Microsoft云原生终结点中已加入 Entra 与已加入混合Microsoft Entra
提示
阅读有关云本机终结点的信息时，会看到以下术语：
- 终结点：终结点是一种设备，例如移动电话、平板电脑、笔记本电脑或台式计算机。 “终结点”和“设备”可互换使用。
- 托管终结点：使用 MDM 解决方案或组策略对象从组织接收策略的终结点。 这些设备通常是组织拥有的，但也可以是 BYOD 或个人拥有的设备。
- 云本机终结点：联接到 Microsoft Entra 的终结点。 它们未加入本地 AD。
- 工作负载：任何程序、服务或进程。
许多关键和有价值的服务（包括 条件访问 和 Microsoft Entra 单一登录）要求终结点具有云标识。 对于组织拥有的 Windows 终结点，当设备Microsoft Entra 联接或已加入混合Microsoft Entra 时，将创建云标识。
迁移到云原生终结点时，需要了解已加入 entra Microsoft 与已加入 Microsoft Entra 的混合设备之间的差异：
Microsoft Entra 联接：设备已联接到 Microsoft Entra。 它们未加入本地 AD。
有关更具体的信息，请转到 Microsoft已加入 Entra 的设备 ， (打开另一个Microsoft网站) 。
已加入混合Microsoft Entra：设备在 Microsoft Entra 中注册并加入到本地 AD 域。
有关更具体的信息，请转到 已加入混合Microsoft Entra 的设备 ， (打开另一个Microsoft网站) 。
此功能适用于：
- Windows 云原生终结点
本文介绍已加入 entra Microsoft 和已加入 Entra 的混合Microsoft设备之间的一些差异。 有关云原生终结点及其优点的概述，请转到 什么是云原生终结点。
已联接Microsoft Entra
当终结点（如 Windows 10/11 设备）Microsoft Entra 联接时，它会与 Microsoft Entra 建立信任，并在 Microsoft Entra 中具有 device-id 标识 () 。 终结点由组织管理和控制。
终结点已联接到 Microsoft Entra。 它未加入本地 AD 域。
若要将 Windows 终结点联接到 Microsoft Entra，有一些选项：
使用 Windows Autopilot。 Windows Autopilot引导用户使用 Windows 开箱即用体验 (OOBE)。 当用户输入其工作或学校帐户时，终结点将加入Microsoft Entra。
向 Windows Autopilot 注册的所有设备将自动视为组织拥有的设备。 Windows Autopilot 是将组织设备加入到 Microsoft Entra 并由 IT 管理的最采用的方法之一。
使用 Windows 开箱即用体验 (OOBE)。 当用户在设备上输入其工作或学校帐户时，终结点会自动加入Microsoft Entra。
使用“设置”应用。 在设备上，最终用户打开“设置”应用（帐户>访问工作或学校>连接），并使用其工作或学校帐户。
使用窗口预配包。 有关详细信息，请转到：
组织 IT 权益
- 使用条件访问，可以允许或限制对满足或不符合要求的组织资源的访问。
- 设置和工作数据在符合企业要求的云中漫游。 不使用个人 Microsoft 帐户（如 Hotmail）并且可以被阻止。
- 使用 Windows Hello 企业版可以降低凭据被盗的风险。
最终用户权益
若要使用 Microsoft Entra 和 Windows 终结点对最终用户进行身份验证，用户需要工作或学校帐户。 不使用任何个人帐户。
通过 Internet 连接获取单一登录 (SSO) Microsoft 365和 SaaS 应用。
使用 Windows Hello 企业版的便利性和安全性登录到其 Windows 终结点。
使用 Windows Hello 企业版 登录时，用户会自动将 SSO 用于其许多联机和本地应用和资源。
操作系统设置跨所有已加入 Entra 的Microsoft设备漫游。
重要
当设备上缓存凭据过期时，在 Microsoft已加入 Entra 的设备上远程工作的最终用户不需要 VPN 即可登录。 在已加入混合Microsoft Entra 的设备上，它们确实需要 VPN 才能在缓存凭据过期时登录。
Microsoft Entra 联接的资源
- 什么是 Microsoft Entra 中的设备标识？
- 什么是已加入 Microsoft Entra 的设备？
- Microsoft Entra 设备注册的工作原理
- 如何规划Microsoft Entra 联接实现
- Windows Hello 企业版文档 - Windows 安全性
已联接混合Microsoft Entra
已加入混合Microsoft Entra 的设备 已加入本地 AD 域，并注册到 Microsoft Entra。 这些设备 需要 到本地域控制器 (DC) 的网络视线才能进行初始登录和设备管理。
如果设备无法连接到 DC，则可能会阻止用户登录，并且可能不会收到策略更新。
许多具有已加入域的现有设备的组织都希望Microsoft Entra 和终结点管理的优势和功能。 如果设备尚不能完全为云原生设备，则可以向 Microsoft Entra 注册这些现有设备。 在 Microsoft Entra 中注册现有设备时，会创建 设备标识 ，并且设备是已加入 Entra Microsoft混合设备。 它们不被视为云原生终结点。
如果你的组织已准备就绪，并且想要成为云原生组织，Microsoft已加入到本文中的 Entra (，) 是正确的选择。 需要重置现有设备。 有关更具体的信息和指南，请转到 高级规划指南。
已加入混合Microsoft Entra 资源
有关如何将现有已加入域的设备注册到 Microsoft Entra 的信息，请转到 配置混合Microsoft Entra 联接。 配置混合Microsoft Entra 联接 包括托管域和联合域的信息。
哪个选项适合你的组织
正确的选项取决于你的环境、终结点和组织目标。 做出此决定时，请考虑未来和长期影响。
请考虑以下方案：
| 应用场景 | Microsoft Entra 联接或混合Microsoft Entra 联接 |
|---|---|
| 你正在预配新的 Windows 终结点 | ✔️ Microsoft Entra 联接 如果你有要预配和注册的新、翻新或刷新的 Windows 设备，则建议Microsoft Entra 联接。 Windows 10/11 具有内置于 OS 的新式功能，包括新式管理、新式身份验证等。 Microsoft Entra Join 应该是新终结点和重置终结点的默认选项。 ❌ 混合Microsoft Entra 联接 可以将混合Microsoft Entra Join 用于新终结点，但通常不建议这样做。 使用混合Microsoft Entra Join 加入时，可能无法使用 Windows 10/11 中内置的新式功能。 |
| 你已有以前预配的 Windows 终结点，这些终结点已加入混合Microsoft Entra 或 AD | ✔️ 混合Microsoft Entra 联接 如果现有终结点已加入到本地 AD 域 (包括已加入混合Microsoft Entra) ，则建议使用混合Microsoft Entra 联接。 设备获取云标识，并可以使用需要云标识的云服务。 对于具有现有终结点的最终用户，此选项的影响最小。 ❌ Microsoft Entra 联接 必须重置加入到本地 AD 域 (包括已加入混合Microsoft Entra) 的现有设备才能Microsoft Entra 联接。 如果无法重置，则不支持Microsoft Entra 加入它们的Microsoft路径。 |
常见问题、解答和方案
本部分解答有关已加入 Entra Microsoft 和已加入 Entra 的混合Microsoft设备的常见问题。
已加入混合Microsoft Entra 是设备的长期目标状态还是最终目标状态？
否，混合Microsoft Entra Join 不应是长期目标，也不应是任何组织的最终目标。
如果你不受限制或限制 (技术、政治或法规原因) ，则你的组织应移动或计划迁移到已加入 Windows 终结点的 Entra Microsoft。
组织应采用哪种策略将现有混合Microsoft Entra Join 设备移动到Microsoft Entra Join？
该策略取决于许多因素，其中许多因素特定于你的组织。
通常，Microsoft建议等待补充事件。 例如，在硬件刷新、OS 升级或设备故障排除方案中，当有新的 Windows (或重置) 实例时，可以移动到 Microsoft Entra Join。 使用此方法，可以最大程度地减少用户中断，并简化转换过程以Microsoft Entra Join。 请记住，在没有 Windows 重置的情况下，将现有设备从混合Microsoft Entra Join 转换为 Microsoft Entra Join，没有Microsoft支持的过程或路径。
在Microsoft Entra 混合联接设备上，必须执行完整的设备擦除，因为 Windows Autopilot 重置 不支持Microsoft Entra 混合联接设备。
若要移动到 Microsoft Entra Join，可以主动重置现有设备。 此方法可能会对用户造成更大的干扰，并且需要更多计划 & 测试。 但是，如果你有一些设备，或者如果你有一个强大的业务案例要移动到Microsoft Entra Join，则可以使用此方法。
有一个阻止程序阻止我的组织移动到Microsoft Entra Join
可能存在Microsoft无法控制的阻碍因素和挑战，从而阻止组织完全迁移到Microsoft Entra Join。 也可能存在特定于组织及其配置或期望的未知阻止程序。 这些阻碍可能是技术性的，也可能是出于其他非技术原因而发生的。
请记住，移动到Microsoft Entra Join 并不是一个全部或全无的命题。 将设备移动到Microsoft Entra Join 需要一段时间，即使有或没有阻滞剂或抑制剂也是如此。
如果发现阻止使用 Microsoft Entra Join 的潜在阻碍因素，请确定范围、影响和解决方案。 迁移到云原生终结点的高级规划指南会有所帮助。
Microsoft Entra Join 和混合Microsoft Entra Join 终结点是否可以在同一环境中共存？
是的，Microsoft Entra Join 和混合Microsoft Entra Join 终结点可以共存于同一环境中。 它们不是相互排斥的。
混合环境会增加复杂性、维护和支持成本。 但可以使用混合Microsoft Entra Join，直到这些终结点被替换或重置。 请记住，混合Microsoft Entra Join 不应是组织针对 Windows 终结点状态的最终目标。
Microsoft Entra Join 系统上的用户是否可以访问本地资源？
是的，Microsoft Entra Join 系统上的用户可以访问本地资源。
Microsoft Entra Join 终结点可以访问本地资源，并且可以使用单一登录 (SSO) 。 有关更具体的信息，请转到 云原生终结点和本地资源。
Intune 可以管理哪些设备加入状态？
Microsoft Intune 是一种 100% 云解决方案，可以管理Microsoft Entra Join 或混合Microsoft Entra Join 的 Windows 客户端设备。 Intune 有许多内置功能和设置，可管理设置、控制设备功能、帮助保护终结点等。
迁移到云原生终结点的高级规划指南：应了解的 Intune 功能 列出了其中一些功能。 什么是 Intune 也是一个不错的资源。
在混合Microsoft Entra Join 终结点上，可以使用本地组策略对象 (GPO) 或 Intune 来控制策略设置。 还可以结合使用 GPO 和 Intune，但这种组合会增加管理开销和复杂性。 如果启用 (Intune (云) + Configuration Manager (本地) ) 共同 管理 ，则可以使用一些Microsoft Entra 功能，例如条件访问。
有关一些指南，请转到 部署指南：设置或移动到 Microsoft Intune。
设备合规性和/或条件访问需要哪些设备加入状态？
混合Microsoft Entra Join 和 Microsoft Entra Join 终结点都支持由 Intune 管理或由 Intune 和 Configuration Manager 共同管理时 符合性策略 和 条件访问 。
混合Microsoft Entra Join 是否有限制？
是的，混合Microsoft Entra Join 存在限制。
这些限制通常与仅加入本地域的设备相同。 具体而言，混合Microsoft Entra Join 终结点需要本地 AD 域控制器的视线才能进行初始登录和更改密码。 如果域已关闭或不可用，则可能会阻止用户登录到其终结点。 如果组织要远离本地域，则还必须从设备的混合Microsoft Entra Join 中移开。
如果使用 无密码身份验证，则用户需要 Internet 访问和域控制器 (DC) 。 若要进行身份验证，混合Microsoft Entra Join 终结点可以使用 kerberos 和 NTLM。
混合Microsoft Entra Join 是否被视为云原生？
否，混合Microsoft Entra Join 不被视为云原生联接。
云解决方案是Microsoft Entra Join 终结点。 终结点及其标识创建并存储在 Microsoft Entra 中。 Intune 使用设置和策略管理终结点。 这些服务与其他云服务配合使用，包括 Microsoft 365、Microsoft Defender XDR 等。
遵循云原生终结点的指南
- 概述：什么是云原生终结点？
- 教程 - 云原生 Windows 终结点入门
- 🡺 概念：Microsoft Entra 联接与混合Microsoft Entra 联接 (你在这里)
- 概念：云原声终结点和本地资源
- 高级规划指南
- 已知问题和重要信息