Tworzenie ograniczeń platformy urządzeń

Utwórz zasady ograniczeń rejestracji platformy urządzeń, aby uniemożliwić urządzeniom rejestrowanie w usłudze Intune. Dostępne ograniczenia obejmują:

• Platforma urządzeń
• Wersja systemu operacyjnego
• Producent
• Własność (własność osobista)

Możesz utworzyć nowe zasady ograniczeń platformy urządzeń w centrum administracyjnym usługi Microsoft Intune lub użyć zasad domyślnych, które są już dostępne. Możesz mieć maksymalnie 25 zasad ograniczeń platformy urządzenia.

W tym artykule opisano ograniczenia platformy urządzeń obsługiwane w usłudze Microsoft Intune i sposób ich konfigurowania w centrum administracyjnym.

Wymagania

Zasady domyślne

W usłudze Microsoft Intune są dostępne jedne zasady domyślne dla ograniczeń platformy urządzeń, które można edytować i dostosowywać stosownie do potrzeb. Usługa Intune stosuje zasady domyślne do wszystkich rejestracji użytkowników i bez użytkowników do momentu przypisania zasad o wyższym priorytecie.

Najlepsze rozwiązanie — ograniczenia platformy Android

Ponieważ usługa Intune obsługuje dwie platformy Android, ważne jest, aby zrozumieć, jak działają ograniczenia wersji systemu operacyjnego w przypadku używania ich z ograniczeniami platformy urządzenia:

• Jeśli zezwolisz na obie platformy dla tej samej grupy, a następnie uściślisz ją pod kątem określonych i nienakładających się wersji, usługa Intune sprawdzi wersję, aby określić, przez którą przepływają urządzenia do rejestracji w systemie Android.
• Jeśli zezwalasz na obie platformy, ale blokujesz te same wersje, urządzenia z zablokowanymi wersjami nie mogą się zarejestrować. Użytkownicy na tych urządzeniach są wysyłani przez proces rejestracji administratora urządzenia z systemem Android, zanim zostaną zablokowani i poproszeni o wylogowanie.

Tworzenie ograniczeń platformy urządzeń

1. Zaloguj się do centrum administracyjnego usługi Microsoft Intune, a następnie przejdź do pozycji Urządzenia.

2. W obszarze Dołączanie urządzeń wybierz pozycję Rejestracja.

3. W obszarze Opcje rejestracji wybierz pozycję Ograniczenia platformy urządzenia.

4. W górnej części strony wybierz kartę odpowiadającą konfigurowanej platformie. Dostępne opcje:

   • Ograniczenia systemu Windows
   • Ograniczenia systemu Android
   • ograniczenia systemu macOS
   • Ograniczenia systemu iOS/iPadOS
   • Ograniczenia systemu tvOS
   • ograniczenia visionOS

5. Wybierz pozycję Utwórz ograniczenie.

6. Na stronie Podstawowe nadaj ograniczeniu nazwę i opcjonalny opis.

7. Wybierz pozycję Dalej.

8. Na stronie Ustawienia platformy skonfiguruj ograniczenia dla wybranej platformy. Dostępne opcje:

   • Platforma (Android): wybierz pozycję Zezwalaj , aby zezwolić platformie na rejestrację, i pozycję Zablokuj , aby ją ograniczyć.

   • MDM (Windows, macOS, iOS/iPadOS, tvOS i visionOS): Wybierz pozycję Zezwalaj , aby zezwolić platformie na rejestrację, i Zablokuj , aby ją ograniczyć.

   • Własność osobista: wybierz pozycję Zezwalaj , aby zezwolić urządzeniom na rejestrowanie i działanie jako urządzenia osobiste.

   • Producent urządzenia (Android): wprowadź rozdzieloną przecinkami listę producentów, których chcesz zablokować.

   • Dozwolony minimalny/maksymalny zakres (Android, Windows, iOS/iPadOS): Wprowadź minimalną i maksymalną wersję systemu operacyjnego dozwoloną do zarejestrowania. Obsługiwane są następujące formaty wersji:

     • System Windows obsługuje element major.minor.build.rev dla systemu Windows. Usługa Intune nie otrzymuje numeru poprawki podczas rejestracji, dlatego wprowadź 0 jako numer poprawki.

     • Administrator urządzenia z systemem Android i profil służbowy systemu Android Enterprise obsługują kompilację major.minor.rev.build.

     • System iOS/iPadOS obsługuje witrynę major.minor.rev.

       Porada

       Zakres minimalny/maksymalny nie ma zastosowania do urządzeń Apple, które zarejestrowały się w programie Device Enrollment Program, usłudze Apple School Manager lub aplikacji Apple Configurator. Chociaż usługa Intune nie blokuje rejestracji w usłudze ADE, które używają aplikacji Portal firmy do uwierzytelniania, niespełnienie wymagań systemu operacyjnego wpływa na rejestrację, ponieważ urządzenia nie mogą utworzyć rekordu urządzenia usługi Microsoft Entra używanego do oceny zasad dostępu warunkowego. Można stwierdzić, że tak jest w przypadku, gdy użytkownik urządzenia otrzymuje komunikat o błędzie "Nie można zmapować rekordu urządzenia na użytkownika" po zalogowaniu się do Portal firmy.

9. Wybierz pozycję Dalej.

10. Opcjonalnie dodaj tagi zakresu do ograniczenia. Aby uzyskać więcej informacji na temat tagów zakresu, zobacz Używanie kontroli dostępu opartej na rolach i tagów zakresu dla rozproszonej infrastruktury IT.

    Uwaga

    Jeśli zastosujesz tagi zakresu do ograniczenia, tylko użytkownicy usługi Intune w zakresie mogą wyświetlać zasady i zarządzać nimi. Tylko osoby objęte zakresem mogą wyświetlać ograniczenie i zmieniać jego kolejność lub zmieniać jego poziom priorytetu. Mogą również zobaczyć względny priorytet ograniczenia, nawet jeśli nie widzą wszystkich ograniczeń.

11. Wybierz pozycję Dalej.

12. Na stronie Zadania wybierz pozycję Dodaj grupy , a następnie użyj pola wyszukiwania, aby znaleźć i wybrać grupy. Aby przypisać ograniczenie do wszystkich użytkowników urządzeń, wybierz pozycję Dodaj wszystkich użytkowników. Jeśli nie przypiszesz ograniczenia do co najmniej jednej grupy, nie zaczną obowiązywać.

13. Opcjonalnie po przypisaniu grup wybierz pozycję Edytuj filtr , aby jeszcze bardziej ograniczyć przypisywanie zasad za pomocą filtrów. Dostępne są filtry dla zasad systemów macOS, iOS i Windows. Aby uzyskać więcej informacji, zobacz Stosowanie filtrów zadań w tym artykule.

14. Wybierz pozycję Dalej.

15. Przejrzyj zasady, a następnie wybierz pozycję Utwórz , aby je utworzyć.

Możesz wyświetlić nowe zasady ograniczeń i uzyskać dostęp do ich właściwości w tabeli Enrollment device platformrestrictions Device type restrictions (Rejestrowanie ograniczeń> platformy urządzenia: ograniczenia typu urządzenia). Zaznacz i przeciągnij ograniczenie, aby zmienić jego położenie w tabeli i priorytet.

Stosowanie filtrów zadań

Filtry przypisania umożliwiają uwzględnianie i wykluczanie dodatkowych urządzeń z pewnych zasad kierowanych do grupy. Zarówno ograniczenia rejestracji, jak i zasady ESP obsługują stosowanie filtrów przypisań.

Na przykład można użyć filtru, aby umożliwić rejestrację osobistych urządzeń z systemem Windows przy jednoczesnym zablokowaniu urządzeń z określoną jednostką SKU systemu operacyjnego. Aby osiągnąć ten wynik, zastosuj wstępnie skonfigurowany filtr do przypisań ograniczeń rejestracji. Filtr musi mieć tę operatingSystemSKU właściwość w swoich regułach. Przykładowe kroki:

1. Utwórz zasady ograniczeń rejestracji platformy dla systemu Windows.
2. W ustawieniach platformy wybierz opcję umożliwiającą rejestrację urządzeń osobistych.
3. W ustawieniach zadań wybierz grupy, które chcesz przypisać.
4. Wybierz pozycję Edytuj filtr , a następnie zastosuj wstępnie skonfigurowany filtr, który zawiera właściwość operatingSystemSKU . Zastosowana właściwość blokuje urządzenia z systemem operacyjnym Windows 10 Home.

Aby uzyskać więcej informacji o tworzeniu filtrów, zobacz Tworzenie filtru.

Obsługiwane właściwości filtru

Ograniczenia rejestracji obsługują mniej właściwości filtru niż inne zasady kierowane do grupy. Wynika to z faktu, że urządzenia nie są jeszcze zarejestrowane, więc usługa Intune nie ma informacji o urządzeniach do obsługi wszystkich właściwości. Ograniczony wybór nieruchomości staje się dostępny w następujących sytuacjach:

• Skonfiguruj zasady ograniczeń platformy urządzeń dla urządzeń firmy Apple i urządzeń z systemem Windows.
• Konfigurowanie zasad strony stanu rejestracji (ESP) dla systemu Windows.
• Edytuj filtr, który jest używany w ograniczeniu rejestracji lub zasadach ESP.

Następujące właściwości filtru są zawsze dostępne do użycia z zasadami rejestracji:

Windows

• Producent — w przypadku Windows 11 wersji 22H2 i nowszych z KB5035942 (kompilacje systemu operacyjnego 22621.3374 i 22631.3374).
• Model — dla Windows 11, wersja 22H2 i nowsze z KB5035942 (kompilacje systemu operacyjnego 22621.3374 i 22631.3374).
• Wersja systemu operacyjnego
• Jednostka SKU systemu operacyjnego
• Własność
• Nazwa zasad rejestracji

iOS/iPadOS i macOS

• Producent
• Wzór
• Wersja systemu operacyjnego
• Własność
• Nazwa zasad rejestracji

Aby uzyskać więcej informacji na temat tych właściwości, zobacz właściwości urządzenia. Filtrów nie można używać w przypadku ograniczeń rejestracji w systemie Android.

Edytowanie ograniczeń rejestracji

Zmiany są stosowane do nowych rejestracji i nie mają wpływu na urządzenia, które są już zarejestrowane.

1. Wróć dorejestracjiurządzeń>.
2. Wybierz pozycję Ograniczenia platformy urządzenia , a następnie wybierz platformę systemu operacyjnego, której dotyczy ograniczenie.
3. W tabeli Ograniczenia typów urządzeń wybierz nazwę zasad, które chcesz zmienić.
4. Wybierz polecenie Właściwości.
5. Wybierz pozycję Edytuj.
6. Wprowadź zmiany i wybierz pozycję Przejrzyj + zapisz.
7. Przejrzyj zmiany i wybierz pozycję Zapisz.