Microsoft Intune 是圍繞三個支柱建置：登入的身分識別、使用者從中登入的裝置，以及用來完成工作的應用程式。 Intune 會在 Microsoft Entra ID 上協調這些支柱，並將裝置和應用程式狀態饋送回 Microsoft Entra 條件式存取，以控制公司資源的存取權。
如需 Intune 的功能及其原因的簡介，請參閱什麼是 Microsoft Intune？。 如需元件、整合和部署檢視，請參閱 Microsoft Intune 架構。
三大支柱
| 柱子 | Intune 的功能 | Intune 依賴的內容 |
|---|---|---|
| 身分識別 | 將原則定位為使用者和群組、透過角色型存取控制 (RBAC) 限定系統管理員存取範圍，並在註冊時建立使用者親和性。 | 帳戶、群組、驗證和條件式存取的 Microsoft Entra ID。 |
| 裝置 | 註冊、設定、保護及淘汰執行組織工作的硬體。 報告條件式存取的合規性狀態。 | 平台註冊計畫 (Windows Autopilot、Apple 自動化裝置註冊、Android 企業版) 。 |
| 應用程式 | 在已註冊和個人裝置上部署、設定、保護及更新使用者所需的應用程式。 | 應用程式市集和廠商目錄 (Microsoft Store、App Store、受管理的 Google Play、Apple Business) 。 |
本文的其餘部分將逐步解說每個支柱，並以一個可行範例結束，該範例會追蹤這三個支柱之間的單一登入。
身分識別
Intune 不會儲存使用者身分識別。 它使用 Microsoft Entra ID 進行帳戶、群組、驗證和條件式存取。 在 Intune 中，身分識別會顯示在三個位置。
註冊時的使用者親和性
當使用者第一次登入裝置時，該裝置會與該使用者建立關聯。 這種關聯稱為 使用者親和性。 指派給使用者的原則會在其所有相關聯的裝置上遵循這些原則，而且使用者可以從其中任何裝置存取其電子郵件、檔案和應用程式。
當沒有使用者與裝置相關聯時，裝置即 為無使用者。 這種模式通常用於專用於單一工作的 kiosk，以及多人使用的共用裝置。
註冊前先決定裝置的預定用途，以便選擇正確的註冊方法。 如需平台特定的指導方針，請參閱 Microsoft Intune 中的裝置註冊。
角色型存取系統管理員
Intune 使用角色型存取控制 (RBAC) 來決定每個系統管理員可以在系統管理中心中查看和執行的動作。 內建角色 （ 例如 Application Manager 和 Policy and Profile Manager） 將權限範圍限定為特定的端點管理工作。 因為 Intune 使用 Microsoft Entra ID，因此內建的 Microsoft Entra 角色 (也可供使用，包括 Intune 管理員) 。
將 RBAC 與 範圍標籤 配對，可縮小系統管理員可以看到的內容，而不只是他們能執行的動作。 例如，為區域技術支援中心提供允許裝置抹除的角色，但加上標籤，讓他們只能查看和抹除其所在區域中的裝置。
如需詳細資訊，請參閱使用 Microsoft Intune 進行角色型存取控制和使用範圍標記來篩選原則。
目標設定原則和指派
Intune 是雲端式的，且原則直接以使用者或群組為目標。 沒有像組織單位那樣的容器階層。 您可以建立原則，然後將其指派給一或多個 Microsoft Entra 群組。
您可以將原則目標設定為：
- 使用者群組，當設定應在使用者的裝置上遵循該群組時。 例如，電子郵件設定檔或應用程式部署。
- 裝置群組，無論誰登入，設定都應套用 例如，kiosk 設定或前線員工原則。
- 內建虛擬群組 ([所有使用者]、[ 所有裝置 ] 當設定套用至整個租用戶時) 。
如需詳細資訊，請參閱新增群組以組織使用者和裝置 和在 Microsoft Intune 中指派裝置設定檔。
裝置
Intune 會管理和保護貴組織在 Android、iOS、iPadOS、Linux、macOS、tvOS、visionOS 和 Windows 上所依賴的桌上型電腦、膝上型電腦、平板電腦和手機。 如需完整的支援作業系統矩陣，請參閱 支援的作業系統和瀏覽器。
裝置生命週期
每個受管理裝置都會經過四個階段，全部在同一個系統管理中心中處理。
- 註冊：將裝置置於管理之下。 組織擁有的硬體通常會透過 Windows Autopilot、Apple 自動化裝置註冊或 Android 企業版使用自動註冊。 個人裝置透過公司入口網站應用程式註冊。
- 設定：套用 Wi-Fi、VPN、憑證、電子郵件、裝置功能和平台特定選項的設定。 設定目錄會公開數千個平台設定。
- 保護：強制執行合規性規則、加密磁碟、部署安全性基準，以及與行動裝置威脅防禦整合。 合規性狀態摘要 Microsoft Entra 條件式存取。
- 淘汰：當裝置遺失、更換或不再需要時，遠端動作可讓您抹除組織資料、將裝置恢復原廠預設值或取消註冊。
MDM 和 MAM
Intune 支援兩種管理模式。 您可以單獨使用，也可以一起使用。
- (MDM) 的行動裝置管理可讓整個裝置處於Intune控制之下：設定、應用程式和資料。 MDM 是一般用於組織擁有的硬體。
- 行動應用程式管理 (MAM) 只會管理工作應用程式及其中的資料。 使用者可以繼續控制裝置的其餘部分。 MAM 通常用於攜帶您自己的裝置 (BYOD) 案例。
您可以在同一台設備上結合兩者。 例如，已註冊的公司電話 (MDM) 也可以在處理特別敏感性資料的應用程式上 (MAM) 具有應用程式保護原則。
如需詳細資料，請參閱 Microsoft Intune 中的裝置註冊和應用程式防護原則概觀。
組織所擁有和個人裝置
大部分組織會管理兩種裝置群：他們所擁有的硬體，以及員工用於工作的個人裝置。 Intune 使用不同的控制項支援兩者。
- 組織擁有的裝置 應該在 MDM 中註冊。 不要依賴使用者自己管理這些裝置。
- 當使用者想要完整存取組織資源時，或只能使用保護 Outlook、Teams 和其他受管理應用程式內部資料的 MAM 原則，個人裝置可以註冊 MDM。
裝置群組
裝置群組是只包含裝置的 Microsoft Entra 群組。 當應套用設定時，無論登入的人員都不論：資訊站、共用電腦、前線工作者裝置或特殊硬體，這些設定都非常有用。
成員資格可以 是靜態 或 動態的：
- 靜態群組 需要手動新增和移除裝置。 它們適用於小型、穩定的裝置集。
- 動態群組 會根據您定義的準則自動新增和移除裝置。 它們適用於大型且不斷變化的裝置群
應用程式
Intune涵蓋跨每個支援平台 (部署、設定、保護、更新) 的完整應用程式生命週期。
應用程式生命週期
- 從公用市集、廠商目錄、您自己的企業營運 (LOB) 套件，或系統管理中心的內建項目部署應用程式。
- 使用應用程式設定原則，在使用者開啟應用程式之前對其進行設定。 設定應用程式語言、新增組織標誌、封鎖個人帳戶等等。
- 使用應用程式防護原則保護應用程式內的資料。 要求 PIN、封鎖複製並貼上個人應用程式、防止備份到個人雲端服務、加密待用資料，以及選擇性地抹除組織資料。
- 當有新版本可供使用時，自動更新應用程式。 針對 Windows 上的 Microsoft 365 應用程式、Microsoft Edge 和 Microsoft Teams，您可以將更新傳遞至 Windows 自動修補。
未註冊 MAM-WE) (未註冊的應用程式防護
應用程式防護原則不需要 MDM 註冊。 它們適用於三個裝置母體：
- 未在任何 MDM 中註冊的個人裝置 (BYOD) 。
- 在另一個 MDM 提供者中註冊的裝置： Intune 仍然可以保護其受管理應用程式內的資料。
- Intune 註冊的裝置，適用於需要 MDM 以外額外層的應用程式。
如需詳細資料，請參閱 應用程式防護原則概觀。
依平台的應用程式
Intune支援公用市集應用程式、企業營運 (LOB) 應用程式、Web 應用程式，以及 Android、iOS、iPadOS、macOS 和 Windows 的平台特定應用程式類型。 如需應用程式類型的每個平台明細及其來源，請參閱在 Microsoft Intune 中新增和更新應用程式。
這些支柱如何組合在一起
一般的存取決策會涉及這三個支柱：
- 使用者登入受管理裝置，Microsoft Entra ID 會驗證使用者。
- 裝置會使用 Intune 簽入，並報告其合規性狀態和清查。
- Intune 會將合規性狀態轉寄至 Microsoft Entra ID。
- 使用者開啟公司應用程式。 Microsoft Entra 條件式存取會使用使用者、裝置的合規性狀態、應用程式、位置，以及來自 Microsoft Defender 中端點安全性的訊號來評估要求。
- 條件式存取允許或封鎖存取。 如果允許存取且應用程式是受管理的應用程式， 則應用程式防護原則 會強制執行 PIN、複製並貼上限制、選擇性抹除) (應用程式內控制。
每個存取決策都會同時執行這三個支柱：使用者的身分識別、裝置的合規性，以及使用者正在開啟的應用程式。