云管理网关概述

适用于: Configuration Manager(current branch)

云管理网关 (CMG) 提供了一种通过 Internet 管理Configuration Manager客户端的简单方法。 在 Microsoft Azure 中将 CMG 部署为云服务。 然后，无需更多本地基础结构，即可管理在 Internet 上漫游或跨 WAN 在分支机构中的客户端。 你也不需要向 Internet 公开本地基础结构。

建立先决条件后，创建 CMG 包括Configuration Manager控制台中的以下三个步骤：

1. 将 CMG 云服务部署到 Azure。
2. 添加 CMG 连接点角色。
3. 配置服务的站点和站点角色。

部署和配置后，客户端可以无缝访问本地站点角色，无论它们位于 Intranet 还是 Internet 上。

本文提供了了解 CMG 的基础知识以及可以使用它的方案。

应用场景

CMG 有几种好处的方案。 下面是一些更常见的方案：

• 使用 Active Directory 已加入域的标识管理传统 Windows 客户端。 这些客户端包括任何受支持的 Windows 版本。 它使用 PKI 证书来保护信道。 管理活动包括：

  • 软件更新和终结点保护
  • 清单和客户端状态
  • 合规性设置
  • 将软件分发到设备
  • Windows 就地升级任务序列

• 使用新式标识（使用Microsoft Entra ID 加入混合或纯云域）管理传统Windows 10或更高版本的客户端。 客户端使用Microsoft Entra ID 进行身份验证，而不是 PKI 证书。 与更复杂的 PKI 系统相比，使用 Microsoft Entra ID 更易于设置、配置和维护。 管理活动与第一个方案相同，此外：

  • 向用户分发软件

• 通过 Internet 在Windows 10或更高版本的设备上安装 Configuration Manager 客户端。 使用Microsoft Entra ID 允许设备向 CMG 进行身份验证，以便进行客户端注册和分配。 可以手动安装客户端，也可以使用其他软件分发方法（例如Microsoft Intune）。

• 使用共同管理的新设备预配。 自动注册现有客户端时，共同管理不需要 CMG。 涉及 Windows Autopilot、Microsoft Entra ID、Microsoft Intune 和 Configuration Manager 的新设备需要它。 有关详细信息，请参阅 共同管理的路径。

特定用例

在这些方案中，可能适用以下特定设备用例：

• 漫游设备，例如笔记本电脑

• 与跨 WAN 或 VPN 相比，通过 Internet 进行管理的成本更低且更高效的远程/分支机构设备。

• 合并和收购，其中可能最容易加入设备，以Microsoft Entra ID 并通过 CMG 进行管理。

• 工作组客户端。 这些设备可能需要其他配置，例如证书。

  若要帮助管理远程工作组客户端，请使用Configuration Manager基于令牌的身份验证。 有关详细信息，请参阅 CMG 的基于令牌的身份验证。

重要

默认情况下，所有客户端都会接收 CMG 的策略，并在它们成为基于 Internet 时开始使用它。 根据适用于组织的方案和用例，可能需要限定 CMG 的使用范围。 有关详细信息，请参阅 启用客户端以使用云管理网关 客户端设置。

后续步骤

制定在环境中实现 CMG 的设计和计划：

规划 CMG