Ustawianie urzędu zarządzania urządzeniami przenośnymi

Ustawienie urzędu zarządzania urządzeniami przenośnymi (MDM) określa metodę zarządzania urządzeniami. Jako administrator IT musisz ustawić urząd MDM, aby użytkownicy mogli rejestrować urządzenia do zarządzania. Należy również mieć przypisaną licencję usługi Intune, aby ustawić urząd MDM.

Możliwe konfiguracje:

• Autonomiczna usługa Intune — zarządzanie tylko w chmurze, które konfiguruje się przy użyciu usługi Azure Portal. Zawiera pełny zestaw funkcji oferowanych przez usługę Intune. Aby rozpocząć pracę, zobacz Ustawianie urzędu MDM w centrum administracyjnym usługi Microsoft Intune.

• Współzarządzanie usługą Intune — integracja rozwiązania chmury usługi Intune z programem Configuration Manager dla urządzeń z systemem Windows. Usługę Intune konfiguruje się przy użyciu konsoli programu Configuration Manager. Aby rozpocząć pracę, zobacz Konfigurowanie automatycznej rejestracji urządzeń w usłudze Intune.

• Podstawowa mobilność i zabezpieczenia dla platformy Microsoft 365 — po aktywowaniu tej konfiguracji urząd MDM jest ustawiany na "Office 365". Jeśli chcesz zacząć korzystać z usługi Intune, musisz kupić licencje usługi Intune.

• Podstawowa mobilność i zabezpieczenia dla współistnienia platformy Microsoft 365 — możesz dodać usługę Intune do dzierżawy, jeśli korzystasz już z usług Podstawowa mobilność i zabezpieczenia dla platformy Microsoft 365. Możesz ustawić urząd zarządzania na usługę Intune lub Podstawowa mobilność i zabezpieczenia dla platformy Microsoft 365 dla każdego użytkownika, aby dyktować usługę, która ma być używana do zarządzania jego urządzeniami zarejestrowanymi w usłudze MDM. Uprawnienia zarządzania poszczególnych użytkowników są definiowane na podstawie licencji przypisanej do użytkownika:

  • Podstawowa Mobilność i Zabezpieczenia dla Microsoft 365 zarządza urządzeniami użytkowników, którzy mają licencję tylko na Microsoft 365 Basic lub Standard.
  • Usługa Intune zarządza urządzeniami użytkowników, którzy posiadają licencję uprawniającą do korzystania z niej.
  • Jeśli dodasz licencję uprawniającą usługę Intune do użytkownika zarządzanego wcześniej przez usługę Podstawowa mobilność i zabezpieczenia dla platformy Microsoft 365, jego urządzenia zostaną przełączone do zarządzania usługą Intune. Aby uniknąć utraty konfiguracji usługi Podstawowa mobilność i zabezpieczenia dla platformy Microsoft 365 na urządzeniach użytkowników, pamiętaj o przypisaniu konfiguracji usługi Intune do użytkowników przed przełączeniem ich do usługi Intune.

Ustaw urząd MDM na usługę Intune

1. W centrum administracyjnym usługi Microsoft Intune wybierz pomarańczowy transparent, aby otworzyć ustawienie urzędu ds. zarządzania urządzeniami przenośnymi. Pomarańczowy transparent jest wyświetlany tylko wtedy, gdy nie ustawiono jeszcze urzędu MDM. Jeśli pomarańczowy transparent jest niewidoczny, możesz przejść bezpośrednio do ustawień urzędu MDM, aby skonfigurować urząd MDM.

2. W obszarze Urząd zarządzania urządzeniami przenośnymi wybierz urząd MDM spośród następujących opcji:

   • Urząd zarządzania urządzeniami przenośnymi usługi Intune
   • Brak

   

Zostanie wyświetlony komunikat informujący o pomyślnym ustawieniu urzędu MDM na usługę Intune.

Przepływ pracy interfejsu użytkownika administracji usługi Intune

Po włączeniu zarządzania urządzeniami z systemem Android lub Apple usługa Intune wysyła informacje o urządzeniu i użytkowniku w celu zintegrowania z usługami innych firm w celu zarządzania ich urządzeniami.

Scenariusze, które dodają zgodę na udostępnianie danych, są uwzględniane w następujących sytuacjach:

• Włącza się profile służbowe należące do użytkownika lub firmy w systemie Android Enterprise.
• Włączono i przekazano certyfikaty push MDM firmy Apple.
• Użytkownik włącza dowolne usługi Apple, takie jak Device Enrollment Program, School Manager lub Volume Purchasing Program.

W każdym przypadku zgoda jest ściśle związana z uruchomieniem usługi zarządzania urządzeniami mobilnymi. Na przykład potwierdzenie, że Administracja IT autoryzował zarejestrowanie urządzeń Google lub Apple. Dokumentacja dotycząca tego, jakie informacje są udostępniane po opublikowaniu nowych przepływów pracy, jest dostępna w następujących lokalizacjach:

• Dane wysyłane przez usługę Intune do firmy Google
• Dane wysyłane przez usługę Intune do firmy Apple

Kluczowe zagadnienia

Po przełączeniu się do nowego urzędu MDM następuje pewien czas przejściowy (do ośmiu godzin), zanim urządzenie zostanie zaewidencjonowane i zsynchronizowane z usługą. Musisz skonfigurować ustawienia w nowym urzędzie MDM, aby upewnić się, że zarejestrowane urządzenia będą nadal zarządzane i chronione po tej zmianie.

• Urządzenia muszą łączyć się z usługą po zmianie, tak aby ustawienia z nowego urzędu MDM (autonomicznego programu Intune) zastąpiły istniejące ustawienia na urządzeniu.
• Po zmianie urzędu MDM niektóre ustawienia podstawowe (takie jak profile) poprzedniego urzędu MDM pozostaną na urządzeniu przez maksymalnie siedem dni lub do momentu, gdy urządzenie po raz pierwszy połączy się z usługą. Należy jak najszybciej skonfigurować aplikacje i ustawienia (takie jak zasady, profile i aplikacje) w nowym urzędzie MDM i wdrożyć to ustawienie w grupach użytkowników zawierających użytkowników, którzy mają istniejące zarejestrowane urządzenia. Gdy tylko urządzenie połączy się z usługą po zmianie uprawnień MDM, otrzyma nowe ustawienia od nowego urzędu MDM i zapobiegnie to lukom w zarządzaniu i ochronie.
• Urządzenia, które nie mają skojarzonych użytkowników (zwykle w scenariuszach z programem rejestracji urządzeń z systemem iOS/iPadOS lub rejestracją zbiorczą) nie są migrowane do nowego urzędu MDM. W przypadku tych urządzeń należy zadzwonić do pomocy technicznej w celu uzyskania pomocy w przeniesieniu ich do nowego urzędu MDM.

Współistnienie

Włączając współistnienie, można używać usługi Intune dla nowego zestawu użytkowników, kontynuując korzystanie z usługi Podstawowa mobilność i zabezpieczenia dla istniejących użytkowników. Możesz kontrolować, które urządzenia są zarządzane przez usługę Intune za pośrednictwem użytkownika. Usługa Intune zarządza wszystkimi urządzeniami zarejestrowanymi przez użytkownika, jeśli użytkownik ma licencję usługi Intune lub korzysta z współzarządzania usługą Intune z usługą Configuration Manager. W przeciwnym razie użytkownik jest zarządzany przez podstawową mobilność i zabezpieczenia.

Istnieją trzy główne kroki umożliwiające współistnienie:

1. Przygotowanie
2. Dodawanie Intune uprawnień MDM
3. Migracja użytkowników i urządzeń (opcjonalnie).

Przygotowanie

Przed umożliwieniem współistnienia z podstawową mobilnością i zabezpieczeniami, rozważ następujące punkty:

• Upewnij się, że masz wystarczającą liczbę licencji usługi Intune dla użytkowników, którymi zamierzasz zarządzać za pośrednictwem usługi Intune.
• Sprawdź, którzy użytkownicy mają przypisane licencje usługi Intune. Po włączeniu współistnienia urządzenia wszystkich użytkowników już przypisanych do licencji usługi Intune zostaną przełączone do usługi Intune. Aby uniknąć nieoczekiwanych przełączeń urządzeń, zalecamy nieprzypisywanie żadnych licencji usługi Intune do momentu włączenia funkcji współistnienia.
• Utwórz i wdróż zasady Intune, aby zastąpić zasady zabezpieczeń urządzeń, które zostały pierwotnie wdrożone za pośrednictwem portalu zabezpieczeń & zgodności Office 365. To zastąpienie powinno zostać wykonane dla wszystkich użytkowników, którzy mają zostać przeniesieni z planu Podstawowa mobilność i zabezpieczenia do usługi Intune. Jeśli do tych użytkowników nie są przypisane żadne zasady usługi Intune, włączenie współistnienia może spowodować, że utracą oni ustawienia Podstawowa mobilność i zabezpieczenia. Te ustawienia zostaną utracone bez zastąpienia, tak jak w przypadku zarządzanych profilów poczty e-mail. Nawet w przypadku zastąpienia zasad zabezpieczeń urządzeń zasadami usługi Intune, użytkownicy mogą zostać poproszeni o ponowne uwierzytelnienie swoich profilów poczty e-mail po przeniesieniu urządzenia do zarządzania usługą Intune.
• Po skonfigurowaniu podstawowej mobilności i zabezpieczeń nie można anulować obsługi administracyjnej. Możesz jednak wykonać pewne kroki w celu wyłączenia tych zasad. Aby uzyskać więcej informacji, zobacz Wyłączanie funkcji Podstawowa mobilność i zabezpieczenia.

Dodawanie Intune uprawnień MDM

Aby umożliwić współistnienie, należy dodać usługę Intune jako urząd MDM dla środowiska:

1. Zaloguj się do centrum administracyjnego usługi Microsoft Intune, korzystając z globalnych uprawnień administratora usługi Microsoft Entra lub usługi Intune.

2. Przejdź do pozycji Urządzenia.

3. Zostanie wyświetlony baner bloku Dodaj upoważnienie MDM .

4. Aby przełączyć urząd MDM z usługi Office 365 do usługi Intune i włączyć współistnienie, wybierz pozycję Dodaj uprawnienia> MDM usługi Intune.

   

Migrowanie użytkowników i urządzeń (opcjonalnie)

Po włączeniu usługi zarządzania urządzeniami przenośnymi usługi Intune współistnienie zostanie aktywowane i można rozpocząć zarządzanie użytkownikami za pośrednictwem usługi Intune. Opcjonalnie możesz przenieść urządzenia, które były wcześniej zarządzane przez usługę Podstawowa mobilność i zabezpieczenia, aby były zarządzane przez usługę Intune, przypisując tym użytkownikom licencję usługi Intune. Urządzenia użytkowników zostaną przełączone do usługi Intune podczas następnego zaewidencjonowania usługi MDM. Ustawienia zastosowane do tych urządzeń za pośrednictwem opcji Podstawowa mobilność i zabezpieczenia nie są już stosowane i są usuwane z urządzeń.

Oczyszczanie urządzenia przenośnego po wygaśnięciu certyfikatu MDM

Certyfikat MDM jest odnawiany automatycznie, gdy urządzenia przenośne komunikują się z usługą Intune. Jeśli urządzenia przenośne zostaną wyczyszczone lub nie będą komunikować się z usługą Intune przez pewien czas, certyfikat MDM nie zostanie odnowiony. Urządzenie jest usuwane z Azure Portal 180 dni po wygaśnięciu certyfikatu MDM.

Usuwanie uprawnień MDM

Nie można zmienić uprawnienia MDM z powrotem na Nieznany. Urząd MDM jest używany przez usługę do określania urządzeń zarejestrowanych w portalu (do usługi Microsoft Intune lub podstawowej mobilności i zabezpieczeń dla platformy Microsoft 365).

Czego można oczekiwać po zmianie urzędu MDM

• Gdy usługa Intune wykryje zmianę w urzędzie MDM dzierżawy, wysyła wiadomość z powiadomieniem do wszystkich zarejestrowanych urządzeń. Komunikat z powiadomieniem monituje urządzenia o zaewidencjonowanie i zsynchronizowanie z usługą poza ich zwykłym harmonogramem. W efekcie wszystkie włączone i podłączone do sieci urządzenia łączą się z usługą i otrzymują nowe uprawnienia MDM. Nowy urząd zarządza urządzeniami i chroni je bez żadnych zakłóceń. Dlatego po zmianie urzędu MDM dzierżawy z autonomicznego usługi Intune urządzenia będą nadal działać normalnie w ramach nowego urzędu MDM.

• W przypadku urządzeń włączonych i pozostających w trybie online w trakcie lub krótko po zmianie urzędu MDM występują opóźnienia. Opóźnienie może trwać do ośmiu godzin, w zależności od terminu następnego zaplanowanego regularnego zameldowania. Podczas opóźnienia urządzenia nie są rejestrowane w usłudze w ramach nowego urzędu MDM. Po opóźnieniu urządzenia są w pełni zarejestrowane i działają w ramach nowego urzędu MDM.

  Ważna

  Między czasem zmiany urzędu MDM a przekazaniem odnowionego certyfikatu usługi APN do nowego urzędu, rejestracje nowych urządzeń i zaewidencjonowanie urządzeń dla urządzeń z systemem iOS/iPadOS kończą się niepowodzeniem. Dlatego ważne jest, aby sprawdzić i przekazać certyfikat usługi APN do nowego urzędu tak szybko, jak to możliwe po zmianie urzędu MDM.

• Użytkownicy mogą szybko zmienić urząd MDM na nowy przez ręczne rozpoczęcie ewidencjonowania urządzenia w usłudze. Użytkownicy mogą łatwo wprowadzić tę zmianę, korzystając z aplikacji Portal firmy i uruchamiając sprawdzanie zgodności urządzenia.

• Aby sprawdzić, czy wszystko działa poprawnie po zaewidencjonowaniu urządzeń i zsynchronizowaniu ich z usługą po zmianie urzędu MDM, poszukaj urządzeń w nowym urzędzie MDM.

• Istnieje okres przejściowy, gdy urządzenie jest w trybie offline w czasie zmiany urzędu MDM i gdy to urządzenie melduje się w usłudze. W okresie przejściowym ważna jest ochrona i utrzymanie funkcjonalności urządzenia. W celu ochrony i utrzymania funkcjonalności urządzenia na urządzeniu pozostają następujące profile. Te profile pozostają na urządzeniu do siedmiu dni lub do momentu, gdy urządzenie połączy się z nowym urzędem MDM. Gdy urządzenie nawiąże połączenie i otrzyma nowe ustawienia, istniejące profile zostaną zastąpione:

  • Profil e-mail
  • Profil sieci VPN
  • Profil certyfikatu
  • Wi-Fi profil
  • Profile konfiguracyjne

• Po zmianie na nowy urząd MDM dokładne raportowanie danych dotyczących zgodności w centrum administracyjnym usługi Microsoft Intune może potrwać do tygodnia. Jednak stany zgodności w usłudze Microsoft Entra ID i na urządzeniu są dokładne, więc urządzenie jest nadal chronione.

• Upewnij się, że nowe ustawienia przeznaczone do zastąpienia istniejących ustawień mają taką samą nazwę jak ustawienia poprzednie, aby upewnić się, że stare ustawienia zostały zastąpione. W przeciwnym razie na urządzeniach mogą pojawić się nadmiarowe profile i zasady.

  Porada

  Najlepszym rozwiązaniem jest utworzenie wszystkich ustawień zarządzania i konfiguracji, a także wdrożeń, wkrótce po zmianie urzędu MDM. Pomaga to zapewnić, że urządzenia są chronione i aktywnie zarządzane w okresie przejściowym.

• Po zmianie urzędu MDM wykonaj następujące czynności, aby sprawdzić, czy nowe urządzenia są pomyślnie rejestrowane w nowym urzędzie:

  • Zarejestruj nowe urządzenie
  • Upewnij się, że nowo zarejestrowane urządzenie jest wyświetlane w nowym urzędzie MDM.
  • Wykonaj akcję, taką jak blokada zdalna, z centrum administracyjnego usługi Microsoft Intune do urządzenia. Jeśli to się powiedzie, oznacza to, że urządzeniem zarządza nowy urząd MDM.

• Jeśli masz problemy z określonymi urządzeniami, możesz je wyrejestrować i zarejestrować ponownie, aby jak najszybciej połączyć je z nowym urzędem i zarządzać nimi.

Potwierdzanie uprawnień MDM dzierżawy

Aby potwierdzić, że urząd MDM jest ustawiony na usługę Intune, wykonaj następujące kroki:

1. W centrum administracyjnym Microsoft Intune wybierz pozycję Administracja> dzierżawąStan dzierżawy.
2. Na karcie Szczegóły dzierżawy znajdź urząd MDM.

Następne kroki

Po ustawieniu uprawnień MDM możesz rozpocząć rejestrację urządzeń.