Partilhar via

Associação híbrida Microsoft Entra orientada pelo utilizador: Instalar o Conector do Intune

Passos de associação híbrida Microsoft Entra baseadas no utilizador do Windows Autopilot:

  • Passo 2: Instalar o Conector do Intune

Para obter uma descrição geral do fluxo de trabalho de associação híbrida Microsoft Entra orientado pelo utilizador do Windows Autopilot, veja Descrição geral da associação híbrida orientada pelo utilizador do Windows Autopilot Microsoft Entra.

Observação

Se o Conector de Intune já estiver instalado e configurado, ignore este passo e avance para o Passo 3: Aumentar o limite da conta de computador na Unidade Organizacional (UO).

Instalar o Conector do Intune para o Active Directory

O objetivo do Conector de Intune para o Active Directory, também conhecido como Conector de Associação a Um Domínio Offline (ODJ), é associar computadores a um domínio no local durante o processo do Windows Autopilot. O Conector Intune do Active Directory cria objetos de computador numa Unidade Organizacional (UO) especificada no Active Directory durante o processo de associação a um domínio.

Importante

A partir do Intune 2501, o Intune utiliza um Conector de Intune atualizado para o Active Directory que reforça a segurança e segue os princípios de menor privilégio através da utilização de uma Conta de Serviço Gerida (MSA). Quando o Conector de Intune do Active Directory é transferido a partir de Intune, o Conector de Intune atualizado para o Active Directory é transferido. O conector de Intune legado anterior do Active Directory ainda está disponível para transferência no Intune Connector para o Active Directory, mas a Microsoft recomenda a utilização do instalador atualizado Intune Connector para o Active Directory. O conector de Intune legado anterior do Active Directory continuará a funcionar em maio de 2025. No entanto, tem de ser atualizado para o Conector do Intune atualizado para o Active Directory antes disso para evitar a perda de funcionalidade. Para obter mais informações, veja Intune Connector for Active Directory with low-privileged account for Autopilot Hybrid Microsoft Entra join deployments (Conector do Intune para o Active Directory com poucas privilégios para implementações de associação de Microsoft Entra Híbridas do Autopilot).

A atualização do Conector Intune do Active Directory para a versão atualizada não é feita automaticamente. O Conector do Intune legado para o Active Directory tem de ser desinstalado manualmente, seguido do conector atualizado transferido e instalado manualmente. As instruções para o processo manual de desinstalação e instalação do Conector do Intune para o Active Directory são fornecidas nas secções seguintes.

Selecione o separador que corresponde à versão do Conector do Intune do Active Directory que está a ser instalado:

Antes de iniciar a instalação, certifique-se de que todos os requisitos do servidor do conector Intune são cumpridos.

Dica

É preferível, mas não necessário, que o administrador que instale e configure o Conector do Intune para o Active Directory tenha direitos de domínio adequados, conforme documentado no Intune Connector para requisitos do Active Directory. Este requisito permite que o Intune Connector para o instalador do Active Directory e o processo de configuração defina corretamente as permissões para a MSA no contentor computador ou UOs onde os objetos de computador são criados. Se o administrador não tiver estas permissões, um administrador que tenha as permissões adequadas tem de seguir a secção Aumentar o limite da conta de computador na Unidade Organizacional.

Desativar a Configuração de Segurança Avançada da Internet Explorer

Por padrão, o Windows Server tem a Configuração de Segurança Reforçada do Internet Explorer ativada. A Configuração de Segurança Avançada da Internet Explorer pode causar problemas ao iniciar sessão no Conector Intune do Active Directory. Uma vez que o Explorer da Internet foi preterido e, na maioria dos casos, nem sequer está instalado no Windows Server, a Microsoft recomenda desativar a Internet Explorer a Configuração de Segurança Avançada. Para desativar a Internet Explorer Configuração de Segurança Avançada:

  1. Inicie sessão no servidor onde o Conector Intune do Active Directory está a ser instalado com uma conta que tenha direitos de administrador local.

  2. Abra o Gerenciador de Servidores.

  3. No painel esquerdo do Gerenciador do Servidor, selecione Servidor Local.

  4. No painel PROPRIEDADES à direita do Gerenciador do Servidor, selecione a ligação Ativado ou Desativado junto a Configuração de Segurança Avançada do IE.

  5. Na janela Internet Explorer Configuração de Segurança Avançada, selecione Desativado em Administradores:e, em seguida, selecione OK.

Transferir o Conector do Intune para o Active Directory

  1. No servidor onde o Conector Intune do Active Directory está a ser instalado, inicie sessão no centro de administração do Microsoft Intune.

  2. No ecrã Principal , selecione Dispositivos no painel esquerdo.

  3. Em Dispositivos | Ecrã Descrição geral , em Por plataforma, selecione Windows.

  4. No Windows | Ecrã Dispositivos Windows , em Inclusão de dispositivos, selecione Inscrição.

  5. No Windows | Ecrã de inscrição do Windows, em Windows Autopilot, selecione Intune Conector do Active Directory.

  6. No ecrã Intune Conector do Active Directory, selecione Adicionar.

  7. Na janela Adicionar conector que é aberta, em Configurar o Conector Intune para o Active Directory, selecione Transferir o Conector Intune no local para o Active Directory. A ligação transfere um ficheiro chamado ODJConnectorBootstrapper.exe.

Instalar o Conector do Intune para o Active Directory no servidor

Importante

O Conector Intune para instalação do Active Directory tem de ser feito com uma conta que tenha os seguintes direitos de domínio:

  • Obrigatório – crie objetos msDs-ManagedServiceAccount no contentor Contas de Serviço Geridas.
  • Opcional – Modificar permissões em UOs no Active Directory – se o administrador que está a instalar o Conector do Intune atualizado para o Active Directory não tiver este direito, os passos de configuração adicionais são exigidos por um administrador que tenha estes direitos. Para obter mais informações, veja o passo/secção Aumentar o limite da conta de computador na Unidade Organizacional.

  1. Inicie sessão no servidor onde o Conector Intune do Active Directory está a ser instalado com uma conta que tenha direitos de administrador local.

  2. Se o conector do Intune legado anterior do Active Directory estiver instalado, desinstale-o primeiro antes de instalar o Conector Intune atualizado para o Active Directory. Para obter mais informações, veja Desinstalar o Conector Intune do Active Directory.

    Importante

    Ao desinstalar o conector do Intune legado anterior para o Active Directory, certifique-se de que executa o conector do Intune legado para o instalador do Active Directory como parte do processo de desinstalação. Se o instalador legado Intune Connector for Active Directory pedir para Desinstalá-lo quando for executado, selecione para desinstalá-lo. Este passo garante que o conector de Intune legado anterior do Active Directory está totalmente desinstalado. O instalador legado do Intune Connector para o Active Directory pode ser transferido do Intune Connector para o Active Directory.

    Dica

    Em domínios com apenas um único conector de Intune para o Active Directory, a Microsoft recomenda que instale primeiro o Conector Intune atualizado para o Active Directory noutro servidor. A instalação do Conector Intune atualizado para o Active Directory noutro servidor deve ser efetuada antes de desinstalar o Conector do Intune legado para o Active Directory no servidor atual. Instalar o Conector do Intune para o Active Directory noutro primeiro evita qualquer período de indisponibilidade enquanto o Conector Intune do Active Directory está a ser atualizado no servidor atual.

  3. Abra o ODJConnectorBootstrapper.exe ficheiro que transferiu para iniciar a instalação do Conector do Intune para a Configuração do Active Directory.

  4. Siga os passos do conector Intune para a instalação da Configuração do Active Directory.

  5. No final da instalação, selecione a caixa de verificação Iniciar Intune Conector do Active Directory.

    Observação

    Se Intune a instalação do Conector do Active Directory for fechada acidentalmente sem selecionar a caixa de verificação Iniciar Intune Conector do Active Directory, a configuração do Conector Intune do Active Directory pode ser reaberta ao selecionar Intune Conector do Active Directory>Intune Conector do Active Directory no menu Iniciar.

Iniciar sessão no Conector do Intune para o Active Directory

  1. Na janela Intune Conector do Active Directory, no separador Inscrição, selecione Iniciar Sessão.

  2. No separador Iniciar Sessão, inicie sessão com as credenciais Microsoft Entra ID de uma função de administrador Intune. A conta de usuário deve ter uma licença válida do Intune. O processo de início de sessão pode demorar alguns minutos a ser concluído.

    Observação

    A conta utilizada para inscrever o Conector Intune para o Active Directory é apenas um requisito temporário no momento da instalação. A conta não é utilizada no futuro após a inscrição do servidor.

  3. Quando o processo de início de sessão estiver concluído:

    1. É apresentada a janela de confirmação O Conector Intune do Active Directory para o Active Directory inscrito com êxito. Selecione OK para fechar a janela.
    2. É apresentada uma Conta de Serviço Gerida com o nome "<MSA_name>" que foi configurada com êxito na janela de confirmação. O nome da MSA está no formato msaODJ##### em que ##### existem cinco carateres aleatórios. Anote o nome da MSA que foi criada e, em seguida, selecione OK para fechar a janela. O nome da MSA poderá ser necessário mais tarde para configurar o MSA para permitir a criação de objetos de computador em UOs.

  4. O separador Inscrição mostra Intune Conector do Active Directory está inscrito. O botão Iniciar Sessão está a cinzento e a opção Configurar Conta de Serviço Gerida está ativada.

  5. Feche a janela Intune Conector do Active Directory.

Verifique se o Conector Intune do Active Directory está ativo

Após a autenticação, o Conector Intune do Active Directory termina a instalação. Depois de concluir a instalação, verifique se está ativa no Intune ao seguir estes passos:

  1. Aceda ao centro de administração do Microsoft Intune se ainda estiver aberto. Se a janela Adicionar conector ainda estiver apresentada, feche-a.

    Se o centro de administração do Microsoft Intune ainda não estiver aberto:

    1. Entre no Centro de administração do Microsoft Intune.

    2. No ecrã Principal , selecione Dispositivos no painel esquerdo.

    3. Em Dispositivos | Ecrã Descrição geral , em Por plataforma, selecione Windows.

    4. No Windows | Ecrã Dispositivos Windows , em Inclusão de dispositivos, selecione Inscrição.

    5. No Windows | Ecrã de inscrição do Windows, em Windows Autopilot, selecione Intune Conector do Active Directory.

  2. Na página Intune Connector for Active Directory (Conector do Intune para o Active Directory):

    • Confirme que o servidor é apresentado em Nome do conector e apresentado como Ativo em Estado
    • Para o Conector Intune atualizado para o Active Directory, certifique-se de que a versão é superior a 6.2501.2000.5.

    Se o servidor não for apresentado, selecione Atualizar ou navegue para fora da página e, em seguida, navegue de volta para a página Intune Conector do Active Directory.

Observação

  • O servidor inscrito recentemente pode demorar vários minutos a aparecer na página do Conector do Intune do Active Directory do centro de administração do Microsoft Intune. O servidor inscrito só é apresentado se conseguir comunicar com o serviço Intune com êxito.

  • Os Conectores de Intune Inativos do Active Directory continuam a aparecer na página Intune Connector for Active Directory e serão limpos automaticamente após 30 dias.

Após a instalação do Conector de Intune para o Active Directory, iniciará o registo no Visualizador de Eventos no caminho Applications and Services Logs>Microsoft>Intune>ODJConnectorService. Neste caminho, Administração e Os registos operacionais podem ser encontrados.

Configurar a MSA para permitir a criação de objetos em UOs (opcional)

Por predefinição, os MSAs só têm acesso para criar objetos de computador no contentor Computadores . Os MSAs não têm acesso para criar objetos de computador em Unidades Organizacionais (UOs). Para permitir que a MSA crie objetos em UOs, as UOs têm de ser adicionadas ao ODJConnectorEnrollmentWiazard.exe.config ficheiro XML encontrado no ODJConnectorEnrollmentWizard diretório onde o Conector Intune para o Active Directory foi instalado, normalmente C:\Program Files\Microsoft Intune\ODJConnector\.

Para configurar a MSA para permitir a criação de objetos em UOs, siga estes passos:

  1. No servidor onde está instalado o Conector do Intune para o Active Directory, navegue para ODJConnectorEnrollmentWizard o diretório onde o conector Intune do Active Directory foi instalado, normalmente C:\Program Files\Microsoft Intune\ODJConnector\.

  2. ODJConnectorEnrollmentWizard No diretório, abra o ODJConnectorEnrollmentWiazard.exe.config ficheiro XML num editor de texto, por exemplo, Bloco de notas.

  3. ODJConnectorEnrollmentWiazard.exe.config No ficheiro XML, adicione as UOs pretendidas nas quais a MSA deve ter acesso para criar objetos de computador. O nome da UO deve ser o nome único e, se aplicável, tem de ser escapado. O exemplo seguinte é uma entrada XML de exemplo com o nome único da UO:

      <appSettings>

    <!-- Semicolon separated list of OUs that will be used for Hybrid Autopilot, using LDAP distinguished name format.
        The ODJ Connector will only have permission to create computer objects in these OUs.
        The value here should be the same as the value in the Hybrid Autopilot configuration profile in the Azure portal - https://learn.microsoft.com/en-us/mem/intune/configuration/domain-join-configure

        Usage example (NOTE: PLEASE ENSURE THAT THE DISTINGUISHED NAME IS ESCAPED PROPERLY):
        Domain contains the following OUs:
          - OU=HybridDevices,DC=contoso,DC=com
          - OU=HybridDevices2,OU=IntermediateOU,OU=TopLevelOU,DC=contoso,DC=com

        Value: "OU=HybridDevices,DC=contoso,DC=com;OU=HybridDevices2,OU=IntermediateOU,OU=TopLevelOU,DC=contoso,DC=com" -->

    <add key="OrganizationalUnitsUsedForOfflineDomainJoin" value="OU=SubOU,OU=TopLevelOU,DC=contoso,DC=com;OU=Mine,DC=contoso,DC=com" />
  </appSettings>

  4. Assim que todas as UOs pretendidas forem adicionadas, guarde o ODJConnectorEnrollmentWiazard.exe.config ficheiro XML.

  5. Enquanto administrador com permissões adequadas para modificar permissões de UO, abra o Conector Intune do Active Directory ao navegar para Intune Conector do Active Directory>Intune Conector do Active Directory a partir do menu Iniciar.

    Importante

    Se o administrador que está a instalar e configurar o Conector do Intune para o Active Directory não tiver permissões para modificar permissões de UO, a secção/passos Aumentar o limite da conta de computador na Unidade Organizacional tem de ser seguido por um administrador que tenha permissões para modificar permissões de UO.

  6. No separador Inscrição, na janela Intune Conector do Active Directory, selecione Configurar Conta de Serviço Gerida.

  7. É apresentada uma Conta de Serviço Gerida com o nome "<MSA_name>" que foi configurada com êxito na janela de confirmação. Selecione OK para fechar a janela.

Passo seguinte: Aumentar o limite da conta de computador na Unidade Organizacional (UO)

Passo 3: aumentar o limite da conta de computador na Unidade Organizacional (UO)