Habilitar anexação de locatário do Microsoft Intune: sincronização de dispositivo e ações de dispositivo

Aplica-se a: Gerenciador de Configurações (branch atual)

A família de produtos Microsoft Intune é uma solução integrada para gerenciar todos os seus dispositivos. A Microsoft reúne o Gerenciador de Configurações e o Intune em um único console chamado Centro de administração do Microsoft Intune. Você pode carregar seus Gerenciador de Configurações para o serviço de nuvem e executar ações na lâmina Dispositivos no centro de administração.

Habilitar o upload do dispositivo quando o co-gerenciamento já estiver habilitado

Se você tiver o cogerenciamento habilitado no momento, deverá usar as propriedades de cogerenciamento para habilitar o carregamento de dispositivos. Quando o co-gerenciamento ainda não estiver habilitado, Use o Assistente de Configuração de Anexação Nuvem para habilitar o upload do dispositivo. Antes de habilitar a anexação de locatário, verifique se os pré-requisitos para anexação de locatário foram atendidos .

Quando o co-gerenciamento já estiver habilitado, edite as propriedades de co-gerenciamento para habilitar o upload do dispositivo usando as instruções abaixo:

1. No console de administrador do Gerenciador de Configurações, acesse Administração>Visão Geral>Serviços de Nuvem>Co-gerenciamento.

   • Para a versão 2103 e versões anteriores, selecione o nó Co-gerenciamento.

2. Na faixa de opções, selecione Propriedades para sua política de produção de co-gerenciamento.

3. Na guia Configurar upload, selecione Carregar para o Centro de Administração do Microsoft Endpoint Manager. Selecione Aplicar.

   • A configuração padrão para upload de dispositivo é Todos os meus dispositivos gerenciados pelo Microsoft Endpoint Configuration Manager. Se necessário, você pode limitar o upload a uma única coleção de dispositivos.
   • Quando uma única coleção é selecionada, suas coleções filhas também são carregadas.

4. Marque a opção Habilitar análise de ponto de extremidade para dispositivos carregados no Microsoft Endpoint Manager se você também quiser obter insights para otimizar a experiência do usuário final na análise de ponto de extremidade.

5. Marque a opção para Impor o Controle de Acesso baseado em Função para os dispositivos que carregam no serviço de nuvem. Por padrão, o RBAC do SCCM é imposto junto com o RBAC do Intune quando você carrega seus dispositivos do Gerenciador de Configurações para o serviço de nuvem. Portanto, a caixa de seleção está marcada por padrão. Se você quiser impor apenas o RBAC do Intune ou se estiver usando uma conta somente na nuvem, desmarque a opção.

6. Verifique a opção para Habilitar o Upload de dados do Microsoft Defender para Ponto de Extremidade para relatórios em dispositivos carregados no centro de administração do Microsoft Intune se você quiser usar relatórios de Segurança do Ponto de Extremidade no centro de administração do Intune

   Importante

   Quando você habilita o upload de dados de análise de ponto de extremidade, as configurações padrão do cliente são atualizadas automaticamente para permitir que os pontos de extremidade gerenciados enviem dados relevantes para o servidor do site do Gerenciador de Configurações. Se você usar configurações personalizadas do cliente, talvez seja necessário atualizá-las e implantá-las novamente para que a coleta de dados ocorra. Para obter mais informações sobre isso, bem como como configurar a coleta de dados, como limitar a coleta apenas a um conjunto específico de dispositivos, consulte a seção sobre como configurar a coleta de dados de análise de ponto de extremidade.

   

7. Entre com uma conta de Administrador Global quando solicitado.

   Importante

   A função de Administrador Global do Microsoft Entra é uma função altamente privilegiada e só deve ser usada quando outra função não puder ser usada. Esse recurso requer a função de Administrador Global. Para outros recursos, a Microsoft recomenda o uso de funções com o menor número de permissões. Para saber mais, consulte Fundamentos da administração baseada em funções do Gerenciador de Configurações.

8. Selecione Sim para aceitar a notificação Criar aplicativo do Microsoft Entra. Essa ação provisiona uma entidade de serviço e cria um registro de aplicativo do Microsoft Entra para facilitar a sincronização.

9. Clique em OK para sair das propriedades de co-gerenciamento depois de fazer alterações.

habilitar o carregamento do dispositivo quando o co-gerenciamento não estiver habilitado

Se você não tiver o cogerenciamento habilitado, use o Assistente de Configuração de Anexo de Nuvem para habilitar o carregamento de dispositivos. Você pode carregar seus dispositivos sem habilitar o registro automático para cogerenciamento ou alternar cargas de trabalho para o Intune. Todos os dispositivos gerenciados pelo Gerenciador de Configurações que têm Sim na coluna Cliente são carregados. Se necessário, você pode limitar o upload a uma única coleção de dispositivos. Se o co-gerenciamento já estiver habilitado em seu ambiente, Editar propriedades de co-gerenciamento para habilitar o upload do dispositivo. Antes de habilitar a anexação de locatário, verifique se os pré-requisitos para anexação de locatário foram atendidos.

Quando o co-gerenciamento não estiver habilitado, use as instruções abaixo para habilitar o upload do dispositivo:

1. No console de administrador do Gerenciador de Configurações, acesse Administração>Visão Geral>Serviços de Nuvem>Co-gerenciamento. Para a versão 2103 e versões anteriores, selecione o nó Co-gerenciamento.

   • A partir Gerenciador de Configurações versão 2111, a experiência de integração de anexação do locatário mudou. O assistente de anexação de nuvem facilita a habilitar a anexação do locatário e outros recursos da nuvem. Você pode escolher um conjunto simplificado de padrões recomendados ou personalizar seus recursos de anexação de nuvem. Para obter mais informações sobre como habilitar a anexação de locatário com o novo assistente, consulte Habilitar anexação de nuvem.

2. Na faixa de opções, selecione Configurar a Anexação da Nuvem para abrir o assistente. Para a versão 2103 e anteriores, selecione Configurar o co-gerenciamento para abrir o assistente.

3. Na página de integração, selecione AzurePublicCloud para seu ambiente. A Nuvem do Azure Governamental e Azure China 21Vianet não têm suporte.

   • A partir da versão 2107, os clientes do Governo dos EUA podem selecionar AzureUSGovernmentCloud.

4. Selecione Entrar e entre com a conta de Administrador Global .

   Importante

   A função de Administrador Global do Microsoft Entra é uma função altamente privilegiada e só deve ser usada quando outra função não puder ser usada. Esse recurso requer a função de Administrador Global. Para outros recursos, a Microsoft recomenda o uso de funções com o menor número de permissões. Para saber mais, consulte Fundamentos da administração baseada em funções do Gerenciador de Configurações.

5. Verifique se a opção Habilitar o centro de administração do Microsoft Endpoint Manager está selecionada na página Anexação da nuvem. Para a versão 2103 e versões anteriores, selecione a opção Carregar no centro de administração do Microsoft Endpoint Manager na página Integração de locatários.

   • A opção Habilitar o registro automático de cliente para co-gerenciamento não deverá estar marcada se você não desejar habilitar o co-gerenciamento agora. Se você quiser habilitar o cogerenciamento, selecione essa opção.
   • Se você habilitar o cogerenciamento junto com o upload do dispositivo, serão disponibilizadas páginas adicionais no assistente para serem concluídas. Para saber mais, confira Habilitar o co-gerenciamento.

   

6. Escolha Avançare Sim para aceitar a notificação Criar aplicativo do Microsoft Entra. Essa ação provisiona uma entidade de serviço e cria um registro de aplicativo do Microsoft Entra para facilitar a sincronização.

   • Opcionalmente, você pode importar um aplicativo do Microsoft Entra criado anteriormente durante a integração de conexão de locatário. Para obter mais informações, consulte a seção Importar um aplicativo do Microsoft Entra criado anteriormente.

7. Na página Configurar upload, defina a configuração de upload do dispositivo recomendada para Todos os meus dispositivos gerenciados pelo Microsoft Endpoint Configuration Manager. Se necessário, você pode limitar o upload a uma única coleção de dispositivos.

   • Quando uma única coleção é selecionada, suas coleções filhas também são carregadas.

8. Marque a opção Habilitar a análise de ponto de extremidade para dispositivos carregados no Microsoft Endpoint Manager se você também quiser obter insights para otimizar a experiência do usuário final na análise de ponto de extremidade.

9. Marque a opção para Impor o Controle de Acesso baseado em Função para os dispositivos que carregam no serviço de nuvem. Por padrão, o RBAC do SCCM é imposto junto com o RBAC do Intune quando você carrega seus dispositivos do Gerenciador de Configurações para o serviço de nuvem. Portanto, a caixa de seleção está marcada por padrão. Se você quiser impor apenas o RBAC do Intune ou se estiver usando uma conta somente na nuvem, desmarque a opção.

10. Verifique a opção para Habilitar o Upload de dados do Microsoft Defender para Ponto de Extremidade para relatórios em dispositivos carregados no centro de administração do Microsoft Intune se você quiser usar relatórios de Segurança do Ponto de Extremidade no centro de administração do Intune

11. Selecione Resumo para analisar sua seleção e, em seguida, escolha Avançar.

12. Quando o assistente for concluído, selecione Fechar.

Marcas de escopo

Os dispositivos anexados ao locatário recebem a marca de escopo padrão do Microsoft Intune. Se você remover a marca de escopo padrão de um dispositivo conectado ao locatário, o dispositivo não será exibido no centro de administração do Microsoft Intune. Atualmente, os dispositivos conectados ao locatário não podem receber marcas de escopo, ao contrário dos dispositivos cogerenciados.

No entanto, às vezes você não deseja que determinadas funções do Intune vejam dispositivos anexados ao locatário. Por exemplo, talvez você não queira que alguém com a função de Operador de Suporte Técnico do Intune veja os dispositivos anexados ao locatário porque são servidores. Nesses casos, crie ou use uma função personalizada no Intune que não tenha Padrão listado para suas Marcas de escopo. Ao criar funções personalizadas do Intune, lembre-se de que a marca de escopo padrão é adicionada automaticamente a todos os objetos não marcados.

Executar ações do dispositivo

1. Em um navegador, navegue até intune.microsoft.com

2. Selecione Dispositivos e depois Todos os dispositivos para ver os dispositivos carregados. Você verá ConfigMgr na coluna Gerenciado por para dispositivos carregados.

3. Selecione um dispositivo para carregar sua página Visão Geral.

4. Escolha uma das seguintes ações:

   • Política de Sincronização do Computador
   • Sincronizar a Política do Usuário
   • Ciclo de Avaliação do Aplicativo

   

Exibir o Gerenciador de Configurações do conector do console de administração

No centro de administração do Microsoft Intune, você pode examinar o status do conector do Gerenciador de Configurações. Para exibir o status do conector, acesse Administração de locatários>conectores e tokens>Microsoft Endpoint Configuration Manager. Selecione uma Gerenciador de Configurações para exibir informações adicionais sobre ela.

Veja recomendações e insights para enriquecer a experiência de gerenciamento de dispositivo e integridade do site do Gerenciador de Configurações

Você pode exibir recomendações e insights para seus sites do Gerenciador de Configurações. Essas recomendações podem ajudá-lo a melhorar a integridade e a infraestrutura do site e enriquecer a experiência de gerenciamento de dispositivos.

As recomendações incluem:

• Como simplificar sua infraestrutura
• Aprimorar o gerenciamento de dispositivos
• Fornecer informações sobre dispositivos
• Melhorar a integridade do site

Para exibir as recomendações, acesse Administração de > locatários Conectores e tokens > Microsoft Endpoint Configuration Manager e selecione um site para exibir recomendações para isso. Depois de selecionado, você encontrará a guia Recomendações que exibe cada insight junto com um link Saiba mais que abre detalhes sobre como aplicar essa recomendação.

Offboard da anexação de locatário

Embora possamos saber que os clientes obtêm um valor enorme ao habilitar o anexo de locatário, há casos raros em que talvez seja necessário transferir uma hierarquia. Você pode remover o console do Gerenciador de Configurações (método recomendado) ou do centro de administração do Microsoft Intune.

Remoção do console Gerenciador de Configurações

Quando a anexação de locatário já estiver habilitada, edite as propriedades de co-gerenciamento para desabilitar o carregamento e a remoção do dispositivo.

1. No console de administrador do Gerenciador de Configurações, acesse Administração>Visão Geral>Serviços de Nuvem>Co-gerenciamento.
   • Para a versão 2103 e versões anteriores, selecione o nó Co-gerenciamento.
2. Na faixa de opções, selecione Propriedades para sua política de produção de co-gerenciamento.
3. Na guia Configurar upload, remova a seleção Carregar para o Centro de Administração do Microsoft Endpoint Manager.
4. Selecione Aplicar.

Remoção do centro de administração do Microsoft Intune

Se necessário, você pode remover uma hierarquia do Gerenciador de Configurações do centro de administração do Microsoft Intune. Por exemplo, talvez seja necessário remover do centro de administração após um cenário de recuperação de desastre em que o ambiente local foi removido. Siga as etapas abaixo para remover a hierarquia do Gerenciador de Configurações do centro de administração do Microsoft Intune:

1. Entre no Centro de administração do Microsoft Intune.
2. Selecione Administração de locatário e, em seguida, Conectores e tokens.
3. Selecione Microsoft Endpoint Configuration Manager.
4. Escolha o nome do site que você gostaria de remover e, em seguida, selecione Excluir.
   • O conector pode estar listado como Desconhecido se as informações do site estiverem ausentes.

Quando você remove uma hierarquia do centro de administração, pode levar até duas horas para removê-la do centro de administração do Microsoft Intune. Se você remover um Gerenciador de Configurações 2103 ou posterior que esteja online e íntegro, o processo poderá levar apenas alguns minutos.

Importar um aplicativo do Microsoft Entra criado anteriormente (opcional)

Durante uma nova integração, um administrador pode especificar um aplicativo criado anteriormente durante a integração à anexação de locatário. Não compartilhe ou reutilize aplicativos do Microsoft Entra em várias hierarquias. Se você tiver várias hierarquias, crie aplicativos do Microsoft Entra separados para cada uma.

Na página de integração do Assistente de Configuração de Anexo em Nuvem (Assistente de Configuração de Cogerenciamento nas versões 2103 e anteriores), selecione Opcionalmente, importe um aplicativo Web separado para sincronizar os dados do cliente do Gerenciador de Configurações com o centro do Microsoft Intune Endpoint Manager. Essa opção solicitará que você especifique as seguintes informações para seu aplicativo do Microsoft Entra:

• Nome do locatário do Microsoft Entra
• ID do locatário do Microsoft Entra
• Nome do aplicativo
• ID do cliente
• Chave secreta
• Vencimento da chave secreta
• URI da ID do Aplicativo

Permissões e configuração do aplicativo Microsoft Entra

O uso de um aplicativo criado anteriormente durante a integração à anexação de locatário requer as seguintes permissões:

• Permissões do Micro-serviço do Gerenciador de Configurações:

  • CmCollectionData.read
  • CmCollectionData.write

• Permissões do Microsoft Graph:

  • Permissão para aplicativos Directory.Read.All
  • Permissão do diretório delegado Diretório.Read.All

• Certifique-se de que a opção Conceder consentimento de administrador para Locatário esteja selecionada para o aplicativo Microsoft Entra. Para obter mais informações, consulte Conceder consentimento do administrador no Registros de aplicativo.

• O aplicativo importado precisa ser configurado da seguinte maneira:

  • Registrado para Somente contas neste diretório organizacional. Para obter mais informações, consulte Alterar quem pode acessar seu aplicativo.
  • Tem um URI de ID de aplicativo e um segredo válidos.

Próximas etapas

• Registrar Gerenciador de Configurações dispositivos na Análise de ponto de extremidade
• Para obter informações sobre os arquivos de log de anexação de locatário, consulte Solução de problemas de anexação de locatário.