Konfigurowanie ustawień przy użyciu wykazu ustawień usługi Intune

Wykaz ustawień zawiera listę wszystkich ustawień, które możesz skonfigurować, i umieszcza je wszystkie w jednym miejscu. Ta funkcja upraszcza tworzenie zasad i wyświetlanie wszystkich dostępnych ustawień. Na przykład za pomocą wykazu ustawień można utworzyć zasady funkcji BitLocker ze wszystkimi ustawieniami funkcji BitLocker.

Możesz również użyć usługi Microsoft Copilot w usłudze Intune. Gdy korzystasz z funkcji rozwiązania Copilot z katalogiem ustawień, możesz używać funkcji Copilot do:

• Dowiedz się więcej o każdym ustawieniu i znajdź potencjalne konflikty.
• Podsumuj istniejące zasady i uzyskaj analizę wpływu na użytkowników i zabezpieczenia.

Jeśli wolisz konfigurować ustawienia na poziomie szczegółowym, podobnie jak w przypadku lokalnych zasady grupy (GPO), katalog ustawień jest naturalnym przejściem do zasad opartych na chmurze.

Tworzenie zasad należy zacząć od podstaw. Dodajesz tylko te ustawienia, które chcesz kontrolować i którymi chcesz zarządzać.

Aby zabezpieczyć urządzenia i zarządzać nimi w organizacji, używaj wykazu ustawień w ramach rozwiązania do zarządzania urządzeniami przenośnymi (MDM). Stale w katalogu ustawień są dodawane kolejne ustawienia. Aby uzyskać bieżącą listę ustawień, zobacz repozytorium GitHub IntunePMFiles/DeviceConfig.

Ta funkcja ma zastosowanie do:

• Android

  Katalog ustawień dla systemu Android zawiera listę ustawień dostępnych dla urządzeń z systemem Android (AOSP) i firmowych urządzeń z systemem Android Enterprise. Coraz więcej ustawień dla urządzeń z systemem Android jest stale dodawanych do katalogu ustawień.

  Aby uzyskać listę ustawień systemu Android, które można skonfigurować, zobacz listę ustawień wykazu ustawień usługi Intune dla systemu Android.

• Jabłko

  Zawiera ustawienia urządzenia, które są generowane bezpośrednio z kluczy pakietu danych Apple Profile-Specific. Ciągle dodawane są nowe ustawienia i klucze. Deklaratywne zarządzanie urządzeniami (DDM) firmy Apple jest również wbudowane w katalog ustawień. Aby dowiedzieć się więcej na temat kluczy ładunku specyficznych dla profilu, zobacz Profile-Specific Payload Keys na stronie internetowej Apple.

  Za pomocą katalogu ustawień możesz skonfigurować ustawienia dla urządzeń Apple działających na następujących platformach:

  • iOS/iPadOS
  • macOS
  • tvOS
  • visionOS

  Dzięki katalogowi ustawień możesz używać deklaratywnego zarządzania urządzeniami (DDM) do instalowania aktualizacji (deklaratywna aktualizacja Zarządzanie urządzeniami>aktualizacja oprogramowania), konfigurowania ustawień kodu dostępu (kod dostępu zabezpieczeń>), blokowania funkcji chmury, takich jak wykonywanie kopii zapasowych i synchronizacja dokumentów (ograniczenia) oraz zarządzania funkcjami w przeglądarce Safari (deklaratywna Zarządzanie urządzeniamiSafari>) i nie tylko.

  Podczas konfigurowania ustawień na urządzeniach z systemem iOS/iPadOS 15+ zarejestrowanych przy użyciu rejestracji użytkowników automatycznie jest używany DDM. Jeśli funkcja DDM nie działa, urządzenia te używają standardowego protokołu MDM firmy Apple. Wszystkie inne urządzenia z systemem iOS/iPadOS nadal używają standardowego protokołu MDM firmy Apple.

• Windows

  Istnieją tysiące ustawień, w tym szablony administracyjne (ADMX), i stale dodawane są nowe ustawienia. Te ustawienia są generowane bezpośrednio od dostawców usług konfiguracji systemu Windows (CSP). Gdy system Windows dodaje lub udostępnia więcej ustawień dostawcom usługi MDM, ustawienia te są dodawane do usługi Microsoft Intune w celu ich skonfigurowania.

W tym artykule opisano kroki tworzenia zasad, pokazano sposób wyszukiwania i filtrowania ustawień w usłudze Intune oraz sposób korzystania z funkcji Copilot.

Podczas tworzenia zasad tworzony jest profil konfiguracji urządzenia. Następnie możesz przypisać lub wdrożyć ten profil na urządzeniach w organizacji.

Aby uzyskać informacje o popularnych funkcjach, które można skonfigurować przy użyciu katalogu ustawień, zobacz Zadania, które można wykonać przy użyciu wykazu ustawień w usłudze Intune.

Przed rozpoczęciem

• Aby uzyskać listę ustawień w katalogu ustawień, zobacz repozytorium GitHub IntunePMFiles/DeviceConfig.
• Aby wyświetlić skonfigurowane zasady przeglądarki Microsoft Edge, otwórz przeglądarkę Microsoft Edge i przejdź do edge://policywitryny . Aby uzyskać listę bieżących i przestarzałych ustawień przeglądarki Microsoft Edge, zobacz Microsoft Edge — zasady.
• Etykietki narzędzi i łącza Dowiedz się więcej w etykietkach narzędzi zawierają więcej informacji na temat ustawienia.

Tworzenie zasad

Zasady tworzy się przy użyciu typu profilu wykazu ustawień.

1. Zaloguj się do centrum administracyjnego usługi Microsoft Intune przy użyciu konta, które ma co najmniej wbudowaną rolę Menedżer zasad i profilów.

   Aby uzyskać więcej informacji na temat wbudowanych ról, zobacz Kontrola dostępu oparta na rolach dla usługi Microsoft Intune.

2. Wybierz kolejno pozycje Urządzenia>Zarządzanie urządzeniami>Konfiguracja>Utwórz>Nowe zasady.

3. Wprowadź następujące właściwości:

   • Platforma: Wybierz platformę:
     • Android Enterprise
     • Android (AOSP)
     • iOS/iPadOS
     • macOS
     • tvOS
     • visionOS
     • Windows 10 lub nowszy
   • Typ profilu: wybierz pozycję Katalog ustawień.

4. Wybierz pozycję Utwórz.

5. W obszarze Podstawy wprowadź następujące właściwości:

   • Nazwa: nadaj nazwę profilom, aby można było je później łatwo zidentyfikować. Na przykład prawidłowa nazwa profilu to macOS: ustawienia przeglądarki Microsoft Edge lub Win10: ustawienia funkcji BitLocker dla wszystkich urządzeń z systemem Win10.
   • Opis: wprowadź opis profilu. To ustawienie jest opcjonalne, ale zalecane.

6. Wybierz pozycję Dalej.

7. W obszarze Ustawienia konfiguracji wybierz pozycję Dodaj ustawienia. W selektorze ustawień wybierz kategorię, aby wyświetlić wszystkie dostępne ustawienia.

   Na przykład w zasadach systemu Windows wybierz pozycję Uwierzytelnianie , aby wyświetlić wszystkie ustawienia w tej kategorii:

   

8. Wybierz ustawienie, które chcesz skonfigurować. Możesz też wybrać pozycję Wybierz wszystkie następujące ustawienia:

   

   Po dodaniu ustawień zamknij selektor ustawień. Wszystkie ustawienia są wyświetlane i konfigurowane przy użyciu wartości domyślnej, takiej jak Blokuj lub Zezwalaj. Te wartości domyślne są takie same w systemie operacyjnym. Jeśli nie chcesz konfigurować ustawienia, wybierz znak minus (-):

   

   Po wybraniu znaku minus:

   • Usługa Intune nie zmienia ani nie aktualizuje tego ustawienia. Wartość minus jest taka sama jak w przypadku opcji Nieskonfigurowane. W przypadku ustawienia wartości Nieskonfigurowane ustawienie nie będzie już zarządzane.
   • Ustawienie zostanie usunięte z zasad. Przy następnym otwarciu zasad ustawienie nie będzie wyświetlane. Ale możesz dodać go ponownie.
   • Przy następnym zaewidencjonowaniu urządzenia ustawienie nie będzie już zablokowane na urządzeniu. Inne zasady lub użytkownik urządzenia mogą zmienić zasady.

   Porada

   • W etykietkach narzędzi ustawień systemu Windows dowiedz się więcej linków do CSP.

   • Jeśli ustawienie zezwala na wiele wartości, dodaj każdą z nich osobno. Na przykład można wprowadzić wiele wartości w ustawieniulisty dozwolonych usługBluetooth>. Wprowadź każdą wartość w osobnym wierszu:

     W jednym polu możesz dodać wiele wartości, ale może wystąpić limit znaków.

9. Wybierz pozycję Dalej.

10. W obszarze Tagi zakresu (opcjonalnie) przypisz tag, aby filtrować profil do określonych grup IT, takich jak US-NC IT Team lub JohnGlenn_ITDepartment. Aby uzyskać więcej informacji na temat tagów zakresu, zobacz Używanie ról RBAC i tagów zakresu dla rozproszonej infrastruktury IT.

    Wybierz pozycję Dalej.

11. W obszarze Zadania wybierz użytkowników lub grupy, które otrzymają Twój profil.

    W przypadku zasad wykazu ustawień systemu Android Enterprise i Android (AOSP) wybierz pozycję Edytuj filtr , aby uwzględnić lub wykluczyć określone urządzenia na podstawie właściwości urządzenia. Aby uzyskać więcej informacji, zobacz Używanie filtrów zadań w usłudze Microsoft Intune.

    Aby uzyskać więcej informacji na temat przypisywania profilów, zobacz Przypisywanie zasad w usłudze Microsoft Intune.

    Wybierz pozycję Dalej.

12. W obszarze Przeglądanie + tworzenie przejrzyj ustawienia. Po wybraniu pozycji Utwórz zmiany zostaną zapisane, a profil przypisany. Zasady są również wyświetlane na liście profilów.

Następnym razem, gdy urządzenie będzie sprawdzać dostępność aktualizacji konfiguracji, zastosuje skonfigurowane ustawienia.

Znajdź ustawienia i dowiedz się więcej o każdym z nich

Katalog ustawień oferuje tysiące ustawień. Aby znaleźć odpowiednie ustawienia, skorzystaj z funkcji wyszukiwania i filtrowania.

Jeśli korzystasz z funkcji Copilot, możesz uzyskać informacje wygenerowane przez sztuczną inteligencję na temat każdego ustawienia.

Kopiowanie profilu

Wybierz pozycję Duplikuj , aby utworzyć kopię istniejącego profilu. Duplikowanie jest przydatne, gdy potrzebny jest profil podobny do pierwotnego. Kopia zawiera te same konfiguracje ustawień i tagi zakresu co oryginalny profil, ale nie ma dołączonych do niej przypisań.

Po nadaniu nazwy nowemu profilowi możesz go edytować, dostosowując ustawienia i dodając zadania.

1. Wybierz kolejno pozycje Urządzenia>Zarządzanie urządzeniami>Konfiguracja.
2. Znajdź profil, który chcesz skopiować. Kliknij profil prawym przyciskiem myszy lub wybierz menu kontekstowe wielokropka (…).
3. Wybierz Duplikuj.
4. Wprowadź nową nazwę i opis zasad.
5. Zapisz zmiany.

Importowanie i eksportowanie profilu

Po utworzeniu zasad wykazu ustawień można wyeksportować je do .json pliku. Następnie możesz zaimportować ten plik w celu utworzenia nowych zasad. Ta funkcja jest przydatna, jeśli chcesz utworzyć zasady podobne do istniejących. Na przykład można wyeksportować zasady, zaimportować je w celu utworzenia nowych zasad, a następnie wprowadzić zmiany w nowych zasadach.

1. Wybierz kolejno pozycje Urządzenia>Zarządzanie urządzeniami>Konfiguracja.

2. Aby wyeksportować istniejące zasady, wybierz zasady wykazu ustawień systemu Windows, a następnie wybierz wielokropek/menu kontekstowe (…) >Eksportuj plik JSON:

   

3. Aby zaimportować wcześniej wyeksportowane zasady wykazu ustawień, wybierz pozycję Utwórz>zasady importu:

   

   Wybierz wyeksportowany plik JSON i nadaj nazwę nowym zasadom. Zapisz zmiany.

Konflikty i raportowanie

Konflikty występują w przypadku zaktualizowania tego samego ustawienia do różnych wartości. Ten konflikt obejmuje zasady konfigurowane przy użyciu wykazu ustawień. W centrum administracyjnym usługi Intune możesz sprawdzić stan istniejących zasad. Dane są odświeżane automatycznie niemal w czasie rzeczywistym.

Istnieją wbudowane funkcje, które mogą pomóc w rozwiązywaniu konfliktów, takie jak raportowanie stanu dla poszczególnych ustawień.

Jeśli korzystasz z funkcji Copilot, możesz użyć wbudowanych poleceń, aby uzyskać więcej informacji na temat istniejących zasad, w tym ich wpływu.

Katalog ustawień a szablony

Podczas tworzenia zasad masz do wyboru dwa typy zasad: Katalog ustawień i szablony:

Szablony zawierają logiczną grupę ustawień, takich jak kiosk, VPN, Wi-Fi i inne. Użyj tej opcji, jeśli chcesz skonfigurować ustawienia przy użyciu tych grupowań.

Katalog ustawień zawiera listę wszystkich dostępnych ustawień. Użyj tej opcji, jeśli chcesz wyświetlić wszystkie dostępne ustawienia zapory lub wszystkie dostępne ustawienia funkcji BitLocker. Użyj też tej opcji, jeśli szukasz konkretnych ustawień.

Zakres urządzenia a ustawienia zakresu użytkownika

Po wybraniu ustawienia niektóre ustawienia zawierają (User) w nazwie znacznik lub (Device) (np Allow EAP Cert SSO (User) . lub Grouping (Device)). Te tagi wskazują, że zasady wpływają tylko na zakres użytkownika lub zakres urządzenia.

Aby uzyskać więcej informacji na temat zakresu użytkownika i zakresu urządzenia, zobacz CSP zasad.

Grupy urządzeń i użytkowników są używane podczas przypisywania zasad. Zakresy urządzenia i użytkownika opisują sposób wymuszania zasad.

Zachowanie przypisywania zakresu

Podczas wdrażania zasad z Intune można przypisać zakres użytkownika lub zakres urządzenia do dowolnego typu grupy docelowej. Zachowanie zasad dla poszczególnych użytkowników zależy od zakresu ustawienia:

• Zasady o zakresie użytkownika zapisują w HKEY_CURRENT_USER (HKCU).
• Zasady w zakresie urządzenia zapisują w HKEY_LOCAL_MACHINE (HKLM).

Gdy urządzenie melduje się w usłudze Intune, zawsze wyświetla .deviceID Urządzenie może, ale nie musi, wyświetlać komunikat userID, w zależności od czasu zaewidencjonowania i tego, czy użytkownik jest zalogowany.

Poniższa lista zawiera niektóre możliwe kombinacje zakresu, przypisań i oczekiwanego zachowania:

• Jeśli przypiszesz zasady zakresu urządzenia do urządzenia, to ustawienie będzie stosowane do wszystkich użytkowników na tym urządzeniu.
• Jeśli przypiszesz zasady zakresu urządzenia do użytkownika, po zalogowaniu się tego użytkownika i wystąpieniu synchronizacji usługi Intune ustawienia zakresu urządzenia zostaną zastosowane do wszystkich użytkowników na urządzeniu.
• Jeśli przypiszesz zasadę zakresu użytkownika do urządzenia, to ustawienie będzie stosowane do wszystkich użytkowników na tym urządzeniu. To zachowanie przypomina sprzężenie zwrotne ustawione na scalanie.
• Jeśli przypiszesz zasadę zakresu Użytkownik do użytkownika, tylko do tego użytkownika zostanie zastosowane to ustawienie.
• Niektóre ustawienia są dostępne zarówno w zakresie użytkownika, jak i urządzenia. Jeśli przypiszesz jedno z tych ustawień zarówno do zakresu użytkownika, jak i urządzenia, zakres użytkownika ma pierwszeństwo przed zakresem urządzenia.

Jeśli podczas początkowego ewidencjonowania nie ma gałęzi użytkownika , możesz zobaczyć niektóre ustawienia zakresu użytkownika oznaczone jako nie mające zastosowania. Takie zachowanie ma miejsce w pierwszych chwilach aktywności urządzenia, zanim użytkownik jest obecny.

Artykuły pokrewne

• Zadania, które można wykonać przy użyciu wykazu ustawień w usłudze Intune
• Tworzenie zasad drukowania uniwersalnego w usłudze Microsoft Intune
• Przypisz profil i monitoruj jego stan.
• Omówienie funkcji Microsoft Copilot dla usługi Intune