 是”。

4. 选择“ 确定” 以保存此配置。

配置设备到 Intune 的自动注册

接下来，我们将使用 Intune 设置设备的自动注册。 使用自动注册，使用 Configuration Manager 管理的设备会自动向 Intune 注册。

自动注册还允许用户将 Windows 10 或更高版本的设备注册到 Intune。 当用户将其工作帐户添加到其个人拥有的设备时，或者公司拥有的设备加入到Microsoft Entra ID 时，设备会注册。

1. 登录到 Azure 门户，Microsoft Intune (MDM 和 MAM >) 选择“Microsoft Entra ID> Mobility”。

2. 配置 MDM 用户范围。 指定以下选项之一，以配置哪些用户的设备由 Microsoft Intune 管理，并接受 URL 值的默认值。

   • 某些：选择可自动注册其 Windows 10 或更高版本设备的组

   • 全部：所有用户都可以自动注册其 Windows 10 或更高版本的设备

   • 无：禁用 MDM 自动注册

   重要

   如果为组启用了 MAM 用户范围 和自动 MDM 注册 (MDM 用户范围) ，则仅启用 MAM。 当用户在工作区加入个人设备时，只会为该组中的用户添加移动应用程序管理 (MAM) 。 设备不会自动注册 MDM。

   当 Configuration Manager 设置为将设备注册到 Intune 时，仍需要更改设备令牌注册的 MDM 用户范围。 Configuration Manager 使用存储在站点数据库中的 MDM URL 来验证客户端是否属于预期的 Intune 租户。

3. 选择“ 保存” 以完成自动注册的配置。

4. 返回到 “移动性” (MDM 和 MAM) ，然后选择“ Microsoft Intune 注册”。

   注意

   某些租户可能没有这些配置选项。

   Microsoft Intune 是为Microsoft Entra ID 配置 MDM 应用的方式。 Microsoft Intune 注册 是应用 iOS 和 Android 注册的多重身份验证策略时创建的特定Microsoft Entra 应用。 有关详细信息，请参阅对 Intune 设备注册要求多重身份验证。

5. 对于“MDM 用户范围”，请选择“ 全部”，然后选择“ 保存”。

在 Configuration Manager 中启用共同管理

使用混合Microsoft Entra 设置和 Configuration Manager 客户端配置，可以翻转开关并启用 Windows 10 或更高版本设备的共同管理。 短语 “试点组 ”在整个共同管理功能和配置对话框中使用。 试点组是包含 Configuration Manager 设备的子集的集合。 使用 试点组 进行初始测试，根据需要添加设备，直到准备好移动所有 Configuration Manager 设备的工作负载。 试点 组 可用于工作负荷的时间没有时间限制。 如果不希望将工作负载移动到所有 Configuration Manager 设备，则可以无限期使用 试点组 。

启用共同管理后，会将集合分配为 试点组。 这是一个包含少量客户端的组，用于测试共同管理配置。 建议在开始此过程之前创建合适的集合。 然后，无需退出过程即可选择该集合。 可能需要多个集合，因为可以为每个工作负载分配不同的 试点组 。

注意

由于设备是根据其Microsoft Entra 设备令牌（而不是用户令牌）在 Microsoft Intune 服务中注册的，所以只有默认 的 Intune 注册限制 才会应用于注册。

为版本 2111 及更高版本启用共同管理

从 Configuration Manager 版本 2111 开始，共同管理载入体验发生了变化。 借助云附加配置向导，可以更轻松地启用共同管理和其他云功能。 可以选择一组简化的推荐默认值，或自定义云附加功能。 还有一个新的内置设备集合，用于 共同管理符合条件的设备 ，以帮助你识别客户端。 有关启用共同管理的详细信息，请参阅 启用云附加。

注意

使用新向导时，不会在启用共同管理的同时移动工作负载。 若要移动工作负载，请在启用云附加后编辑共同管理属性。

为版本 2107 及更早版本启用共同管理

启用共同管理后，可以使用版本 2006) 中添加的 Azure 公有云、Azure 政府云或 Azure 中国世纪互联云 (。 若要启用共同管理，请按照以下说明操作：

1. 在 Configuration Manager 控制台中，转到 “管理 ”工作区，展开“ 云服务”，然后选择“ 云附加 ”节点。 选择功能区上的“ 配置云附加 ”，打开“云附加配置向导”。

   对于版本 2103 及更早版本，展开 “云服务 ”并选择“ 共同管理 ”节点。 在功能区上选择“ 配置共同管理 ”，打开“共同管理配置向导”。

2. 在向导的“载入”页上，对于 Azure 环境，请选择以下环境之一：

   • Azure 公有云

   • Azure 政府云

   • 版本 2006) 中添加了 Azure 中国云 (

     注意

     在载入到 Azure 中国云之前，请将 Configuration Manager 客户端更新到设备上的最新版本。

   选择 Azure 中国云或 Azure 政府云时，将禁用租户附加的“上传到 Microsoft Endpoint Manager 管理中心”选项。

3. 选择“登录”。 以Microsoft Entra 全局管理员身份登录，然后选择“ 下一步”。 出于此向导的目的，你一次登录此向导。 凭据不会存储在其他位置或重复使用。

4. 在 “启用” 页上，选择以下设置：

   • Intune 中的自动注册：在 Intune 中为现有 Configuration Manager 客户端启用自动客户端注册。 此选项允许对一部分客户端启用共同管理，以最初测试共同管理，然后使用分阶段方法推出共同管理。 如果用户取消注册设备，则会在策略的下一次评估中重新注册该设备。

     • 试点：只有属于 Intune 自动注册 集合的 Configuration Manager 客户端才会在 Intune 中自动注册。
     • 全部：为运行 Windows 10 版本 1709 或更高版本的所有客户端启用自动注册。
     • 无：禁用所有客户端的自动注册。

   • Intune 自动注册：此集合应包含要加入共同管理的所有客户端。 它本质上是所有其他暂存集合的超集。

   

   并非所有客户端都立即进行自动注册。 此行为有助于在大型环境中更好地缩放注册。 Configuration Manager 根据客户端数随机分配注册。 例如，如果环境中有 100,000 个客户端，则启用此设置时，注册将超过几天。

   新的共同托管设备现在根据其Microsoft Entra 设备令牌自动注册到 Microsoft Intune 服务中。 无需等待用户登录设备即可启动自动注册。 此更改有助于减少注册状态为 “挂起用户登录”的设备数。 若要支持此行为，设备需要运行 Windows 10 版本 1803 或更高版本。 有关详细信息，请参阅 共同管理注册状态。

   如果已在共同管理中注册了设备，则新设备在满足 先决条件后立即注册。

5. 对于已在 Intune 中注册的基于 Internet 的设备，复制命令并将其保存在 “启用” 页上。 你将使用此命令在 Intune 中将 Configuration Manager 客户端安装为基于 Internet 的设备的应用。 如果现在不保存此命令，可以随时查看共同管理配置以获取此命令。

   提示

   仅当满足所有先决条件（例如设置云管理网关）时，才会显示命令。

6. 在 “工作负载 ”页上，对于每个工作负载，选择要移动哪个设备组以便使用 Intune 进行管理。 有关详细信息，请参阅 工作负载。

   如果只想启用共同管理，则现在无需切换工作负载。 稍后可以切换工作负载。 有关详细信息，请参阅 如何切换工作负载。

   • 试点 Intune：仅为将在“ 暂存 ”页上指定的试点集合中的设备切换关联的工作负载。 每个工作负载可以具有不同的试点集合。
   • Intune：为所有共同管理的 Windows 10 或更高版本设备切换关联的工作负载。

   重要

   在切换任何工作负荷之前，请确保在 Intune 中正确配置和部署相应的工作负载。 确保工作负荷始终由设备的管理工具之一进行管理。

7. 在“ 暂存 ”页上，为设置为“ 试点 Intune”的每个工作负载指定试点集合。

   

8. 若要启用共同管理，请完成向导。

后续步骤

• 使用共同管理仪表板查看共同管理设备的状态
• 开始从共同管理中获得即时价值
• 使用 条件访问 和 Intune 合规性规则管理用户对公司资源的访问