Udostępnij za pośrednictwem

Przewodnik migracji: konfigurowanie lub przenoszenie do Microsoft Intune

  • Artykuł

Po zaplanowaniu przejścia do Microsoft Intune następnym krokiem jest wybranie podejścia do migracji odpowiedniego dla Twojej organizacji. Te decyzje zależą od bieżącego środowiska zarządzania urządzeniami przenośnymi (MDM), celów biznesowych i wymagań technicznych.

W tym przewodniku po migracji wymieniono i opisano opcje wdrożenia lub przejścia do Intune, które obejmują:

  • Nie używasz rozwiązania do zarządzania urządzeniami przenośnymi
  • Używasz rozwiązania MDM partnera innej firmy
  • Używasz Configuration Manager
  • Używasz lokalnych zasad grupy
  • Używasz Microsoft 365 Basic Mobility and Security

Skorzystaj z tego przewodnika, aby określić najlepsze podejście do migracji i uzyskać wskazówki & zalecenia.

Porada

Przed rozpoczęciem

  • Microsoft Intune to rozwiązanie natywne dla chmury, które ułatwia zarządzanie tożsamościami, urządzeniami i aplikacjami. Jeśli twoim celem jest stać się natywnym dla chmury, możesz dowiedzieć się więcej w następujących artykułach:

  • Wdrożenie Intune może różnić się od poprzedniego wdrożenia rozwiązania MDM. Intune korzysta z kontroli dostępu opartej na tożsamościach. Dostęp do danych organizacji z urządzeń spoza sieci nie wymaga serwera proxy sieci.

Obecnie nic nie używaj

Jeśli obecnie nie używasz żadnego dostawcy zarządzania aplikacjami mobilnymi lub zarządzania aplikacjami mobilnymi (MAM), masz kilka opcji:

Obecnie używasz dostawcy mdm innej firmy

Urządzenia powinny mieć tylko jednego dostawcę mdm. Jeśli używasz innego dostawcy mdm, takiego jak Workspace ONE (wcześniej nazywany AirWatch), MobileIron lub MaaS360, możesz przejść do Intune.

Przed zarejestrowaniem się w Intune użytkownicy muszą wyrejestrwać swoje urządzenia od bieżącego dostawcy mdm.

  1. Skonfiguruj Intune, w tym ustawienie urzędu MDM na Intune.

    Aby uzyskać więcej informacji, zobacz:

  2. Wdrażanie aplikacji i tworzenie zasad ochrony aplikacji. Chodzi o to, aby pomóc chronić dane organizacji w aplikacjach podczas migracji i dopóki urządzenia nie zostaną zarejestrowane & zarządzane przez Intune.

    Aby uzyskać więcej informacji, przejdź do kroku 2 — dodawanie, konfigurowanie i ochrona aplikacji za pomocą Intune.

  3. Wyrejestruj urządzenia od bieżącego dostawcy mdm.

    Gdy urządzenia są wyrejestrowane, nie otrzymują zasad, w tym zasad zapewniających ochronę. Urządzenia są narażone, dopóki nie zarejestrują się w Intune i nie zaczną otrzymywać nowych zasad.

    Podaj użytkownikom konkretne kroki wyrejestrowanie. Dołącz wskazówki od istniejącego dostawcy mdm dotyczące wyrejestrowania urządzeń. Przejrzysta i pomocna komunikacja minimalizuje przestoje użytkowników końcowych, niezadowolenie i wywołania pomocy technicznej.

  4. Opcjonalne, ale zalecane. Jeśli masz Tożsamość Microsoft Entra P1 lub P2, użyj również dostępu warunkowego, aby zablokować urządzenia do momentu zarejestrowania się w Intune.

    Aby uzyskać więcej informacji, przejdź do kroku 3 — planowanie zasad zgodności.

  5. Opcjonalne, ale zalecane. Utwórz punkt odniesienia zgodności i ustawień urządzeń, które muszą mieć wszyscy użytkownicy i urządzenia. Te zasady można wdrożyć, gdy użytkownicy rejestrują się w Intune.

    Aby uzyskać więcej informacji, zobacz:

  6. Zarejestruj się w Intune. Upewnij się, że podasz użytkownikom konkretne kroki rejestracji.

    Aby uzyskać więcej informacji, zobacz:

Ważna

Nie konfiguruj jednocześnie Intune i żadnego istniejącego rozwiązania MDM innej firmy w celu zastosowania kontroli dostępu do zasobów, w tym programu Exchange lub SharePoint.

Zalecenia:

  • Jeśli przechodzisz z dostawcy zarządzania urządzeniami mobilnymi/zarządzania aplikacjami mobilnymi partnera, zanotuj uruchomione zadania i funkcje, których używasz. Te informacje dają wyobrażenie o tym, jakie zadania należy wykonywać również w Intune.

  • Użyj podejścia etapowego. Zacznij od niewielkiej grupy użytkowników pilotażowych i dodaj więcej grup do momentu osiągnięcia wdrożenia na pełną skalę.

  • Monitorowanie obciążenia pomocy technicznej i powodzenia rejestracji w każdej fazie. Pozostaw czas w harmonogramie, aby ocenić kryteria powodzenia dla każdej grupy przed migracją następnej grupy.

    Wdrożenie pilotażowe powinno zweryfikować następujące zadania:

    • Wskaźniki powodzenia rejestracji i niepowodzeń mieszczą się w twoich oczekiwaniach.

    • Produktywność użytkowników:

      • Działają zasoby firmowe, w tym sieć VPN, sieć Wi-Fi, poczta e-mail i certyfikaty.
      • Wdrożone aplikacje są dostępne.

    • Zabezpieczenia danych:

      • Przejrzyj raporty dotyczące zgodności i poszukaj typowych problemów i trendów. Poinformuj dział pomocy technicznej o problemach, rozwiązaniach i trendach.
      • Stosowane są zabezpieczenia aplikacji mobilnych.

  • Jeśli pierwsza faza migracji jest zadowalająca, powtórz cykl migracji dla następnej fazy.

    • Powtarzaj cykle etapowe do momentu migracji wszystkich użytkowników do Intune.
    • Upewnij się, że pomoc techniczna jest gotowa do obsługi użytkowników końcowych w trakcie migracji. Uruchom dobrowolną migrację, dopóki nie będzie można oszacować obciążenia wywołań pomocy technicznej.
    • Nie ustawiaj terminów rejestracji, dopóki pomoc techniczna nie będzie mogła obsłużyć wszystkich pozostałych użytkowników.

Przydatne informacje:

Obecnie używaj Configuration Manager

Configuration Manager obsługuje serwery z systemem Windows i urządzenia klienckie z systemem Windows & macOS. Jeśli Organizacja korzysta z innych platform, może być konieczne zresetowanie urządzeń, a następnie zarejestrowanie ich w Intune. Po zarejestrowaniu otrzymują utworzone zasady i profile. Aby uzyskać więcej informacji, zobacz przewodnik wdrażania rejestracji Intune.

Jeśli obecnie używasz Configuration Manager i chcesz użyć Intune, dostępne są następujące opcje.

Opcja 1 — dodawanie dołączania dzierżawy

Dołączanie dzierżawy umożliwia przekazywanie urządzeń Configuration Manager do organizacji w Intune, znanej również jako dzierżawa. Po dołączeniu urządzeń użyjesz centrum administracyjnego Microsoft Intune do uruchamiania akcji zdalnych, takich jak maszyna synchronizacji i zasady użytkownika. Możesz również wyświetlić serwery lokalne i uzyskać informacje o systemie operacyjnym.

Dołączanie dzierżawy jest dołączone do licencji współzarządzania Configuration Manager bez dodatkowych kosztów. Jest to najprostszy sposób integracji chmury (Intune) z lokalną konfiguracją Configuration Manager.

Aby uzyskać więcej informacji, zobacz Włączanie dołączania dzierżawy.

Opcja 2 — Konfigurowanie współzarządzania

Ta opcja używa Configuration Manager dla niektórych obciążeń i używa Intune dla innych obciążeń.

  1. W Configuration Manager skonfiguruj współzarządzanie.
  2. W Intune skonfiguruj Intune, w tym ustawienie urzędu MDM na Intune.

Urządzenia są gotowe do zarejestrowania w Intune i otrzymywania zasad.

Przydatne informacje:

Opcja 3 — przejście z Configuration Manager do Intune

Większość istniejących klientów Configuration Manager chce nadal korzystać z Configuration Manager. Obejmuje ona usługi, które są korzystne dla urządzeń lokalnych.

Te kroki są omówione i są uwzględniane tylko dla tych użytkowników, którzy chcą 100% rozwiązania w chmurze. Korzystając z tej opcji, możesz:

  • Rejestrowanie istniejących lokalna usługa Active Directory urządzeń klienckich z systemem Windows jako urządzeń w Tożsamość Microsoft Entra.
  • Przenieś istniejące obciążenia Configuration Manager lokalne do Intune.

Ta opcja jest bardziej sprawna dla administratorów, ale może tworzyć bardziej bezproblemowe środowisko dla istniejących urządzeń klienckich z systemem Windows. W przypadku nowych urządzeń klienckich z systemem Windows zalecamy rozpoczęcie od podstaw od platformy Microsoft 365 i Intune (w tym artykule).

  1. W Microsoft Entra skonfiguruj hybrydową usługę Active Directory i Tożsamość Microsoft Entra dla urządzeń. Microsoft Entra urządzenia przyłączone hybrydowo są przyłączone do lokalna usługa Active Directory i zarejestrowane w Tożsamość Microsoft Entra. Gdy urządzenia znajdują się w Tożsamość Microsoft Entra, są one również dostępne do Intune.

    Tożsamość Microsoft Entra hybrydowa obsługuje urządzenia z systemem Windows. Aby uzyskać inne wymagania wstępne, w tym wymagania dotyczące logowania, zobacz Planowanie implementacji przyłączania hybrydowego Microsoft Entra.

  2. W Configuration Manager skonfiguruj współzarządzanie.

  3. W Intune skonfiguruj Intune, w tym ustawienie urzędu MDM na Intune.

  4. W Configuration Manager przesuń wszystkie obciążenia z Configuration Manager do Intune.

  5. Na urządzeniach odinstaluj klienta Configuration Manager. Aby uzyskać więcej informacji, zobacz odinstalowywanie klienta.

    Po skonfigurowaniu Intune można utworzyć zasady konfiguracji aplikacji Intune, które odinstalują klienta Configuration Manager. Na przykład możesz odwrócić kroki opisane w temacie Instalowanie klienta Configuration Manager przy użyciu Intune.

Urządzenia są gotowe do zarejestrowania w Intune i otrzymywania zasad.

Ważna

Tożsamość Microsoft Entra hybrydowa obsługuje tylko urządzenia z systemem Windows. Configuration Manager obsługuje urządzenia z systemem Windows i macOS. W przypadku urządzeń z systemem macOS zarządzanych w Configuration Manager można:

  1. Odinstaluj klienta Configuration Manager. Po odinstalowaniu urządzenia nie otrzymują zasad, w tym zasad zapewniających ochronę. Są one narażone, dopóki nie zarejestrują się w Intune i nie zaczną otrzymywać nowych zasad.
  2. Zarejestruj urządzenia w Intune, aby otrzymywać zasady.

Aby zminimalizować luki w zabezpieczeniach, przenieś urządzenia z systemem macOS po skonfigurowaniu Intune oraz gdy zasady rejestracji są gotowe do wdrożenia.

Opcja 4 — rozpoczynanie pracy od podstaw za pomocą platformy Microsoft 365 i Intune

Ta opcja dotyczy urządzeń klienckich z systemem Windows. Jeśli używasz Windows Server, takich jak Windows Server 2022, nie używaj tej opcji. Użyj Configuration Manager.

Aby zarządzać urządzeniami klienckimi z systemem Windows:

  1. Wdróż platformę Microsoft 365, w tym tworzenie użytkowników i grup. Nie używaj ani nie konfiguruj Microsoft 365 Basic Mobility and Security.

    Przydatne linki:

  2. Skonfiguruj Intune, w tym ustawienie urzędu MDM na Intune.

  3. Odinstaluj klienta Configuration Manager na istniejących urządzeniach. Aby uzyskać więcej informacji, zobacz odinstalowywanie klienta.

Urządzenia są gotowe do zarejestrowania w Intune i otrzymywania zasad.

Obecnie używaj lokalnych zasad grupy

W chmurze dostawcy oprogramowania MDM, tacy jak Intune, zarządzają ustawieniami i funkcjami na urządzeniach. Obiekty zasad grupy (GPO) nie są używane.

Podczas zarządzania urządzeniami Intune profile konfiguracji urządzeń zastępują lokalny obiekt zasad grupy. Profile konfiguracji urządzeń używają ustawień udostępnianych przez firmy Apple, Google i Microsoft.

Konkretnie:

Podczas przenoszenia urządzeń z zasad grupy użyj analizy zasad grupy. zasady grupy analytics to narzędzie i funkcja w Intune, która analizuje obiekty zasad grupy. W Intune zaimportujesz obiekty zasad grupy i zobaczysz, które zasady są dostępne (i niedostępne) w Intune. W przypadku zasad dostępnych w Intune można utworzyć zasady katalogu ustawień przy użyciu zaimportowanych ustawień. Aby uzyskać więcej informacji na temat tej funkcji, przejdź do tematu Tworzenie zasad wykazu ustawień przy użyciu zaimportowanych obiektów zasad grupy w Microsoft Intune.

Następnie krok 1. Konfigurowanie Microsoft Intune.

Obecnie używaj Microsoft 365 Basic Mobility and Security

Jeśli utworzono i wdrożono zasady Microsoft 365 Basic Mobility and Security, możesz migrować użytkowników, grupy i zasady, aby Microsoft Intune.

Aby uzyskać więcej informacji, przejdź do obszaru Migrowanie z Microsoft 365 Basic Mobility and Security do Intune.

Migracja od dzierżawcy do dzierżawcy

Dzierżawa to Twoja organizacja w Tożsamość Microsoft Entra, na przykład Contoso. Obejmuje ona dedykowane wystąpienie usługi Microsoft Entra, które firma Contoso otrzymuje po otrzymaniu usługi w chmurze firmy Microsoft, takiej jak Microsoft Intune lub Microsoft 365. Tożsamość Microsoft Entra jest używana przez Intune i platformę Microsoft 365 do identyfikowania użytkowników i urządzeń, kontrolowania dostępu do utworzonych zasad i nie tylko.

W Intune możesz wyeksportować i zaimportować niektóre zasady przy użyciu programu Microsoft Graph i Windows PowerShell.

Na przykład tworzysz subskrypcję wersji próbnej Microsoft Intune. W tej dzierżawie wersji próbnej subskrypcji są dostępne zasady, które konfigurują aplikacje i funkcje, sprawdzają zgodność i nie tylko. Chcesz przenieść te zasady do innej dzierżawy.

W tej sekcji pokazano, jak używać skryptów programu Microsoft Graph do migracji dzierżawy do dzierżawy. Zawiera również listę niektórych typów zasad, które mogą lub nie mogą być eksportowane.

Ważna

  • Te kroki korzystają z przykładów Intune beta Graph w usłudze GitHub. Przykładowe skrypty wprowadzają zmiany w dzierżawie. Są one dostępne w zależności od stanu i powinny być weryfikowane przy użyciu konta dzierżawy nieprodukcyjnego lub "testowego". Upewnij się, że skrypty są zgodne z wytycznymi dotyczącymi zabezpieczeń organizacji.
  • Skrypty nie eksportują i nie importują wszystkich zasad, takich jak profile certyfikatów. Spodziewaj się wykonać więcej zadań niż to, co jest dostępne w tych skryptach. Należy ponownie utworzyć niektóre zasady.
  • Użytkownicy muszą wyrejestrowywać urządzenie ze starej dzierżawy, a następnie ponownie zarejestrować je w nowej dzierżawie.

Pobierz przykłady i uruchom skrypt

Ta sekcja zawiera omówienie kroków. Skorzystaj z tych kroków jako wskazówek i dowiedz się, że konkretne kroki mogą być inne.

  1. Pobierz przykłady i użyj Windows PowerShell, aby wyeksportować zasady:

    1. Przejdź do obszaru microsoftgraph/powershell-intune-samples i wybierz pozycję Pobierz kod>ZIP. Wyodrębnij zawartość .zip pliku.

    2. Otwórz aplikację Windows PowerShell jako administrator i zmień katalog na folder. Na przykład wprowadź następujące polecenie:

      cd C:\psscripts\powershell-intune-samples-master

    3. Zainstaluj moduł AzureAD programu PowerShell:

      Install-Module AzureAD

      Wybierz pozycję Y , aby zainstalować moduł z niezaufanego repozytorium. Instalacja może potrwać kilka minut.

    4. Zmień katalog na folder przy użyciu skryptu, który chcesz uruchomić. Na przykład zmień katalog na CompliancePolicy folder:

      cd C:\psscripts\powershell-intune-samples-master\powershell-intune-samples-master\CompliancePolicy

    5. Uruchom skrypt eksportu. Na przykład wprowadź następujące polecenie:

      .\CompliancePolicy_Export.ps1

      Zaloguj się przy użyciu konta. Po wyświetleniu monitu wprowadź ścieżkę, aby umieścić zasady. Na przykład wprowadź:

      C:\psscripts\ExportedIntunePolicies\CompliancePolicies

    W folderze zasady są eksportowane.

  2. Zaimportuj zasady w nowej dzierżawie:

    1. Zmień katalog na folder programu PowerShell przy użyciu skryptu, który chcesz uruchomić. Na przykład zmień katalog na CompliancePolicy folder:

      cd C:\psscripts\powershell-intune-samples-master\powershell-intune-samples-master\CompliancePolicy

    2. Uruchom skrypt importu. Na przykład wprowadź następujące polecenie:

      .\CompliancePolicy_Import_FromJSON.ps1

      Zaloguj się przy użyciu konta. Po wyświetleniu monitu wprowadź ścieżkę do pliku zasad .json , który chcesz zaimportować. Na przykład wprowadź:

      C:\psscripts\ExportedIntunePolicies\CompliancePolicies\PolicyName.json

  3. Zaloguj się do centrum administracyjnego usługi Intune. Zostaną wyświetlone zaimportowane zasady.

Czego nie można zrobić

Istnieją typy zasad, których nie można wyeksportować. Istnieją pewne typy zasad, które można wyeksportować, ale nie można ich zaimportować do innej dzierżawy. Użyj poniższej listy jako przewodnika. Dowiedz się, że istnieją inne typy zasad, których nie ma na liście.

Typ zasad lub profilu Informacja
Aplikacje  
Aplikacje biznesowe dla systemu Android ❌ Eksport
❌ Import

Aby dodać aplikację LOB do nowej dzierżawy, potrzebne są również oryginalne .apk pliki źródłowe aplikacji.
Apple — program zakupów zbiorczych (VPP) ❌ Eksport
❌ Import

Te aplikacje są synchronizowane z programem VPP firmy Apple. W nowej dzierżawie dodajesz token programu VPP, który pokazuje dostępne aplikacje.
Aplikacje biznesowe dla systemu iOS/iPadOS ❌ Eksport
❌ Import

Aby dodać aplikację LOB do nowej dzierżawy, potrzebne są również oryginalne .ipa pliki źródłowe aplikacji.
Zarządzany sklep Google Play ❌ Eksport
❌ Import

Te aplikacje i linki internetowe są synchronizowane z zarządzanym sklepem Google Play. W nowej dzierżawie dodajesz konto zarządzanego sklepu Google Play, na którym są wyświetlane dostępne aplikacje.
Microsoft Store dla Firm ❌ Eksport
❌ Import

Te aplikacje są synchronizowane z Microsoft Store dla Firm. W nowej dzierżawie dodasz konto Microsoft Store dla Firm, na którym są wyświetlane dostępne aplikacje.
Aplikacja systemu Windows (Win32) ❌ Eksport
❌ Import

Aby dodać aplikację LOB do nowej dzierżawy, potrzebne są również oryginalne .intunewin pliki źródłowe aplikacji.
Zasady zgodności  
Akcje dotyczące niezgodności ❌ Eksport
❌ Import

Możliwe, że istnieje link do szablonu wiadomości e-mail. Podczas importowania zasad, które mają akcje niezgodności, zamiast tego są dodawane akcje domyślne dla niezgodności.
Przypisania ✅ Eksport
❌ Import

Przypisania są przeznaczone dla identyfikatora grupy. W nowej dzierżawie identyfikator grupy jest inny.
Profile konfiguracji  
Poczta e-mail ✅ Eksport

✅ Jeśli profil poczty e-mail nie używa certyfikatów, import powinien działać.
❌ Jeśli profil poczty e-mail używa certyfikatu głównego, nie można zaimportować profilu do nowej dzierżawy. Identyfikator certyfikatu głównego jest inny w nowej dzierżawie.
Certyfikat SCEP ✅ Eksport

❌ Import

Profile certyfikatów SCEP używają certyfikatu głównego. Identyfikator certyfikatu głównego jest inny w nowej dzierżawie.
Sieć VPN ✅ Eksport

✅ Jeśli profil sieci VPN nie używa certyfikatów, import powinien działać.
❌ Jeśli profil sieci VPN używa certyfikatu głównego, nie można zaimportować profilu do nowej dzierżawy. Identyfikator certyfikatu głównego jest inny w nowej dzierżawie.
Wi-Fi ✅ Eksport

✅ Jeśli profil Wi-Fi nie używa certyfikatów, import powinien działać.
❌ Jeśli profil Wi-Fi używa certyfikatu głównego, nie można zaimportować profilu do nowej dzierżawy. Identyfikator certyfikatu głównego jest inny w nowej dzierżawie.
Przypisania ✅ Eksport
❌ Import

Przypisania są przeznaczone dla identyfikatora grupy. W nowej dzierżawie identyfikator grupy jest inny.
Zabezpieczenia punktu końcowego  
Wykrywanie i reagowanie dotyczące punktów końcowych ❌ Eksport
❌ Import

Te zasady są połączone z Ochrona punktu końcowego w usłudze Microsoft Defender. W nowej dzierżawie skonfigurujesz Ochrona punktu końcowego w usłudze Microsoft Defender, która automatycznie obejmuje zasady wykrywania punktów końcowych i reagowania.