Samouczek: włączanie współzarządzania dla istniejących klientów programu Configuration Manager

Dzięki współzarządzaniu możesz zachować dobrze znane procesy używania programu Configuration Manager do zarządzania komputerami w organizacji. Jednocześnie inwestujesz w chmurę za pomocą usługi Intune na potrzeby zabezpieczeń i nowoczesnej aprowizacji.

W tym samouczku skonfigurujesz współzarządzanie urządzeniami z systemem Windows, które są już zarejestrowane w programie Configuration Manager. Ten samouczek zaczyna się od założenia, że używasz już programu Configuration Manager do zarządzania urządzeniami z systemem Windows.

Skorzystaj z tego samouczka w następujących sytuacjach:

• Masz lokalna usługa Active Directory, z którym możesz nawiązać połączenie w Microsoft Entra ID w hybrydowej konfiguracji Microsoft Entra.

  Jeśli nie możesz wdrożyć hybrydowego identyfikatora Microsoft Entra ID, który łączy lokalną usługę AD z usługą Microsoft Entra ID, zalecamy skorzystanie z naszego samouczka towarzyszącego, Włączanie współzarządzania dla nowych internetowych urządzeń z systemem Windows.

• Masz istniejących klientów programu Configuration Manager, którzy mają zostać dołączeni do chmury.

W tym samouczku wykonasz następujące czynności:

Wymagania wstępne

Usługi i środowisko platformy Azure

• Subskrypcja platformy Azure (bezpłatna wersja próbna)

• Microsoft Entra ID P1 lub P2

• Subskrypcja usługi Microsoft Intune

  Porada

  Subskrypcja usługi Enterprise Mobility + Security (EMS) obejmuje zarówno usługę Microsoft Entra ID P1 lub P2, jak i usługę Microsoft Intune. Subskrypcja EMS (bezpłatna wersja próbna).

Jeśli nie jest to jeszcze obecne w Twoim środowisku, podczas tego samouczka skonfigurujesz Microsoft Entra Connect między lokalna usługa Active Directory a dzierżawą Microsoft Entra.

Infrastruktura lokalna

• Obsługiwana wersja bieżącej gałęzi programu Configuration Manager
• The mobile device management authority (MDM) must be set to Intune.

Uprawnienia

W tym samouczku używaj następujących uprawnień do wykonywania zadań:

• Konto będące administratorem domeny w Twojej infrastrukturze lokalnej

• Konto będące pełnym administratoremdla wszystkich zakresów w programie Configuration Manager

• Konto będące administratorem globalnym w usłudze Microsoft Entra ID

  • Upewnij się, że licencja usługi Intune jest przypisana do konta, którego używasz do logowania się do dzierżawy. W przeciwnym razie logowanie kończy się niepowodzeniem i pojawia się komunikat o błędzie Wystąpił nieoczekiwany błąd.

  Ważna

  Rola administratora globalnego usługi Microsoft Entra to rola o wysokich uprawnieniach, która powinna być używana tylko wtedy, gdy nie można użyć innej roli. Ta funkcja wymaga roli administratora globalnego. W przypadku innych funkcji firma Microsoft zaleca używanie ról z najmniejszą liczbą uprawnień. Aby dowiedzieć się więcej, zobacz Podstawy administrowania opartego na rolach dla programu Configuration Manager.

Konfigurowanie hybrydowej usługi Microsoft Entra ID

Konfigurując hybrydową usługę Microsoft Entra ID, tak naprawdę konfigurujesz integrację lokalnej usługi AD z usługą Microsoft Entra ID przy użyciu usługi Microsoft Entra Connect i usług federacyjnych Active Directory (ADFS). Po pomyślnej konfiguracji pracownicy mogą bezproblemowo logować się do systemów zewnętrznych przy użyciu swoich lokalnych poświadczeń usługi AD.

Konfigurowanie usługi Microsoft Entra Connect

Hybrydowe Microsoft Entra ID wymaga skonfigurowania Microsoft Entra Connect w celu zachowania synchronizacji kont komputerów w usłudze lokalna usługa Active Directory (AD) i obiektu urządzenia w Microsoft Entra ID.

Począwszy od wersji 1.1.819.0, aplikacja Microsoft Entra Connect udostępnia kreatora do konfigurowania sprzężenia hybrydowego usługi Microsoft Entra. Użycie tego kreatora upraszcza proces konfiguracji.

Aby skonfigurować usługę Microsoft Entra Connect, wymagane są poświadczenia administratora globalnego usługi Microsoft Entra ID. Poniższa procedura nie powinna być uznawana za autorytatywną podczas konfigurowania usługi Microsoft Entra Connect, ale została tutaj udostępniona, aby usprawnić konfigurację współzarządzania między usługami Intune i Configuration Manager. Aby uzyskać autorytatywną zawartość dotyczącą tej i powiązanych procedur konfiguracji usługi Tożsamość Microsoft Entra, zobacz Konfigurowanie połączenia hybrydowego usługi Microsoft Entra dla domen zarządzanych w dokumentacji usługi Microsoft Entra.

Konfigurowanie połączenia hybrydowego usługi Microsoft Entra przy użyciu usługi Microsoft Entra Connect

1. Pobierz i zainstaluj najnowszą wersję aplikacji Microsoft Entra Connect (1.1.819.0 lub nowszą).

2. Uruchom usługę Microsoft Entra Connect, a następnie wybierz pozycję Konfiguruj.

3. Na stronie Zadania dodatkowe wybierz pozycję Konfiguruj opcje urządzenia, a następnie wybierz pozycję Dalej.

4. Na stronie Przegląd wybierz pozycję Dalej.

5. Na stronie Połącz z usługą Microsoft Entra ID wprowadź poświadczenia administratora globalnego usługi Microsoft Entra ID.

6. Na stronie Opcje urządzenia wybierz pozycję Konfiguruj połączenie hybrydowe usługi Microsoft Entra, a następnie wybierz przycisk Dalej.

7. Na stronie Systemy operacyjne urządzeń wybierz systemy operacyjne używane przez urządzenia w środowisku usługi Active Directory, a następnie wybierz przycisk Dalej.

   Możesz wybrać opcję obsługi urządzeń przyłączonych do domeny niższego poziomu z systemem Windows, ale pamiętaj, że współzarządzanie urządzeniami jest obsługiwane tylko w przypadku urządzeń z systemem Windows.

8. Na stronie SCP dla każdego lasu lokalnego, dla którego program Microsoft Entra Connect ma skonfigurować punkt połączenia usługi (SCP), wykonaj następujące kroki, a następnie wybierz przycisk Dalej:

   1. Wybierz las.
   2. Wybierz usługę uwierzytelniania. Jeśli masz domenę federacyjną, wybierz serwer AD FS, chyba że Twoja organizacja ma wyłącznie klientów z systemem Windows i skonfigurowano synchronizację komputera/urządzenia lub Twoja organizacja korzysta z bezproblemowego logowania jednokrotnego.
   3. Kliknij pozycję Dodaj , aby wprowadzić poświadczenia administratora przedsiębiorstwa.

9. Jeśli masz domenę zarządzaną, pomiń ten krok.

   Na stronie konfiguracji federacji wprowadź poświadczenia administratora usług AD FS, a następnie wybierz przycisk Dalej.

10. Na stronie Gotowe do skonfigurowania wybierz pozycję Konfiguruj.

11. Na stronie Configuration complete (Kończenie konfiguracji) wybierz pozycję Exit (Zakończ).

Jeśli wystąpią problemy z ukończeniem połączenia hybrydowego usługi Microsoft Entra dla urządzeń z systemem Windows przyłączonych do domeny, zobacz Rozwiązywanie problemów z przyłączeniem hybrydowym usługi Microsoft Entra dla bieżących urządzeń z systemem Windows.

Skonfiguruj ustawienia klienta, aby kierować klientów do rejestracji przy użyciu usługi Microsoft Entra ID

Użyj ustawień klienta, aby skonfigurować klientów programu Configuration Manager do automatycznej rejestracji przy użyciu usługi Tożsamość Microsoft Entra.

1. Otwórzomówienie>administracyjne> konsoli >programu Configuration ManagerUstawienia klienta, a następnie edytuj domyślne ustawienia klienta.

2. Wybierz pozycję Cloud Services.

3. Na stronie Ustawienia domyślne ustaw opcję Automatycznie rejestruj nowe urządzenia przyłączone do domeny Windows 10 z Microsoft Entra ID na = Tak.

4. Wybierz przycisk OK , aby zapisać tę konfigurację.

Konfigurowanie automatycznej rejestracji urządzeń w usłudze Intune

Następnie skonfigurujemy automatyczną rejestrację urządzeń przy użyciu usługi Intune. Dzięki automatycznej rejestracji urządzenia zarządzane za pomocą programu Configuration Manager są automatycznie rejestrowane w usłudze Intune.

Rejestracja automatyczna umożliwia również użytkownikom rejestrowanie urządzeń z systemem Windows w usłudze Intune. Urządzenia są rejestrowane, gdy użytkownik dodaje konto służbowe do swojego osobistego urządzenia lub gdy urządzenie należące do firmy jest dołączone do usługi Microsoft Entra ID.

1. Zaloguj się do witryny Azure Portal i wybierz pozycję Tożsamość Microsoft Entra IDMobilność>(MDM i MAM)>:Microsoft Intune.

2. Konfigurowanie zakresu użytkownika w usłudze MDM. Aby skonfigurować urządzenia użytkowników zarządzane przez usługę Microsoft Intune, określ jedną z następujących opcji i zaakceptuj ustawienia domyślne wartości adresów URL.

   • Niektóre: Wybierz grupy , które mogą automatycznie rejestrować swoje urządzenia z systemem Windows

   • Wszystkie: Wszyscy użytkownicy mogą automatycznie rejestrować swoje urządzenia z systemem Windows

   • Brak: Wyłącz automatyczną rejestrację w usłudze MDM

   Ważna

   Jeśli dla grupy włączono zarówno zakres użytkownika zarządzania aplikacjami mobilnymi , jak i automatyczną rejestrację w usłudze MDM (zakres użytkownika usługi MDM), włączona jest tylko funkcja zarządzania aplikacjami mobilnymi. Tylko zarządzanie aplikacjami mobilnymi (MAM) jest dodawane dla użytkowników w tej grupie, gdy dołączają do osobistego urządzenia w miejscu pracy. Urządzenia nie są automatycznie zarejestrowane w usłudze MDM.

   Gdy program Configuration Manager jest skonfigurowany do rejestrowania urządzeń w usłudze Intune, nadal należy zmienić zakres użytkownika usługi MDM dla rejestracji tokenu urządzenia. Program Configuration Manager sprawdza, czy klient należy do oczekiwanej dzierżawy usługi Intune, przy użyciu adresów URL usługi MDM przechowywanych w bazie danych witryny.

3. Wybierz pozycję Zapisz , aby ukończyć konfigurację automatycznej rejestracji.

4. Powrót do mobilności (MDM i MAM), a następnie wybierz pozycję Rejestracja w usłudze Microsoft Intune.

   Uwaga

   Niektóre dzierżawy mogą nie mieć tych opcji do skonfigurowania.

   Usługa Microsoft Intune umożliwia skonfigurowanie aplikacji MDM dla usługi Microsoft Entra ID. Rejestracja w usłudze Microsoft Intune to specjalna aplikacja usługi Microsoft Entra, która jest tworzona po zastosowaniu zasad uwierzytelniania wieloskładnikowego dla rejestracji w systemach iOS i Android. For more information, see Require multi-factor authentication for Intune device enrollments.

5. W polu Zakres użytkownika usługi MDM wybierz pozycję Wszystkie, a następnie pozycję Zapisz.

Włączanie współzarządzania w programie Configuration Manager

Dzięki konfiguracji hybrydowej usługi Microsoft Entra i konfiguracji klienta programu Configuration Manager możesz zmienić ustawienia i włączyć funkcję współzarządzania urządzeniami z systemem Windows. Fraza Grupa pilotażowa jest używana w oknach dialogowych funkcji wspólnego zarządzania i konfiguracji. Grupa pilotażowa to kolekcja zawierająca podzestaw urządzeń programu Configuration Manager. Użyj grupy pilotażowej do testowania początkowego, dodając urządzenia zgodnie z potrzebami, dopóki nie będziesz gotowy do przeniesienia obciążeń dla wszystkich urządzeń programu Configuration Manager. Nie ma limitu czasu używania grupy pilotażowej do obciążeń. Grupa pilotażowa może być używana przez nieograniczony czas, jeśli nie chcesz przenosić obciążenia na wszystkie urządzenia programu Configuration Manager.

Po włączeniu współzarządzania kolekcja zostanie przypisana jako grupa pilotażowa. Jest to grupa zawierająca niewielką liczbę klientów w celu przetestowania konfiguracji wspólnego zarządzania. Zalecamy utworzenie odpowiedniej kolekcji przed rozpoczęciem procedury. Następnie możesz wybrać tę kolekcję bez opuszczania procedury, aby to zrobić. Może być potrzebnych wiele kolekcji, ponieważ można przypisać inną grupę pilotażową dla każdego obciążenia.

Włączanie współzarządzania dla wersji 2111 i nowszych

Począwszy od programu Configuration Manager w wersji 2111, środowisko dołączania współzarządzania uległo zmianie. Kreator konfiguracji dołączania do chmury ułatwia włączanie współzarządzania i innych funkcji chmury. Możesz wybrać uproszczony zestaw zalecanych ustawień domyślnych lub dostosować funkcje dołączania do chmury. Dostępna jest również nowa wbudowana kolekcja urządzeń dla urządzeń uprawnionych do współzarządzania , która ułatwia identyfikowanie klientów. Aby uzyskać więcej informacji na temat włączania współzarządzania, zobacz Włączanie dołączania do chmury.

Włączanie współzarządzania dla wersji 2107 i starszych

Gdy włączasz współzarządzanie, możesz korzystać z chmury publicznej Azure, chmury Azure Government lub chmury Azure (Chiny) — 21Vianet (dodanej w wersji 2006). Aby włączyć współzarządzanie, wykonaj następujące instrukcje:

1. W konsoli programu Configuration Manager przejdź do obszaru roboczego Administracja, rozwiń węzeł Cloud Services, a następnie wybierz węzeł dołączania do chmury. Wybierz pozycję Konfiguruj dołączanie chmury na wstążce, aby otworzyć Kreatora konfiguracji dołączania chmury.

   W przypadku wersji 2103 i starszych rozwiń węzeł Cloud Services i wybierz węzeł Współzarządzanie. Wybierz pozycję Konfiguruj współzarządzanie na wstążce, aby otworzyć Kreatora konfiguracji współzarządzania.

2. Na stronie dołączania kreatora dla środowiska platformy Azure wybierz jedno z następujących środowisk:

   • Chmura publiczna na platformie Azure

   • Chmura platformy Azure Government

   • Chmura Azure China (dodana w wersji 2006)

     Uwaga

     Zaktualizuj klienta programu Configuration Manager do najnowszej wersji na urządzeniach przed dołączeniem do chmury chińskiej platformy Azure.

   Po wybraniu chmury platformy Azure China lub chmury usługi Azure Government opcja Przekaż do centrum administracyjnego programu Microsoft Endpoint Manager dla dołączania dzierżawy jest wyłączona.

3. Wybierz pozycję Zaloguj się. Zaloguj się jako administrator globalny usługi Microsoft Entra, a następnie wybierz pozycję Dalej. Należy zalogować się tym jednorazowym razem na potrzeby tego kreatora. Poświadczenia nie są przechowywane ani używane ponownie w żadnym innym miejscu.

   Ważna

   Rola administratora globalnego usługi Microsoft Entra to rola o wysokich uprawnieniach, która powinna być używana tylko wtedy, gdy nie można użyć innej roli. Ta funkcja wymaga roli administratora globalnego. W przypadku innych funkcji firma Microsoft zaleca używanie ról z najmniejszą liczbą uprawnień. Aby dowiedzieć się więcej, zobacz Podstawy administrowania opartego na rolach dla programu Configuration Manager.

4. Na stronie Włączanie wybierz następujące ustawienia:

   • Automatyczna rejestracja w usłudze Intune: umożliwia automatyczne rejestrowanie klientów w usłudze Intune dla istniejących klientów programu Configuration Manager. Ta opcja umożliwia włączenie współzarządzania dla podzestawu klientów w celu wstępnego przetestowania współzarządzania, a następnie wdrożenia współzarządzania przy użyciu podejścia etapowego. Jeśli użytkownik wyrejestruje urządzenie, zostanie ono ponownie zarejestrowane podczas następnego oceniania zasad.

     • Wersja pilotażowa: Tylko klienci programu Configuration Manager, którzy należą do kolekcji automatycznej rejestracji usługi Intune, są automatycznie rejestrowani w usłudze Intune.
     • Wszystkie: włącz automatyczną rejestrację dla wszystkich klientów z obsługiwanymi wersjami systemu Windows.
     • Brak: Wyłącz automatyczną rejestrację dla wszystkich klientów.

   • Automatyczna rejestracja w usłudze Intune: ta kolekcja powinna zawierać wszystkich klientów, których chcesz dołączyć do wspólnego zarządzania. Jest to w zasadzie nadzbiór wszystkich innych kolekcji inscenizacyjnych.

   

   Rejestracja automatyczna nie jest natychmiastowa dla wszystkich klientów. Takie zachowanie pomaga w lepszym skalowaniu rejestracji w dużych środowiskach. Program Configuration Manager rejestruje losowo na podstawie liczby klientów. Jeśli na przykład środowisko ma 100 000 klientów, włączenie tego ustawienia spowoduje, że rejestracja będzie przeprowadzana przez kilka dni.

   Nowe wspólnie zarządzane urządzenie jest teraz automatycznie rejestrowane w usłudze Microsoft Intune na podstawie jego tokenu urządzenia usługi Microsoft Entra. Nie trzeba czekać, aż użytkownik zaloguje się na urządzeniu, aby rozpoczęła się rejestracja automatyczna. Ta zmiana pomaga zmniejszyć liczbę urządzeń ze stanem rejestracji Oczekiwanie na zalogowanie użytkownika. Aby to zachowanie, na urządzeniu muszą być zainstalowane obsługiwane wersje systemu Windows. Aby uzyskać więcej informacji, zobacz Stan rejestracji w ramach współzarządzania.

   Jeśli masz już urządzenia zarejestrowane we współzarządzaniu, nowe urządzenia są rejestrowane natychmiast po spełnieniu przez nie wymagań wstępnych.

5. W przypadku urządzeń internetowych zarejestrowanych w usłudze Intune skopiuj i zapisz polecenie na stronie włączania. Użyj tego polecenia, aby zainstalować klienta programu Configuration Manager jako aplikację w usłudze Intune dla urządzeń opartych na Internecie. Jeśli teraz nie zapiszesz tego polecenia, w dowolnym momencie możesz przejrzeć konfigurację współzarządzania, aby uzyskać to polecenie.

   Porada

   Polecenie jest wyświetlane tylko wtedy, gdy zostały spełnione wszystkie wymagania wstępne, takie jak skonfigurowanie bramy zarządzania chmurą.

6. Na stronie Obciążenia dla każdego obciążenia wybierz grupę urządzeń do przeniesienia do zarządzania za pomocą usługi Intune. Aby uzyskać więcej informacji, zobacz Obciążenia.

   Jeśli chcesz tylko włączyć współzarządzanie, nie musisz teraz przełączać obciążeń. Możesz przełączyć obciążenia później. Aby uzyskać więcej informacji, zobacz Jak przełączać obciążenia.

   • Pilot Intune: przełącza skojarzone obciążenie tylko dla urządzeń w kolekcjach pilotażowych, które określisz na stronie przemieszczania. Każde obciążenie może mieć inną kolekcję pilotażową.
   • Intune: przełącza skojarzone obciążenie dla wszystkich wspólnie zarządzanych urządzeń z systemem Windows.

   Ważna

   Przed przełączeniem jakichkolwiek obciążeń upewnij się, że poprawnie skonfigurujesz i wdrożysz odpowiednie obciążenie w usłudze Intune. Upewnij się, że obciążenia są zawsze zarządzane przez jedno z narzędzi do zarządzania urządzeniami.

7. Na stronie przemieszczania określ kolekcję pilotażową dla każdego z obciążeń, które są ustawione na pilotażową usługę Intune.

   

8. Aby włączyć współzarządzanie, wykonaj kroki kreatora.

Następne kroki

• Przeglądanie stanu urządzeń współzarządzanych za pomocą pulpitu nawigacyjnego współzarządzania
• Zacznij uzyskiwać natychmiastowe korzyści ze współzarządzania
• Zarządzanie dostępem użytkowników do zasobów firmowych za pomocą dostępu warunkowego i reguł zgodności usługi Intune