Kontrola dostępu oparta na rolach usługi Intune dla klientów dołączonych do dzierżawy

Dotyczy: programu Configuration Manager (bieżąca gałąź)

Począwszy od programu Configuration Manager w wersji 2207, można używać kontroli dostępu opartej na rolach (RBAC) usługi Intune podczas interakcji z urządzeniami dołączonymi do dzierżawy z centrum administracyjnego usługi Microsoft Intune. Na przykład w przypadku korzystania z usługi Intune jako urzędu kontroli dostępu opartego na rolach użytkownik z rolą operatora pomocy technicznej nie musi mieć przypisanej roli zabezpieczeń ani dodatkowych uprawnień od programu Configuration Manager. Kontrola dostępu oparta na rolach usługi Intune zarządza uprawnieniami do wszystkich stron urządzeń dołączonych do chmury w centrum administracyjnym usługi Microsoft Intune, takich jak oś czasu urządzenia, program CMPivot i skrypty.

Trzy główne kroki konfiguracji usługi Intune jako urzędu kontroli dostępu opartego na rolach dla urządzeń dołączonych do dzierżawy to:

• Z poziomu konsoli programu Configuration Manager wyłącz wymuszanie kontroli dostępu opartej na rolach programu Configuration Manager dla klientów dołączonych do chmury
• W usłudze Intune włącz zarządzanie uprawnieniami użytkowników dla urządzeń dołączonych do chmury
• W usłudze Intune weryfikuj uprawnienia kontroli dostępu oparte na rolach dla urządzeń dołączonych do chmury

Wymagania wstępne

• Configuration Manager w wersji 2207 lub nowszej
• Urządzenia dołączone do dzierżawy

Ograniczenia

• Obecnie określanie zakresu nie jest obsługiwane w przypadku używania tylko kontroli dostępu opartej na rolach usługi Intune do wyświetlania i podejmowania akcji na urządzeniach dołączonych do dzierżawy z centrum administracyjnego usługi Microsoft Intune.
• Obecnie strona aktualizacji oprogramowania nie jest dostępna dla użytkowników korzystających tylko z chmury podczas korzystania z pierścienia wczesnej aktualizacji programu Configuration Manager w wersji 2207.

Wyłączanie wymuszania kontroli dostępu opartej na rolach programu Configuration Manager dla klientów dołączonych do chmury

Aby użyć kontroli dostępu opartej na rolach usługi Intune do dołączania dzierżawy, a nie kontroli dostępu opartej na rolach programu Configuration Manager, skorzystaj z poniższych instrukcji:

1. W konsoli programu Configuration Manager przejdź do pozycji AdministracjaCloud>ServicesCloud>Attach.

2. Lokalizacja opcji kontroli dostępu opartej na rolach różni się w zależności od tego, czy środowisko jest już dołączone do chmury, czy nie.

   • Jeśli środowisko jest już dołączone do chmury, otwórz właściwości CoMgmtSettingsProd. Jeśli nie masz urządzeń przekazanych do centrum administracyjnego, skonfiguruj tę opcję najpierw. Aby uzyskać więcej informacji, zobacz Włączanie dołączania dzierżawy.
   • Jeśli środowisko nie jest dołączone do chmury, wybierz pozycję Konfiguruj dołączanie do chmury , aby otworzyć kreatora konfiguracji dołączania chmury.

3. Na karcie lub stronie Konfigurowanie przekazywania w kreatorze wyczyść pole wyboru dla następującej opcji pod nagłówkiem Access Control opartej na rolach:

   Wymuszanie kontroli dostępu opartej na rolach programu Configuration Manager dla żądań konsoli w chmurze, które współdziałają z usługą Configuration Manager

4. Wybierz przycisk OK , aby zapisać zmianę we właściwościach CoMgmtSettingsProd , lub kontynuuj, aby ukończyć kreatora dołączania do chmury.

Włączanie kontroli dostępu opartej na rolach z usługi Intune

Aby umożliwić usłudze Intune zarządzanie uprawnieniami użytkowników dla urządzeń dołączonych do chmury, wykonaj następujące kroki:

1. Otwórz centrum administracyjne usługi Microsoft Intune i zaloguj się jako użytkownik mający uprawnienia Role/aktualizacje. Aby uzyskać więcej informacji na temat tego uprawnienia, zobacz uprawnienia ról niestandardowych w usłudze Intune.
2. Wybierz pozycję Administracja>dzierżawą Łączniki i tokeny>Microsoft Endpoint Configuration Manager.
3. Na banerze wybierz pozycję Możesz również zarządzać uprawnieniami użytkowników z usługi Intune. Kliknij tutaj, aby dowiedzieć się więcej o tej opcji.
4. Zostanie wyświetlone okno wysuwane Użyj kontroli dostępu opartej na rolach usługi Intune.
5. Wybierz pozycję Włączone dla opcji Użyj Intune kontroli dostępu opartej na rolach, a następnie wybierz pozycję Zastosuj.
6. Wprowadzenie zmiany może potrwać około 10 minut.

Weryfikowanie uprawnień kontroli dostępu opartej na rolach z usługi Intune

Po ustawieniu usługi Intune na urząd kontroli dostępu oparty na rolach, zweryfikuj uprawnienia dla ról. W razie potrzeby możesz dodać te uprawnienia do ról niestandardowych utworzonych w usłudze Intune.

1. Otwórz centrum administracyjne usługi Microsoft Intune i zaloguj się.
2. Wybierzpozycję Role administracji >dzierżawy.
3. Wybierz rolę, taką jak Menedżer aplikacji, i przejrzyj uprawnienia wymienione dla urządzeń dołączonych do chmury. W razie potrzeby edytuj uprawnienia dla ról niestandardowych utworzonych w usłudze Intune.

Następujące uprawnienia usługi Intune sterują dostępem do urządzeń dołączonych do chmury programu Configuration Manager:

Często zadawane pytania

Mam użytkowników tylko w chmurze, którzy potrzebują dostępu do urządzeń dołączonych do dzierżawy w usłudze Intune. Czy zapewni im to dostęp?

Tak. Gdy użytkownik korzysta tylko z chmury, w tym scenariuszu, co oznacza, że korzysta on z usługi Microsoft Entra ID i może uzyskać dostęp do usługi Intune, przy użyciu kontroli dostępu opartej na rolach usługi Intune zapewni mu dostęp do urządzeń dołączonych do dzierżawy.

Co zrobić, jeśli z dzierżawą jest połączonych wiele hierarchii programu Configuration Manager?

Ustawienie Użyj kontroli dostępu opartej na rolach usługi Intune w centrum administracyjnym usługi Microsoft Intune dotyczy wszystkich hierarchii programu Configuration Manager wymienionych w dzierżawie.

Co się stanie, jeśli ustawienia programu Configuration Manager i usługi Intune są niezgodne?

Jeśli przełącznik Użyj kontroli dostępu opartej na rolach usługi Intune w usłudze Intune jest ustawiony na wartość Wył., zostanie wymuszony dostęp oparty na rolach usługi Configuration Manager, nawet jeśli wymuszaj kontrolę dostępu opartą na rolach usługi Configuration Manager dla żądań konsoli w chmurze, które wchodzą w interakcję z Pole wyboru programu Configuration Manager jest wyczyszczone. Wyłączenie wymuszania kontroli dostępu opartej na rolach programu Configuration Manager dla żądań konsoli w chmurze, które współdziałają z usługą Configuration Manager opcja nie ma żadnego wpływu, dopóki przełącznik Użyj kontroli dostępu opartej na rolach usługi Intune w usłudze Intune nie zostanie ustawiony w pozycji Wł.

Co się stanie, jeśli moja hierarchia testów jest skonfigurowana do używania kontroli dostępu opartej na rolach usługi Intune, ale moja hierarchia produkcyjna nie jest skonfigurowana i znajdują się w tej samej dzierżawie?

Ustawienie Użyj kontroli dostępu opartej na rolach usługi Intune dotyczy wszystkich hierarchii programu Configuration Manager wymienionych w dzierżawie. Użytkownicy tylko w chmurze mogą uzyskać dostęp do urządzeń dołączonych do dzierżawy, które są przekazywane z hierarchii testów, ponieważ wyczyszczono również pole wyboru, aby wymusić kontrolę dostępu opartą na rolach programu Configuration Manager. Jeśli użytkownik tylko w chmurze próbuje uzyskać dostęp do urządzenia dołączonego do dzierżawy przekazanego ze środowiska produkcyjnego, otrzyma błąd, ponieważ urządzenia produkcyjne wymuszają kontrolę dostępu opartą na rolach programu Configuration Manager. Użytkownik korzystający tylko z chmury otrzyma komunikat o błędzie podobny do następującego: Unable to get device information. Make sure Azure AD and AD user discovery are configured and the user is discovered by both. Verify that the user has proper permissions in Configuration Manager.

Następne kroki

• Przeglądanie osi czasu dla urządzenia podłączonego do chmury
• Uruchamianie zapytania CMPivot na urządzeniu dołączonym do chmury