Przewodnik wdrażania: zarządzanie urządzeniami z systemem Windows 10/11

Artykuł
12/24/2024

W tym przewodniku opisano, jak chronić aplikacje i punkty końcowe systemu Windows oraz zarządzać nimi przy użyciu Microsoft Intune, a także przedstawiono zalecenia dotyczące konfiguracji i zasoby, od wymagań wstępnych po rejestrację.

W każdej sekcji w tym przewodniku przejrzyj skojarzone zadania. Niektóre zadania są wymagane, a niektóre, takie jak konfigurowanie Microsoft Entra dostępu warunkowego, są opcjonalne. Wybierz podane linki w każdej sekcji, aby przejść do naszych zalecanych dokumentów pomocy w witrynie Microsoft Learn, gdzie można znaleźć bardziej szczegółowe informacje i instrukcje.

Krok 1. Wymagania wstępne

Wykonaj następujące wymagania wstępne, aby włączyć możliwości zarządzania punktami końcowymi dzierżawy:

Aby uzyskać informacje o rolach i uprawnieniach Microsoft Intune, zobacz RBAC with Microsoft Intune (Kontrola dostępu oparta na rolach z Microsoft Intune). Role administratora globalnego Microsoft Entra i administratora Intune mają pełne prawa w ramach Microsoft Intune. Te role są wysoce uprzywilejowane i mają większy dostęp niż jest to wymagane w przypadku wielu zadań zarządzania urządzeniami w Microsoft Intune. Zalecamy użycie najmniej uprzywilejowanej wbudowanej roli, która jest dostępna do wykonywania zadań.

Aby uzyskać więcej szczegółów i zaleceń dotyczących przygotowywania organizacji, dołączania lub wdrażania Intune do zarządzania urządzeniami przenośnymi, zobacz Przewodnik migracji: Konfigurowanie lub przechodzenie do Microsoft Intune.

Krok 2. Planowanie wdrożenia

Skorzystaj z przewodnika planowania Microsoft Intune, aby zdefiniować cele zarządzania urządzeniami, scenariusze przypadków użycia i wymagania. Skorzystaj z przewodnika, aby zaplanować wdrożenie, komunikację, pomoc techniczną, testowanie i walidację. Na przykład w niektórych przypadkach nie musisz być obecny, gdy pracownicy i studenci rejestrują swoje urządzenia. Zalecamy posiadanie planu komunikacji, aby użytkownicy wiedzieli, gdzie można znaleźć informacje o instalowaniu i używaniu Intune — Portal firmy.

Aby uzyskać więcej informacji, zobacz Microsoft Intune przewodnik planowania.

Krok 3. Tworzenie zasad zgodności

Zasady zgodności umożliwiają zapewnienie, że urządzenia uzyskujące dostęp do danych są bezpieczne i spełniają standardy organizacji. Ostatnim etapem procesu rejestracji jest ocena zgodności, która sprawdza, czy ustawienia na urządzeniu spełniają twoje zasady. Użytkownicy urządzeń muszą rozwiązać wszystkie problemy ze zgodnością, aby uzyskać dostęp do chronionych zasobów. Intune oznacza urządzenia, które nie spełniają wymagań dotyczących zgodności, jako niezgodne i podejmuje dodatkowe działania (takie jak wysyłanie użytkownikowi powiadomienia, ograniczanie dostępu lub czyszczenie urządzenia) zgodnie z akcją dotyczącą konfiguracji niezgodności.

Możesz użyć Microsoft Entra zasad dostępu warunkowego w połączeniu z zasadami zgodności urządzeń, aby kontrolować dostęp do komputerów z systemem Windows, firmowej poczty e-mail i usług platformy Microsoft 365. Można na przykład utworzyć zasady, które blokują pracownikom dostęp do usługi Microsoft Teams w przeglądarce Edge bez uprzedniego rejestrowania lub zabezpieczania urządzenia.

Porada

Aby zapoznać się z omówieniem zasad zgodności urządzeń, zobacz Omówienie zgodności.

Zadanie	Szczegóły
Tworzenie zasad zgodności	Uzyskaj szczegółowe wskazówki dotyczące tworzenia i przypisywania zasad zgodności do grup użytkowników i urządzeń.
Dodawanie akcji w przypadku niezgodności	Wybierz, co się stanie, gdy urządzenia przestaną spełniać warunki określone przez zasady zgodności. Przykłady akcji obejmują wysyłanie alertów, zdalne blokowanie urządzeń lub wycofywanie urządzeń. Możesz dodać akcje na wypadek niezgodności podczas konfigurowania zasad zgodności urządzenia lub edytując je później.
Tworzenie zasad dostępu warunkowego opartych na urządzeniach lub opartych na aplikacjach	Wybierz aplikacje lub usługi, które chcesz chronić, i zdefiniuj warunki dostępu.
Blokowanie dostępu do aplikacji, które nie korzystają z nowoczesnego uwierzytelniania	Utwórz zasady dostępu warunkowego oparte na aplikacji, aby blokować aplikacje korzystające z metod uwierzytelniania innych niż OAuth2 — na przykład aplikacje, które używają uwierzytelniania podstawowego i uwierzytelniania opartego na formularzach. Zanim jednak zablokujesz dostęp, zaloguj się do Tożsamość Microsoft Entra i przejrzyj raport aktywności metod uwierzytelniania, aby sprawdzić, czy użytkownicy korzystają z uwierzytelniania podstawowego, aby uzyskać dostęp do podstawowych elementów, o których nie pamiętasz lub o których nie wiesz. Na przykład z uwierzytelniania podstawowego mogą korzystać kioski kalendarza sali konferencyjnej.
Dodawanie niestandardowych ustawień zgodności	Za pomocą niestandardowych ustawień zgodności możesz napisać własne skrypty powłoki Bash, aby rozwiązać problem scenariuszy zgodności, które nie zostały jeszcze uwzględnione w opcjach zgodności urządzeń wbudowanych w Microsoft Intune. W tym artykule opisano sposób tworzenia, monitorowania i rozwiązywania problemów z niestandardowymi zasadami zgodności dla urządzeń z systemem Windows. Niestandardowe ustawienia zgodności wymagają utworzenia niestandardowego skryptu identyfikującego pary ustawień i wartości.

Krok 4. Konfigurowanie zabezpieczeń punktu końcowego

Użyj Intune funkcji zabezpieczeń punktu końcowego, aby skonfigurować zabezpieczenia urządzeń i zarządzać zadaniami zabezpieczeń dla zagrożonych urządzeń.

Zadanie	Szczegóły
Zarządzanie urządzeniami za pomocą funkcji zabezpieczeń punktu końcowego	Użyj ustawień zabezpieczeń punktu końcowego w usłudze Intune, aby skutecznie zarządzać zabezpieczeniami urządzeń i naprawiać związane z nimi problemy.
Dodawanie ustawień ochrony punktu końcowego	Skonfiguruj typowe funkcje zabezpieczeń programu Endpoint Protection, takie jak zapora, funkcja BitLocker i Microsoft Defender. Opis ustawień w tym obszarze można znaleźć w dokumentacji ustawień programu Endpoint Protection.
Konfiguruj ochronę punktu końcowego w usłudze Microsoft Defender w usłudze Intune	Podczas integracji Intune z Ochrona punktu końcowego w usłudze Microsoft Defender nie tylko pomagasz zapobiegać naruszeniom zabezpieczeń, ale możesz skorzystać z Microsoft Defender na potrzeby zarządzania & lukami w zabezpieczeniach (Endpoints Threat & Vulnerability Management) i korzystać z Intune w celu skorygowania słabych punktów końcowych zidentyfikowanych przez program TVM.
Zarządzanie zasadami funkcji BitLocker	Upewnij się, że urządzenia są szyfrowane podczas rejestracji, tworząc zasady, które konfigurują funkcję BitLocker na zarządzanych urządzeniach.
Zarządzanie profilami punktów odniesienia zabezpieczeń	Użyj punktów odniesienia zabezpieczeń w Intune, aby ułatwić zabezpieczanie i ochronę użytkowników i urządzeń. Punkt odniesienia zabezpieczeń zawiera najlepsze rozwiązania i zalecenia dotyczące ustawień, które mają wpływ na zabezpieczenia.
Używanie Windows Update dla firm na potrzeby aktualizacji oprogramowania	Skonfiguruj strategię wdrażania Windows Update za pomocą usługi Windows Update for Business. W tym artykule przedstawiono typy zasad, których można używać do zarządzania aktualizacjami oprogramowania Windows 10/11, oraz sposób przechodzenia z odroczeń pierścienia aktualizacji do zasad aktualizacji funkcji.

Krok 5. Konfigurowanie ustawień urządzenia

Użyj Microsoft Intune, aby włączyć lub wyłączyć ustawienia i funkcje systemu Windows na urządzeniach. Aby skonfigurować i wymusić te ustawienia, utwórz profil konfiguracji urządzenia, a następnie przypisz ten profil do grup w organizacji. Urządzenia otrzymają profil po ich zarejestrowaniu.

Zadanie	Szczegóły
Tworzenie profilu urządzenia	Utwórz profil urządzenia w Microsoft Intune i znajdź zasoby dotyczące wszystkich typów profilów urządzeń. Możesz również użyć katalogu ustawień , aby utworzyć zasady od podstaw.
Konfigurowanie ustawień zasad grupy	Użyj szablonów Windows 10, aby skonfigurować ustawienia zasad grupy w Microsoft Intune. Szablony administracyjne obejmują setki ustawień, które można skonfigurować dla programów Internet Explorer, Microsoft Edge, OneDrive, pulpitu zdalnego, Word, Excel i innych programów pakietu Office. Te szablony zapewniają administratorom uproszczony widok ustawień podobnych do zasad grupy i są w 100% oparte na chmurze.
Konfigurowanie profilu sieci Wi-Fi	Ten profil umożliwia użytkownikom znajdowanie sieci Wi-Fi organizacji i łączenie się z nią. Opis ustawień w tym obszarze można znaleźć w dokumentacji ustawień sieci Wi-Fi dla Windows 10 i nowszych.
Konfigurowanie profilu sieci VPN	Skonfiguruj opcję bezpiecznej sieci VPN, taką jak aplikacja Microsoft Tunnel, dla osób łączących się z siecią organizacji. Aby uzyskać opis ustawień w tym obszarze, zobacz dokumentację ustawień sieci VPN.
Konfigurowanie profilu poczty e-mail	Skonfiguruj ustawienia poczty e-mail, aby użytkownicy mogli łączyć się z serwerem poczty i korzystać ze służbowego adresu e-mail. Aby uzyskać opis ustawień w tym obszarze, zobacz dokumentację ustawień poczty e-mail.
Ograniczanie funkcji urządzeń	Chroń użytkowników przed nieautoryzowanym dostępem i rozproszeniem uwagi, ograniczając funkcje urządzeń, z których korzystają służbowo. Aby zapoznać się z opisem ustawień w tym obszarze, zobacz dokumentację ograniczeń urządzeń dla Windows 10/11 i Windows 10 Teams.
Konfigurowanie profilu niestandardowego	Dodaj i przypisz ustawienia i funkcje urządzenia, które nie są wbudowane w usługę Intune. Opis ustawień w tym obszarze można znaleźć w dokumentacji ustawień niestandardowych.
Konfigurowanie ustawień systemu BIOS	Skonfiguruj Intune, aby można było kontrolować ustawienia interfejsu UEFI (BIOS) na zarejestrowanych urządzeniach przy użyciu interfejsu konfiguracji oprogramowania układowego urządzenia (DFCI)
Konfigurowanie przyłączania do domeny	Jeśli planujesz zarejestrować urządzenia przyłączone Microsoft Entra, utwórz profil przyłączania do domeny, aby Intune wiedzieć, do której domeny lokalnej dołączyć.
Konfigurowanie ustawień optymalizacji dostarczania	Użyj tych ustawień, aby zmniejszyć zużycie przepustowości na urządzeniach pobierających aplikacje i aktualizacje.
Dostosowywanie procesu znakowania i rejestracji	Dostosowywanie portalu firmy i aplikacji Microsoft Intune przy użyciu tekstów, znakowania, preferencji ekranu i informacji kontaktowych organizacji.
Konfigurowanie kiosków i dedykowanych urządzeń	Utwórz profil kiosku do zarządzania urządzeniami działającymi w trybie kiosku.
Dostosowywanie udostępnionych urządzeń	Kontrolowanie dostępu, kont i funkcji zasilania na urządzeniach udostępnionych lub urządzeniach z wieloma użytkownikami.
Konfigurowanie granicy sieci	Utwórz profil granicy sieci, aby chronić środowisko przed witrynami, którym nie ufasz.
Konfigurowanie monitorowania kondycji systemu Windows	Utwórz profil monitorowania kondycji systemu Windows, aby umożliwić firmie Microsoft zbieranie danych dotyczących wydajności i zapewnianie zaleceń dotyczących ulepszeń. Utworzenie profilu umożliwia funkcję analizy punktów końcowych w Microsoft Intune, która analizuje zebrane dane, zaleca oprogramowanie, pomaga zwiększyć wydajność uruchamiania i rozwiązuje typowe problemy z pomocą techniczną.
Konfigurowanie aplikacji Take a Test dla uczniów	Skonfiguruj aplikację Take a Test dla uczniów biorących testy lub egzaminy na zarejestrowanych urządzeniach.
Konfigurowanie profilu sieci komórkowej eSim	Możesz skonfigurować kartę eSIM dla urządzeń z obsługą karty ESIM, takich jak Surface LTE Pro, w celu nawiązania połączenia z Internetem za pośrednictwem połączenia danych komórkowych. Ta konfiguracja jest idealna dla podróżnych na całym świecie, którzy muszą pozostawać w kontakcie i elastyczni podczas podróży, i eliminuje potrzebę posiadania karty SIM.

Krok 6. Konfigurowanie bezpiecznych metod uwierzytelniania

Skonfiguruj metody uwierzytelniania w usłudze Intune, aby upewnić się, że dostęp do zasobów wewnętrznych mają tylko autoryzowane osoby. Usługa Intune obsługuje uwierzytelnianie wieloskładnikowe, certyfikaty i poświadczenia pochodne. Certyfikaty mogą być również używane do podpisywania i szyfrowania poczty e-mail przy użyciu protokołu S/MIME.

Zadanie	Szczegóły
Wymaganie uwierzytelniania wieloskładnikowego (MFA)	Wymagaj od użytkowników podania dwóch form poświadczeń w czasie rejestracji urządzenia. Te zasady działają w połączeniu z zasadami dostępu warunkowego Microsoft Entra.
Tworzenie profilu zaufanego certyfikatu	Zanim utworzysz profil certyfikatu SCEP, PKCS lub zaimportowanego certyfikatu PKCS, utwórz i wdróż profil certyfikatu zaufanego. Profil certyfikatu zaufanego wdraża zaufany certyfikat główny dla urządzeń i użytkowników przy użyciu certyfikatów SCEP, PKCS i zaimportowanego certyfikatu PKCS.
Używanie certyfikatów SCEP w usłudze Intune	Dowiedz się, co jest potrzebne do korzystania z certyfikatów SCEPT w usłudze Intune, i skonfiguruj wymaganą infrastrukturę. Następnie możesz utworzyć profil certyfikatu SCEP lub skonfigurować urząd certyfikacji innej firmy przy użyciu protokołu SCEP.
Używanie certyfikatów PKCS w usłudze Intune	Skonfiguruj wymaganą infrastrukturę (na przykład lokalne łączniki certyfikatów), wyeksportuj certyfikat PKCS, a następnie dodaj go do profilu konfiguracji urządzenia w usłudze Intune.
Korzystanie z zaimportowanych certyfikatów PKCS w usłudze Intune	Skonfiguruj zaimportowane certyfikaty PKCS, które umożliwiają konfigurowanie protokołu S/MIME i używanie go do szyfrowanie wiadomości e-mail.
Konfigurowanie wystawcy poświadczeń pochodnych	Aprowizowanie urządzeń z systemem Windows przy użyciu certyfikatów pochodzących z kart inteligentnych użytkownika.
Integracja Windows Hello dla firm z Microsoft Intune	Utwórz zasady Windows Hello dla firm, aby włączyć lub wyłączyć Windows Hello dla firm podczas rejestracji urządzenia. Hello dla firm to alternatywna metoda logowania, która używa usługi Active Directory lub konta Microsoft Entra w celu zastąpienia hasła, karty inteligentnej lub wirtualnej karty inteligentnej.

Krok 7. Wdrażanie aplikacji

Podczas konfigurowania aplikacji i zasad aplikacji zastanów się nad wymaganiami organizacji, takimi jak platformy, które będziesz obsługiwać, zadania wykonywane przez użytkowników, typ aplikacji potrzebnych do wykonywania tych zadań i to, kto ich potrzebuje. Za pomocą Intune można zarządzać całym urządzeniem (w tym aplikacjami) lub używać Intune tylko do zarządzania aplikacjami.

Zadanie	Szczegóły
Dodawanie aplikacji biznesowych	Dodaj aplikacje biznesowe (LOB) dla systemu macOS, aby Intune i przypisywać je do grup.
Dodawanie przeglądarki Microsoft Edge	Dodaj i przypisz przeglądarkę Microsoft Edge dla systemu Windows.
Dodawanie aplikacji Intune — Portal firmy ze sklepu Microsoft Store	Ręcznie dodaj i przypisz aplikację Intune — Portal firmy jako wymaganą aplikację.
Dodawanie aplikacji Intune — Portal firmy dla rozwiązania Autopilot	Dodaj aplikację Portal firmy do urządzeń aprowizowanych przez rozwiązanie Windows Autopilot.
Dodawanie aplikacji platformy Microsoft 365	Dodaj Aplikacje Microsoft 365 dla przedsiębiorstw.
Przypisywanie aplikacji do grup	Po dodaniu aplikacji do Intune przypisz je do użytkowników i urządzeń.
Dołączanie i wykluczanie przypisań aplikacji	Kontroluj dostęp do aplikacji, dołączając i wykluczając wybrane grupy z przypisania.
Używanie skryptów programu PowerShell	Przekaż skrypty programu PowerShell, aby rozszerzyć możliwości zarządzania urządzeniami z systemem Windows w Intune i ułatwić przejście do nowoczesnego zarządzania.

Krok 8. Rejestrowanie urządzeń

Podczas rejestracji urządzenie jest rejestrowane w Tożsamość Microsoft Entra i oceniane pod kątem zgodności. Aby uzyskać informacje o każdej metodzie rejestracji i o tym, jak wybrać odpowiednią dla Twojej organizacji, zobacz Przewodnik rejestracji urządzeń z systemem Windows, aby uzyskać Microsoft Intune.

Zadanie	Szczegóły
Włączanie automatycznej rejestracji w usłudze MDM	Uprość rejestrację, włączając automatyczną rejestrację, która automatycznie rejestruje urządzenia w Intune, które dołączają lub rejestrują się w Tożsamość Microsoft Entra. Automatyczna rejestracja upraszcza wdrażanie rozwiązania Windows Autopilot, rejestrację BYOD, rejestrację przy użyciu zasady grupy i rejestrację zbiorczą za pośrednictwem pakietu aprowizacji.
Włączanie automatycznego odnajdywania serwera MDM	Jeśli nie masz Tożsamość Microsoft Entra P1 lub P2, zalecamy utworzenie typu rekordu CNAME dla Intune serwerów rejestracji. Rekord CNAME przekierowuje żądania rejestracji na odpowiedni serwer, aby zarejestrowani użytkownicy nie musieli ręcznie wpisywać nazwy serwera.
Scenariusze rozwiązania Windows Autopilot	Uproszczenie OOBE opartego na użytkownikach lub samodzielnego wdrażania dla Ciebie i Twoich użytkowników przez skonfigurowanie automatycznego rejestrowania urządzenia Microsoft Intune podczas pracy z rozwiązaniem Windows Autopilot.
Rejestrowanie Microsoft Entra urządzeń przyłączonych hybrydowo za pomocą rozwiązania Windows Autopilot	Łącznik Intune dla usługi Active Directory umożliwia urządzeniom w Active Directory Domain Services dołączanie do Tożsamość Microsoft Entra, a następnie automatyczne rejestrowanie w Intune. Zalecamy tę opcję rejestracji w środowiskach lokalnych, które używają Active Directory Domain Services i nie mogą obecnie przenosić swoich tożsamości do Tożsamość Microsoft Entra.
Rejestrowanie urządzeń przy użyciu zasady grupy	Wyzwalanie automatycznej rejestracji w Intune przy użyciu zasad grupy.
Zbiorcze rejestrowanie urządzeń	Utwórz pakiet aprowizacji w Designer konfiguracji systemu Windows, który łączy dużą liczbę nowych urządzeń z systemem Windows w celu Tożsamość Microsoft Entra i rejestruje je w Intune.
Konfigurowanie strony stanu rejestracji (ESP)	Utwórz profil strony ze stanem rejestracji z ustawieniami niestandardowymi, aby prowadzić użytkowników przez konfigurację urządzenia i rejestrację.
Zmienianie etykiety własności urządzenia	Po zarejestrowaniu urządzenia możesz zmienić jego etykietę własności w usłudze Intune na własność firmową lub osobistą. Ta korekta zmienia sposób zarządzania urządzeniem i może umożliwić większe możliwości zarządzania i identyfikacji w Intune lub ograniczyć je.
Konfigurowanie serwera proxy dla łącznika usługi Active Directory Intune	Skonfiguruj łącznik Intune dla usługi Active Directory do pracy z istniejącymi wychodzącymi serwerami proxy.
Rozwiązywanie problemów z rejestracją	Rozwiąż problemy występujące podczas rejestracji.

Krok 9. Uruchamianie akcji zdalnych

Po skonfigurowaniu urządzeń można używać obsługiwanych akcji zdalnych do zarządzania urządzeniami i rozwiązywania problemów z nimi z daleka. W poniższych artykułach przedstawiono akcje zdalne dla systemu Windows. Jeśli akcja jest nieobecna lub wyłączona w portalu, nie jest obsługiwana w systemie Windows.

Zadanie	Szczegóły
Zdalne działania na urządzeniach	Dowiedz się, jak przejść do szczegółów i zdalnie zarządzać poszczególnymi urządzeniami oraz rozwiązywać związane z nimi problemy w usłudze Intune. Ten artykuł zawiera listę wszystkich akcji zdalnych dostępnych w usłudze Intune oraz linki do tych procedur.
Używanie aplikacji TeamViewer do zdalnego administrowania urządzeniami usługi Intune	Skonfiguruj aplikację TeamViewer w usłudze Intune i dowiedz się, jak zdalnie administrować urządzeniem.
Wyświetlanie zagrożeń i luk w zabezpieczeniach przy użyciu zadań zabezpieczeń	Użyj Intune, aby skorygować słabość punktu końcowego zidentyfikowaną przez Ochrona punktu końcowego w usłudze Microsoft Defender. Przed rozpoczęciem pracy z zadaniami zabezpieczeń należy zintegrować Ochrona punktu końcowego w usłudze Microsoft Defender z Intune.

Krok 10. Pomoc pracownikom i uczniom

Zasoby w tej sekcji znajdują się w dokumentacji Microsoft Intune Pomoc dla użytkowników. Ta dokumentacja jest przeznaczona dla pracowników, studentów i innych użytkowników urządzeń licencjonowanych Intune, którzy rejestrują urządzenie osobiste lub firmowe. Linki do dokumentacji są dostępne w całej aplikacji Intune — Portal firmy i wskazują informacje na temat:

Metody rejestracji z przewodnikami dotyczącymi rejestrowania
ustawienia i funkcje Portal firmy
Jak wyrejestrować i usunąć przechowywane dane
Aktualizowanie ustawień urządzenia pod kątem wymagań dotyczących zgodności
Jak zgłaszać problemy z aplikacjami