Udostępnij za pośrednictwem

Przewodnik migracji: konfigurowanie lub przenoszenie do usługi Microsoft Intune

  • Artykuł

Po zaplanowaniu przejścia do usługi Microsoft Intune następnym krokiem jest wybranie podejścia do migracji odpowiedniego dla Twojej organizacji. Te decyzje zależą od bieżącego środowiska zarządzania urządzeniami przenośnymi (MDM), celów biznesowych i wymagań technicznych.

Ten przewodnik migracji zawiera listę i opis opcji wdrażania lub przenoszenia do usługi Intune, które obejmują:

  • Nie używasz rozwiązania do zarządzania urządzeniami przenośnymi
  • Używasz rozwiązania MDM partnera innej firmy
  • Używasz programu Configuration Manager
  • Używasz lokalnych zasad grupy
  • Używasz usługi Microsoft 365 Basic Mobility and Security

Skorzystaj z tego przewodnika, aby określić najlepsze podejście do migracji i uzyskać wskazówki & zalecenia.

Porada

Przed rozpoczęciem

  • Microsoft Intune to natywne rozwiązanie w chmurze, które ułatwia zarządzanie tożsamościami, urządzeniami i aplikacjami. Jeśli twoim celem jest stać się natywnym dla chmury, możesz dowiedzieć się więcej w następujących artykułach:

  • Wdrożenie usługi Intune może różnić się od poprzedniego wdrożenia rozwiązania MDM. Usługa Intune używa kontroli dostępu opartej na tożsamościach. Dostęp do danych organizacji z urządzeń spoza sieci nie wymaga serwera proxy sieci.

Obecnie nic nie używaj

Jeśli obecnie nie używasz żadnego dostawcy zarządzania aplikacjami mobilnymi lub zarządzania aplikacjami mobilnymi (MAM), masz kilka opcji:

Obecnie używasz dostawcy mdm innej firmy

Urządzenia powinny mieć tylko jednego dostawcę mdm. Jeśli używasz innego dostawcy mdm, takiego jak Workspace ONE (wcześniej o nazwie AirWatch), MobileIron lub MaaS360, możesz przejść do usługi Intune.

Użytkownicy muszą wyrejestrować swoje urządzenia z bieżącego dostawcy mdm przed zarejestrowaniem się w usłudze Intune.

  1. Skonfiguruj usługę Intune, w tym ustawienie urzędu MDM na usługę Intune.

    Aby uzyskać więcej informacji, zobacz:

  2. Wdrażanie aplikacji i tworzenie zasad ochrony aplikacji. Chodzi o to, aby chronić dane organizacji w aplikacjach podczas migracji i do momentu zarejestrowania urządzeń & zarządzanych przez usługę Intune.

    Aby uzyskać więcej informacji, przejdź do kroku 2 — dodawanie, konfigurowanie i ochrona aplikacji za pomocą usługi Intune.

  3. Wyrejestruj urządzenia od bieżącego dostawcy mdm.

    Gdy urządzenia są wyrejestrowane, nie otrzymują zasad, w tym zasad zapewniających ochronę. Urządzenia są narażone na ataki, dopóki nie zostaną zarejestrowane w usłudze Intune i nie zaczną otrzymywać nowych zasad.

    Podaj użytkownikom konkretne kroki wyrejestrowanie. Dołącz wskazówki od istniejącego dostawcy mdm dotyczące wyrejestrowania urządzeń. Przejrzysta i pomocna komunikacja minimalizuje przestoje użytkowników końcowych, niezadowolenie i wywołania pomocy technicznej.

  4. Opcjonalne, ale zalecane. Jeśli masz identyfikator Microsoft Entra P1 lub P2, użyj również dostępu warunkowego , aby zablokować urządzenia do momentu zarejestrowania się w usłudze Intune.

    Aby uzyskać więcej informacji, przejdź do kroku 3 — planowanie zasad zgodności.

  5. Opcjonalne, ale zalecane. Utwórz punkt odniesienia zgodności i ustawień urządzeń, które muszą mieć wszyscy użytkownicy i urządzenia. Te zasady można wdrożyć, gdy użytkownicy zarejestrują się w usłudze Intune.

    Aby uzyskać więcej informacji, zobacz:

  6. Zarejestruj się w usłudze Intune. Upewnij się, że podasz użytkownikom konkretne kroki rejestracji.

    Aby uzyskać więcej informacji, zobacz:

Ważna

Nie konfiguruj jednocześnie usługi Intune ani żadnego istniejącego rozwiązania mdm innej firmy w celu stosowania kontroli dostępu do zasobów, w tym programu Exchange lub SharePoint.

Zalecenia:

  • Jeśli przechodzisz z dostawcy zarządzania urządzeniami mobilnymi/zarządzania aplikacjami mobilnymi partnera, zanotuj uruchomione zadania i funkcje, których używasz. Te informacje dają wyobrażenie o tym, jakie zadania należy wykonywać również w usłudze Intune.

  • Użyj podejścia etapowego. Zacznij od niewielkiej grupy użytkowników pilotażowych i dodaj więcej grup do momentu osiągnięcia wdrożenia na pełną skalę.

  • Monitorowanie obciążenia pomocy technicznej i powodzenia rejestracji w każdej fazie. Pozostaw czas w harmonogramie, aby ocenić kryteria powodzenia dla każdej grupy przed migracją następnej grupy.

    Wdrożenie pilotażowe powinno zweryfikować następujące zadania:

    • Wskaźniki powodzenia rejestracji i niepowodzeń mieszczą się w twoich oczekiwaniach.

    • Produktywność użytkowników:

      • Działają zasoby firmowe, w tym sieć VPN, sieć Wi-Fi, poczta e-mail i certyfikaty.
      • Wdrożone aplikacje są dostępne.

    • Zabezpieczenia danych:

      • Przejrzyj raporty dotyczące zgodności i poszukaj typowych problemów i trendów. Poinformuj dział pomocy technicznej o problemach, rozwiązaniach i trendach.
      • Stosowane są zabezpieczenia aplikacji mobilnych.

  • Jeśli pierwsza faza migracji jest zadowalająca, powtórz cykl migracji dla następnej fazy.

    • Powtarzaj cykle etapowe do momentu migracji wszystkich użytkowników do usługi Intune.
    • Upewnij się, że pomoc techniczna jest gotowa do obsługi użytkowników końcowych w trakcie migracji. Uruchom dobrowolną migrację, dopóki nie będzie można oszacować obciążenia wywołań pomocy technicznej.
    • Nie ustawiaj terminów rejestracji, dopóki pomoc techniczna nie będzie mogła obsłużyć wszystkich pozostałych użytkowników.

Przydatne informacje:

Obecnie używaj programu Configuration Manager

Program Configuration Manager obsługuje serwery z systemem Windows i urządzenia klienckie z systemem Windows & macOS. Jeśli Organizacja korzysta z innych platform, może być konieczne zresetowanie urządzeń, a następnie zarejestrowanie ich w usłudze Intune. Po zarejestrowaniu otrzymują utworzone zasady i profile. Aby uzyskać więcej informacji, zobacz przewodnik wdrażania rejestracji w usłudze Intune.

Jeśli obecnie używasz programu Configuration Manager i chcesz używać usługi Intune, dostępne są następujące opcje.

Opcja 1 — dodawanie dołączania dzierżawy

Dołączanie dzierżawy umożliwia przekazywanie urządzeń programu Configuration Manager do organizacji w usłudze Intune, znanej również jako "dzierżawa". Po dołączeniu urządzeń użyjesz centrum administracyjnego usługi Microsoft Intune do uruchamiania akcji zdalnych, takich jak maszyna synchronizacji i zasady użytkownika. Możesz również wyświetlić serwery lokalne i uzyskać informacje o systemie operacyjnym.

Dołączanie dzierżawy jest dołączone do licencji współzarządzania programu Configuration Manager bez dodatkowych kosztów. Jest to najprostszy sposób integracji chmury (Intune) z konfiguracją lokalnego programu Configuration Manager.

Aby uzyskać więcej informacji, zobacz Włączanie dołączania dzierżawy.

Opcja 2 — Konfigurowanie współzarządzania

Ta opcja używa programu Configuration Manager dla niektórych obciążeń i używa usługi Intune dla innych obciążeń.

  1. W programie Configuration Manager skonfiguruj współzarządzanie.
  2. Skonfiguruj usługę Intune, w tym ustawienie urzędu MDM na usługę Intune.

Urządzenia są gotowe do zarejestrowania w usłudze Intune i otrzymywania zasad.

Przydatne informacje:

Opcja 3 — przejście z programu Configuration Manager do usługi Intune

Większość istniejących klientów programu Configuration Manager chce nadal korzystać z programu Configuration Manager. Obejmuje ona usługi, które są korzystne dla urządzeń lokalnych.

Te kroki są omówione i są uwzględniane tylko dla tych użytkowników, którzy chcą 100% rozwiązania w chmurze. Korzystając z tej opcji, możesz:

  • Zarejestruj istniejące lokalne urządzenia klienckie usługi Active Directory z systemem Windows jako urządzenia w usłudze Microsoft Entra ID.
  • Przenieś istniejące lokalne obciążenia programu Configuration Manager do usługi Intune.

Ta opcja jest bardziej sprawna dla administratorów, ale może tworzyć bardziej bezproblemowe środowisko dla istniejących urządzeń klienckich z systemem Windows. W przypadku nowych urządzeń klienckich z systemem Windows zalecamy rozpoczęcie od podstaw od platformy Microsoft 365 i usługi Intune (w tym artykule).

  1. Skonfiguruj hybrydową usługę Active Directory i identyfikator Microsoft Entra dla urządzeń. Urządzenia przyłączone hybrydowo do usługi Microsoft Entra są przyłączone do lokalnej usługi Active Directory i zarejestrowane przy użyciu identyfikatora Microsoft Entra. Gdy urządzenia znajdują się w identyfikatorze Microsoft Entra ID, są one również dostępne w usłudze Intune.

    Hybrydowy identyfikator Entra firmy Microsoft obsługuje urządzenia z systemem Windows. Aby uzyskać inne wymagania wstępne, w tym wymagania dotyczące logowania, zobacz Planowanie implementacji przyłączania hybrydowego w usłudze Microsoft Entra.

  2. W programie Configuration Manager skonfiguruj współzarządzanie.

  3. Skonfiguruj usługę Intune, w tym ustawienie urzędu MDM na usługę Intune.

  4. W programie Configuration Manager przesuń wszystkie obciążenia z programu Configuration Manager do usługi Intune.

  5. Na urządzeniach odinstaluj klienta programu Configuration Manager. Aby uzyskać więcej informacji, zobacz odinstalowywanie klienta.

    Po skonfigurowaniu usługi Intune można utworzyć zasady konfiguracji aplikacji usługi Intune, które odinstalują klienta programu Configuration Manager. Możesz na przykład odwrócić kroki opisane w temacie Instalowanie klienta programu Configuration Manager przy użyciu usługi Intune.

Urządzenia są gotowe do zarejestrowania w usłudze Intune i otrzymywania zasad.

Ważna

Hybrydowy identyfikator Entra firmy Microsoft obsługuje tylko urządzenia z systemem Windows. Program Configuration Manager obsługuje urządzenia z systemem Windows i macOS. W przypadku urządzeń z systemem macOS zarządzanych w programie Configuration Manager można:

  1. Odinstaluj klienta programu Configuration Manager. Po odinstalowaniu urządzenia nie otrzymują zasad, w tym zasad zapewniających ochronę. Są one narażone, dopóki nie zarejestrują się w usłudze Intune i nie zaczną otrzymywać nowych zasad.
  2. Zarejestruj urządzenia w usłudze Intune, aby otrzymywać zasady.

Aby zminimalizować luki w zabezpieczeniach, przenieś urządzenia z systemem macOS po skonfigurowaniu usługi Intune i gdy zasady rejestracji będą gotowe do wdrożenia.

Opcja 4 — rozpoczynanie pracy od podstaw za pomocą platformy Microsoft 365 i usługi Intune

Ta opcja dotyczy urządzeń klienckich z systemem Windows. Jeśli używasz systemu Windows Server, takiego jak Windows Server 2022, nie używaj tej opcji. Użyj programu Configuration Manager.

Aby zarządzać urządzeniami klienckimi z systemem Windows:

  1. Wdróż platformę Microsoft 365, w tym tworzenie użytkowników i grup. Nie używaj ani nie konfiguruj pakietu Microsoft 365 Basic Mobility and Security.

    Przydatne linki:

  2. Skonfiguruj usługę Intune, w tym ustawienie urzędu MDM na usługę Intune.

  3. Na istniejących urządzeniach odinstaluj klienta programu Configuration Manager. Aby uzyskać więcej informacji, zobacz odinstalowywanie klienta.

Urządzenia są gotowe do zarejestrowania w usłudze Intune i otrzymywania zasad.

Obecnie używaj lokalnych zasad grupy

W chmurze dostawcy oprogramowania MDM, tacy jak Usługa Intune, zarządzają ustawieniami i funkcjami na urządzeniach. Obiekty zasad grupy (GPO) nie są używane.

Podczas zarządzania urządzeniami profile konfiguracji urządzeń usługi Intune zastępują lokalny obiekt zasad grupy. Profile konfiguracji urządzeń używają ustawień udostępnianych przez firmy Apple, Google i Microsoft.

Konkretnie:

Podczas przenoszenia urządzeń z zasad grupy użyj analizy zasad grupy. Analiza zasad grupy to narzędzie i funkcja w usłudze Intune, która analizuje obiekty zasad grupy. W usłudze Intune importujesz obiekty zasad grupy i sprawdzasz, które zasady są dostępne (i niedostępne) w usłudze Intune. W przypadku zasad dostępnych w usłudze Intune można utworzyć zasady wykazu ustawień przy użyciu zaimportowanych ustawień. Aby uzyskać więcej informacji na temat tej funkcji, przejdź do tematu Tworzenie zasad wykazu ustawień przy użyciu zaimportowanych obiektów zasad grupy w usłudze Microsoft Intune.

Następnie krok 1. Konfigurowanie usługi Microsoft Intune.

Obecnie korzystasz z usługi Microsoft 365 Basic Mobility and Security

Jeśli utworzono i wdrożono zasady usługi Microsoft 365 Basic Mobility and Security, możesz przeprowadzić migrację użytkowników, grup i zasad do usługi Microsoft Intune.

Aby uzyskać więcej informacji, przejdź do tematu Migrowanie z usługi Microsoft 365 Basic Mobility and Security do usługi Intune.

Migracja od dzierżawcy do dzierżawcy

Dzierżawa to Twoja organizacja w usłudze Microsoft Entra ID, na przykład Contoso. Obejmuje dedykowane wystąpienie usługi Microsoft Entra, które firma Contoso otrzymuje po otrzymaniu usługi w chmurze firmy Microsoft, takiej jak Microsoft Intune lub Microsoft 365. Identyfikator Entra firmy Microsoft jest używany przez usługę Intune i platformę Microsoft 365 do identyfikowania użytkowników i urządzeń, kontrolowania dostępu do utworzonych zasad i nie tylko.

W usłudze Intune można eksportować i importować niektóre zasady przy użyciu programu Microsoft Graph i programu Windows PowerShell.

Na przykład tworzysz subskrypcję wersji próbnej usługi Microsoft Intune. W tej dzierżawie wersji próbnej subskrypcji są dostępne zasady, które konfigurują aplikacje i funkcje, sprawdzają zgodność i nie tylko. Chcesz przenieść te zasady do innej dzierżawy.

W tej sekcji pokazano, jak używać skryptów programu Microsoft Graph do migracji dzierżawy do dzierżawy. Zawiera również listę niektórych typów zasad, które mogą lub nie mogą być eksportowane.

Ważna

  • W tych krokach są używane przykłady programu Graph w wersji beta usługi Intune w usłudze GitHub. Przykładowe skrypty wprowadzają zmiany w dzierżawie. Są one dostępne w zależności od stanu i powinny być weryfikowane przy użyciu konta dzierżawy nieprodukcyjnego lub "testowego". Upewnij się, że skrypty są zgodne z wytycznymi dotyczącymi zabezpieczeń organizacji.
  • Skrypty nie eksportują i nie importują wszystkich zasad, takich jak profile certyfikatów. Spodziewaj się wykonać więcej zadań niż to, co jest dostępne w tych skryptach. Należy ponownie utworzyć niektóre zasady.
  • Aby przeprowadzić migrację urządzenia użytkownika, użytkownik musi wyrejestrować urządzenie ze starej dzierżawy, a następnie ponownie zarejestrować je w nowej dzierżawie.

Pobierz przykłady i uruchom skrypt

Ta sekcja zawiera omówienie kroków. Skorzystaj z tych kroków jako wskazówek i dowiedz się, że konkretne kroki mogą być inne.

  1. Pobierz przykłady i wyeksportuj zasady za pomocą programu Windows PowerShell:

    1. Przejdź do obszaru microsoftgraph/powershell-intune-samples i wybierz pozycję Pobierz kod>ZIP. Wyodrębnij zawartość .zip pliku.

    2. Otwórz aplikację programu Windows PowerShell jako administrator i zmień katalog na folder. Na przykład wprowadź następujące polecenie:

      cd C:\psscripts\powershell-intune-samples-master

    3. Zainstaluj moduł AzureAD programu PowerShell:

      Install-Module AzureAD

      Wybierz pozycję Y , aby zainstalować moduł z niezaufanego repozytorium. Instalacja może potrwać kilka minut.

    4. Zmień katalog na folder przy użyciu skryptu, który chcesz uruchomić. Na przykład zmień katalog na CompliancePolicy folder:

      cd C:\psscripts\powershell-intune-samples-master\powershell-intune-samples-master\CompliancePolicy

    5. Uruchom skrypt eksportu. Na przykład wprowadź następujące polecenie:

      .\CompliancePolicy_Export.ps1

      Zaloguj się przy użyciu konta. Po wyświetleniu monitu wprowadź ścieżkę, aby umieścić zasady. Na przykład wprowadź:

      C:\psscripts\ExportedIntunePolicies\CompliancePolicies

    W folderze zasady są eksportowane.

  2. Zaimportuj zasady w nowej dzierżawie:

    1. Zmień katalog na folder programu PowerShell przy użyciu skryptu, który chcesz uruchomić. Na przykład zmień katalog na CompliancePolicy folder:

      cd C:\psscripts\powershell-intune-samples-master\powershell-intune-samples-master\CompliancePolicy

    2. Uruchom skrypt importu. Na przykład wprowadź następujące polecenie:

      .\CompliancePolicy_Import_FromJSON.ps1

      Zaloguj się przy użyciu konta. Po wyświetleniu monitu wprowadź ścieżkę do pliku zasad .json , który chcesz zaimportować. Na przykład wprowadź:

      C:\psscripts\ExportedIntunePolicies\CompliancePolicies\PolicyName.json

  3. Zaloguj się do centrum administracyjnego usługi Intune. Zostaną wyświetlone zaimportowane zasady.

Czego nie można zrobić

Istnieją typy zasad, których nie można wyeksportować. Istnieją pewne typy zasad, które można wyeksportować, ale nie można ich zaimportować do innej dzierżawy. Użyj poniższej listy jako przewodnika. Dowiedz się, że istnieją inne typy zasad, których nie ma na liście.

Typ zasad lub profilu Informacja
Aplikacje  
Aplikacje biznesowe dla systemu Android ❌ Eksport
❌ Import

Aby dodać aplikację LOB do nowej dzierżawy, potrzebne są również oryginalne .apk pliki źródłowe aplikacji.
Apple — program zakupów zbiorczych (VPP) ❌ Eksport
❌ Import

Te aplikacje są synchronizowane z programem VPP firmy Apple. W nowej dzierżawie dodajesz token programu VPP, który pokazuje dostępne aplikacje.
Aplikacje biznesowe dla systemu iOS/iPadOS ❌ Eksport
❌ Import

Aby dodać aplikację LOB do nowej dzierżawy, potrzebne są również oryginalne .ipa pliki źródłowe aplikacji.
Zarządzany sklep Google Play ❌ Eksport
❌ Import

Te aplikacje i linki internetowe są synchronizowane z zarządzanym sklepem Google Play. W nowej dzierżawie dodajesz konto zarządzanego sklepu Google Play, na którym są wyświetlane dostępne aplikacje.
Microsoft Store dla firm ❌ Eksport
❌ Import

Te aplikacje są synchronizowane ze Sklepem Microsoft dla Firm. W nowej dzierżawie dodajesz konto sklepu Microsoft Store dla Firm, które pokazuje dostępne aplikacje.
Aplikacja systemu Windows (Win32) ❌ Eksport
❌ Import

Aby dodać aplikację LOB do nowej dzierżawy, potrzebne są również oryginalne .intunewin pliki źródłowe aplikacji.
Zasady zgodności  
Akcje dotyczące niezgodności ❌ Eksport
❌ Import

Możliwe, że istnieje link do szablonu wiadomości e-mail. Podczas importowania zasad, które mają akcje niezgodności, zamiast tego są dodawane akcje domyślne dla niezgodności.
Przypisania ✅ Eksport
❌ Import

Przypisania są przeznaczone dla identyfikatora grupy. W nowej dzierżawie identyfikator grupy jest inny.
Profile konfiguracji  
Poczta e-mail ✅ Eksport

✅ Jeśli profil poczty e-mail nie używa certyfikatów, import powinien działać.
❌ Jeśli profil poczty e-mail używa certyfikatu głównego, nie można zaimportować profilu do nowej dzierżawy. Identyfikator certyfikatu głównego jest inny w nowej dzierżawie.
Certyfikat SCEP ✅ Eksport

❌ Import

Profile certyfikatów SCEP używają certyfikatu głównego. Identyfikator certyfikatu głównego jest inny w nowej dzierżawie.
Sieć VPN ✅ Eksport

✅ Jeśli profil sieci VPN nie używa certyfikatów, import powinien działać.
❌ Jeśli profil sieci VPN używa certyfikatu głównego, nie można zaimportować profilu do nowej dzierżawy. Identyfikator certyfikatu głównego jest inny w nowej dzierżawie.
Wi-Fi ✅ Eksport

✅ Jeśli profil Wi-Fi nie używa certyfikatów, import powinien działać.
❌ Jeśli profil Wi-Fi używa certyfikatu głównego, nie można zaimportować profilu do nowej dzierżawy. Identyfikator certyfikatu głównego jest inny w nowej dzierżawie.
Przypisania ✅ Eksport
❌ Import

Przypisania są przeznaczone dla identyfikatora grupy. W nowej dzierżawie identyfikator grupy jest inny.
Zabezpieczenia punktu końcowego  
Wykrywanie i reagowanie dotyczące punktów końcowych ❌ Eksport
❌ Import

Te zasady są połączone z usługą Microsoft Defender for Endpoint. W nowej dzierżawie skonfigurujesz usługę Microsoft Defender dla punktu końcowego, która automatycznie obejmuje zasady wykrywania punktów końcowych i reagowania .

Następne kroki