Wymagaj uwierzytelniania wieloskładnikowego dla rejestracji urządzeń usługi Intune

Możesz użyć usługi Intune wraz z zasadami dostępu warunkowego usługi Microsoft Entra, aby wymagać uwierzytelniania wieloskładnikowego (MFA) podczas rejestracji urządzenia. Jeśli wymagane jest uwierzytelnianie wieloskładnikowe, pracownicy i uczniowie, którzy chcą zarejestrować urządzenie, muszą najpierw uwierzytelnić się przy użyciu drugiego urządzenia i dwóch form poświadczeń. Uwierzytelnianie wieloskładnikowe wymaga uwierzytelniania przy użyciu co najmniej dwóch z następujących metod weryfikacji:

• Coś, co ta osoba zna, na przykład hasło lub kod PIN.
• Posiadane elementy, których nie można zduplikować, na przykład zaufane urządzenie lub telefon.
• Coś, czym one są, na przykład odcisk palca.

Jeśli urządzenie nie jest zgodne, użytkownik jest monitowany o ustawienie zgodności urządzenia przed zarejestrowaniem w usłudze Microsoft Intune.

Wymagania

Konfigurowanie usługi Intune do wymagania uwierzytelniania wieloskładnikowego podczas rejestracji urządzeń

Wykonaj poniższe czynności, aby włączyć uwierzytelnianie wieloskładnikowe podczas rejestracji w usłudze Microsoft Intune.

1. Zaloguj się do Centrum administracyjnego usługi Microsoft Intune.

2. Przejdź do pozycji Urządzenia.

3. Rozwiń pozycję Zarządzaj urządzeniami, a następnie wybierz pozycję Dostęp warunkowy. Ten obszar dostępu warunkowego jest taki sam jak obszar dostępu warunkowego dostępny w centrum administracyjne Microsoft Entra. Aby uzyskać więcej informacji na temat dostępnych ustawień, zobacz Tworzenie zasad dostępu warunkowego.

4. Wybierz pozycję Utwórz nowe zasady.

5. Nadaj nazwę swojej polityce.

6. Wybierz kategorię Użytkownicy .

   1. Na karcie Dołączanie wybierz pozycję Wybierz użytkowników lub grupy.
   2. Zostaną wyświetlone dodatkowe opcje. Wybierz pozycję Użytkownicy i grupy. Zostanie otwarta lista użytkowników i grup.
   3. Przejrzyj i wybierz użytkowników lub grupy usługi Microsoft Entra, które chcesz uwzględnić w zasadach. Następnie wybierz pozycję Wybierz.
   4. Aby wykluczyć użytkowników lub grupy z zasad, wybierz kartę Wyklucz i dodaj tych użytkowników lub grupy tak jak w poprzednim kroku.

7. Wybierz następną kategorię, Zasoby docelowe. W tym kroku wybierzesz zasoby, których zasady dotyczą. W takim przypadku chcemy, aby zasady były stosowane do zdarzeń, w których użytkownicy lub grupy próbują uzyskać dostęp do aplikacji rejestracji w usłudze Microsoft Intune.

   1. W obszarze Wybierz, czego dotyczą te zasady wybierz pozycję Zasoby (dawniej aplikacje w chmurze).
   2. Wybierz kartę Dołączanie .
   3. Wybierz pozycję Wybierz zasoby. Zostaną wyświetlone dodatkowe opcje.
   4. W obszarze Zaznacz wybierz pozycję Brak. Otwarta lista zasobów.
   5. Wyszukaj rejestrację w usłudze Microsoft Intune. Następnie wybierz pozycję Wybierz , aby dodać aplikację.

   W przypadku automatycznych rejestracji urządzeń firmy Apple przy użyciu Asystenta ustawień z nowoczesnym uwierzytelnianiem masz do wyboru dwie opcje. W poniższej tabeli opisano różnice między opcją usługi Microsoft Intune a opcją rejestracji w usłudze Microsoft Intune.

   Aplikacja w chmurze	Lokalizacja polecenia uwierzytelniania wieloskładnikowego	Uwagi dotyczące automatycznej rejestracji urządzeń
   Microsoft Intune	Asystent ustawień, Aplikacja Portal firmy	W przypadku tej opcji uwierzytelnianie wieloskładnikowe jest wymagane podczas rejestracji i przy każdym logowaniu się użytkownika do aplikacji lub witryny internetowej Portal firmy. Monity uwierzytelniania wieloskładnikowego są wyświetlane na stronie logowania do Portal firmy.
   Rejestracja w usłudze Microsoft Intune	Asystent ustawień	W przypadku tej opcji uwierzytelnianie wieloskładnikowe jest wymagane podczas rejestrowania urządzenia i jest wyświetlane jako jednorazowy monit uwierzytelniania wieloskładnikowego na stronie logowania w portalu Portal firmy.

   Uwaga

   Aplikacja w chmurze rejestracji usługi Microsoft Intune nie jest tworzona automatycznie dla nowych dzierżaw. Aby dodać aplikację dla nowych dzierżaw, administrator usługi Microsoft Entra musi utworzyć obiekt podmiotu zabezpieczeń usługi o identyfikatorze aplikacji d4ebce55-015a-49b5-a083-c84d1797ae8c w programie PowerShell lub Microsoft Graph.

8. Wybierz kategorię dotacji . W tym kroku udzielisz lub zablokujesz dostęp do aplikacji rejestracji usługi Microsoft Intune.

   1. Wybierz pozycję Udziel dostępu.
   2. Wybierz pozycję Wymagaj uwierzytelniania wieloskładnikowego.
   3. Wybierz pozycję Wymagaj oznaczenia urządzenia jako zgodnego.
   4. W obszarze W przypadku wielu kontrolek wybierz pozycję Wymagaj wszystkich wybranych kontrolek.
   5. Zaznacz pozycję Wybierz.

9. Wybierz kategorię Sesja . W tym kroku możesz skorzystać z kontrolek sesji, aby włączyć ograniczone możliwości w aplikacji rejestracji usługi Microsoft Intune.

   1. Wybierz pozycję Częstotliwość logowania. Zostaną wyświetlone dodatkowe opcje.
   2. Wybierz pozycję Za każdym razem.
   3. Zaznacz pozycję Wybierz.

10. W obszarze Włącz zasady wybierz pozycję Włączone.

11. Wybierz pozycję Utwórz , aby zapisać i utworzyć zasady.

Po zastosowaniu i wdrożeniu tych zasad użytkownicy urządzeń rejestrujący swoje urządzenia zobaczą jednorazowy monit uwierzytelniania wieloskładnikowego.