Esercitazione: abilitare la co-gestione per i nuovi dispositivi basati su Internet

Quando si investe nel cloud tramite l'uso di Intune per la sicurezza e il provisioning moderno, potrebbe essere meglio non perdere i processi consolidati per l'uso di Gestione configurazione per gestire i PC nell'organizzazione. Con la co-gestione, puoi mantenere questo processo in atto.

In questa esercitazione viene configurata la co-gestione dei dispositivi Windows in un ambiente in cui si usano sia Microsoft Entra ID che Active Directory locale, ma non si dispone di un'istanza ibrida di Microsoft Entra ID. L'ambiente di Gestione configurazione include un singolo sito primario con tutti i ruoli del sistema del sito che si trovano nello stesso server, il server del sito. Questa esercitazione inizia con la premessa che i dispositivi Windows sono già registrati con Intune.

Se si dispone di un'istanza ibrida di Microsoft Entra che si unisce ad Active Directory locale con Microsoft Entra ID, è consigliabile seguire l'esercitazione complementare Abilitare la co-gestione per i client di Gestione configurazione.

Usare questa esercitazione quando:

• Si dispone di dispositivi Windows da portare nella co-gestione. Il provisioning di questi dispositivi potrebbe essere stato eseguito tramite Windows Autopilot o potrebbe provenire direttamente dall'OEM dell'hardware.
• Attualmente gestisci dispositivi Windows con Intune e desideri aggiungervi il client di Gestione configurazione.

In questa esercitazione:

Prerequisiti

Servizi e ambiente di Azure

• Sottoscrizione di Azure (versione di valutazione gratuita).

• Microsoft Entra ID P1 o P2.

• Abbonamento a Microsoft Intune, con Intune configurato per la registrazione automatica dei dispositivi.

  Consiglio

  Una prova gratuita dell'abbonamento a Enterprise Mobility + Security include sia Microsoft Entra ID P1 o P2 che Microsoft Intune.

  Non è più necessario acquistare e assegnare singole licenze di Intune o Enterprise Mobility + Security agli utenti. Per ulteriori informazioni, vedere Domande frequenti su prodotti e licenze.

Infrastruttura locale

• Una versione supportata del ramo corrente di Gestione configurazione.

  Questa esercitazione usa HTTP avanzato per evitare requisiti più complessi per un'infrastruttura a chiave pubblica. Quando si usa HTTP avanzato, il sito primario usato per gestire i client deve essere configurato per l'uso dei certificati generati dal Gestione configurazione per i sistemi del sito HTTP.

• Autorità di gestione di dispositivi mobili (MDM) impostata su Intune.

Certificati esterni

• Certificato di autenticazione del server CMG. Questo certificato SSL proviene da un provider di certificati pubblico e affidabile a livello globale. Il certificato verrà esportato come file con estensione pfx con la chiave privata.

  Più avanti in questa esercitazione, forniamo indicazioni su come configurare la richiesta per questo certificato.

Autorizzazioni

Nel corso dell'esercitazione, usare le autorizzazioni seguenti per completare le attività:

• Un account amministratore globale per Microsoft Entra ID

  Importante

  Il ruolo di amministratore globale di Microsoft Entra è un ruolo con privilegi elevati e deve essere usato solo quando non è possibile usare un altro ruolo. Questa funzionalità richiede il ruolo di amministratore globale. Per altre funzionalità, Microsoft consiglia di usare i ruoli con il minor numero di autorizzazioni. Per altre informazioni, vedere Nozioni fondamentali sull'amministrazione basata sui ruoli per Gestione configurazione.

• Un account amministratore di dominio nell'infrastruttura locale

• Un account amministratore completo per tutti gli ambiti in Gestione configurazione

Richiedere un certificato pubblico per il gateway di gestione cloud

Quando i dispositivi si trovano su Internet, la co-gestione richiede il CMG di Gestione configurazione. Il CMG consente ai dispositivi Windows basati su Internet di comunicare con la distribuzione locale di Gestione configurazione. Per stabilire un rapporto di attendibilità tra i dispositivi e l'ambiente di Gestione configurazione, il gateway di gestione cloud richiede un certificato SSL.

Questa esercitazione usa un certificato pubblico denominato certificato di autenticazione server CMG che deriva l'autorità da un provider di certificati attendibile a livello globale. Anche se è possibile configurare la co-gestione usando certificati che derivano l'autorità dall'autorità di certificazione Microsoft locale, l'uso di certificati autofirmati esula dall'ambito di questa esercitazione.

Il certificato di autenticazione del server CMG viene usato per crittografare il traffico delle comunicazioni tra il client di Gestione configurazione e il gateway di gestione cloud. Il certificato traccia una radice attendibile per verificare l'identità del server al client. Il certificato pubblico include una radice attendibile che i client Windows già considerano attendibili.

Informazioni su questo certificato:

• È possibile identificare un nome univoco per il servizio CMG in Azure e quindi specificarlo nella richiesta di certificato.
• Si genera la richiesta di certificato su un server specifico e quindi si invia la richiesta a un provider di certificati pubblico per ottenere il certificato SSL necessario.
• Il certificato ricevuto dal provider viene importato nel sistema che ha generato la richiesta. Si usa lo stesso computer per esportare il certificato quando successivamente si distribuisce CMG in Azure.
• Quando viene installato, viene creato un servizio CMG in Azure usando il nome specificato nel certificato.

Identificare un nome univoco per il gateway di gestione cloud in Azure

Quando si richiede il certificato di autenticazione server CMG, si specifica quello che deve essere un nome univoco per identificare il servizio cloud (classico) in Azure. Per impostazione predefinita, il cloud pubblico Azure usa cloudapp.net e il gateway di gestione cloud è ospitato all'interno del dominio cloudapp.net come <YourUniqueDnsName.cloudapp.net>.

In questa esercitazione il certificato di autenticazione del server CMG usa un nome di dominio completo (FQDN) che termina con contoso.com. Dopo aver creato il gateway di gestione cloud, si configurerà un record dei nomi canonici (CNAME) nel DNS pubblico dell'organizzazione. Questo record crea un alias per il gateway di gestione cloud associato al nome usato nel certificato pubblico.

Prima di richiedere il certificato pubblico, verificare che il nome che si vuole usare sia disponibile in Azure. Il servizio non viene creato direttamente in Azure. Gestione configurazione usa invece il nome specificato nel certificato pubblico per creare il servizio cloud quando installi il CMG.

1. Accedere al portale di Azure.

2. Seleziona Crea una risorsa, seleziona la categoria Calcolo , quindi seleziona Servizio cloud. Si apre la pagina dei servizi cloud (versione classica ).

3. Per Nome DNS specificare il nome del prefisso per il servizio cloud che si userà.

   Questo prefisso deve essere uguale a quello usato in seguito quando si richiede un certificato pubblico per il certificato di autenticazione del server CMG. In questa esercitazione usiamo MyCSG, che crea lo spazio dei nomi di MyCSG.cloudapp.net. L'interfaccia conferma se il nome è disponibile o già in uso da un altro servizio.

Dopo aver confermato che il nome da usare è disponibile, si è pronti per inviare la richiesta di firma del certificato (CSR).

Richiedi il certificato

Usare le informazioni seguenti per inviare una richiesta di firma del certificato per il gateway di gestione cloud a un provider di certificati pubblico. Modificare i valori seguenti in modo che siano pertinenti per l'ambiente:

• MyCMG per identificare il nome del servizio del gateway di gestione cloud
• Contoso come nome della società
• Contoso.com come dominio pubblico

È consigliabile usare il server del sito primario per generare la CSR. Quando si ottiene il certificato, è necessario registrarlo nello stesso server che ha generato il CSR. Questa registrazione garantisce la possibilità di esportare la chiave privata del certificato, che è obbligatoria.

Richiedi un tipo di provider di chiavi versione 2 quando generi una CSR. Sono supportati solo i certificati della versione 2.

Ecco i dettagli per la CSR del gateway di gestione cloud:

• Nome comune: CloudServiceNameCMG.YourCompanyPubilcDomainName.com (esempio: MyCSG.contoso.com)
• Nome alternativo del soggetto: uguale al nome comune (CN)
• Organizzazione: il nome dell'organizzazione
• Reparto: Per l'organizzazione
• Città: per l'organizzazione
• Stato: Per l'organizzazione
• Paese: per l'organizzazione
• Dimensione chiave: 2048
• Provider: Microsoft RSA SChannel Cryptographic Provider

Importare il certificato

Dopo aver ricevuto il certificato pubblico, importarlo nell'archivio certificati locale del computer che ha creato il CSR. Esportare quindi il certificato come file con estensione pfx in modo da poterlo usare per il gateway di gestione cloud in Azure.

I provider di certificati pubblici in genere forniscono istruzioni per l'importazione dei certificati. Il processo per importare il certificato deve essere simile alle indicazioni seguenti:

1. Nel computer in cui verrà importato il certificato individuare il file .pfx.

2. Fare clic con il pulsante destro del mouse sul file e quindi selezionare Installa PFX.

3. All'avvio dell'Importazione guidata certificati, selezionare Avanti.

4. Nella pagina File da importare selezionare Avanti.

5. Nella pagina Password immettere la password per la chiave privata nella casella Password e quindi selezionare Avanti.

   Selezionare l'opzione per rendere la chiave esportabile.

6. Nella pagina Archivio certificati selezionare Seleziona automaticamente l'archivio certificati in base al tipo di certificato e quindi selezionare Avanti.

7. Seleziona Fine.

Esportare il certificato

Esportare il certificato di autenticazione del server CMG dal server. La riesportazione del certificato lo rende utilizzabile per il gateway di gestione cloud in Azure.

1. Nel server in cui è stato importato il certificato SSL pubblico, eseguire certlm.msc per aprire la console di Gestione certificati.

2. Nella console di Gestione certificati selezionareCertificatipersonali>. Fare quindi clic con il pulsante destro del mouse sul certificato di autenticazione del server CMG registrato nella procedura precedente e selezionare Tutte le attività>di esportazione.

3. Nell'Esportazione guidata certificati selezionare Avanti, selezionare Sì, esporta la chiave privata e quindi selezionare Avanti.

4. Nella pagina Export File Format , selezionare Personal Information Exchange - PKCS #12 (. PFX), selezionare Avanti e specificare una password.

   Per il nome del file specifica un nome simile a C:\ConfigMgrCloudMGServer. Si farà riferimento a questo file quando si crea il CMG in Azure.

5. Selezionare Avanti e quindi confermare le impostazioni seguenti prima di selezionare Fine per completare l'esportazione:

   • Esporta chiavi: Sì
   • Includi tutti i certificati nel percorso di certificazione: Sì
   • Formato del file: Personal Information Exchange (*.pfx)

6. Dopo aver completato l'esportazione, individuare il file .pfx e inserirne una copia in C:\Certs nel server del sito primario di Gestione configurazione che gestirà i client basati su Internet.

   La cartella Certs è una cartella temporanea da usare durante lo spostamento dei certificati tra i server. Si accede al file di certificato dal server del sito primario quando si distribuisce CMG in Azure.

Dopo aver copiato il certificato nel server del sito primario, è possibile eliminarlo dall'archivio certificati personale nel server membro.

Abilitare i servizi cloud di Azure in Gestione configurazione

Per configurare i servizi di Azure dalla console di Gestione configurazione, usare la Configurazione guidata servizi di Azure e creare due app Microsoft Entra:

• App Server: un'app Web in Microsoft Entra ID.
• App client: un'app client nativa in Microsoft Entra ID.

Esegui la procedura seguente dal server del sito primario:

1. Apri la console Gestione configurazione, vai a Amministrazione>Servizi cloud Azure>Servizi e quindi seleziona Configura Azure servizi.

   Nella pagina Configura servizio di Azure specificare un nome descrittivo per il servizio di gestione cloud che si sta configurando. Ad esempio: Il mio servizio di gestione cloud.

   Quindi selezionare Gestione> cloudavanti.

   Consiglio

   Per altre informazioni sulle configurazioni eseguite nella procedura guidata, vedere Avviare la procedura guidata dei servizi di Azure.

2. Nella pagina Proprietà dell'app , per l'app Web, selezionare Sfoglia per aprire la finestra di dialogo dell'app server . Selezionare Crea e quindi configurare i campi seguenti:

   • Nome applicazione: specificare un nome descrittivo per l'app, ad esempio app Web di gestione cloud.

   • URL homepage: Gestione configurazione non usa questo valore, ma Microsoft Entra ID lo richiede. Per impostazione predefinita, questo valore è https://ConfigMgrService.

   • URI ID app: questo valore deve essere univoco nel tenant di Microsoft Entra. Si trova nel token di accesso usato dal client di Gestione configurazione per richiedere l'accesso al servizio. Per impostazione predefinita, questo valore è https://ConfigMgrService. Modificare l'impostazione predefinita in uno dei formati consigliati seguenti:

   • api://{tenantId}/{string}, ad esempio, api://aaaabbbb-0000-cccc-1111-dddd2222eeee/ConfigMgrService

   • https://{verifiedCustomerDomain}/{string}, ad esempio, https://contoso.onmicrosoft.com/ConfigMgrService

   Selezionare quindi Accedi e specificare un account amministratore globale di Microsoft Entra. Gestione configurazione non salva queste credenziali. Questa persona non richiede autorizzazioni in Gestione configurazione e non deve necessariamente essere lo stesso account che esegue la procedura guidata dei servizi di Azure.

   Dopo l'accesso vengono visualizzati i risultati. Selezionare OK per chiudere la finestra di dialogo Crea applicazione server e tornare alla pagina Proprietà app .

3. Per l'app client nativa, selezionare Sfoglia per aprire la finestra di dialogo dell'app client .

4. Selezionare Crea per aprire la finestra di dialogo Crea applicazione client , quindi configurare i campi seguenti:

   • Nome applicazione: specificare un nome descrittivo per l'app, ad esempio app client nativa di Gestione cloud.

   • URL di risposta: Gestione configurazione non usa questo valore, ma Microsoft Entra ID lo richiede. Per impostazione predefinita, questo valore è https://ConfigMgrClient.

   Selezionare quindi Accedi e specificare un account amministratore globale di Microsoft Entra. Come per l'app web, queste credenziali non vengono salvate e non richiedono autorizzazioni in Gestione configurazione.

   Dopo l'accesso vengono visualizzati i risultati. Selezionare OK per chiudere la finestra di dialogo Crea applicazione client e tornare alla pagina Proprietà app . Quindi, seleziona Avanti per continuare.

5. Nella pagina Configura impostazioni di individuazione selezionare la casella di controllo Abilita individuazione utente di Microsoft Entra. Selezionare Avanti e quindi completare la configurazione delle finestre di dialogo di individuazione per l'ambiente.

6. Continuare con le pagine Riepilogo, Stato di avanzamento e Completamento e quindi chiudere la procedura guidata.

   I servizi di Azure per l'individuazione utente di Microsoft Entra sono ora abilitati in Gestione configurazione. Per il momento, lascia la console aperta.

7. Aprire un browser e accedere al portale di Azure.

8. Selezionare Tutti i serviziMicrosoft>Entra IDRegistrazioni>app e quindi:

   1. Selezionare l'app Web creata.

   2. Passare ad Autorizzazioni API, selezionare Concedi consenso amministratore per il tenant e quindi selezionare Sì.

   3. Selezionare l'app client nativa creata.

   4. Passare ad Autorizzazioni API, selezionare Concedi consenso amministratore per il tenant e quindi selezionare Sì.

9. Nella console di Gestione configurazione passare aPanoramica>amministrazione>(phrasefix)Servizi cloudServizi di> Azure e selezionare il servizio di Azure. Quindi, fai clic con il pulsante destro del mouse su Individua utente di Microsoft Entra e seleziona Esegui individuazione completa ora. Selezionare Sì per confermare l'azione.

10. Nel server del sito primario apri il file SMS_AZUREAD_DISCOVERY_AGENT.log Gestione configurazione e cerca la voce seguente per verificare che l'individuazione funzioni: UDX pubblicato correttamente per Microsoft Entra utenti.

    Per impostazione predefinita, il file di log si trova in %Program_Files%\Microsoft Configuration Manager\Logs.

Creare il servizio cloud in Azure

In questa sezione dell'esercitazione si creerà il servizio cloud CMG e quindi si creeranno record CNAME DNS per entrambi i servizi.

Creare il CMG

Usare questa procedura per installare un gateway di gestione cloud come servizio in Azure. Il gateway di gestione cloud viene installato nel sito di livello superiore della gerarchia. In questa esercitazione si continua a usare il sito primario in cui sono stati registrati ed esportati i certificati.

1. Nel server del sito primario apri la console di Gestione configurazione. Passare aPanoramica>amministrazioneServizi>cloudGateway>di gestione cloud, quindi selezionare Crea gateway di gestione cloud.

2. Nella pagina Generale :

   1. Selezionare l'ambiente cloud per l'ambiente di Azure. Questa esercitazione usa AzurePublicCloud.

   2. Selezionare Azure Resource Manager distribuzione.

   3. Accedere alla sottoscrizione di Azure. Gestione configurazione compila informazioni aggiuntive in base a quelle configurate al momento dell'abilitazione di Azure servizi cloud per Gestione configurazione.

   Selezionare Avanti per continuare.

3. Nella pagina Impostazioni individuare e selezionare il file denominato ConfigMgrCloudMGServer.pfx. Questo è il file esportato dopo l'importazione del certificato di autenticazione del server CMG. Dopo aver specificato la password, le informazioni sul nome del servizio e sul nome della distribuzione vengono compilate automaticamente, in base ai dettagli nel file di certificato pfx.

4. Imposta le informazioni sulla regione .

5. Per Gruppo di risorse usa un gruppo di risorse esistente o crea un gruppo con un nome descrittivo che non usi spazi, come ConfigMgrCloudServices. Se si sceglie di creare un gruppo, il gruppo viene aggiunto come gruppo di risorse in Azure.

6. A meno che non si sia pronti per la configurazione su vasta scala, immettere 1 per le istanze VM. Il numero di istanze di macchine virtuali consente a un singolo servizio cloud CMG di aumentare il numero di istanze per supportare più connessioni client. In seguito, puoi usare la console di Gestione configurazione per restituire e modificare il numero di istanze VM usate.

7. Selezionare la casella di controllo Verifica revoca certificato client .

8. Selezionare la casella di controllo Consenti al gruppo di gestione cloud di funzionare come punto di distribuzione cloud e di gestire contenuti da Archiviazione di Azure.

9. Selezionare Avanti per continuare.

10. Esaminare i valori nella pagina Avviso e quindi selezionare Avanti.

11. Esaminare la pagina Riepilogo e selezionare Avanti per creare il servizio cloud CMG. Selezionare Chiudi per completare la procedura guidata.

12. Nel nodo CMG della console di Gestione configurazione è ora possibile visualizzare il nuovo servizio.

Creare record CNAME DNS

Quando si crea una voce DNS per il gateway di gestione cloud, si abilitano i dispositivi Windows all'interno e all'esterno della rete aziendale per usare la risoluzione dei nomi per trovare il servizio cloud CMG in Azure.

Il nostro esempio di record CNAME è MyCMG.contoso.com, che diventa MyCMG.cloudapp.net. Nell'esempio:

• Il nome della società è Contoso con uno spazio dei nomi DNS pubblico di contoso.com.

• Il nome del servizio CMG è MyCMG, che diventa MyCMG.cloudapp.net in Azure.

Configurare il punto di gestione e i client per l'uso del gateway di gestione cloud

Configurare le impostazioni che consentono ai punti di gestione e ai client locali di usare il gateway di gestione cloud.

Poiché usiamo HTTP avanzato per le comunicazioni client, non è necessario usare un punto di gestione HTTPS.

Creare il punto di connessione CMG

Configurare il sito per il supporto HTTP avanzato:

1. Nella console di Gestione configurazione, vai aSitidi configurazione> del sitoPanoramica>dell'amministrazione>. Aprire le proprietà del sito primario.

2. Nella scheda Sicurezza comunicazioni seleziona l'opzione HTTPS o HTTP per Usa i certificati generati da Gestione configurazione per i sistemi del sito HTTP. Selezionare quindi OK per salvare la configurazione.

3. Vai aPanoramica>sull'amministrazione>, i serverdi configurazione> del sitoe i ruoli di sistema del sito. Selezionare il server con un punto di gestione in cui si vuole installare il punto di connessione CMG.

4. Selezionare Aggiungi ruoli> del sistema del sitosuccessivo>.

5. Selezionare Punto di connessione del gateway di gestione cloud e quindi selezionare Avanti per continuare.

6. Esaminare le selezioni predefinite nella pagina Punto di connessione del gateway di gestione cloud e assicurarsi che sia selezionato il CMG corretto.

   Se si dispone di più CMG, è possibile usare l'elenco a discesa per specificare un CMG diverso. È anche possibile modificare il CMG in uso dopo l'installazione.

   Selezionare Avanti per continuare.

7. Seleziona Avanti per avviare l'installazione e quindi visualizza i risultati nella pagina Completamento . Selezionare Chiudi per completare l'installazione del punto di connessione.

8. Vai aPanoramica>sull'amministrazione>, i serverdi configurazione> del sitoe i ruoli di sistema del sito. Aprire Proprietà per il punto di gestione in cui è stato installato il punto di connessione.

   Nella scheda Generale seleziona la casella di controllo Consenti traffico del gateway di gestione cloud di Gestione configurazione e quindi seleziona OK per salvare la configurazione.

   Consiglio

   Sebbene non sia necessario per abilitare la co-gestione, è consigliabile apportare la stessa modifica per tutti i punti di aggiornamento software.

Configurare le impostazioni client per indicare ai client di usare il gateway di gestione cloud

Usare Impostazioni client per configurare i client di Gestione configurazione per la comunicazione con il gateway di gestione cloud:

1. Aprire laconsole >>di Gestione configurazionePanoramica> amministrazioneclient, quindi modificare le informazioni relative alle impostazioni client predefinite.

2. Seleziona Servizi cloud.

3. Nella pagina Impostazioni predefinite impostare le seguenti impostazioni su Sì:

   • Registra automaticamente i nuovi dispositivi aggiunti a un dominio di Windows 10 con Microsoft Entra ID

   • Abilitare i client all'uso di un gateway di gestione cloud

   • Consente l'accesso al punto di distribuzione cloud

4. Nella pagina Criteri client impostare Abilita le richieste di criteri utente dai client Internet su Sì.

5. Selezionare OK per salvare la configurazione.

Abilitare la co-gestione in Gestione configurazione

Con le configurazioni di Azure, i ruoli del sistema del sito e le impostazioni client, è possibile configurare Gestione configurazione per abilitare la co-gestione. Tuttavia, sarà comunque necessario effettuare alcune configurazioni in Intune dopo aver abilitato la co-gestione prima che questa esercitazione sia completata.

Una di queste attività consiste nel configurare Intune per distribuire il client di Gestione configurazione. Questa attività è facilitata dal salvataggio della riga di comando per la distribuzione client disponibile all'interno della Configurazione guidata di co-gestione. Ecco perché abilitiamo la co-gestione ora, prima di completare le configurazioni per Intune.

Il termine gruppo pilota viene utilizzato nelle finestre di dialogo della funzionalità di co-gestione e configurazione. Un gruppo pilota è una raccolta contenente un sottoinsieme dei dispositivi di Gestione configurazione. Usare un gruppo pilota per il test iniziale. Aggiungi i dispositivi in base alle esigenze, fino a quando non sei pronto per spostare i carichi di lavoro per tutti i dispositivi di Gestione configurazione.

Non esiste alcun limite di tempo per quanto tempo un gruppo pilota può essere usato per i carichi di lavoro. Puoi usare un gruppo pilota a tempo indeterminato se non vuoi spostare un carico di lavoro in tutti i dispositivi di Gestione configurazione.

È consigliabile creare una raccolta appropriata prima di avviare la procedura per creare un gruppo pilota. È quindi possibile selezionare la raccolta senza uscire dalla procedura. Potrebbero essere necessarie più raccolte, perché è possibile assegnare un gruppo pilota diverso per ogni carico di lavoro.

Abilita la co-gestione per le versioni 2111 e successive

A partire da Gestione configurazione versione 2111, l'esperienza di onboarding della co-gestione è cambiata. La Configurazione guidata Collegamento cloud semplifica l'abilitazione della co-gestione e di altre funzionalità cloud. Puoi scegliere un set semplificato di impostazioni predefinite consigliate o personalizzare le funzionalità di collegamento cloud. È disponibile anche una nuova raccolta di dispositivi integrata per i dispositivi idonei alla co-gestione che consente di identificare i client. Per altre informazioni sull'abilitazione della co-gestione, vedere Abilitare il collegamento cloud.

Abilita la co-gestione per le versioni 2107 e precedenti

Quando si abilita la co-gestione, è possibile usare il cloud pubblico di Azure, il cloud di Azure per enti pubblici o il cloud di Azure China (21Vianet) (aggiunto nella versione 2006). Per abilitare la co-gestione, seguire queste istruzioni:

1. Nella console di Gestione configurazione passare all'area di lavoro Amministrazione, espandere Servizi cloud e selezionare il nodo Collegamento cloud. Selezionare Configura collegamento cloud sulla barra multifunzione per aprire la Configurazione guidata collegamento cloud.

   Per la versione 2103 e precedenti, espandere Servizi cloud e selezionare il nodo di co-gestione. Selezionare Configura co-gestione sulla barra multifunzione per aprire la Configurazione guidata co-gestione.

2. Nella pagina di onboarding della procedura guidata, per l'ambiente di Azure, scegliere uno degli ambienti seguenti:

   • Cloud pubblico di Azure

   • Cloud di Azure per enti pubblici

   • Azure China Cloud (aggiunto nella versione 2006)

     Nota

     Aggiornare il client di Gestione configurazione alla versione più recente nei dispositivi prima di eseguire l'onboarding al cloud di Azure Cina.

   Quando si seleziona il cloud di Azure Cina o il cloud di Azure per enti pubblici, l'opzione Carica nell'interfaccia di amministrazione di Microsoft Endpoint Manager per il collegamento di tenant è disabilitata.

3. Scegliere Accedi. Accedi come amministratore globale di Microsoft Entra e quindi seleziona Avanti. Si accede una sola volta ai fini di questa procedura guidata. Le credenziali non vengono archiviate o riutilizzate in altre posizioni.

   Importante

   Il ruolo di amministratore globale di Microsoft Entra è un ruolo con privilegi elevati e deve essere usato solo quando non è possibile usare un altro ruolo. Questa funzionalità richiede il ruolo di amministratore globale. Per altre funzionalità, Microsoft consiglia di usare i ruoli con il minor numero di autorizzazioni. Per altre informazioni, vedere Nozioni fondamentali sull'amministrazione basata sui ruoli per Gestione configurazione.

4. Nella pagina Abilitazione scegliere le impostazioni seguenti:

   • Registrazione automatica in Intune: abilita la registrazione automatica dei client in Intune per i client di Gestione configurazione esistenti. Questa opzione consente di abilitare la co-gestione in un sottoinsieme di client per testare inizialmente la co-gestione e quindi implementare la co-gestione usando un approccio graduale. Se l'utente annulla la registrazione di un dispositivo, il dispositivo verrà registrato nuovamente alla successiva valutazione del criterio.

     • Pilota: solo i client di Gestione configurazione membri della raccolta di registrazione automatica di Intune vengono registrati automaticamente in Intune.
     • Tutti: abilitare la registrazione automatica per tutti i client che eseguono versioni di Windows supportate.
     • Nessuno: disabilita la registrazione automatica per tutti i client.

   • Registrazione automatica di Intune: questa raccolta deve contenere tutti i client di cui si vuole eseguire l'onboarding nella co-gestione. È essenzialmente un superset di tutte le altre collezioni di staging.

   

   La registrazione automatica non è immediata per tutti i clienti. Questo comportamento consente di ridimensionare meglio la registrazione per ambienti di grandi dimensioni. Gestione configurazione rende casuale la registrazione in base al numero di client. Ad esempio, se l'ambiente ha 100.000 client, quando si abilita questa impostazione la registrazione viene eseguita su più giorni.

   Un nuovo dispositivo co-gestito viene ora registrato automaticamente al servizio Microsoft Intune in base al token del dispositivo Microsoft Entra. Per avviare la registrazione automatica, non è necessario attendere che un utente acceda al dispositivo. Questa modifica consente di ridurre il numero di dispositivi con stato di registrazione Accesso utente in sospeso. Per supportare questo comportamento, nel dispositivo devono essere in esecuzione versioni Windows supportate. Per ulteriori informazioni, consulta Stato di registrazione della co-gestione.

   Se si hanno già dispositivi registrati nella co-gestione, i nuovi dispositivi vengono registrati subito dopo che soddisfano i prerequisiti.

5. Per i dispositivi basati su Internet già registrati in Intune, copiare e salvare il comando nella pagina di abilitazione. Userai questo comando per installare il client di Gestione configurazione come app in Intune per i dispositivi basati su Internet. Se non si salva questo comando ora, è possibile rivedere la configurazione di co-gestione in qualsiasi momento per ottenere questo comando.

   Consiglio

   Il comando viene visualizzato solo se sono stati soddisfatti tutti i prerequisiti, ad esempio la configurazione di un gateway di gestione cloud.

6. Nella pagina Carichi di lavoro, per ogni carico di lavoro, scegliere il gruppo di dispositivi da spostare per la gestione con Intune. Per ulteriori informazioni, consulta Carichi di lavoro.

   Se si vuole abilitare solo la co-gestione, non è necessario cambiare carico di lavoro ora. È possibile cambiare i carichi di lavoro in un secondo momento. Per altre informazioni, vedere Come passare da un carico di lavoro all'altro.

   • Pilot Intune: cambia il carico di lavoro associato solo per i dispositivi nelle raccolte pilota che verranno specificate nella pagina di gestione temporanea. Ogni carico di lavoro può avere una raccolta pilota diversa.
   • Intune: cambia il carico di lavoro associato per tutti i dispositivi Windows co-gestiti.

   Importante

   Prima di cambiare i carichi di lavoro, assicurarsi di configurare e distribuire correttamente il carico di lavoro corrispondente in Intune. Assicurarsi che i carichi di lavoro siano sempre gestiti da uno degli strumenti di gestione per i dispositivi.

7. Nella pagina Gestione temporanea specificare la raccolta pilota per ognuno dei carichi di lavoro impostati su Pilot Intune.

   

8. Per abilitare la co-gestione, completare la procedura guidata.

Usare Intune per distribuire il client di Gestione configurazione

Puoi usare Intune per installare il client di Gestione configurazione nei dispositivi Windows attualmente gestiti solo con Intune.

Quindi, quando un dispositivo Windows precedentemente non gestito si registra con Intune, installa automaticamente il client di Gestione configurazione.

Creare un'app Intune per installare il client Gestione configurazione

1. Dal server del sito primario accedere all'interfaccia di amministrazione di Microsoft Intune. Quindi, passare ad App>,Aggiungitutte le app>.

2. Per il tipo di app, selezionare App line-of-business in Altro.

3. Per il file del pacchetto dell'app, passare al percorso del file Gestione configurazione ccmsetup.msi (ad esempio, C:\Program Files\Microsoft Configuration Manager\bin\i386\ccmsetup.msi). Quindi, selezionare Apri>OK.

4. Selezionare Informazioni sull'app e quindi specificare i dettagli seguenti:

   • Descrizione: immettere il client di Gestione configurazione.

   • Editore: Entra in gioco Microsoft.

   • Argomenti della riga di comando: specificare il CCMSETUPCMD comando. È possibile utilizzare il comando salvato dalla pagina Abilitazione della Configurazione guidata cogestione. Questo comando include i nomi del servizio cloud e i valori aggiuntivi che consentono ai dispositivi di installare il software client di Gestione configurazione.

     La struttura della riga di comando deve essere simile a questo esempio, in cui vengono utilizzati solo i CCMSETUPCMD parametri and SMSSiteCode :

     CCMSETUPCMD="CCMHOSTNAME=<ServiceName.CLOUDAPP.NET/CCM_Proxy_MutualAuth/<GUID>" SMSSiteCode="<YourSiteCode>"
     

     Consiglio

     Se il comando non è disponibile, puoi visualizzare le proprietà nella CoMgmtSettingsProd console di Gestione configurazione per ottenere una copia del comando. Il comando viene visualizzato solo se sono stati soddisfatti tutti i prerequisiti, ad esempio la configurazione di un CMG.

5. Selezionare OK>Aggiungi. L'app viene creata e diventa disponibile nella console di Intune. Quando l'app è disponibile, è possibile usare la sezione seguente per assegnarla ai dispositivi da Intune.

Assegnare l'app Intune per installare il client di Gestione configurazione

La procedura seguente distribuisce l'app per installare il client di Gestione configurazione creato nella procedura precedente:

1. Accedere all'Interfaccia di amministrazione di Microsoft Intune. Selezionare App>tutte le app, quindi selezionare ConfigMgr Client Setup Bootstrap. Questa è l'app creata per distribuire il client di Gestione configurazione.

2. Selezionare Proprietà e quindi selezionare Modifica per Attività. Selezionare Aggiungi gruppo in Assegnazioni obbligatorie per impostare i gruppi di Microsoft Entra con utenti e dispositivi a cui si vuole partecipare alla co-gestione.

3. Selezionare Rivedi + Salva>Salva per salvare la configurazione. L'app è ora necessaria agli utenti e ai dispositivi a cui è stata assegnata. Dopo l'installazione del client di Gestione configurazione in un dispositivo, l'app viene gestita dalla co-gestione.

Riepilogo

Dopo aver completato i passaggi di configurazione di questa esercitazione, puoi iniziare a co-gestire i dispositivi.

Passaggi successivi

• Esaminare lo stato dei dispositivi co-gestiti usando il dashboard di co-gestione.
• Usare Windows Autopilot per eseguire il provisioning di nuovi dispositivi.
• Usare l'Accesso Condizionale e le regole di conformità di Intune per gestire l'accesso degli utenti alle risorse aziendali.