Windows 企業版多工作階段遠端桌面

使用 Microsoft Intune 的 Azure 虛擬桌面多方工作階段現已正式運作。

您現在可以使用 Microsoft Intune 在 Microsoft Intune 系統管理中心管理 Windows 企業版多工作階段遠端桌面，就像管理共用的 Windows 用戶端裝置一樣。 管理這類虛擬機器 (虛擬機器) 時，您可以使用以裝置為目標的裝置型組態，或以使用者為目標的使用者型組態。

Windows 企業版多重工作階段是 Azure 上虛擬桌面專屬的新遠端桌面工作階段主機，Azure。 它提供下列好處：

• 允許多個同時使用者工作階段。
• 提供使用者熟悉的 Windows 體驗。
• 支援使用現有的每位使用者 Microsoft 365 授權。

您可以管理在美國Government Community (GCC) 、GCC High 和 DoD 的 Azure Government Cloud 中建立的 Windows 企業版多工作階段 VM。

概觀

Microsoft Intune 中適用於 Windows 企業多重工作階段的裝置設定支援已 (GA) 正式推出。 這表示，在作業系統領域中定義的原則，以及設定為在系統內容中安裝的應用程式，指派給裝置群組時，可以套用至 Azure 虛擬桌面多工作階段 VM。

適用於 Windows 企業多工作階段 VM 的 Microsoft Intune 使用者設定支援現已正式推出。 藉此，您可以：

• 使用 [設定 目錄] 設定使用者範圍原則，並指派給使用者群組。 您可以使用搜尋列來搜尋範圍設定為 “使用者” 的所有設定。

• 設定使用者憑證並指派給使用者。

• 設定 PowerShell 指令碼以安裝在使用者內容中。

必要條件

此功能支援 Windows Enterprise 多重工作階段 VM，這些為：

• 在已透過 Azure Resource Manager 部署的集區主機集區中設定為遠端桌面平台。
• 在與 Intune 相同的租用戶下。
• 執行 1.0.2944.1400 版或更新版本的 Azure 虛擬桌面代理程式。
• 使用下列其中一種方法，混合加入 Microsoft Entra 並在 Microsoft Intune 註冊：
  • 使用 Active Directory 群組原則設定，設定為使用裝置認證，並設定為自動註冊加入 Microsoft Entra 混合式聯結的裝置。
  • 設定管理員 共同管理。
• Microsoft Entra透過在Azure 入口網站中啟用使用 Intune 註冊 VM 來加入並註冊 Microsoft Intune。
• 授權：如果使用者或裝置直接或間接受益於 Microsoft Intune 服務，包括透過 Microsoft API 存取Microsoft Intune服務，則需要適當的Azure虛擬桌面和Microsoft Intune授權。 如需詳細資訊，請移至 Microsoft Intune 授權。
• 如需 Azure 虛擬桌面授權需求的詳細資訊，請參閱授權 Azure 虛擬桌面。

限制

Intune 不支援使用已註冊電腦的複製映像。 這包括實體和虛擬裝置，例如 Azure 虛擬桌面 (AVD) 。 在裝置之間複寫裝置註冊或身分識別權杖時，Intune 裝置註冊或同步將會失敗。

• 如需詳細資訊，請參閱行動 裝置註冊 - Windows 用戶端管理 和 憑證驗證裝置註冊 - Windows 用戶端管理。
• 如需疑難排解映像複製相關問題的相關資訊，請參閱 錯誤 hr 0x8007064c：電腦已註冊。

Windows 企業版多工作階段 VM 會被視為個別的作業系統版本，此版本不支援某些 Windows 企業版設定。 使用 Microsoft Intune 不會依賴或干擾相同 VM 的 Azure 虛擬桌面管理。

建立組態設定檔

若要設定 Windows 企業版多工作階段 VM 的設定原則，請使用 Microsoft Intune 系統管理中心的 [設定] 目錄。

Windows 企業版多工作階段 VM 僅支援下列組態設定檔範本：

• 信任的憑證 - 裝置 (裝置為目標時) 機器，當以使用者為目標時，使用者為目標使用者時
• SCEP 憑證 - 裝置 (當以裝置為目標時為目標，而當使用者為目標時，機器) 為目標
• PKCS 憑證 - 當以裝置為目標時，裝置 (機器) ，而當使用者為目標使用者時，則為裝置
• VPN - 僅限裝置通道

Microsoft Intune 不會傳遞不支援的範本至多工作階段裝置，且這些原則會在報告中顯示為不適用。

若要設定原則

1. 登入 Microsoft Intune 系統管理中心，然後選擇 [依>平台裝置]、[依平台>]Windows>[管理裝置>設定>] [建立>新原則]。
2. 針對 [平台]，選取 [Windows 10 及更新版本]。
3. 針對 [設定檔類型]，選取 [設定目錄]，或在使用範本部署設定時，選取 [ 範本] ，然後選取支援範本的名稱。
4. 選取 [建立]。
5. 在 [基本] 頁面上，提供 [名稱] 和 [ (] 選擇性) [下一個描述>]。
6. 在 [組態設定 ] 頁面上，選取 [新增設定]。
7. 在 [設定選擇器] 底下，選取 [ 新增篩選] ，然後選取下列選項：
   • 機碼： 作業系統版本
   • 運算子： ==
   • 值： 企業多工作階段
   • 選取 [套用]。 篩選的清單現在會顯示支援 Windows 企業多重工作階段的所有組態設定檔類別。 原則的範圍會以括弧顯示。 針對使用者範圍，它會顯示為 (使用者) ，其餘都是具有裝置範圍的原則。
8. 從篩選的清單中挑選您想要的類別。
   • 針對您選擇的每個類別，選取要套用至新組態設定檔的設定。
   • 針對每個設定，選取此組態設定檔所需的值。
9. 完成新增設定後，請選取 [下一步 ]。
10. 在 [指派] 頁面上，選擇包含您要指派>此設定檔之裝置的 Microsoft Entra 群組 [下一步]。
11. 在 [範圍標記] 頁面上，選擇性地新增要套用至此設定檔>的範圍標籤 [下一步]。 如需範圍標記的詳細資訊，請參閱 將 角色型存取控制和範圍標記用於分散式 IT。
12. 在 [檢閱 + 建立 ] 頁面上，選擇 [建立] 以建立設定檔。

系統管理範本

Windows 企業多方工作階段支援 Intune 設定目錄中的系統管理範本，但有一些限制：

• 支援 ADMX 支援的原則。 某些原則在 [設定] 目錄中尚不可用。
• 支援 ADMX 擷取的原則。 如需 ADMX 擷取原則類別的完整清單，請參閱 Win32 和傳統型橋接器應用程式原則設定。 某些 ADMX 擷取的設定不適用於 Windows 企業版多方工作階段。

合規性與條件式存取

您可以在 Microsoft Intune 系統管理中心設定合規性原則和條件式存取原則，以保護 Windows 企業版多工作階段 VM。 Windows 企業版多工作階段 VM 支援下列合規性原則：

• 最低作業系統版本
• 作業系統版本上限
• 有效的作業系統組建
• 簡單密碼
• 密碼類型
• 密碼最小長度
• 密碼複雜性
• 密碼到期 (天)
• 避免重複使用的先前密碼的數量
• Microsoft Defender 反惡意程式碼
• Microsoft Defender 反惡意程式碼安全性情報為最新狀態
• 防火牆
• 防毒軟體
• 反間諜軟體
• 即時保護
• Microsoft Defender 反惡意程式碼最低版本
• Defender ATP 風險評分

所有其他原則都報告為 不適用。

條件式存取原則 支援 Windows 企業多重工作階段的使用者和裝置型設定。

端點安全性

您可以透過選取平台視窗，在多工作階段虛擬機器的端點安全性下設定設定檔。 如果該平台無法使用，則多工作階段 VM 不支援該設定檔。

如需詳細資訊，請參閱在 Microsoft Intune 中使用端點安全性原則管理裝置安全性

應用程式部署

所有 Windows 應用程式都可以部署至 Windows 企業版多方工作階段，但有下列限制：

• 所有應用程式都必須設定為安裝在系統/裝置內容中，並以裝置為目標。 Web 應用程式預設一律會套用在使用者內容中，因此不會套用至多工作階段 VM。
• 所有應用程式都必須設定為 [必要 ] 或 [解除安裝 ] 應用程式指派意圖。 多工作階段 VM 不支援 可用的應用程式 部署意圖。
• 如果設定為在系統內容中安裝的 Win32 應用程式，與設定為在使用者內容中安裝的任何應用程式具有相依性或取代關係，系統將不會安裝該應用程式。 若要套用至 Windows 企業版多工作階段 VM，請建立系統內容應用程式的個別執行個體，或確定所有應用程式相依性都設定為安裝在系統內容中。
• Microsoft Intune 目前不支援 Azure 虛擬桌面 RemoteApp 和 MSIX 應用程式附件。

指令碼部署

指令碼必須以裝置為目標。 在 [指令碼設定] 底下，將 [使用登入的認證執行此指令碼] 設為 [否 ] 以在系統內容中執行指令碼，或設定為 [是 ] 以在使用者內容中執行。

Windows Update 用戶端原則

您可以使用設定目錄來管理 Windows 企業版多工作階段 VM 的品質 (安全性) 更新Windows Update設定。 若要在目錄中尋找支援的設定，請設定企業多工作階段的設定篩選，然後展開商務用 Windows Update 類別。

目錄中提供下列設定，其中包含開啟 Windows CSP 文件的連結：

• 使用時間結束
• 使用時間最大範圍
• 使用時間開始
• 封鎖「暫停匯報」功能
• 設定期限寬限期
• 延遲品質匯報期間 (天)
• 暫停品質匯報開始時間
• 品質更新期限期間 (天)

遠端動作

不支援下列 Windows 桌面裝置遠端動作，而且會在 UI 中呈現灰色，並在適用於 Windows 企業版多工作階段 VM 的 Graph 中停用：

• Windows Autopilot 重設
• BitLocker 金鑰輪換
• 從頭開始
• 遠端鎖定
• 重設密碼
• 擦去

退休

從 Azure 刪除 VM 會在 Microsoft Intune 系統管理中心保留孤立的裝置記錄。 Intune 會嘗試永久刪除已閒置 60 天以上裝置的裝置記錄。 此程序與系統管理員設定的裝置清理規則不同。 不保證會在 60 天內刪除裝置記錄，而且可能需要更長的時間。

安全性基準

安全性基準適用於 Windows 企業多重工作階段。 建議您檢閱 可用的安全性基準 ，並在 [設定] 目錄中設定建議的原則和值。

Windows 企業版多工作階段 VM 上不支援的其他設定

Windows 企業多方工作階段不支援 OOBE (OOBE) 註冊的現成體驗。 這項限制表示：

• 不支援 Windows Autopilot 和商業 OOBE。
• 不支援註冊狀態頁面。

China Sovereign Cloud 目前不支援由 Microsoft Intune 管理的 Windows 企業多重工作階段。

疑難排解

下列各節提供常見問題的疑難排解指南。

註冊問題

設定問題

後續步驟

深入瞭解 Azure 虛擬桌面。