部署指南：管理執行 Windows 的裝置

本指南描述如何使用 Microsoft Intune 保護和管理 Windows 應用程式和端點，並包含從先決條件到註冊的設定建議和資源。

針對本指南中的每個區段，檢閱相關的工作。 有些工作是必要的，有些工作如設定 Microsoft Entra 條件式存取是選擇性的。 選取每個章節中提供的連結，移至我們在 Microsoft Learn 上建議的說明文件，您可以在其中找到更詳細的資訊和操作說明。

步驟 1：必要條件

請完成下列必要條件，以啟用租用戶的端點管理功能：

建議您使用完成工作所需的最低權限角色。 例如，可完成裝置註冊工作的最低權限角色是內建原則和設定檔管理員 Intune 角色。

如需內建角色及其功能詳細資訊，請參閱具有Intune和內建角色權限的 RBAC) 角色型存取控制 ( 和 Intune 的內建角色權限。

如需有關如何準備貴組織、上線或採用 Intune 進行行動裝置管理的詳細資訊與建議，請參閱移轉指南：設定或移至 Microsoft Intune。

步驟 2：規劃部署

使用 Microsoft Intune 規劃指南來定義您的裝置管理目標、使用案例案例和需求。 使用指南來規劃推出、通訊、支援、測試和驗證。 例如，在某些情況下，當員工和學生註冊其裝置時，您不必在場。 我們建議您制定通訊方案，讓使用者知道在何處可以找到安裝及使用 Intune 公司入口網站的相關資訊。

如需詳細資訊，請參閱 Microsoft Intune 規劃指南。

步驟 3：建立合規性原則

使用合規性原則來確保存取您資料的裝置是安全的，並符合貴組織的標準。 註冊程序的最後階段是合規性評估，以驗證裝置上的設定符合您的原則。 裝置使用者必須解決所有合規性問題，才能存取受保護的資源。 Intune 將未符合合規性需求的裝置標記為不符合規範，並根據您的不合規設定動作採取其他動作，例如傳送通知、限制存取或抹除裝置) (。

您可以使用 Microsoft Entra 條件式存取原則與裝置合規性原則結合使用，以控制對 Windows 電腦、公司電子郵件和 Microsoft 365 服務的存取。 例如，您可以建立原則，禁止員工在未先註冊或保護其裝置的情況下存取 Edge 中的 Microsoft Teams。

提示

如需裝置合規性原則的概觀，請參閱 合規性概觀。

工作 詳細資料
建立合規性原則 取得有關如何建立合規性原則並將其指派給使用者和裝置群組的逐步指導方針。
新增不合規定的動作 選擇當裝置不再符合合規性原則的條件時會採取的動作。 動作範例包括傳送警示、遠端鎖定裝置或淘汰裝置。 您可以在設定裝置合規性原則時或稍後編輯原則來新增不符合規範的動作。
建立以裝置或應用程式為基礎的條件式存取原則 選取您要保護的應用程式或服務，並定義存取條件。
封鎖對不使用新式驗證的應用程式的存取 建立以應用程式為基礎的條件式存取原則，以封鎖使用 OAuth2 以外的驗證方法的應用程式;例如，使用基本和表單型驗證的應用程式。 不過，在您封鎖存取之前，請登入 Microsoft Entra ID 並檢閱驗證方法活動報告，以查看使用者是否使用基本驗證來存取您忘記或不知道的基本事項。 例如，會議室行事曆 Kiosk 之類的項目會使用基本驗證。
新增自訂合規性設定 使用自訂合規性設定，您可以撰寫自己的 Bash 指令碼來解決 Microsoft Intune 內建的裝置合規性選項中尚未包含的合規性案例。 本文說明如何建立、監視及疑難排解 Windows 裝置的自訂合規性原則。 自訂合規性設定需要您 建立自訂指令碼 來識別設定和值組。

步驟 4：設定端點安全性

使用 Intune 端點安全性功能來設定裝置安全性，並管理有風險之裝置的安全性工作。

工作 詳細資料
使用端點安全性功能管理裝置 使用 Intune 中的端點安全性設定，有效管理裝置安全性並補救裝置問題。
新增端點保護設定 設定常見的端點保護安全性功能，例如防火牆、BitLocker 和 Microsoft Defender。 如需此區域中設定的描述，請參閱 Endpoint Protection 設定參考。
在 Intune 中設定適用於端點的 Microsoft Defender 當您將 Intune 與 適用於端點的 Microsoft Defender 整合時，您不僅可以協助防止安全性缺口，還可以利用 適用於端點的 Microsoft Defenders 威脅 & 弱點管理 (TVM) ，並使用Intune修復 TVM 識別的端點弱點。
管理 BitLocker 原則 建立在受管理裝置上設定 BitLocker 的原則，確保裝置在註冊時加密。
管理安全性基準設定檔 使用 Intune 中的安全性基準來協助您保護使用者和裝置。 安全性基準包含影響安全性之設定的最佳做法和建議。
針對軟體更新使用 Windows Update 用戶端原則 使用 Windows Update 用戶端原則設定 Windows Update 推出策略。 本文介紹可用於管理 Windows 軟體更新的原則類型，以及如何從更新通道延遲轉換到功能更新原則。

步驟 5：設定裝置設定

使用 Microsoft Intune 啟用或停用裝置上的 Windows 設定和功能。 若要設定並強制執行這些設定，請建立裝置組態設定檔，然後將該設定檔指派給組織中的群組。 裝置在註冊之後會收到設定檔。

工作 詳細資料
建立裝置設定檔 在 Microsoft Intune 中建立裝置設定檔，並尋找所有裝置設定檔類型的相關資源。
設定裝置設定 使用設定類別目錄來設定 Microsoft Intune 中的設定。 設定目錄包含數百個您可以針對 Microsoft Edge、OneDrive、遠端桌面、Office 應用程式等進行設定的設定。 這些設定與 群組原則 Objects (GPO) 具有類似的感覺，而且它們 100% 以雲端為基礎。
設定 Wi-Fi 設定檔 此個人檔案可讓人員尋找並連線到貴組織的 Wi-Fi 網路。 如需此區域中設定的描述，請參閱 Windows 的 Wi-Fi 設定參考。
設定 VPN 設定檔 為連線至貴組織網路的人員設定安全的 VPN 選項，例如 Microsoft 通道。 如需此區域中設定的描述，請參閱 VPN 設定參考。
設定電子郵件設定檔 設定電子郵件設定，讓人員可以連線到郵件伺服器，並存取其公司或學校電子郵件。 如需此區域中設定的描述，請參閱 電子郵件設定參考。
限制裝置功能 限制使用者在公司或學校可以使用的裝置功能，以保護使用者免於未經授權的存取和干擾。 如需此區域中設定的描述，請參閱 Windows 的裝置限制參考。
設定自訂設定檔 新增並指派非內建於 Intune 的裝置設定和功能。 如需此區域中設定的描述，請參閱 自訂設定參考。
設定 BIOS 設定 設定Intune，以便您可以使用裝置韌體組態介面 (DFCI) ，在已註冊的裝置上控制 UEFI (BIOS) 設定
設定網域加入 如果您打算註冊加入 Microsoft Entra 的裝置，請務必建立網域加入設定檔，讓 Intune 知道要加入哪個內部部署網域。
設定傳遞最佳化設定 使用這些設定可減少裝置下載應用程式和更新的頻寬耗用。
自訂品牌和註冊體驗 使用貴組織自己的文字、品牌、畫面喜好設定和連絡資訊，自訂 Intune 公司入口網站和 Microsoft Intune 應用程式體驗。
設定 Kiosk 和專用裝置 建立 kiosk 設定檔以管理在 kiosk 模式中執行的裝置。
自訂共用裝置 控制共用或多使用者裝置上的存取、帳戶和電源功能。
設定網路邊界 建立網路邊界設定檔，以保護您的環境不受您不信任的網站侵害。
設定 Windows 健康情況監視 建立 Windows 健康情況監視設定檔，讓 Microsoft 收集效能相關資料並提供改善建議。 建立設定檔會啟用 Microsoft Intune 中的端點分析功能，該功能可分析收集的資料、建議軟體、協助改善啟動效能，並修正常見的支援問題。
設定學生的 [進行測驗] 應用程式 為在已註冊裝置上參加測試或考試的學生設定 [進行測驗] 應用程式。
設定 eSim 行動數據設定檔 您可以為支援 eSIM 功能的裝置設定 eSIM，例如 Surface LTE Pro，以透過行動數據連線連接到網際網路。 這種配置非常適合需要在旅行時保持聯繫和靈活性的全球旅行者，並且無需 SIM 卡。

步驟 6：設定安全驗證方法

在 Intune 中設定驗證方法，以確保只有授權人員才能存取您的內部資源。 Intune 支援多重要素驗證、憑證和衍生認證。 憑證也可用於使用 S/MIME 簽署和加密電子郵件。

工作 詳細資料
要求多重要素驗證 (MFA) 要求人員在裝置註冊時提供兩種形式的認證。 此原則與 Microsoft Entra 條件式存取原則搭配使用。
建立受信任的憑證設定檔 在建立 SCEP、PKCS 或 PKCS 匯入的憑證設定檔之前，請先建立和部署受信任的憑證設定檔。 受信任的憑證設定檔會使用 SCEP、PKCS 和 PKCS 匯入的憑證，將受信任的根憑證部署至裝置和使用者。
搭配 Intune 使用 SCEP 憑證 了解搭配 Intune 使用 SCEP 憑證所需的項目，並設定所需的基礎結構。 然後，您可以 建立 SCEP 憑證設定檔 ，或 使用 SCEP 設定協力廠商憑證授權單位。
搭配 Intune 使用 PKCS 憑證 設定必要的基礎結構 (，例如) 內部部署憑證連接器、匯出 PKCS 憑證，以及將憑證新增至 Intune 裝置組態設定檔。
搭配 Intune 使用匯入的 PKCS 憑證 設定匯入的 PKCS 憑證，讓您 設定並使用 S/MIME 加密電子郵件。
設定衍生憑證簽發者 使用衍生自使用者智慧卡的憑證來佈建 Windows 裝置。
整合 Windows Hello 企業版與 Microsoft Intune 建立 Windows Hello 企業版原則，以在裝置註冊期間啟用或停用 Windows Hello 企業版。 Hello 企業版是替代登入方法，它使用 Active Directory 或 Microsoft Entra 帳戶來取代密碼、智慧卡或虛擬智慧卡。

步驟 7：部署應用程式

當您設定應用程式和應用程式原則時，請考慮貴組織的需求，例如您將支援的平台、人員執行的工作、完成這些工作所需的應用程式類型，以及需要這些需求的人員。 您可以使用 Intune 來管理整個裝置 (包括應用程式) ，或使用 Intune 只管理應用程式。

工作 詳細資料
新增企業營運應用程式 將 Windows 企業營運 (LOB) 應用程式新增至Intune並指派給群組。
新增 Microsoft Edge 新增並指派 Windows 版 Microsoft Edge。
從 Microsoft Store 新增 Intune 公司入口網站應用程式 手動新增並指派 Intune 公司入口網站應用程式做為必要應用程式。
新增適用於 Windows Autopilot 的 Intune 公司入口網站應用程式 將公司入口網站應用程式新增至由 Windows Autopilot 佈建的裝置。
新增 Microsoft 365 應用程式 新增 Microsoft 365 Apps 企業版。
將 App 指派給群組 將應用程式新增至 Intune 之後，請將它們指派給使用者和裝置。
包含及排除應用程式指派 透過在作業中包含和排除選取的群組，控制應用程式的存取權和可用性。
使用 PowerShell 指令碼 上傳 PowerShell 指令碼以擴充 Intune 中的 Windows 裝置管理功能，並更輕鬆地移至新式管理。

步驟 8：註冊裝置

在註冊期間，裝置會向 Microsoft Entra ID 註冊，並評估合規性。 如需每個註冊方法以及如何選擇適合您組織的註冊方法的詳細資訊，請參閱 Microsoft Intune 的 Windows 裝置註冊指南。

工作 詳細資料
啟用 MDM 自動註冊 啟用自動註冊以簡化註冊，這會自動在 Intune 中註冊加入或註冊您的 Microsoft Entra ID 的裝置。 自動註冊簡化了 Windows Autopilot 部署、BYOD 註冊、使用群組原則註冊，以及透過佈建套件進行大量註冊。
啟用 MDM 伺服器的自動探索 如果您沒有 Microsoft Entra ID P1 或 P2，建議您為 Intune 註冊伺服器建立 CNAME 記錄類型。 CNAME 記錄會將註冊要求重新導向至正確的伺服器，如此一來，註冊使用者就不需要手動輸入伺服器名稱。
Windows Autopilot 案例 透過將 Microsoft Intune 裝置註冊設定為在 Windows Autopilot 期間自動執行，以簡化您和您的使用者的使用者驅動或自我部署 OOBE。
使用 Windows Autopilot 註冊 Microsoft Entra 混合式加入裝置 適用於 Active Directory 的 Intune 連接器可讓 Active Directory 網域服務中的裝置加入 Microsoft Entra ID，然後自動在 Intune 中註冊。 針對使用 Active Directory 網域服務且目前無法將其身分識別移至 Microsoft Entra ID 的內部部署環境，我們建議使用此註冊選項。
使用群組原則註冊裝置 使用群組原則觸發自動註冊 Intune。
大量註冊裝置 在 Windows Configuration Designer 中建立佈建套件，可將大量新的 Windows 裝置加入 Microsoft Entra ID，並將它們註冊到 Intune。
設定註冊狀態頁面 (ESP) 使用自訂設定建立註冊狀態頁面設定檔，引導使用者完成裝置設定和註冊。
變更裝置擁有權標籤 註冊裝置之後，您可以在 Intune 中將裝置擁有權標籤變更為公司擁有或個人擁有。 此調整會變更您管理裝置的方式，並可在 Intune 中啟用更多管理和識別功能，或限制它們。
疑難排解註冊問題 對註冊期間發生的問題進行疑難排解並尋找解決方案。

步驟 9：執行遠端動作

設定裝置之後，您可以使用支援的遠端動作來遠距管理和疑難排解裝置。 下列文章將向您介紹 Windows 的遠端動作。 如果入口網站中缺少或停用某個動作，則 Windows 不支援該動作。

工作 詳細資料
在裝置上採取遠端動作 了解如何向下切入並遠端管理和疑難排解 Intune 中的個別裝置。 本文列出 Intune 中可用的所有遠端動作，以及這些程式的連結。
使用 TeamViewer 遠端管理 Intune 裝置 在 Intune 中設定 TeamViewer，並瞭解如何遠端管理裝置。
使用安全性工作檢視威脅和弱點 使用 Intune 修復適用於端點的 Microsoft Defender 所識別的端點弱點，適用於端點的 Microsoft Defender。 您必須先將適用於端點的 Microsoft Defender 與 Intune 整合，才能使用安全性工作。

步驟 10：協助員工和學生

本節中的資源位於 Microsoft Intune 使用者說明文件中。 本文件適用於員工、學生和其他要註冊個人或公司提供的裝置的 Intune 授權裝置使用者。 文件連結可在整個 Intune 公司入口網站應用程式中使用，並指向以下相關資訊：

  • 註冊方法，包含如何註冊的逐步解說
  • 公司入口網站設定和功能
  • 如何取消註冊和移除儲存的資料
  • 更新裝置設定以符合合規性需求
  • 如何回報應用程式問題

提示

讓組織的作業系統需求和裝置密碼需求很容易在網站上或上線電子郵件中找到，員工就不需要延遲註冊來尋找該資訊。

工作 詳細資料
安裝適用於 Windows 的 Intune 公司入口網站應用程式 了解從何處取得公司入口網站應用程式以及如何登入。
更新公司入口網站應用程式 本文說明如何安裝最新版的公司入口網站，以及如何開啟自動應用程式更新。
註冊裝置 本文說明如何註冊執行 Windows 的個人裝置。
取消註冊裝置 本文說明如何從 Intune 取消註冊裝置，以及如何刪除公司入口網站儲存的快取和記錄。

後續步驟

  • 上次更新時間：