Microsoft Intune 支援數種使用原則和應用程式鎖定裝置和使用者的方法。 每種方法都有不同的優勢、評估特徵和用例。 選擇正確的方法或方法組合有助於確保原則和應用程式在正確的時間到達正確的裝置。
本文說明可用的目標設定結構，並協助您為您的環境選擇適當的方法。
重要概念
選擇目標設定方法之前，請先了解引導 Intune 中有效目標設定的原則：
| 原則 | 描述 |
|---|---|
| 從廣泛開始，縮小範圍 | 與其建立許多狹隘的群組來比對每個原則，不如從最廣泛的適用對象開始，然後使用指派篩選來精簡哪些裝置會收到原則。 此策略可減少群組蔓延並簡化管理。 |
| 群組定義範圍，篩選定義目標設定 | 群組會回答「誰是觀眾？」。 指派篩選會回答 「該客群中的哪些裝置實際上會收到此原則？」 單獨將這兩個問題合併為組會導致許多幾乎相同的組難以管理。 |
| 一個群組，多個原則 | 您不需要在群組和原則之間建立 1：1 關聯性。 單一廣泛的群組可以服務多個原則指派。 工作負載或指派篩選器的適用性可確保原則僅適用於適用的使用者和裝置。 |
| 群組成員資格是身分識別，而非原則意圖 | 群組應該以對整個組織有意義的方式描述 裝置 是什麼或 使用者是什麼 ，而不是 應該取得的原則。 如果只有 Intune 讀取群組，請評估指派篩選是否可以取代群組。 |
| 簽入時評估與變更時評估 | 群組和篩選使用不同的評估模型。 當裝置或使用者屬性變更並反映目錄的目前狀態時，會處理群組成員資格。 篩選會在每次裝置簽入時根據當時的裝置屬性進行評估。 根據您是否需要其他服務 (可在群組) 讀取的成員資格，或) Intune (篩選器的精確簽入時間目標來選擇。 |
目標設定方法概觀
Intune 目標設定建置在兩層上：定義範圍內的人員或內容的群組類型，以及精簡原則到達這些裝置的方式和時機的 Intune 目標功能。
群組類型
| 群組類型 | 功能 | 最適用於 |
|---|---|---|
| 虛擬群組 | 內建：由 Intune 維護的所有使用者和所有裝置群組 | 適用於所有人或裝置的廣泛原則 |
| 靜態群組 | 具有固定成員資格的手動管理安全性群組 | 不常變更的已知使用者或裝置集 |
| 動態群組 | 由 Microsoft Entra ID 評估具有規則型成員資格的群組 | 跨工作負載目標鎖定 (條件式存取、授權) 、Autopilot、以使用者為基礎的分組 |
靜態和動態群組是Microsoft Entra安全性群組，任何使用群組成員資格 (條件式存取、授權、SharePoint、Exchange) 的服務都可以使用它們。 虛擬群組是由 Intune 管理，而且一律是最新的，不需要額外處理。
Intune 目標設定功能
| 建構 | 功能 | 最適用於 |
|---|---|---|
| 工作分派篩選 | 在群組作業上套用 Intune 評估規則 | Intune 原則的裝置屬性目標鎖定 - 在簽入時評估，而不取決於群組成員資格處理 |
| 註冊時間分組 | 在註冊期間將裝置新增至安全性群組 | 在註冊期間快速傳遞群組型原則，而不需要等候動態群組成員資格處理 |
這些是 Intune 獨有。 作業篩選和註冊時間分組擴展了您對群組的功能——它們不會取代群組，但解決了單獨群組無法解決的速度和精確度上的特定差距。
群組類型
虛擬群組
Intune 為所有使用者和所有裝置提供內建的虛擬群組。 這些群組一律為最新，不需要處理即可更新成員資格。
虛擬群組與 Intune 目標功能結合使用時最有效：
- 虛擬群組 + 指派篩選 - 將原則指派給 [所有裝置]，然後套用篩選以將範圍縮小到特定裝置屬性 (，例如 OS 類型、製造商或擁有權) 。 篩選會在簽入時進行評估，而不依賴群組成員資格處理。
使用時機：
- 原則或應用程式應可供所有使用者或所有裝置使用
- 您想要一個廣泛的目標，並使用指派篩選進行精簡，以達到精確的裝置層級目標設定
靜態群組
靜態安全性群組具有手動管理的成員資格。 系統管理員直接新增或移除成員。
靜態群組也可以與 Intune 目標功能結合：
- 靜態群組 + 指派篩選器 — 將原則指派給靜態群組 (，例如部門或試驗通道) ，然後套用篩選器以進一步縮小該群組中接收原則的裝置。
- 靜態群組 + 註冊時間群組 — 使用靜態群組做為註冊時間群組的目標。 裝置會在註冊期間新增至群組，以便在第一次簽入時快速傳遞原則。
使用時機：
- 您有一組固定的使用者或裝置 (例如試驗群組或執行小組)
- 您需要跨工作負載案例的群組成員資格，但母體小且穩定
動態群組
動態群組使用由 Microsoft Entra ID 評估和更新的規則型成員資格。 它們是在 Microsoft 365 生態系統中組織使用者和裝置的標準機制，任何讀取群組成員資格 (條件式存取、授權、SharePoint、Exchange 的服務) 取用動態群組。
裝置註冊或使用者屬性變更後，群組成員資格需要進行其他處理，變更才會反映。
使用時機：
- 跨工作負載案例 — 條件式存取原則、群組型授權、SharePoint 存取、Exchange Online 原則，或任何需要群組成員資格的 Microsoft 365 服務
- Autopilot 目標設定 — Autopilot 部署設定檔必須指派給群組。 在註冊開始之前，裝置必須是群組成員
- 以使用者為基礎的群組 — 依部門、位置、職稱或其他使用者屬性將使用者分組
注意事項
如果您的動態裝置群組只由 Intune (使用，而非條件式存取、授權或其他服務) ，請評估指派篩選是否可以達到相同的目標設定。 篩選支援許多相同的裝置屬性， enrollmentProfileName 包括，並在簽入時進行評估，而不需依賴群組成員資格處理。
動態群組也可以與作業篩選結合使用：
動態群組 + 指派篩選器 — 將原則指派給動態群組，然後套用篩選器以進一步精簡該群組中的哪些裝置會收到原則。 當群組提供跨工作負載目的，但您需要在群組內進行更精確的 Intune 目標設定時，方法很有用。
範例： 您的組織對所有公司擁有的 Windows 裝置使用動態群組，因為條件式存取原則需要該群組成員資格。 在 Intune 中，您可以將組態設定檔指派給該群組，並套用指派篩選僅鎖定執行 Windows 11 24H2 或更新版本的裝置。 群組會處理條件式存取範圍，而篩選會處理 Intune 特定的版本目標設定，而不會建立第二個群組。
動態群組的最佳做法：
-
保持規則簡單 — 使用 OR
-startsWith和少量條件的-eq直接屬性比較。 規則越簡單，評估速度越快，疑難排解也更容易。 -
避免
memberOf— 傳遞群組查閱會增加顯著的處理複雜度，並且是意外成員資格結果的常見來源。 - 稽核屬性寫入權限 — 如果動態群組控制敏感性資源的存取權 (條件式存取、授權) ，則該存取權的安全性取決於誰可以修改規則中參照的屬性。
- 確保裝置具有乾淨且正確的屬性 — 動態群組成員資格取決於寫入裝置物件的內容。 過時或遺失的值會導致非預期的成員資格。
如需規則語法和撰寫有效規則的詳細指南，請移至：
Intune 目標設定功能
工作分派篩選
指派篩選是 Intune 評估的規則，可精簡哪些裝置會收到原則或應用程式。 篩選會套用在群組指派之上，並直接在簽入時評估裝置屬性，而不依賴群組成員資格處理。
使用時機：
- 您根據裝置屬性 (作業系統版本、製造商、型號、擁有權、裝置類別) 來鎖定Intune原則或應用程式
- 您想要 在裝置簽入時直接進行 評估，而不需要處理群組成員資格
- 您想要結合廣泛的群組指派 (例如 [所有裝置) ] 與精確的裝置層級目標設定
- 您想要從指派給廣泛群組的原則中 包含或排除 特定裝置
常見案例：
- 將合規性原則部署到所有公司擁有的 Windows 裝置
- 從組態設定檔中排除特定裝置製造商
- 針對應用程式部署執行特定作業系統版本的目標裝置
- 將指派給 [所有裝置 ] 的原則縮小到僅限組織所擁有的 iOS 裝置
注意事項
指派篩選器無法取代所有案例中的群組。 篩選器無法用於：
- Autopilot 設定檔指派 — 在註冊開始之前，裝置必須是群組成員
- 條件式存取、授權或 SharePoint，這些服務需要 Entra 群組成員資格
- 不支援篩選的工作負載 — 針對特定原則或應用程式類型進行設計之前，先確認篩選器支援
註冊時間分組
註冊時間群組會在註冊期間將裝置新增至指定的安全性群組，而不是之後。 此功能可讓指派給該群組的應用程式和原則在註冊流程中更早地傳遞，在許多情況下是在第一次簽入時傳遞，而不需要等候群組成員資格處理。 實際傳遞時間取決於工作負載、平台、作業類型和註冊方法。
使用時機：
- 您需要在註冊期間具有群組成員資格，以便快速傳遞原則
- 您使用的 註冊方法支援註冊時間分組
- 您需要跨工作負載案例的群組 (例如條件式存取) ，而且也需要快速的註冊時間傳遞
請勿在以下場合使用：
- 指派篩選可以達到相同的目標設定：如果原則是僅限Intune，而且您是根據簽入時可用的裝置屬性來鎖定目標 (OS、製造商、擁有權) ，篩選會更簡單而且不需要群組管理
- 您不需要將群組用於任何其他用途 - 註冊時間分組會建立真正的 Entra 安全性群組成員資格，這些成員資格會在註冊後持續存在。 如果沒有其他服務讀取該群組，則會增加管理額外負荷，而沒有好處
- 註冊方法不支援 — 只有特定註冊流程支援註冊時間群組。 在圍繞註冊方法進行設計之前，請先確認您的註冊方法是否在 支援的清單 中
如需詳細資訊，請移至 Microsoft Intune 中的註冊時間群組。
選擇正確的方法
針對大部分的 Intune 環境，最佳方法是結合多種方法：
- 從廣泛的群組開始 — 使用虛擬群組、靜態群組或動態群組做為您的基本指派目標。 為您的組織選擇最廣泛、適當的基礎群組，但要考慮每個群組類型的評估時間和跨工作負載需求。
- 根據裝置屬性精簡目標設定 — 當原則為僅限 Intune 時使用指派篩選。 當跨工作負載需要屬性型成員資格時，請使用動態群組 (條件式存取、授權、Autopilot) 。
- 使用註冊時間分組 來移除註冊期間群組成員資格處理的等候，讓原則在第一次簽入時傳遞。
注意
廣泛的任務很強大，但也有風險。 將高影響原則指派給具有篩選的 [所有裝置 ] 之前，請先針對試驗群組驗證篩選。 在廣泛指派上設定錯誤或刪除篩選，可能會影響範圍內的每個裝置。 在擴充至生產環境之前，請使用分段推出通道並監視指派報告。
當動態群組可以成為篩選
如果您有使用簡單屬性規則且僅由 Intune 取用的動態裝置群組，而非條件式存取、授權或其他服務，您可以使用指派篩選器取代這些群組來簡化目標設定。 目的不是要移除所有動態群組。 這是為了消除不服務於跨工作負載目的的群組不必要的群組處理開銷。
下表顯示常見的動態群組規則及其對等指派篩選語法：
| 動態群組規則 | 對等指派篩選 | 附註 |
|---|---|---|
device.deviceOSType -eq "Windows" |
operatingSystemSKU -eq "Windows" |
作業系統類型目標設定 |
device.deviceManufacturer -eq "Microsoft" |
manufacturer -eq "Microsoft Corporation" |
製造商目標設定 |
device.deviceModel -startsWith "Surface" |
model -startsWith "Surface" |
模型目標設定 |
device.deviceOwnership -eq "Company" |
deviceOwnership -eq "Corporate" |
所有權目標設定 |
device.deviceCategory -eq "Engineering" |
deviceCategory -eq "Engineering" |
裝置類別目標設定 |
注意事項
動態群組規則和指派篩選語法之間的屬性名稱和值可能會稍有不同。 建立篩選時，請確認 [支援的裝置內容] 中的確切屬性名稱和支援的值。
重要事項
請勿移除 Intune (條件式存取、授權、SharePoint) 以外的服務所使用的動態群組。 這些服務無法取用指派篩選 — 因為它們需要群組成員資格。 只簡化專為 Intune 原則目標設定而存在的群組。
提示
目標決策也會影響效能，尤其是在大型環境中。 如需群組重複使用、避免常見反模式以及了解同步行為的指導方針，請移至 分組、目標設定和篩選的效能建議。