共用方式為

建立裝置平臺限制

  • 發行項

適用於：Android、iOS/iPadOS、macOS、Windows 10、Windows 11

建立裝置平臺註冊限制原則，以限制裝置無法在 Intune 中註冊。 可用的限制包括：

  • 裝置平臺
  • 操作系統版本
  • 製造商
  • 個人擁有) (擁有權

您可以在 Microsoft Intune 系統管理中心建立新的裝置平臺限制原則，或使用已可用的默認原則。 您最多可以有 25 個裝置平臺限制原則。

本文說明 Microsoft Intune 中支援的裝置平臺限制，以及如何在系統管理中心進行設定。

角色型存取控制

若要在 Microsoft Intune 中建立裝置平臺限制，您必須指派為 Intune 系統管理員。 此角色是 Microsoft Entra ID 的內建角色，而且可以：

  • 建立裝置平臺限制

  • 編輯裝置平臺限制

  • 刪除裝置平臺限制

  • 重新註冊裝置平臺限制

所有其他內建 Intune 角色都有裝置平臺限制的唯讀存取權。 您可以將範圍標籤套用至裝置平臺限制，以進一步限制存取。 如需角色型訪問控制 (RBAC) 的詳細資訊，請參閱使用 Microsoft Intune 的 RBAC。

預設原則

Microsoft Intune 為裝置平臺限制提供一個默認原則，您可以視需要進行編輯和自定義。 Intune 會將默認原則套用至所有使用者和無用戶註冊，直到您指派較高優先順序的原則為止。

最佳做法 - Android 平臺限制

由於 Intune 支援兩個 Android 平臺，因此請務必瞭解當您搭配裝置平臺限制使用 OS 版本限制時，操作系統版本限制的運作方式：

  • 如果您允許相同群組的這兩個平臺，然後針對特定和非重疊版本進行精簡，Intune 查看版本來判斷 Android 註冊流程裝置會通過。
  • 如果您允許這兩個平臺，但封鎖相同的版本，則無法註冊執行封鎖版本的裝置。 這些裝置上的使用者會在遭到封鎖並提示註銷之前，透過 Android 裝置系統管理員註冊流程傳送。

重要事項

Microsoft Intune 於 2024 年 12 月 31 日終止對具有 Google 行動服務 (GMS) 存取權之裝置上的 Android 裝置系統管理員管理支援。 在該日期之後，裝置註冊、技術支援、錯誤修正和安全性修正將無法使用。 如果您目前使用裝置系統管理員管理，建議您在支持結束之前，切換至 Intune 中的另一個 Android 管理選項。 如需詳細資訊，請參閱 在 GMS 裝置上終止對 Android 裝置系統管理員的支援。

建立裝置平臺限制

  1. 登入 Microsoft Intune 系統管理中心，然後移至 [裝置]。

  2. 在 [裝置上線] 下，選取 [ 註冊]。

  3. 在 [ 註冊選項] 下，選取 [ 裝置平臺限制]。

  4. 選取頁面頂端的索引標籤，該索引標籤會對應至您要設定的平臺。 選項包括：

    • Windows 限制
    • Android 限制
    • macOS 限制
    • iOS 限制

  5. 選 取 [建立限制]。

  6. 在 [ 基本概念] 頁面上，提供限制的名稱和選擇性描述。

  7. 選取 [下一步]。

  8. 在 [ 平台設定] 頁面上，設定所選平臺的限制。 選項包括：

    • 平臺 (Android) ：選取 [ 允許 ] 以允許註冊平臺，然後 選取 [封鎖 ] 加以限制。

    • MDM (Windows、macOS 和 iOS/iPadOS) ：選取 [ 允許 ] 以允許註冊平台，然後 選取 [封鎖 ] 加以限制。

    • 個人擁有：選取 [允許 ] 以允許裝置註冊並操作為個人裝置。

    • 裝置製造商 (Android) ：輸入您要封鎖之製造商的逗號分隔清單。

    • 允許最小/最大範圍 (Android、Windows、iOS/iPadOS) ：輸入允許註冊的最小和最大 OS 版本。 支援的版本格式包括：

      • Windows 支援 major.minor.build.rev 來 Windows 10 和 Windows 11。 Intune 在註冊期間不會收到修訂編號，因此請輸入 0 作為修訂編號。

      • Android 裝置系統管理員和 Android Enterprise 工作配置文件支援 major.minor.rev.build。

      • iOS/iPadOS 支援 major.minor.rev。

        提示

        最小/最大範圍不適用於使用裝置註冊計劃、Apple School Manager 或 Apple Configurator 應用程式註冊的 Apple 裝置。 雖然 Intune 不會封鎖使用 公司入口網站 進行驗證的 ADE 註冊，但不符合 OS 需求會影響註冊，因為裝置無法建立用來評估條件式存取原則的 Microsoft Entra 裝置記錄。 您可以知道，如果裝置使用者在登入 公司入口網站後收到錯誤訊息，指出「無法對應裝置記錄與使用者」的情況。

  9. 選取 [下一步]。

  10. 選擇性地將範圍標籤新增至限制。 如需範圍標籤的詳細資訊，請 參閱針對分散式IT使用角色型訪問控制和範圍標籤。

    注意事項

    如果您將範圍標籤套用至限制，則只有範圍內 Intune 使用者可以檢視和管理原則。 只有範圍內的人員可以檢視和重新排序限制，或變更其優先順序層級。 他們也可以查看限制的相對優先順序，即使看不到所有限制也一般。

  11. 選取 [下一步]。

  12. 在 [ 指派] 頁面上，選取 [ 新增群組 ]，然後使用搜尋方塊來尋找和選取群組。 若要將限制指派給所有裝置使用者，請選取 [新增所有使用者]。 如果您未將限制指派給至少一個群組，限制將不會生效。

  13. 或者，在您指派群組之後，選取 [ 編輯篩選 ] 以進一步使用篩選條件限制原則指派。 篩選適用於macOS、iOS和 Windows 原則。 如需詳細資訊，請參閱本文中的 套用指派篩選 。

  14. 選取 [下一步]。

  15. 檢閱您的原則，然後選取 [建立 ] 加以建立。

您可以在註冊裝置平臺限制>裝置類型限制資料表中檢視新的限制原則並存取其屬性。 選取並拖曳限制，將它重新放置在數據表中，並變更其優先順序。

套用指派篩選

您可以使用指派篩選條件，從特定的群組目標原則中包含和排除其他裝置。 註冊限制和 ESP 原則都支援使用指派篩選。

例如，您可以使用篩選條件來允許個人 Windows 裝置註冊，同時封鎖執行特定作業系統 SKU 的裝置。 若要達到此結果，請將預先設定的篩選套用至您的註冊限制指派。 篩選條件的規則中必須有 operatingSystemSKU 屬性。 範例步驟：

  1. 建立適用於 Windows 的平台註冊限制原則。
  2. 在平台設定中，選取允許個人裝置註冊的選項。
  3. 在 [指派設定] 中，選取您要指派的群組。
  4. 選 取 [編輯篩選 ]，然後套用包含 operatingSystemSKU 屬性的預先設定篩選。 套用的 屬性會封鎖執行 Windows 10 家用版 版本的裝置。

如需建立篩選的詳細資訊，請參閱 建立篩選。

注意事項

在註冊期間處理指派篩選需要額外的時間。 處理使用者、群組和篩選指派的 Microsoft Entra 與 Intune 之間的更新通常會在 15 分鐘內發生。 它不是立即的。 此時間可能會影響註冊指派。 您應該在將註冊的使用者新增至群組之後等候並註冊裝置幾分鐘，而不是緊接在之後。

支援的篩選屬性

相較於其他以群組為目標的原則，註冊限制支援較少的篩選屬性。 這是因為裝置尚未註冊，因此 Intune 沒有支援所有屬性的裝置資訊。 當您：

  • 設定 Apple 和 Windows 裝置的裝置平臺限制原則。
  • 設定適用於 Windows 的 ESP) 原則 (註冊狀態頁面。
  • 編輯註冊限制或 ESP 設定檔中使用的篩選條件。

下列篩選屬性一律可搭配註冊原則使用：

Windows

iOS/iPadOS 和 macOS

  • 製造商
  • Model
  • 操作系統版本
  • 擁有權
  • 註冊配置檔名稱

如需這些屬性的詳細資訊，請參閱 裝置屬性。 篩選條件無法與Android註冊限制搭配使用。

編輯註冊限制

編輯會套用至新的註冊，而且不會影響已註冊的裝置。

  1. 返回 裝置>註冊。
  2. 選 取 [裝置平臺限制 ]，然後選取限制所屬的OS平臺。
  3. 在 [ 裝置類型限制 ] 資料表中，選取您想要變更的原則名稱。
  4. 選取 [內容]。
  5. 選取 [編輯]。
  6. 進行變更，然後選 取 [檢閱 + 儲存]。
  7. 檢閱您的變更，然後選取 [ 儲存]。