Zarządzanie wersjami systemu operacyjnego za pomocą usługi Microsoft Intune

Na nowoczesnych platformach mobilnych i stacjonarnych główne aktualizacje, poprawki i nowe wersje są wydawane w szybkim tempie. Masz do dyspozycji kontrolki umożliwiające pełne zarządzanie aktualizacjami i poprawkami w systemie Windows, ale inne platformy, takie jak iOS/iPadOS i Android, wymagają udziału użytkowników końcowych w tym procesie. Usługa Microsoft Intune oferuje możliwości ułatwiające tworzenie struktury zarządzania wersjami systemu operacyjnego na różnych platformach.

Usługa Intune może pomóc w rozwiązaniu tych typowych scenariuszy:

• Określanie, które wersje systemu operacyjnego znajdują się na urządzeniach użytkowników końcowych
• Kontrolowanie dostępu do danych organizacyjnych na urządzeniach podczas sprawdzania poprawności nowej wersji systemu operacyjnego
• Zachęcanie użytkowników końcowych do uaktualnienia do najnowszej wersji systemu operacyjnego zatwierdzonej przez organizację lub wymaganie tego
• Zarządzanie wdrożeniem nowej wersji systemu operacyjnego w całej organizacji

Kontrola wersji systemu operacyjnego za pomocą usługi Intune Mobile Device Management enrollment restrictions

Dzięki ograniczeniom rejestracji urządzeń można ograniczyć rejestrację urządzeń w usłudze Intune na podstawie określonych atrybutów urządzeń. Celem jest umożliwienie użytkownikom rejestrowania tylko urządzeń zgodnych z oczekiwaniami organizacji i zapobieganie rejestrowaniu urządzeń niezgodnych z wymaganiami, gdy mogliby uzyskać dostęp do zasobów organizacji. Zasady ograniczeń platformy urządzeń rejestracji można tworzyć dla następujących platform:

• Android
• iOS/iPadOS
• macOS
• System Windows

Zasady ograniczeń platformy urządzeń dla każdego typu platformy obejmują zarówno minimalną, jak i maksymalną dozwoloną wersję systemu operacyjnego, jak widać na poniższym zrzucie ekranu zasad systemu iOS:

W praktyce

Organizacje używają ograniczeń dotyczących typów urządzeń w celu kontrolowania dostępu do zasobów organizacji przy użyciu następujących ustawień:

1. Użyj minimalnej wersji systemu operacyjnego, aby upewnić się, że można rejestrować tylko bieżące i obsługiwane platformy w organizacji.
2. Pozostaw maksymalną liczbę wersji systemu operacyjnego nieokreśloną (bez limitu) lub ustaw ją na ostatnią wersję zweryfikowaną przez Twoją organizację, aby mieć czas na wewnętrzne testowanie nowych wersji systemu operacyjnego.

Aby uzyskać więcej informacji, zobacz Tworzenie ograniczeń platformy urządzeń.

Raportowanie wersji systemu operacyjnego i zgodność z zasadami zgodności urządzeń usługi Intune

Zasady zgodności urządzeń z usługą Intune udostępniają następujące narzędzia:

• Określ reguły zgodności, które definiują wymagane konfiguracje urządzeń.
• Wyświetl raporty zgodności, aby dowiedzieć się, które urządzenia są niezgodne i do jakich ustawień w zasadach.
• Działaj w przypadku wyników niezgodności za pośrednictwem kwarantanny urządzeń i zasad dostępu warunkowego, które uniemożliwiają niezgodnym urządzeniom uzyskiwanie dostępu do zasobów organizacji.

Podobnie jak ograniczenia rejestracji, zasady zgodności urządzeń obejmują zarówno minimalne, jak i maksymalne wersje systemu operacyjnego. Zasady mają również oś czasu zgodności, aby zapewnić użytkownikom okres prolongaty na uzyskanie zgodności. Zasady zgodności urządzeń zapewniają zgodność zarejestrowanych urządzeń użytkowników końcowych z oczekiwaniami organizacji.

W praktyce

Organizacje używają zasad zgodności urządzeń w tych samych scenariuszach, co ograniczenia rejestracji. Dzięki tym zasadom użytkownicy będą korzystać z bieżących, sprawdzonych wersji systemu operacyjnego w organizacji. Gdy urządzenia użytkowników końcowych nie będą zgodne, dostęp do zasobów organizacji może zostać zablokowany za pośrednictwem dostępu warunkowego do czasu, aż użytkownicy będą w zakresie obsługiwanych systemów operacyjnych w organizacji. Użytkownicy końcowi są powiadamiani o naruszeniu zgodności i są instruowani o czynnościach umożliwiających odzyskanie dostępu.

Aby uzyskać więcej informacji, zobacz Wprowadzenie do zgodności urządzeń.

Kontrola wersji systemu operacyjnego przy użyciu Intune zasad ochrony aplikacji

Ustawienia zasad ochrony aplikacji usługi Intune i zarządzania aplikacjami mobilnymi (MAM) umożliwiają określenie minimalnej wersji systemu operacyjnego w warstwie aplikacji. Dzięki temu można informować użytkowników końcowych i zachęcać ich do aktualizacji systemu operacyjnego do określonej wersji minimalnej.

Masz dwie opcje:

• Ostrzeżenie — ostrzega użytkownika, że powinien przeprowadzić uaktualnienie, jeśli otworzy aplikację z zasadami ochrony aplikacji lub ustawieniami dostępu do zarządzania aplikacjami mobilnymi na urządzeniu z wersją systemu operacyjnego poniżej określonej wersji. Aplikacja i dane organizacji mogą uzyskiwać do nich dostęp.

  

• Blokuj — blok informuje użytkownika końcowego, że należy przeprowadzić uaktualnienie, gdy otwiera aplikację z zasadami ochrony aplikacji lub ustawieniami dostępu do zarządzania aplikacjami mobilnymi na urządzeniu z wersją systemu operacyjnego poniżej określonej wersji. Nie można uzyskać dostępu do danych aplikacji i organizacji.

  

W praktyce

Organizacje używają już teraz ustawień zasad ochrony aplikacji, gdy aplikacje są otwierane lub wznawiane, aby poinformować użytkowników końcowych o konieczności dbania o aktualność aplikacji. Przykładowa konfiguracja polega na tym, że użytkownicy końcowi są ostrzegani w bieżącej wersji minus jeden i blokowani w bieżącej wersji minus dwa.

Aby uzyskać więcej informacji, zobacz Jak tworzyć i przypisywać zasady ochrony aplikacji.

Zarządzanie wieloma wersjami systemu operacyjnego przy użyciu Intune zasad ochrony aplikacji

W zasadach ochrony aplikacji można skonfigurować tylko jedną minimalną wersję systemu operacyjnego w ustawieniach uruchamiania warunkowego, ale można utworzyć wiele aplikacji z różnymi minimalnymi wartościami systemu operacyjnego. Ponieważ jednak aplikacje są przypisane do grup użytkowników, oznacza to, że użytkownik z wieloma urządzeniami z różnymi wersjami systemu operacyjnego może napotkać sprzeczne wymagania dotyczące systemu operacyjnego podczas uzyskiwania dostępu do chronionych zasobów.

Aby umożliwić kierowanie wielu aplikacji o różnych wymaganiach systemu operacyjnego do tego samego użytkownika, możesz utworzyć filtry kierujące aplikację do określonej wersji systemu operacyjnego.

Istnieją dwa typy filtrów dla usługi Intune: urządzenia zarządzane i aplikacje zarządzane. Aplikacja obsługuje tylko filtry aplikacji zarządzanych.

Tworzenie filtrów

Aby używać filtrów z aplikacjami, musisz utworzyć filtr dla każdej konkretnej wersji systemu operacyjnego, na którą chcesz kierować reklamy:

1. Przejdź do centrum administracyjnego usługi Microsoft Intune.

2. Wybierz pozycję Administracja >dzierżawąFiltry>Utwórz>aplikacje zarządzane.

3. Na stronie Podstawowe wprowadź nazwę filtru, aby można go było łatwo zidentyfikować, i wybierz platformę, na którą chcesz kierować reklamy, w tym przykładzie iOS/iPadOS.

4. Na stronie Reguły utwórz filtr dla głównej wersji systemu operacyjnego, który ma być docelowy, na przykład Property=osVersion(OS version), Operator=StartsWith, Value=18.

• Opcjonalnie: Możesz użyć przycisku Podgląd , aby sprawdzić , które urządzenie, użytkownik i aplikacja są zgodne z określonym filtrem.

5. Na stronie Przeglądanie i tworzenie zapisz filtr, wybierając pozycję Utwórz.

Powtórz te kroki, aby utworzyć dodatkowe filtry dla każdej platformy i głównej wersji systemu operacyjnego, na przykład iOS 16 i 17.

Tworzenie i kierowanie aplikacji za pomocą filtru

1. Przejdź do centrum administracyjnego usługi Microsoft Intune.

2. Wybieranie zasadochrony aplikacji> aplikacjiTworzenie> zasad > Wybierz platformę, na którą chcesz kierować aplikację, na przykład iOS/iPadOS.

3. Na stronie Podstawy wprowadź nazwę zasad, aby można je było łatwo zidentyfikować.

4. Uzupełnij strony wymagań dotyczących aplikacji, ochrony danych i dostępu za pomocą ustawień zasad ochrony aplikacji systemu iOS, Android lub Windows , które spełniają wymagania dla Twojej organizacji. W sekcji Warunki dotyczące urządzenia na stronie uruchamiania warunkowego (lub na stronie kontroli kondycji aplikacji dla systemu Windows) skonfiguruj wersję pomocniczą lub poprawkę systemu operacyjnego, którą chcesz ustawić jako wersję minimalną. Na przykład Ustawienia=Minimalna wersja systemu operacyjnego, Wartość=18.2.1, Akcja=Zablokuj dostęp/Wyczyść dane/Ostrzeżenie, zgodnie z akcją wymaganą dla organizacji.

5. Na stronie Przypisania użyj utworzonego wcześniej filtru, aby określić zakres przypisania zasad do odpowiedniej głównej wersji systemu operacyjnego.

6. Na stronie Przeglądanie i tworzenie zapisz zasady, wybierając pozycję Utwórz.

W przedstawionym przykładzie filtr będzie ukierunkowany na urządzenia z systemem iOS 18, a ustawienia uruchamiania warunkowego aplikacji będą wymagać 18.2.1, zapewniając, że aplikacja nie ma zastosowania do urządzeń z inną główną wersją systemu iOS.

Utwórz dodatkowe aplikacje dla każdej wersji systemu operacyjnego, na przykład:

• Druga zasada dla systemu iOS 16: uruchamianie warunkowe, warunki dotyczące urządzeń, minimalna wersja systemu operacyjnego=16.7.10, filtr, wersja systemu operacyjnego, StartsWith=16.

• Trzecie zasady dla systemu iOS 17: uruchamianie warunkowe, warunki dotyczące urządzenia, minimalna wersja systemu operacyjnego=17.7.2, filtrowanie wersji systemu operacyjnego, StartsWith=17.

W praktyce

Organizacje mogą tworzyć wiele aplikacji, które wymagają różnych minimalnych wersji systemu operacyjnego. W ten sposób można filtrować przypisanie tych aplikacji, aby dotyczyło tylko każdej głównej wersji systemu operacyjnego. Gwarantuje to, że każda aplikacja jest kompatybilna z określoną wersją systemu operacyjnego, do której jest przypisana, zapewniając dostosowane podejście do ochrony aplikacji.

W miarę jak dostawcy systemów operacyjnych publikują nowe drobne aktualizacje lub poprawki systemu operacyjnego, możesz również zaktualizować każdą aplikację do nowej minimalnej wersji systemu operacyjnego. Ten ciągły proces aktualizacji zapewnia bezpieczeństwo organizacji dzięki temu, że zawsze korzystasz z najnowszych wersji systemu operacyjnego. Aktualizowanie aplikacji i wersji systemu operacyjnego pomaga chronić przed lukami w zabezpieczeniach i zwiększa ogólne bezpieczeństwo.

Zarządzanie wdrożeniem nowej wersji systemu operacyjnego

Możesz użyć funkcji usługi Intune opisanych w tym artykule, aby ułatwić przeniesienie urządzeń organizacji do nowej wersji systemu operacyjnego na określonej osi czasu. Poniższe kroki zawierają przykładowy model wdrażania, aby w ciągu siedmiu dni przenieść użytkowników z systemu operacyjnego w wersji 1 do systemu operacyjnego w wersji 2.

1. Użyj ograniczeń rejestracji urządzeń , aby wymagać systemu operacyjnego w wersji 2 jako minimalnej wersji do zarejestrowania urządzenia. Dzięki temu nowe urządzenia użytkowników końcowych będą zgodne w czasie rejestracji.
2. Użyj zasad ochrony aplikacji usługi Intune, aby ostrzegać użytkowników o otwarciu lub wznowieniu chronionej aplikacji, że wymagany jest nowszy system operacyjny w wersji 2.
3. Użyj zasad zgodności urządzeń , aby wymagać systemu operacyjnego w wersji 2 jako minimalnej wersji, aby urządzenie było zgodne. Użyj Akcji w przypadku niezgodności , aby umożliwić siedmiodniowy okres prolongaty i wysłać użytkownikom końcowym powiadomienie e-mail z osią czasu i wymaganiami.
   • Te zasady mogą informować użytkowników końcowych, że ich urządzenia muszą zostać zaktualizowane za pośrednictwem poczty e-mail, portalu firmy usługi Intune — Portal firmy oraz po otwarciu aplikacji dla aplikacji z włączonymi zasadami ochrony aplikacji.
   • Możesz uruchomić raport zgodności, aby zidentyfikować użytkowników, którzy nie są zgodni.
4. Użyj zasad ochrony aplikacji usługi Intune, aby zablokować użytkowników, gdy aplikacja zostanie otwarta lub wznowiona, jeśli na urządzeniu nie jest uruchomiony system operacyjny v2.
5. Użyj zasad zgodności urządzeń, aby wymagać systemu operacyjnego w wersji 2 jako minimalnej wersji, aby urządzenie było zgodne.
   • Te zasady wymagają, aby urządzenia zostały zaktualizowane, aby mogły nadal uzyskiwać dostęp do danych organizacji. Usługi chronione są blokowane, gdy są używane z dostępem warunkowym urządzenia. Aplikacje z włączonymi zasadami ochrony aplikacji są blokowane po otwarciu lub po uzyskaniu dostępu do danych organizacji.

Następne kroki

Następujące zasoby umożliwiają zarządzanie wersjami systemu operacyjnego, które są używane w organizacji:

• Ustawianie ograniczeń typu urządzenia
• Wprowadzenie do zgodności urządzeń
• Jak tworzyć i przypisywać zasady ochrony aplikacji