Wybieranie odpowiedniej metody kierowania w usłudze Microsoft Intune

Usługa Microsoft Intune obsługuje kilka metod określania docelowych urządzeń i użytkowników za pomocą zasad i aplikacji. Każda metoda ma inne mocne strony, charakterystykę oceny i przypadki użycia. Wybór właściwej metody — lub kombinacji metod — pomaga zapewnić, że zasady i aplikacje dotrą do właściwych urządzeń we właściwym czasie.

W tym artykule opisano dostępne konstrukcje docelowe i pomocne w wyborze odpowiedniego podejścia dla danego środowiska.

Kluczowe pojęcia

Przed wybraniem metody kierowania zapoznaj się z zasadami skutecznego kierowania w usłudze Intune:

Zasada Opis
Zacznij szeroko, uściślij wąskie Zamiast tworzyć wiele wąskich grup dopasowanych do każdej zasady, zacznij od jak najszerszego grona odbiorców i użyj filtrów przypisań, aby określić, które urządzenia otrzymują zasady. Strategia ta zmniejsza rozlewanie się grupy i upraszcza zarządzanie.
Grupy definiują zakres, filtry definiują wartości docelowe Grupy odpowiadają na pytanie "kim jest publiczność?". Filtry przypisań odpowiadają na pytanie: "Które urządzenia w tej grupie odbiorców faktycznie otrzymują te zasady?" Łączenie obu problemów w same grupy prowadzi do powstania wielu niemal identycznych grup, którymi trudno zarządzać.
Jedna grupa, wiele zasad Nie potrzebujesz relacji 1:1 między grupami i zasadami. Pojedyncza, szeroka grupa może służyć do obsługi wielu przypisań zasad. Stosowanie filtrów obciążenia lub przypisania może zapewnić, że zasady będą trafiać tylko do odpowiednich użytkowników i urządzeń.
Członkostwo w grupie to tożsamość, a nie intencja zasad Grupy powinny opisywać, czym jest urządzenie lub czym jest użytkownik , w sposób zrozumiały dla całej organizacji, a nie jakie zasady powinien otrzymać. Jeśli tylko usługa Intune odczytuje grupę, oceń, czy filtr przypisania może zastąpić grupę.
Evaluate at check-in vs. evaluate at change Grupy i filtry używają różnych modeli oceny. Członkostwo w grupach jest przetwarzane, gdy atrybuty urządzenia lub użytkownika zmieniają się, odzwierciedlając bieżący stan katalogu. Filtry są oceniane przy każdym zaewidencjonowaniu urządzenia względem właściwości urządzenia w danym momencie. Wybierz na podstawie tego, czy potrzebujesz członkostwa, które inne usługi mogą odczytywać (grupy), czy precyzyjnego kierowania czasu zaewidencjonowania dla usługi Intune (filtry).

Omówienie metod kierowania

Kierowanie usługi Intune opiera się na dwóch warstwach: typach grup, które określają, kogo lub co znajduje się w zakresie, oraz funkcjach kierowania usługi Intune, które precyzują, jak i kiedy zasady docierają do tych urządzeń.

Typy grup

Typ grupy Działanie Najlepsza opcja dla
Grupy wirtualne Wbudowane grupy Wszyscy użytkownicy i Wszystkie urządzenia obsługiwane przez Intune Ogólne zasady, które dotyczą wszystkich osób lub wszystkich urządzeń
Grupy statyczne Ręcznie zarządzane grupy zabezpieczeń ze stałym członkostwem Stałe, znane zestawy użytkowników lub urządzeń, które nie zmieniają się często
Grupy dynamiczne Grupy z członkostwem opartym na regułach oceniane przez usługę Microsoft Entra ID Określanie docelowych obciążeń między zadaniami (dostęp warunkowy, licencjonowanie), rozwiązanie Autopilot, grupowanie oparte na użytkownikach

Grupy statyczne i dynamiczne są grupami zabezpieczeń usługi Microsoft Entra — może ich używać dowolna usługa korzystająca z członkostwa w grupie (dostęp warunkowy, licencjonowanie, SharePoint, Exchange). Grupy wirtualne są zarządzane przez usługę Intune i zawsze aktualne bez konieczności dodatkowego przetwarzania.

Funkcje kierowania w usłudze Intune

Konstruktor Działanie Najlepsza opcja dla
Filtry zadań Reguły oceniane przez usługę Intune stosowane oprócz przypisań grup Określanie właściwości docelowej właściwości urządzeń dla zasad usługi Intune — ocenianych podczas ewidencjonowania bez zależności od przetwarzania członkostwa w grupach
Grupowanie według czasu rejestracji Dodaje urządzenia do grupy zabezpieczeń podczas rejestracji Szybkie dostarczanie zasad opartych na grupach podczas rejestracji, bez oczekiwania na przetwarzanie członkostwa w grupach dynamicznych

Są one unikatowe dla usługi Intune. Filtry zadań i grupowanie według czasu rejestracji zwiększają możliwości grup — nie zastępują grup, ale rozwiązują konkretne luki w szybkości i precyzji, których same grupy nie są w stanie usunąć.

Typy grup

Grupy wirtualne

Usługa Intune udostępnia wbudowane grupy wirtualne dla wszystkich użytkowników i wszystkich urządzeń. Te grupy są zawsze aktualne — nie wymagają przetwarzania w celu zaktualizowania członkostwa.

Grupy wirtualne są najbardziej efektywne w połączeniu z funkcjami kierowania w usłudze Intune:

  • Grupa wirtualna + filtr przypisania — przypisz zasady do wszystkich urządzeń, a następnie zastosuj filtr, aby zawęzić zakres do określonych właściwości urządzenia (takich jak typ systemu operacyjnego, producent lub własność). Filtr jest oceniany podczas ewidencjonowania bez zależności od przetwarzania członkostwa w grupie.

Użyj, gdy:

  • Zasady lub aplikacja powinny dotrzeć do wszystkich użytkowników lub wszystkich urządzeń
  • Chcesz określić ogólny cel i uściślić go za pomocą filtrów przypisania, by precyzyjnie kierować reklamy na poziomie urządzenia

Grupy statyczne

Statyczne grupy zabezpieczeń mają ręcznie zarządzane członkostwo. Administrator bezpośrednio dodaje lub usuwa członków.

Grupy statyczne można również łączyć z funkcjami kierowania usługi Intune:

  • Grupa statyczna + filtr przypisania — przypisz zasady do grupy statycznej (takiej jak dział lub pierścień pilotażowy), a następnie zastosuj filtr, aby jeszcze bardziej zawęzić zakres urządzeń w tej grupie, które otrzymują zasady.
  • Grupa statyczna + grupowanie czasu rejestracji — użyj grupy statycznej jako celu grupowania czasu rejestracji. Urządzenia są dodawane do grupy podczas rejestracji, co umożliwia szybkie dostarczanie zasad podczas pierwszego zaewidencjonowania.

Użyj, gdy:

  • Masz ustalony zestaw użytkowników lub urządzeń (na przykład grupę pilotażową lub zespół kierownictwa)
  • W scenariuszach z obciążeniami między zadaniami jest wymagane członkostwo w grupach, ale populacja jest niewielka i stabilna

Grupy dynamiczne

Grupy dynamiczne używają członkostwa opartego na regułach, które jest oceniane i aktualizowane przez usługę Microsoft Entra ID. Są one standardowym mechanizmem organizowania użytkowników i urządzeń w całym ekosystemie platformy Microsoft 365 — dowolna usługa, która odczytuje członkostwo w grupach (dostęp warunkowy, licencjonowanie, SharePoint, Exchange) używa grup dynamicznych.

Po zarejestrowaniu urządzenia lub zmianie atrybutu użytkownika członkostwo w grupie wymaga dodatkowego przetwarzania, zanim zmiana zostanie uwzględniona.

Użyj, gdy:

  • Scenariusze obciążeń między różnymi wersjami — zasady dostępu warunkowego, licencjonowanie oparte na grupach, dostęp do programu SharePoint, zasady usługi Exchange Online lub dowolna usługa Microsoft 365 wymagająca członkostwa w grupach
  • Określanie docelowe funkcji Autopilot — profile wdrożenia rozwiązania Autopilot muszą być przypisane do grup. Urządzenia muszą być członkami grupy przed rozpoczęciem rejestracji
  • Grupowanie użytkowników — grupowanie użytkowników według działu, lokalizacji, stanowiska lub innych atrybutów użytkowników

Uwaga

Jeśli grupa urządzeń dynamicznych jest używana tylko przez usługę Intune (nie dostęp warunkowy, licencjonowanie ani inne usługi), oceń, czy filtr przypisania może osiągnąć to samo kierowanie. Filtry obsługują wiele takich samych właściwości urządzenia — w tym enrollmentProfileName — i są oceniane podczas ewidencjonowania bez zależności od przetwarzania członkostwa w grupie.

Grupy dynamiczne można również łączyć z filtrami przypisań:

  • Grupa dynamiczna + filtr przypisania — przypisz zasadę do grupy dynamicznej, a następnie zastosuj filtr, aby jeszcze bardziej określić, które urządzenia w tej grupie otrzymują zasady. podejście jest przydatne, gdy grupa służy do celów między obciążeniami, ale potrzebujesz bardziej precyzyjnego kierowania usługi Intune w grupie.

    Przykład: Twoja organizacja używa grupy dynamicznej dla wszystkich urządzeń z systemem Windows należących do firmy, ponieważ zasady dostępu warunkowego wymagają członkostwa w tej grupie. W usłudze Intune przypisujesz profil konfiguracji do tej grupy i stosujesz filtr przypisania do urządzeń z systemem Windows 11 24H2 lub nowszym. Grupa obsługuje zakres dostępu warunkowego, podczas gdy filtr obsługuje kierowanie wersji specyficzne dla usługi Intune — bez tworzenia drugiej grupy.

Najważniejsze wskazówki dotyczące grup dynamicznych:

  • Zachowaj proste reguły — używaj bezpośrednich porównań właściwości z operatorem -eq OR -startsWith i niewielką liczbą warunków. Prostsze reguły są oceniane szybciej i łatwiejsze do rozwiązywania problemów.
  • Unikać memberOf — Przechodnie wyszukiwania grup znacznie komplikują przetwarzanie i są częstym źródłem nieoczekiwanych wyników członkostwa.
  • Inspekcja uprawnień do zapisu atrybutów — jeśli grupa dynamiczna kontroluje dostęp do poufnych zasobów (dostęp warunkowy, licencjonowanie), bezpieczeństwo tego dostępu zależy od tego, kto może modyfikować atrybuty, do których odwołuje się reguła.
  • Upewnij się, że urządzenia mają czyste, dokładne atrybuty — członkostwo w grupach dynamicznych zależy od właściwości zapisanych w obiekcie urządzenia. Nieaktualne lub brakujące wartości prowadzą do nieoczekiwanego członkostwa.

Aby uzyskać szczegółowe wskazówki dotyczące składni reguł i pisania wydajnych reguł, przejdź do:

Funkcje kierowania w usłudze Intune

Filtry zadań

Filtry przypisania to reguły oceniane przez usługę Intune, które uściślają, które urządzenia otrzymują zasady lub aplikacje. Filtry są stosowane na podstawie przypisania grupy i oceniają właściwości urządzenia bezpośrednio podczas ewidencjonowania, bez zależności od przetwarzania członkostwa w grupie.

Użyj, gdy:

  • Jesteś docelowy w zasadach lub aplikacjach usługi Intune na podstawie właściwości urządzenia (wersja systemu operacyjnego, producent, model, własność, kategoria urządzenia)
  • Chcesz oceny bezpośrednio podczas ewidencjonowania urządzenia bez konieczności przetwarzania członkostwa w grupach
  • Chcesz połączyć ogólne przypisania grup (na przykład Wszystkie urządzenia) z precyzyjnym kierowaniem na poziomie urządzenia
  • Chcesz uwzględnić określone urządzenia lub wykluczyć je z zasad przypisanych do szerokiej grupy

Typowe scenariusze:

  • Wdrażanie zasad zgodności na wszystkich należących do firmy urządzeniach z systemem Windows
  • Wykluczanie określonego producenta urządzenia z profilu konfiguracji
  • Urządzenia docelowe z określoną wersją systemu operacyjnego dla wdrożenia aplikacji
  • Zawężanie zasad przypisanych do Wszystkie urządzenia tylko do urządzeń z systemem iOS należących do organizacji

Uwaga

Filtry przypisań nie zastępują grup w każdym scenariuszu. Filtrów nie można używać w następujących celach:

  • Przypisanie profilu rozwiązania Autopilot — urządzenia muszą być członkami grupy przed rozpoczęciem rejestracji
  • Dostęp warunkowy, licencjonowanie lub program SharePoint — te usługi wymagają członkostwa w grupie usługi Entra
  • Obciążenia, które nie obsługują filtrów — zweryfikuj obsługę filtrów dla określonych zasad lub typu aplikacji przed zaprojektowaniem wokół nich

Grupowanie według czasu rejestracji

Grupowanie według czasu rejestracji powoduje dodanie urządzeń do określonej grupy zabezpieczeń podczas rejestracji, a nie po. Ta funkcja umożliwia dostarczenie aplikacji i zasad przypisanych do tej grupy na wcześniejszym etapie procesu rejestracji — w wielu przypadkach podczas pierwszego zaewidencjonowania — bez konieczności czekania na przetworzenie członkostwa w grupie. Rzeczywisty czas dostarczania zależy od obciążenia pracą, platformy, typu zadania i metody rejestracji.

Użyj, gdy:

  • Musisz mieć możliwość członkostwa w grupie podczas rejestracji, aby zapewnić szybkie dostarczanie zasad
  • Korzystasz z metod rejestracji, które obsługują grupowanie czasu rejestracji
  • Ta grupa jest potrzebna w scenariuszach obejmujących wiele zadań (na przykład dostęp warunkowy), a także wymaga szybkiego dostarczania w czasie rejestracji

Nie używać, gdy:

  • Filtr przypisania może zapewnić takie samo określanie wartości docelowej — jeśli zasady są tylko w usłudze Intune i określasz wartość docelową na podstawie właściwości urządzenia dostępnych podczas ewidencjonowania (system operacyjny, producent, własność), filtr jest prostszy i nie wymaga zarządzania grupami
  • Nie potrzebujesz grupy do żadnych innych celów — grupowanie według czasu rejestracji tworzy rzeczywiste członkostwa w grupach zabezpieczeń usługi Entra, które pozostają po rejestracji. Jeśli żadna inna usługa nie odczytuje tej grupy, dodajesz obciążenie związane z zarządzaniem bez żadnych korzyści
  • Nie jest on obsługiwany przez metodę rejestracji — grupowanie według czasu rejestracji jest obsługiwane tylko w przypadku określonych przepływów rejestracji. Przed rozpoczęciem projektowania w oparciu o nią należy sprawdzić, czy dana metoda rejestracji znajduje się na liście obsługiwanych rozwiązań

Aby uzyskać więcej informacji, przejdź do strony Grupowanie według czasu rejestracji w usłudze Microsoft Intune.

Wybór właściwego podejścia

W przypadku większości środowisk usługi Intune najlepsze podejście łączy wiele metod:

  1. Zacznij od szerokich grup — użyj grup wirtualnych, grup statycznych lub grup dynamicznych jako podstawowych miejsc docelowych przypisań. Wybierz najszerszą grupę podstawową odpowiednią dla organizacji, ale weź pod uwagę czas oceny każdego typu grupy i wymagania dotyczące obciążeń między zadaniami.
  2. Uściślij kierowanie na podstawie atrybutów urządzeń — użyj filtrów przypisań, gdy zasady są tylko w usłudze Intune. Użyj grup dynamicznych, gdy członkostwo oparte na atrybutach jest potrzebne w różnych obciążeniach (dostęp warunkowy, licencjonowanie, rozwiązanie Autopilot).
  3. Użyj grupowania według czasu rejestracji , aby usunąć oczekiwanie na przetworzenie członkostwa w grupie podczas rejestracji, dzięki czemu zasady są dostarczane podczas pierwszego zaewidencjonowania.

Uwaga

Szerokie zadania są zaawansowane, ale wiążą się z ryzykiem. Przed przypisaniem zasad o dużym wpływie do wszystkich urządzeń z filtrem najpierw zweryfikuj filtr w grupie pilotażowej. Nieprawidłowo skonfigurowany lub usunięty filtr dla szerokiego zadania może mieć wpływ na każde urządzenie objęte zakresem. Korzystaj z etapowych pierścieni wdrażania i monitoruj raportowanie zadań przed rozszerzeniem do środowiska produkcyjnego.

Kiedy grupa dynamiczna może stać się filtrem

Jeśli masz dynamiczne grupy urządzeń, które używają prostych reguł właściwości i są używane tylko przez usługę Intune — bez dostępu warunkowego, licencjonowania lub innych usług — możesz uprościć określanie wartości docelowej, zastępując te grupy filtrami przypisań. Nie chodzi o usunięcie wszystkich grup dynamicznych. Chodzi o usunięcie niepotrzebnego obciążenia przetwarzania grup dla grup, które nie obsługują zadań związanych z obciążeniami między zadaniami.

W poniższej tabeli przedstawiono typowe reguły grup dynamicznych i odpowiadającą im składnię filtru przypisania:

Reguła grupy dynamicznej Równoważny filtr przypisania Uwagi
device.deviceOSType -eq "Windows" operatingSystemSKU -eq "Windows" Kierowanie na typ systemu operacyjnego
device.deviceManufacturer -eq "Microsoft" manufacturer -eq "Microsoft Corporation" Określanie wartości docelowej producenta
device.deviceModel -startsWith "Surface" model -startsWith "Surface" Kierowanie według modelu
device.deviceOwnership -eq "Company" deviceOwnership -eq "Corporate" Kierowanie na własność
device.deviceCategory -eq "Engineering" deviceCategory -eq "Engineering" Kierowanie na kategorię urządzenia

Uwaga

Nazwy i wartości właściwości mogą się nieco różnić w zależności od reguły grupy dynamicznej i składni filtru przypisania. Sprawdź dokładne nazwy właściwości i obsługiwane wartości we właściwościach obsługiwanych urządzeń podczas tworzenia filtrów.

Ważna

Nie usuwaj grup dynamicznych, które są używane przez usługi poza usługą Intune (dostęp warunkowy, licencjonowanie, SharePoint). Te usługi nie mogą korzystać z filtrów przydziałów — wymagają członkostwa w grupie. Upraszczaj tylko grupy, które istnieją wyłącznie na potrzeby kierowania zasad usługi Intune.

Porada

Na skuteczność mają także decyzje dotyczące targetowania — zwłaszcza w dużych środowiskach. Aby uzyskać wskazówki dotyczące ponownego użycia grup, unikania typowych antywzorców i zrozumienia zachowania synchronizacji, przejdź do sekcji Zalecenia dotyczące wydajności grupowania, określania docelowych i filtrowania.

  • Ostatnia aktualizacja o