Perguntas, respostas e cenários comuns com políticas e perfis no Microsoft Intune

Importante

Em 22 de outubro de 2022, o Microsoft Intune encerrou o suporte para dispositivos que executam o Windows 8.1. A assistência técnica e as atualizações automáticas para esses dispositivos não estão disponíveis.

Obtenha respostas para perguntas comuns ao trabalhar com políticas no Intune. Este artigo também lista os intervalos de tempo de check-in, fornece mais detalhes sobre conflitos e muito mais.

Este artigo se aplica às seguintes políticas:

  • Políticas de proteção de aplicativos
  • Políticas de configuração do usuário
  • Políticas de conformidade
  • Políticas de Acesso Condicional
  • Perfis de configuração do dispositivo
  • Políticas de registro

Intervalos de atualização de políticas

Quando um dispositivo é sincronizado com o Intune, ele verifica a configuração do usuário atual ou contexto do dispositivo e recebe todas as ações, políticas e aplicativos pendentes atribuídos a ele.

Para os intervalos de atualização da política de proteção de aplicativos, vá para Tempo de entrega da Política de Proteção de Aplicativo.

Há três tipos principais de sincronizações de dispositivo: baseada em alterações, iniciada pelo cliente e dispositivo único.

Baseado em alterações

Essas sincronizações acontecem quando diferentes ações disparam uma notificação para o dispositivo sincronizar. Por exemplo, uma sincronização é disparada quando uma política, perfil ou aplicativo é atribuído (ou não atribuído), atualizado ou excluído. Ou, quando são feitas alterações como atualizações de associação de grupo do Microsoft Entra. Alterações como adicionar um aplicativo como disponível não causam uma notificação imediata aos dispositivos.

O Intune notifica os dispositivos online para sincronizar com o serviço do Intune. Os tempos de notificação podem variar de imediatamente até algumas horas. Eles também podem variar entre plataformas. Para saber mais, confira:

Um dispositivo offline, como quando está desligado ou um dispositivo desconectado, pode não receber as notificações. Nesse caso, o dispositivo obtém a política ou o perfil em sua próxima sincronização com o Intune.

Observação

Iniciado pelo cliente

As seguintes sincronizações de cliente ocorrem em resposta a um evento de dispositivo ou alteração de estado, como quando um usuário entra no dispositivo ou se o status do malware é alterado:

  • Sincronizações de manutenção – essas sincronizações incluem um grande número de sincronizações iniciadas pelo cliente e ocorrem em intervalos predeterminados. O cliente ou serviço pode iniciar a sincronização, dependendo da plataforma. O horário de marcar check-in estimado para todas as plataformas é a cada 8 horas.

    Independente da programação do cliente, os dispositivos só têm permissão para uma sincronização de manutenção a cada 6,5 horas.

  • Dispositivos recém-registrados - Quando os dispositivos são registrados pela primeira vez, as sincronizações são executadas com mais frequência para executar verificações de configuração, conformidade e não conformidade. Os check-ins são estimados em:

    Plataforma Ciclo de atualização estimado
    Android, AOSP A cada três minutos por 15 minutos e, depois, a cada 15 minutos por duas horas e, depois, a cada oito horas
    iOS/iPadOS A cada 15 minutos por uma hora e, depois, a cada oito horas
    macOS A cada 15 minutos por uma hora e, depois, a cada oito horas
    Windows A cada três minutos por 15 minutos e, depois, a cada 15 minutos por duas horas e, depois, a cada oito horas

Dispositivo único

Administradores ou usuários finais iniciam esses marcar-ins quando executam determinadas ações em um único dispositivo:

Portal da empresa

A qualquer momento, os usuários podem abrir o aplicativo do Portal da Empresa e navegar atéVerificação de status de dispositivos> para avaliar as configurações do dispositivo e verificar o acesso a recursos corporativos ou de estudante ou navegar atéSincronização de configurações> para obter as atualizações, requisitos e comunicações mais recentes de sua organização.

Para obter informações relacionadas sobre o agente da Extensão de Gerenciamento do Intune ou aplicativos Win32, confira Gerenciamento de aplicativos Win32 no Microsoft Intune.

Para obter informações relacionadas, consulte Sincronizar dispositivo registrado para Windows e Verificar o acesso ao dispositivo no Portal da Empresa para Windows.

Conflitos

Podem ocorrer conflitos quando políticas diferentes atualizam a mesma configuração para valores diferentes. Por exemplo, você tem duas políticas que atualizam a configuração de cópia/colagem para valores diferentes. O conflito é tratado de forma diferente, dependendo do tipo de política.

Se você usar o Microsoft Copilot no Intune, o Copilot poderá ajudar você a resolver conflitos. Para obter mais informações, vá para Gerenciamento de políticas e configurações no Copilot no Intune.

Você também pode usar o Microsoft Copilot no Intune para obter mais informações sobre suas políticas e as configurações definidas em suas políticas.

Políticas de proteção de aplicativos que entram em conflito

Os valores referentes a conflitos são as configurações mais restritivas disponíveis em uma política de proteção de aplicativos. A exceção são os campos de entradas numéricas, como tentativas de digitar o PIN antes de uma reinicialização. Os campos de entradas numéricas são configurados da mesma forma que os valores, como se você tivesse criado uma política de MAM usando a opção “configurações recomendadas”.

Ocorrem conflitos quando duas configurações de perfil são iguais. Por exemplo, você configurou duas políticas de MAM idênticas, exceto pela configuração de copiar/colar. Nesse cenário, a configuração para cópia/colar é definida como o valor mais restritivo. As demais configurações se aplicam conforme o configurado.

Uma política é implantada para o aplicativo e entra em vigor. Uma segunda política é implantada. Nesse cenário, a primeira política tem precedência e continua sendo aplicada. A segunda política mostra um conflito. Se as duas são aplicadas ao mesmo tempo, o que significa que não há uma política anterior, as duas ficam em conflito. As configurações conflitantes são definidas para os valores mais restritivos.

Políticas de conformidade e configuração de dispositivos que entram em conflito

Quando duas ou mais políticas são atribuídas ao mesmo usuário ou dispositivo, a configuração que se aplica acontece no nível da configuração individual:

  • Se você usar políticas de conformidade para avaliar as configurações do dispositivo, as configurações na política de conformidade terão precedência sobre a mesma configuração nas políticas de configuração do dispositivo. As configurações da política de conformidade sempre têm precedência sobre as definições da configuração do perfil.

  • Se uma política de conformidade é avaliada em relação à mesma configuração em outra política de conformidade, a configuração de política de conformidade mais restritiva é aplicada.

  • Se a definição de uma política de configuração está em conflito com uma configuração em outra política de configuração, esse conflito é exibido no Intune. Resolva esses conflitos manualmente.

No centro de administração do Intune, há alguns locais em que você pode criar políticas de configuração, incluindo análise de Política de Grupo, segurança de ponto de extremidade, linhas de base de segurança e muito mais. Se houver um conflito e você tiver várias políticas, verifique todos os locais em que configurou as políticas. Além disso, os recursos de relatórios internos podem ajudar com os conflitos. Para obter mais informações sobre os relatórios disponíveis, acesse Relatórios do Intune.

Políticas personalizadas do iOS/iPadOS ou macOS que entram em conflito

O Intune não avalia o conteúdo dos arquivos de Configuração da Apple nem uma política personalizada de OMA-URI (Uniform Resource Identifier da Open Mobile Alliance). Ele simplesmente serve como o mecanismo de entrega.

Ao atribuir uma política personalizada, confirme se as configurações definidas não entram em conflito com as políticas de conformidade e de configuração ou com outras políticas personalizadas. Se uma política personalizada e suas configurações entrarem em conflito, a Apple aplicará as configurações aleatoriamente.

Os recursos de relatórios internos podem ajudar com os conflitos. Para obter mais informações sobre os relatórios disponíveis, acesse Relatórios do Intune.

Um perfil foi excluído ou não é mais aplicável

Quando você exclui um perfil ou remove um dispositivo de um grupo atribuído ao perfil, o perfil e as configurações são removidos do dispositivo. Especificamente, são removidos conforme descrito na lista a seguir:

  • Perfis de email, certificado, VPN e Wi-Fi: esses perfis são removidos de todos os dispositivos registrados com suporte.

  • Todos os outros tipos de perfil:

    • Dispositivos Android: As configurações não são removidas do dispositivo.

    • iOS/iPadOS: todas as configurações são removidas, exceto:

      • Permitir roaming de voz
      • Permitir roaming de dados
      • Permitir sincronização automática durante roaming

    • Dispositivos Windows: Depois de remover ou cancelar a atribuição do perfil, faça com que o usuário do Microsoft Entra entre no dispositivo e sincronize com o serviço Intune.

      As configurações do Intune se baseiam em CSPs (provedor de serviços de configuração) do Windows. O comportamento depende do CSP. Alguns CSPs removem a configuração, enquanto outros mantêm a configuração, também chamada de tattooing.

  • Um perfil se aplica a um grupo de usuários. Posteriormente, um usuário é removido do grupo. Para que as configurações sejam removidas desse usuário, pode levar até 7 horas ou mais para:

Alterei um perfil de restrição de dispositivo, mas as alterações não entraram em vigor

Para aplicar um perfil menos restritivo, alguns dispositivos talvez precisem ser desativados e registrados novamente no Intune. Por exemplo, talvez seja necessário desativar e registrar novamente os dispositivos clientes Android, iOS/iPadOS e Windows.

Algumas configurações em um perfil do Windows retornam "Não aplicável"

Algumas configurações em dispositivos clientes Windows podem ser exibidas como Não Aplicáveis. Quando essa situação acontecer, a configuração específica não será compatível com a versão ou edição do Windows em execução no dispositivo. Essa mensagem pode ocorrer pelos seguintes motivos:

  • A configuração só está disponível para versões mais recentes do Windows, não para a versão atual de sistema operacional do dispositivo.
  • A configuração só está disponível para edições ou SKUs específicos do Windows, como Home, Professional, Enterprise e Education.

Para saber mais sobre os requisitos de versão e edição para as diferentes configurações, consulte a referência Provedor de Serviços de Configuração (CSP).

Quando os dispositivos se registram, há um atraso na aplicação de aplicativos e políticas atribuídos a grupos dinâmicos de dispositivos

Durante o registro, você pode usar grupos de dispositivos dinâmicos do Microsoft Entra para direcionar aplicativos e políticas. Por exemplo, você pode criar um grupo dinâmico de dispositivos com base no nome ou no perfil de registro de um dispositivo.

A associação dinâmica a um grupo requer processamento adicional depois que um dispositivo é registrado. Até que o dispositivo seja adicionado ao grupo, os aplicativos e as políticas atribuídos a esse grupo não serão entregues. As políticas podem não ser aplicadas até o próximo check-in agendado.

Se a entrega rápida de aplicativos e políticas for importante para seu cenário de registro, considere estas alternativas:

  • Grupos de usuários — Atribua aplicativos e políticas a grupos de usuários em vez de grupos dinâmicos de dispositivos. Os grupos de usuários são preenchidos previamente com membros antes da configuração do dispositivo e não dependem do processamento de associação de grupo pós-registro.

  • Filtros de atribuição — Use filtros de atribuição para direcionar dispositivos com base em propriedades como tipo de sistema operacional, fabricante ou perfil de inscrição. Os filtros são avaliados diretamente no check-in no marca-in do dispositivo, sem depender do processamento da associação ao grupo. Aplique filtros a grupos amplos, como Todos os dispositivos , para uma entrega de política rápida e previsível durante o registro.

  • Agrupamento de tempo de registro — se você precisar continuar usando grupos de dispositivos para direcionamento de registro, o agrupamento de tempo de registro adicionará dispositivos a um grupo de segurança durante o registro, em vez de depois, para que os aplicativos e as políticas atribuídos a esse grupo sejam entregues no primeiro marcar.

Para obter mais informações sobre grupos dinâmicos, acesse:

A política de conformidade do dispositivo não atribuído ainda está atribuída e aplicada

Quando você cancela a atribuição de uma política de conformidade de um dispositivo e seu usuário associado, a política ainda pode aparecer como sendo atribuída na Conformidade de Dispositivos > do centro > de administração do Intune.

A política continua a ser atribuída e em vigor até que o dispositivo seja sincronizado com o serviço do Intune. Este é o comportamento padrão.

Você também pode sincronizar o dispositivo manualmente.

Para saber mais, confira:

Erro "A sincronização não pôde ser iniciada (0x80072f9a)"

Em dispositivos Windows, ao tentar sincronizar no aplicativo >ConfiguraçõesContas>acessam trabalho ou escola, você pode ver um The sync could not be initiated (0x80072f9a) erro.

Se o TPM (Trusted Platform Module) foi redefinido para as configurações de fábrica, o dispositivo deverá ser registrado novamente para retomar a sincronização. A identidade do dispositivo do Microsoft Entra é armazenada no TPM. Portanto, se a ID for removida, o novo registro será a única maneira de restabelecer a identidade do Microsoft Entra.

  • Last updated on