Samouczek: włączanie współzarządzania istniejącymi klientami Configuration Manager

Dzięki współzarządzaniu można zachować dobrze ugruntowane procesy dotyczące używania Configuration Manager do zarządzania komputerami w organizacji. Jednocześnie inwestujesz w chmurę za pomocą Intune na potrzeby zabezpieczeń i nowoczesnej aprowizacji.

W tym samouczku skonfigurujesz współzarządzanie Windows 10 lub nowszymi urządzeniami, które są już zarejestrowane w Configuration Manager. Ten samouczek rozpoczyna się od założenia, że już używasz Configuration Manager do zarządzania Windows 10 lub nowszymi urządzeniami.

Użyj tego samouczka, gdy:

W tym samouczku wykonasz następujące czynności:

  • Zapoznaj się z wymaganiami wstępnymi dotyczącymi platformy Azure i środowiska lokalnego
  • Konfigurowanie Azure AD hybrydowych
  • Konfigurowanie agentów klienta Configuration Manager w celu zarejestrowania się w Azure AD
  • Konfigurowanie Intune do automatycznego rejestrowania urządzeń
  • Włączanie współzarządzania w Configuration Manager

Wymagania wstępne

Usługi i środowisko platformy Azure

  • Subskrypcja platformy Azure (bezpłatna wersja próbna)

  • Azure Active Directory — wersja Premium

  • Subskrypcja usługi Microsoft Intune

    Porada

    Subskrypcja Enterprise Mobility + Security (EMS) obejmuje zarówno usługę Azure Active Directory — wersja Premium, jak i usługę Microsoft Intune. Subskrypcja pakietu EMS (bezpłatna wersja próbna).

Jeśli nie ma go jeszcze w twoim środowisku, podczas tego samouczka skonfigurujesz Azure AD Połączenie między lokalna usługa Active Directory a dzierżawą Azure Active Directory (Azure AD).

Uwaga

Urządzenia zarejestrowane tylko w Azure AD nie są obsługiwane w przypadku współzarządzania. Ta konfiguracja jest czasami określana jako przyłączona do miejsca pracy. Muszą zostać przyłączone do Azure AD lub przyłączonych hybrydowo Azure AD. Aby uzyskać więcej informacji, zobacz Obsługa urządzeń z Azure AD zarejestrowanym stanem.

Infrastruktura lokalna

  • Obsługiwana wersja Configuration Manager bieżącej gałęzi
  • Urząd zarządzania urządzeniami przenośnymi (MDM) musi być ustawiony na Intune.

Uprawnienia

W tym samouczku użyj następujących uprawnień do wykonywania zadań:

  • Konto, które jest administratorem domeny w infrastrukturze lokalnej
  • Konto, które jest pełnym administratorem dla wszystkich zakresów w Configuration Manager
  • Konto administratora globalnego w Azure Active Directory (Azure AD)
    • Upewnij się, że przypisano licencję Intune do konta używanego do logowania się do dzierżawy. W przeciwnym razie logowanie kończy się niepowodzeniem z komunikatem o błędzie Wystąpił nieprzewidowany błąd.

Konfigurowanie Azure AD hybrydowych

Podczas konfigurowania Azure AD hybrydowej naprawdę konfigurujesz integrację lokalnej usługi AD z Azure AD przy użyciu usług Azure AD Połączenie i Active Directory Federated Services (ADFS). Po pomyślnej konfiguracji procesy robocze mogą bezproblemowo logować się do systemów zewnętrznych przy użyciu lokalnych poświadczeń usługi AD.

Ważne

W tym samouczku szczegółowo opisano proces tworzenia hybrydowych Azure AD dla domeny zarządzanej. Zalecamy zapoznanie się z tym procesem i nie poleganie na tym samouczku jako przewodniku po zrozumieniu i wdrożeniu Azure AD hybrydowych.

Aby uzyskać więcej informacji na temat Azure AD hybrydowych, zacznij od następujących artykułów w dokumentacji Azure Active Directory:

Konfigurowanie Azure AD Połączenie

Azure AD hybrydowa wymaga konfiguracji Azure AD Połączenie w celu zachowania synchronizacji kont komputerów w lokalna usługa Active Directory (AD) i obiektu urządzenia w Azure AD.

Począwszy od wersji 1.1.819.0, Azure AD Połączenie udostępnia kreatora konfigurowania przyłączania hybrydowego Azure AD. Użycie tego kreatora upraszcza proces konfiguracji.

Aby skonfigurować Azure AD Połączenie, potrzebne są poświadczenia administratora globalnego dla Azure AD. Poniższa procedura nie powinna być uważana za autorytatywną dla konfiguracji Azure AD Połączenie, ale jest dostępna w tym miejscu, aby usprawnić konfigurację współzarządzania między Intune a Configuration Manager. Aby uzyskać autorytatywną zawartość tej i powiązanych procedur dotyczących konfigurowania Azure AD, zobacz Konfigurowanie przyłączania hybrydowego Azure AD dla domen zarządzanych w dokumentacji Azure AD.

Konfigurowanie przyłączania hybrydowego Azure AD przy użyciu Azure AD Połączenie

  1. Pobierz i zainstaluj najnowszą wersję Azure AD Połączenie (1.1.819.0 lub nowszą).

  2. Uruchom Azure AD Połączenie, a następnie wybierz pozycję Konfiguruj.

  3. Na stronie Dodatkowe zadania wybierz pozycję Konfiguruj opcje urządzenia, a następnie wybierz pozycję Dalej.

  4. Na stronie Przegląd wybierz pozycję Dalej.

  5. Na stronie Połączenie to Azure AD wprowadź poświadczenia administratora globalnego dla Azure AD.

  6. Na stronie Opcje urządzenia wybierz pozycję Konfiguruj przyłączanie hybrydowe Azure AD, a następnie wybierz pozycję Dalej.

  7. Na stronie Systemy operacyjne Urządzenia wybierz systemy operacyjne używane przez urządzenia w środowisku usługi Active Directory, a następnie wybierz pozycję Dalej.

    Możesz wybrać opcję obsługi Windows urządzeń przyłączonych do domeny, ale pamiętaj, że współzarządzanie urządzeniami jest obsługiwane tylko w przypadku Windows 10 lub nowszych.

  8. Na stronie SCP dla każdego lasu lokalnego, w którym chcesz Azure AD Połączenie skonfigurować punkt połączenia z usługą (SCP), wykonaj następujące kroki, a następnie wybierz pozycję Dalej:

    1. Wybierz las.
    2. Wybierz usługę uwierzytelniania. Jeśli masz domenę federacyjną, wybierz serwer usług AD FS, chyba że organizacja ma wyłącznie Windows 10 lub nowszych klientów i skonfigurowano synchronizację komputera/urządzenia lub twoja organizacja korzysta z bezproblemowego logowania jednokrotnego.
    3. Kliknij przycisk Dodaj , aby wprowadzić poświadczenia administratora przedsiębiorstwa.
  9. Jeśli masz domenę zarządzaną, pomiń ten krok.

    Na stronie Konfiguracja federacji wprowadź poświadczenia administratora usług AD FS, a następnie wybierz przycisk Dalej.

  10. Na stronie Gotowe do skonfigurowania wybierz pozycję Konfiguruj.

  11. Na stronie Konfiguracja ukończona wybierz pozycję Zakończ.

Jeśli występują problemy z ukończeniem przyłączania hybrydowego Azure AD dla urządzeń przyłączonych do domeny Windows, zobacz Rozwiązywanie problemów z dołączaniem do Azure AD hybrydowych dla Windows bieżących urządzeń.

Konfigurowanie Ustawienia klienta w celu kierowania klientów do rejestrowania się w Azure AD

Użyj Ustawienia klienta, aby skonfigurować klientów Configuration Manager w celu automatycznego rejestrowania się w Azure AD.

  1. Otwórz Ustawienia klienta przeglądu Configuration Manager > > konsoli > , a następnie edytuj domyślny Ustawienia klienta.

  2. Wybierz pozycję Cloud Services.

  3. Na domyślnej Ustawienia ustaw opcję Automatycznie rejestruj nowe urządzenia przyłączone do domeny Windows 10 przy użyciu Azure Active Directory na wartość = Tak.

  4. Wybierz przycisk OK , aby zapisać tę konfigurację.

Konfigurowanie automatycznej rejestracji urządzeń w celu Intune

Następnie skonfigurujemy automatyczną rejestrację urządzeń przy użyciu Intune. Dzięki automatycznej rejestracji urządzenia zarządzane za pomocą Configuration Manager automatycznie rejestrują się przy użyciu Intune.

Automatyczna rejestracja umożliwia również użytkownikom rejestrowanie swoich urządzeń Windows 10 lub nowszych w celu Intune. Urządzenia są rejestrowane, gdy użytkownik dodaje swoje konto służbowe do swojego urządzenia należącego do użytkownika lub gdy urządzenie należące do firmy jest przyłączone do Azure Active Directory.

  1. Zaloguj się do Azure Portal i wybierz pozycję Azure Active Directory > Mobility (MDM i MAM) > Microsoft Intune.

  2. Konfigurowanie zakresu użytkownika mdm. Określ jedną z następujących opcji, aby skonfigurować urządzenia użytkowników zarządzane przez Microsoft Intune i zaakceptować wartości domyślne dla wartości adresu URL.

    • Niektóre: wybierz grupy, które mogą automatycznie rejestrować swoje urządzenia Windows 10 lub nowsze

    • Wszystkie: Wszyscy użytkownicy mogą automatycznie rejestrować swoje urządzenia Windows 10 lub nowsze

    • Brak: Wyłączanie automatycznej rejestracji mdm

    Ważne

    Jeśli dla grupy włączono zarówno zakres użytkownika zarządzania aplikacjami mobilnymi, jak i automatyczną rejestrację w usłudze MDM (zakres użytkownika mdm), włączono tylko funkcję MAM. Tylko zarządzanie aplikacjami mobilnymi (MAM) jest dodawane dla użytkowników w tej grupie podczas dołączania urządzeń osobistych w miejscu pracy. Urządzenia nie są automatycznie rejestrowane w usłudze MDM.

    Gdy Configuration Manager jest ustawiona na rejestrowanie urządzeń do Intune, nie trzeba zmieniać zakresu użytkownika mdm na potrzeby rejestracji tokenu urządzenia. Configuration Manager używa adresów URL mdm przechowywanych w bazie danych lokacji.

  3. Wybierz pozycję Zapisz , aby ukończyć konfigurację automatycznej rejestracji.

  4. Wróć do pozycji Mobilność (MDM i MAM), a następnie wybierz pozycję Microsoft Intune Rejestracja.

    Uwaga

    Niektóre dzierżawy mogą nie mieć tych opcji do skonfigurowania.

    Microsoft Intune jest sposób konfigurowania aplikacji MDM dla Azure AD. Microsoft Intune Rejestracja to określona aplikacja Azure AD utworzona podczas stosowania zasad uwierzytelniania wieloskładnikowego dla rejestracji iOS i Android. Aby uzyskać więcej informacji, zobacz Wymagaj uwierzytelniania wieloskładnikowego dla rejestracji urządzeń Intune.

  5. W obszarze Zakres użytkownika mdm wybierz pozycję Wszystkie, a następnie pozycję Zapisz.

Włączanie współzarządzania w Configuration Manager

Dzięki konfiguracji Azure AD hybrydowej i Configuration Manager konfiguracji klienta możesz przerzucić przełącznik i włączyć współzarządzanie urządzeniami Windows 10 lub nowszym. Fraza Grupa pilotażowa jest używana w oknach dialogowych funkcji współzarządzania i konfiguracji. Grupa pilotażowa to kolekcja zawierająca podzbiór urządzeń Configuration Manager. Użyj grupy pilotażowej do wstępnego testowania, dodając urządzenia zgodnie z potrzebami, dopóki nie będziesz gotowy do przenoszenia obciążeń dla wszystkich urządzeń Configuration Manager. Nie ma limitu czasu na to, jak długo grupa pilotażowa może być używana dla obciążeń. Grupa pilotażowa może być używana przez czas nieokreślony, jeśli nie chcesz przenosić obciążenia na wszystkie urządzenia Configuration Manager.

Po włączeniu współzarządzania przypiszesz kolekcję jako grupę pilotażową. Jest to grupa zawierająca niewielką liczbę klientów do testowania konfiguracji współzarządzania. Zalecamy utworzenie odpowiedniej kolekcji przed rozpoczęciem procedury. Następnie możesz wybrać tę kolekcję bez zamykania procedury, aby to zrobić. Może być potrzebnych wiele kolekcji, ponieważ można przypisać inną grupę pilotażową dla każdego obciążenia.

Uwaga

Ponieważ urządzenia są rejestrowane w usłudze Microsoft Intune na podstawie tokenu urządzenia Azure AD, a nie tokenu użytkownika, tylko domyślne ograniczenie rejestracji Intune będzie miało zastosowanie do rejestracji.

Włączanie współzarządzania w wersjach 2111 i nowszych

Od Menedżer konfiguracji 2111 zmieniło się środowisko dołączania do współzawęzienia. Kreator konfiguracji dołączania w chmurze ułatwia włączanie funkcji współzawłasniania i innych funkcji chmury. Możesz wybrać usprawniony zestaw zalecanych ustawień domyślnych lub dostosować funkcje dołączania w chmurze. Istnieje również nowy wbudowany zbiór urządzeń dla urządzeń uprawnionych do współzawłasniania, które ułatwiają identyfikowanie klientów. Aby uzyskać więcej informacji na temat włączania funkcji współzawłasnia, zobacz Włączanie dołączania w chmurze.

Uwaga

Za pomocą nowego kreatora nie przenosisz obciążeń pracą jednocześnie z włączeniem współzawłasniania. Aby przenieść obciążenia pracą, po włączeniu dołączania w chmurze edytujesz właściwości współzawłasniania.

Włączanie współzarządzania w wersjach 2107 i starszych

Po włączeniu funkcji współzawłasniania możesz korzystać z chmury publicznej platformy Azure, chmury platformy Azure dla instytucji rządowych lub chmury Azure China 21Vianet (dodanej w wersji 2006). Aby włączyć funkcję współzawłasniania, wykonaj następujące instrukcje:

  1. W konsoli Menedżer konfiguracji przejdź do obszaru roboczego Administracja, rozwiń węzeł Usługi w chmurze i wybierz węzeł Dołącz w chmurze. Wybierz pozycję Konfiguruj dołączanie w chmurze na wstążce, aby otworzyć Kreatora konfiguracji dołączania w chmurze.

    W wersji 2103 i starszych rozwiń węzeł Usługi w chmurze, a następnie wybierz węzeł Współza zarządzanie. Wybierz pozycję Skonfiguruj współ zarządzanie na wstążce, aby otworzyć Kreatora konfiguracji współzawłasniania.

  2. Na stronie dołączania kreatora w środowisku platformy Azure wybierz jedno z następujących środowisk:

    • Chmura publiczna na platformie Azure

    • Azure Government Cloud

    • Azure China cloud (added in version 2006)

      Uwaga

      Zaktualizuj Menedżer konfiguracji klienta do najnowszej wersji na urządzeniach przed dodaniem go do chmury Azure China.

    Po wybraniu chmury Azure China lub Azure Government Cloud opcja centrum administracyjnego Upload do Microsoft Endpoint Manager dołączania dzierżawy jest wyłączona.

  3. Wybierz pozycję Zaloguj się. Zaloguj się jako administrator globalny usługi Azure AD, a następnie wybierz pozycję Dalej. Użytkownik loguje się tego raz na potrzeby tego kreatora. Poświadczenia nie są przechowywane ani używane ponownie w innym miejscu.

  4. Na stronie Włączanie wybierz następujące ustawienia:

    • Rejestracja automatyczna w usłudze Intune: umożliwia automatyczne rejestrowanie klientów w usłudze Intune dla Menedżer konfiguracji klientów. Ta opcja umożliwia włączenie funkcji współzawłasniania dla podzestawu klientów do wstępnego przetestowania współzawłasniania, a następnie włączenia funkcji współzawłasniania przy użyciu podejścia etapowego. Jeśli użytkownik wyestruje urządzenie, urządzenie zostanie ponownie zarejestrowane podczas następnej oceny zasad.

      • Pilotaż: Tylko klienci Menedżer konfiguracji, którzy są członkami kolekcji Rejestracja automatyczna usługi Intune, są automatycznie rejestrowani w usłudze Intune.
      • Wszystkie: Włącz automatyczne rejestrowanie dla wszystkich klientów, Windows 10 wersji 1709 lub nowszej.
      • Brak: Wyłącz automatyczne rejestrowanie dla wszystkich klientów.
    • Rejestracja automatyczna w usłudze Intune: ta kolekcja powinna zawierać wszystkich klientów, których chcesz dodać do współzawłasniania. Jest to zasadniczo zestaw superset wszystkich innych kolekcji tymczasowego.

    Zrzut ekranu przedstawiający stronę kreatora umożliwiającą włączenie rejestracji automatycznej w usłudze Intune.

    Automatyczne rejestrowanie nie jest natychmiastowe dla wszystkich klientów. Takie działanie pomaga w lepszym rejestrowaniu w dużych środowiskach. Menedżer konfiguracji losowo, zależnie od liczby klientów. Jeśli na przykład środowisko ma 100 000 klientów, po włączeniu tego ustawienia rejestracja ma miejsce w ciągu kilku dni.

    Nowe urządzenie, które jest współzadażytowane, jest teraz automatycznie rejestrowane w usłudze Microsoft Intune na podstawie tokenu urządzenia usługi Azure AD. Nie trzeba czekać, aż użytkownik zaloguje się na urządzeniu, aby rozpocząć automatyczną rejestrację. Ta zmiana pomoże zmniejszyć liczbę urządzeń ze stanem rejestracji Oczekiwanie na zalogowanie użytkownika. Aby obsługiwać to zachowanie, urządzenie musi być uruchomione Windows 10 wersji 1803 lub nowszej. Aby uzyskać więcej informacji, zobacz Stan rejestracji współzawłasnego.

    Jeśli masz już urządzenia, które są już zarejestrowane w zakresie współzamówień, nowe urządzenia są teraz rejestrowane natychmiast po ich spełnienia wymagań wstępnych.

  5. W przypadku urządzeń internetowych, które są już zarejestrowane w usłudze Intune, skopiuj i zapisz polecenie na stronie Włączanie. To polecenie umożliwia zainstalowanie klienta usługi Menedżer konfiguracji jako aplikacji w usłudze Intune dla urządzeń internetowych. Jeśli nie zapiszsz tego polecenia teraz, możesz w dowolnym momencie przejrzeć konfigurację współzawłasniania, aby uzyskać to polecenie.

    Porada

    To polecenie jest wyświetlane tylko wtedy, gdy są spełnione wszystkie wymagania wstępne, na przykład w przypadku konfigurowania bramy zarządzania w chmurze.

  6. Na stronie Obciążenia pracą wybierz dla każdego obciążenia pracą grupę urządzeń, którą chcesz przenieść w celu zarządzania za pomocą usługi Intune. Aby uzyskać więcej informacji, zobacz Obciążenia pracą.

    Jeśli chcesz włączyć tylko funkcję współzawłasniania, nie musisz teraz przełączać obciążeń. Możesz później przełączyć obciążenia pracą. Aby uzyskać więcej informacji, zobacz Jak przełączyć obciążenia pracą.

    • Pilotażowa usługa Intune: przełącza skojarzone obciążenie tylko dla urządzeń w kolekcjach pilotażowych, które określisz na stronie Tymczasowe. Każde obciążenie pracą może mieć inną kolekcję pilotażów.
    • Intune: Przełącza skojarzone obciążenie pracą dla wszystkich urządzeń Windows 10 lub nowszych.

    Ważne

    Przed przełączeniem obciążeń upewnij się, że odpowiednie obciążenie pracą jest poprawnie skonfigurowane i wdrożone w usłudze Intune. Upewnij się, że obciążenia pracą są zawsze zarządzane przez jedno z narzędzi do zarządzania dla Twoich urządzeń.

  7. Na stronie Staging (Wdrożenie tymczasowe) określ kolekcję pilotażową dla każdego z obciążeń w usłudze Pilot Intune.

    Zrzut ekranu przedstawiający stronę Koordynacja Kreatora konfiguracji współzawłasnia z opcjami określającymi kolekcje pilotażowe.

  8. Aby włączyć funkcję współzawłasniania, wykonaj zadania kreatora.

Następne kroki