Zarządzanie połączeniami ze składników systemu operacyjnego Windows 10 i Windows 11 do usług firmy Microsoft przy użyciu serwera MDM usługi Microsoft Intune

Dotyczy

• Windows 11
• Windows 10 Enterprise w wersji 1903 i nowszych

Ten artykuł zawiera opis połączeń sieciowych nawiązywanych przez składniki systemu Windows 10 i Windows 11 z firmą Microsoft oraz opis zasad dla zarządzania urządzeniami mobilnymi / dostawców usług konfiguracji (MDM/CSP) oraz niestandardowych identyfikatorów URI organizacji operatorów komórkowych Open Mobile Alliance (OMA URI), które ułatwiają informatykom korzystającym z usługi Microsoft Intune zarządzanie danymi udostępnianymi firmie Microsoft. Jeśli chcesz zminimalizować połączenia z systemu Windows do usług firmy Microsoft lub skonfigurować ustawienia prywatności, należy rozważyć kilka ustawień. Na przykład możesz skonfigurować dane diagnostyczne na najniższym poziomie dla Twojej wersji systemu Windows i ocenić inne połączenia w usłudze Microsoft Services, które chcesz wyłączyć, korzystając z instrukcji podanych w tym artykule. Chociaż możliwe jest zminimalizowanie połączeń sieciowych do firmy Microsoft, istnieje wiele powodów, dla których ta komunikacja jest domyślnie włączona, takich jak aktualizowanie definicji złośliwego oprogramowania i obsługiwanie bieżących list odwołań certyfikatów. Te dane ułatwiają nam zapewnienie bezpiecznego, niezawodnego i aktualnego środowiska.

Ważne

• Dozwolone punkty końcowe ruchu w konfiguracji oprogramowania MDM: dozwolony ruch
  • CRL (listy odwołań certyfikatów) i ruchu sieciowego protokołu OCSP (protokołu stanu certyfikatów online) nie można wyłączyć i nadal będą wyświetlane w śladach sieciowych. Kontrole CRL i OCSP są wykonywane w podmiotach certyfikacji wystawiających certyfikaty. Firma Microsoft jest jednym z tych organów. Istnieje też wiele innych, takich jak DigiCert, Thawte, Google, Symantec i VeriSign.
  • Istnieje pewien rodzaj ruchu, który jest szczególnie wymagany do zarządzania urządzeniami z systemem Windows 10 i Windows 11 opartego na usłudze Microsoft Intune. Ten ruch obejmuje usługę powiadomień systemu Windows (WNS), automatyczne aktualizowanie certyfikatów głównych (ARCU) oraz część ruchu związanego z usługą Windows Update. Wspomniany ruch obejmuje dozwolony ruch dla serwera MDM usługi Microsoft Intune do zarządzania urządzeniami z systemem Windows 10 i Windows 11.
• Ze względów bezpieczeństwa warto rozważyć, jakie ustawienia warto skonfigurować, ponieważ niektóre z nich mogą skutkować niższym poziomem zabezpieczeń urządzenia. Przykłady ustawień, które mogą prowadzić do mniej bezpiecznej konfiguracji urządzeń, obejmują: wyłączenie usługi Windows Update, wyłączenie automatycznego aktualizowania certyfikatów głównych i wyłączanie usługi Windows Defender. W związku z tym nie zalecamy wyłączania żadnej z tych funkcji.
• Aby zapewnić dostawcy CSP pierwszeństwo przed zasadami grupy w przypadku konfliktów, użyj zasad ControlPolicyConflict .
• Łącza Uzyskaj pomoc i Przekaż nam opinię w systemie Windows mogą przestać działać po zastosowaniu niektórych lub wszystkich ustawień usługi MDM/CSP.

Ostrzeżenie

Jeśli użytkownik wykona polecenie „Resetuj ustawienia komputera do stanu początkowego” (Ustawienia —> Aktualizacja i zabezpieczenia —> Odzyskiwanie) przy użyciu opcji „Usuń wszystko”, ustawienia >funkcji limitowanego ruchu ograniczonego systemu Windows będą musiały zostać ponownie zastosowane w celu ponownego nałożenia ograniczeń ruchu wychodzącego dla urządzenia. >W tym celu należy ponownie zarejestrować klienta w usłudze Microsoft Intune. Przed ponownym>zastosowaniem ustawień funkcji limitowanego ruchu ograniczonego może występować ruch wychodzący. Jeśli użytkownik wykona polecenie „Resetuj ustawienia komputera do stanu początkowego” przy użyciu opcji „Zachowaj moje pliki”, >ustawienia funkcji limitowanego ruchu ograniczonego zostaną zachowane na urządzeniu, a więc klient zachowa >konfigurację ruchu ograniczonego podczas resetowania z zachowaniem plików i po nim, a ponowna rejestracja nie będzie wymagana.

Aby uzyskać więcej informacji o usłudze Microsoft Intune, zobacz Przekształcanie świadczenia usług IT dla nowoczesnego miejsca pracy oraz dokumentację usługi Microsoft Intune.

Aby uzyskać szczegółowe informacje na temat zarządzania połączeniami sieciowymi z usługami firmy Microsoft przy użyciu ustawień systemu Windows, zasad grupy i ustawień rejestru, zobacz Zarządzanie połączeniami ze składników systemu operacyjnego Windows do usług firmy Microsoft.

Zawsze staramy się ulepszać naszą dokumentację i chętnie poznamy Twoją opinię. Możesz przekazać opinię, wysyłając wiadomość e-mail na adres telmhelp@microsoft.com.

Ustawienia dla systemu Windows 10 Enterprise w wersji 1903 lub nowszej oraz systemu Windows 11

W poniższej tabeli wymieniono opcje zarządzania dla każdego ustawienia.

W systemie Windows 10 i Windows 11 w obszarze Dostawca usług konfiguracji zasad dostępne są następujące zasady dotyczące oprogramowania MDM.

1. Automatyczne aktualizowanie certyfikatów głównych

   1. Zasady dotyczące oprogramowania MDM: Nie ma celowo oprogramowania MDM dostępnego na potrzeby automatycznej aktualizacji certyfikatu głównego. To oprogramowanie MDM nie istnieje, ponieważ uniemożliwiałoby operacje i zarządzanie urządzeniami za pomocą MDM.

2. Cortana i wyszukiwanie

   1. Zasady dotyczące oprogramowania MDM: Experience/AllowCortana. Określ, czy zezwolić na zainstalowanie i uruchomienie Cortany na urządzeniu. Wartość 0 (zero)
   2. Zasady dotyczące oprogramowania MDM: Search/AllowSearchToUseLocation. Wybierz, czy Cortana i wyszukiwania mogą dostarczać wyników wyszukiwania świadomych lokalizacji. Wartość 0 (zero)

3. Data i godzina

   1. Zasady dotyczące oprogramowania MDM: Settings/AllowDateTime. Umożliwia użytkownikowi zmianę ustawień daty i godziny. Wartość 0 (zero)

4. Pobieranie metadanych urządzenia

   1. Zasady dotyczące oprogramowania MDM: DeviceInstallation/PreventDeviceMetadataFromNetwork. Wybierz, czy chcesz, aby system Windows nie pobierał metadanych urządzenia z Internetu. Opcja ustawiona jako Włączono

5. Znajdź moje urządzenie

   1. Zasady dotyczące oprogramowania MDM: Experience/AllowFindMyDevice. Ta zasada włącza funkcję Znajdź Moje urządzenie. Wartość 0 (zero)

6. Przesyłanie strumieniowe czcionek

   1. Zasady dotyczące oprogramowania MDM: system/AllowFontProviders. Ustawienie określające, czy system Windows może pobierać czcionki i dane wykazu czcionek od dostawcy czcionek online. Wartość 0 (zero)

7. Kompilacje Insider Preview

   1. Zasady dotyczące oprogramowania MDM: system/AllowBuildPreview. To ustawienie zasad określa, czy użytkownicy mogą uzyskiwać dostęp do funkcji sterowania kompilacji dla niejawnego testera systemu Windows w opcjach zaawansowanych usługi Windows Update. Wartość 0 (zero)

8. Internet Explorer Dostępne są następujące zasady Microsoft Internet Explorer MDM w Internet Explorer CSP

   1. Zasady dotyczące oprogramowania MDM: InternetExplorer/AllowSuggestedSites. Zalecane witryny sieci Web oparte na aktywności użytkownika podczas przeglądania. Opcja ustawiona jako Wyłączono
   2. Zasady dotyczące oprogramowania MDM: InternetExplorer/PreventManagingSmartScreenFilter. Uniemożliwia użytkownikowi zarządzanie filtrem Windows Defender SmartScreen, który ostrzega użytkownika, jeśli odwiedzana witryna sieci Web jest znana z nieuczciwych prób zbierania danych osobowych przez wyłudzanie informacji lub zawiera złośliwe oprogramowanie. Ustaw na ciąg z wartością:
      1. <enabled/><data id=”IE9SafetyFilterOptions” value=”1”/>
   3. Zasady dotyczące oprogramowania MDM: InternetExplorer/DisableFlipAheadFeature. Określa, czy użytkownik może szybko przesuwać palcem po przekątnej ekranu lub kliknąć przycisk Prześlij dalej, aby przejść do następnej wstępnie załadowanej strony witryny sieci Web. Wartość Włączono
   4. Zasady dotyczące oprogramowania MDM: InternetExplorer/DisableHomePageChange. Określa, czy użytkownicy mogą zmieniać domyślną stronę główną. Ustaw na ciąg z wartością:
      1. <enabled/><data id=”EnterHomePagePrompt” value=”Start Page”/>
   5. Zasady dotyczące oprogramowania MDM: InternetExplorer/DisableFirstRunWizard. Uniemożliwia uruchomienie Kreatora pierwszego uruchomienia w programie Internet Explorer przy pierwszym uruchomieniu przeglądarki po zainstalowaniu programu Internet Explorer lub systemu Windows. Ustaw na ciąg z wartością:
      1. <enabled/><data id=”FirstRunOptions” value=”1”/>

9. Dynamiczne kafelki

   1. Zasady dotyczące oprogramowania MDM: powiadomienia/DisallowTileNotification. To ustawienie zasad wyłącza powiadomienia kafelków. Jeśli to ustawienie zasad zostanie włączone, aplikacje i funkcje systemowe nie będą mogły aktualizować kafelków i znaczków kafelków na ekranie startowym. Wartość całkowita 1

10. Synchronizacja poczty

    1. Zasady dotyczące oprogramowania MDM: klienci/AllowMicrosoftAccountConnection. Określa, czy użytkownik może używać konta Microsoft do uwierzytelniania połączeń i usług niezwiązanych z pocztą e-mail. Wartość 0 (zero)

11. Konto Microsoft

    1. Zasady dotyczące oprogramowania MDM: klienci/AllowMicrosoftAccountSignInAssistant. Wyłącz Asystenta logowania konta Microsoft. Wartość 0 (zero)

12. Microsoft Edge Poniższe zasady dotyczące oprogramowania MDM programu Microsoft Edge są dostępne w CSP zasad. Aby uzyskać pełną listę zasad programu Microsoft Edge, zobacz Dostępne zasady programu Microsoft Edge.

    1. Zasady dotyczące oprogramowania MDM: Browser/AllowAutoFill. Wybierz, czy pracownicy mogą używać autowypełniania w witrynach internetowych. Wartość 0 (zero)
    2. Zasady dotyczące oprogramowania MDM: Browser/AllowDoNotTrack. Wybierz, czy pracownicy mogą wysyłać nagłówki Nie śledź. Wartość 0 (zero)
    3. Zasady dotyczące oprogramowania MDM: Browser/AllowMicrosoftCompatbilityList. Określ listę zgodności firmy Microsoft w programie Microsoft Edge. Wartość 0 (zero)
    4. Zasady dotyczące oprogramowania MDM: Browser/AllowPasswordManager. Wybierz, czy pracownicy mogą zapisywać hasła lokalnie na swoich urządzeniach. Wartość 0 (zero)
    5. Zasady dotyczące oprogramowania MDM: Browser/AllowSearchSuggestionsinAddressBar. Wybierz, czy na pasku adresu są wyświetlane sugestie dotyczące wyszukiwania. Wartość 0 (zero)
    6. Zasady dotyczące oprogramowania MDM: Browser/AllowSmartScreen. Wybierz, czy Windows Defender SmartScreen jest włączony czy wyłączony. Wartość 0 (zero)

13. Wskaźnik stanu połączenia sieciowego

    1. Connectivity/DisallowNetworkConnectivityActiveTests. Uwaga: Po zastosowaniu tych zasad musisz ponownie uruchomić urządzenie, aby ustawienie zasad zaczęło obowiązywać. Wartość 1 (jeden)

14. Mapy offline

    1. Zasady dotyczące oprogramowania MDM: AllowOfflineMapsDownloadOverMeteredConnection. Umożliwia pobieranie i aktualizowanie danych mapy za pośrednictwem połączeń taryfowych.
       Wartość 0 (zero)
    2. Zasady dotyczące oprogramowania MDM: EnableOfflineMapsAutoUpdate. Wyłącza automatyczne pobieranie i aktualizowanie danych map. Wartość 0 (zero)

15. OneDrive

    1. Zasady dotyczące oprogramowania MDM: DisableOneDriveFileSync. Pozwala to administratorom IT uniemożliwianie aplikacjom i funkcjom pracy z plikami z OneDrive. Wartość 1 (jeden)
    2. Pozyskiwanie pliku ADMX — do uzyskania najnowszego pliku ADMX dla usługi OneDrive wymagany jest aktualny klient systemu Windows 10 lub Windows 11. Pliki ADMX są zlokalizowane pod następującą ścieżką: %LocalAppData%\Microsoft\OneDrive\ tam znajduje się folder z aktualną kompilacją aplikacji OneDrive (na przykład „18.162.0812.0001”). Istnieje folder o nazwie „adm”, który zawiera pliki definicji zasad ADMX i ADML.
    3. Zasady oprogramowania MDM: zapobieganie ruchowi w sieci przed zalogowaniem się użytkownika. PreventNetworkTrafficPreUserSignIn. Wartość OMA-URI to: ./Device/Vendor/MSFT/Policy/Config/OneDriveNGSC~Policy~OneDriveNGSC/PreventNetworkTrafficPreUserSignIn, Typ danych: String, Wartość: <enabled/>

16. Ustawienia prywatności Z wyjątkiem strony Diagnostyka i opinie, te ustawienia muszą być skonfigurowane dla każdego konta użytkownika, który loguje się do komputera.

    1. Ogólne- TextInput/AllowLinguisticDataCollection. To ustawienie zasad umożliwia sterowanie możliwością wysyłania danych pisma odręcznego i wpisywania na klawiaturze do firmy Microsoft. Wartość 0 (zero)
    2. Lokalizacja — system/AllowLocation. Określa, czy zezwalać na dostęp aplikacji do usługi lokalizacji. Wartość 0 (zero)
    3. Aparat — Camera/AllowCamera. Wyłącza lub włącza aparat. Wartość 0 (zero)
    4. Mikrofon — Privacy/LetAppsAccessMicrophone. Określa, czy aplikacje systemu Windows mogą uzyskiwać dostęp do mikrofonu. Wartość 2 (dwa)
    5. Powiadomienia — Privacy/LetAppsAccessNotifications. Określa, czy aplikacje systemu Windows mogą uzyskiwać dostęp do powiadomień. Wartość 2 (dwa)
    6. Powiadomienia — Settings/AllowOnlineTips. Włącza lub wyłącza pobieranie wskazówek i pomocy online dla aplikacji Ustawienia. Wartość całkowita 0
    7. Mowa, pismo odręczne, pisanie na klawiaturze — Privacy/AllowInputPersonalization. Ta zasada określa, czy użytkownicy na urządzeniu mają możliwość włączania funkcji rozpoznawania mowy w trybie online. Wartość 0 (zero)
    8. Mowa, pismo odręczne, pisanie na klawiaturze — TextInput/AllowLinguisticDataCollection. To ustawienie zasad umożliwia sterowanie możliwością wysyłania danych pisma odręcznego i pisania na klawiaturze do firmy Microsoft z ustawioną wartością 0 (zero)
    9. Informacje o koncie — Privacy/LetAppsAccessAccountInfo. Określa, czy aplikacje systemu Windows mogą uzyskiwać dostęp do informacji o koncie. Wartość 2 (dwa)
    10. Kontakty — Privacy/LetAppsAccessContacts. Określa, czy aplikacje systemu Windows mogą uzyskiwać dostęp do kontaktów. Wartość 2 (dwa)
    11. Kalendarz — Privacy/LetAppsAccessCalendar. Określa, czy aplikacje systemu Windows mogą uzyskiwać dostęp do kalendarza. Wartość 2 (dwa)
    12. Historia rozmów — Privacy/LetAppsAccessCallHistory. Określa, czy aplikacje systemu Windows mogą uzyskiwać dostęp do informacji o koncie. Wartość 2 (dwa)
    13. Poczta e-mail — Privacy/LetAppsAccessEmail. Określa, czy aplikacje systemu Windows mogą uzyskiwać dostęp do poczty e-mail. Wartość 2 (dwa)
    14. Wiadomości — Privacy/LetAppsAccessMessaging. Określa, czy aplikacje systemu Windows mogą czytać i wysyłać wiadomości (SMS lub MMS). Wartość 2 (dwa)
    15. Rozmowy telefoniczne — Privacy/LetAppsAccessPhone. Określa, czy aplikacje systemu Windows mogą nawiązywać połączenia telefoniczne. Wartość 2 (dwa)
    16. Radio — Privacy/LetAppsAccessRadios. Określa, czy aplikacje systemu Windows mają dostęp do funkcji sterowania radia. Wartość 2 (dwa)
    17. Inne urządzenia — Privacy/LetAppsSyncWithDevices. Określa, czy aplikacje systemu Windows mogą być synchronizowane z urządzeniami. Wartość 2 (dwa)
    18. Inne urządzenia — Privacy/LetAppsAccessTrustedDevices. Określa, czy aplikacje systemu Windows mogą uzyskiwać dostęp do zaufanych urządzeń. Wartość 2 (dwa)
    19. Opinia i Diagnostyka — System/AllowTelemetry. Zezwalaj urządzeniu na wysyłanie danych telemetrycznych i diagnostycznych dotyczących użycia, takich jak Watson. Wartość 0 (zero)
    20. Opinia i Diagnostyka — Experience/DoNotShowFeedbackNotifications. Uniemożliwia urządzeniom wyświetlanie pytań dotyczących opinii firmy Microsoft. Wartość 1 (jeden)
    21. Aplikacje w tle — Privacy/LetAppsRunInBackground. Określa, czy aplikacje systemu Windows mogą działać w tle. Wartość 2 (dwa)
    22. Ruch — Privacy/LetAppsAccessMotion. Określa, czy aplikacje systemu Windows mogą uzyskiwać dostęp do danych ruchu. Wartość 2 (dwa)
    23. Zadania — Privacy/LetAppsAccessTasks. Wyłącz możliwość wyboru aplikacji, które mają dostęp do zadań. Wartość 2 (dwa)
    24. Diagnostyka aplikacji — Privacy/LetAppsGetDiagnosticInfo. Wymuś zezwalanie, wymuś odmowę lub nadaj użytkownikom kontrolę nad aplikacjami, które mogą uzyskiwać informacje diagnostyczne na temat innych uruchomionych aplikacji. Wartość 2 (dwa)

17. Platforma ochrony oprogramowania - Licensing/DisallowKMSClientOnlineAVSValidation. Rezygnacja z automatycznego wysyłania danych aktywacji klienta usługi KMS do firmy Microsoft. Wartość 1 (jeden)

18. Kondycja pamięci - /AllowDiskHealthModelUpdates. Umożliwia aktualizowanie modelu kondycji dysku. Wartość 0 (zero)

19. Zsynchronizuj ustawienia - Experience/AllowSyncMySettings. Określ, czy ustawienia są synchronizowane. Wartość 0 (zero)

20. Teredo — nie potrzeba MDM. Teredo jest domyślnie wyłączony. Optymalizacja dostarczania (DO) może włączyć usługę Teredo, ale sama jest wyłączona za pośrednictwem oprogramowania MDM.

21. Czujnik sieci Wi-Fi — nie jest wymagane zarządzanie urządzeniami mobilnymi. Czujnik sieci Wi-Fi nie jest już dostępny w systemie Windows 10 w wersji 1803 i nowszych oraz systemie Windows 11.

22. Windows Defender

    1. Defender/AllowCloudProtection. Odłączanie od usługi Microsoft ochrona przed złośliwym oprogramowaniem. Wartość 0 (zero)
    2. Defender/SubmitSamplesConsent. Zatrzymywanie wysyłania próbek plików do firmy Microsoft. Wartość 2 (dwa)
    3. Defender/EnableSmartScreenInShell. Wyłącza filtr SmartScreen w systemie Windows dla aplikacji i wykonywania plików. Wartość 0 (zero)
    4. Windows Defender SmartScreen — Browser/AllowSmartScreen. Wyłącz filtr Windows Defender SmartScreen. Wartość 0 (zero)
    5. Windows Defender SmartScreen EnableAppInstallControl — SmartScreen/EnableAppInstallControl. Określa, czy użytkownicy mogą instalować aplikacje z innych lokalizacji niż Microsoft Store. Wartość 0 (zero)
    6. Ochrona Windows Defender przed potencjalnie niechcianymi aplikacjami — Defender/PUAProtection. Określa poziom wykrywania potencjalnie niechcianych aplikacji (PUAs). Wartość 1 (jeden)
    7. Defender/SignatureUpdateFallbackOrder. Umożliwia zdefiniowanie kolejności, w której należy skontaktować się z różnymi źródłami aktualizacji definicji. Identyfikator OMA-URI to: ./Vendor/MSFT/Policy/config/Defender/SignatureUpdateFallbackOrder, typ danych: String, wartość: FileShares

23. W centrum uwagi Windows - /AllowWindowsSpotlight. Wyłączenie usługi W centrum uwagi Windows. Wartość 0 (zero)

24. Microsoft Store

    1. ApplicationManagement/DisableStoreOriginatedApps. Wartość logiczna, która wyłącza uruchamianie wszystkich aplikacji z Microsoft Store, które zostały wstępnie zainstalowane lub pobrane. Wartość 1 (jeden)
    2. ApplicationManagement/AllowAppStoreAutoUpdate. Określa, czy jest dozwolone automatyczne aktualizowanie aplikacji z Microsoft Store. Wartość 0 (zero)

25. Aplikacje dla witryn internetowych - ApplicationDefaults/EnableAppUriHandlers. To ustawienie zasad określa, czy system Windows obsługuje łączenie sieci Webb z aplikacją za pomocą programów obsługi identyfikatorów URI aplikacji. Wartość 0 (zero)

26. Optymalizacja dostarczania w usłudze Windows Update — następujące zasady dotyczące optymalizacji dostarczania są dostępne w CSP zasad.

    1. DeliveryOptimization/DODownloadMode. Pozwala wybrać, gdzie Optymalizacja dostarczania będzie pobierać lub wysyłać aktualizacje oraz aplikacje. Wartość 99 (dziewięćdziesiąt dziewięć)

27. Windows Update

    1. Update/AllowAutoUpdate. Kontroluje aktualizacje automatyczne. Wartość 5 (pięć)
    2. Usługa Windows Update zezwalania na aktualizacje — Update/AllowUpdateService. Określa, czy urządzenie może korzystać z usług Microsoft Update, Windows Server Update Services (WSUS) czy Microsoft Store. Wartość 0 (zero)
    3. Adres URL usługi Windows Update — Update/UpdateServiceUrl. Umożliwia urządzeniu sprawdzanie dostępności aktualizacji z serwera WSUS zamiast usługi Microsoft Update. Można ustawić ciąg na wartość:
       1. <Replace><CmdID>$CmdID$<Item><Meta><Format>chr<Type>text/plain</Meta><Target><LocURI>./Vendor/MSFT/Policy/Config/Update/UpdateServiceUrl</Target><Data>http://abcd-srv:8530</Item></Replace>

28. Rekomendacje
    a. Ustawienie HideRecentJumplists w dostawcy usług konfiguracji (CSP) zasad uruchamiania. Aby ukryć listę polecanych aplikacji i plików w sekcji Proponowane w menu Start.

Dozwolony ruch dla konfiguracji usługi Microsoft Intune/MDM

Dozwolone punkty końcowe ruchu
activation-v2.sls.microsoft.com/*
cdn.onenote.net
client.wns.windows.com
crl.microsoft.com/pki/crl/*
ctldl.windowsupdate.com
*displaycatalog.mp.microsoft.com
dm3p.wns.windows.com
*microsoft.com/pkiops/*
ocsp.digicert.com/*
r.manage.microsoft.com
tile-service.weather.microsoft.com
settings-win.data.microsoft.com
msedge.api.cdp.microsoft.com
*.dl.delivery.mp.microsoft.com
edge.microsoft.com