Konfigurowanie rejestracji dla urządzeń z systemem Windows

Ten artykuł ułatwia administratorom IT uproszczenie rejestracji urządzeń z systemem Windows dla użytkowników. Po skonfigurowaniu usługi Intune użytkownicy rejestrują urządzenia z systemem Windows, logując się za pomocą konta służbowego.

Jako administrator usługi Intune możesz uprościć rejestrację, korzystając z następujących sposobów:

O tym, jak można uprościć proces rejestrowania urządzenia z systemem Windows, decydują dwie kwestie:

  • Czy korzystasz z usługi Azure Active Directory w wersji Premium? Usługa Azure AD w wersji Premium jest częścią planu Enterprise Mobility + Security i innych planów licencjonowania.
  • Jakie wersje klientów systemu Windows będą rejestrować użytkownicy? Urządzenia z systemem Windows 10 można rejestrować automatycznie, dodając konto służbowe. Starsze wersje należy rejestrować przy użyciu aplikacji Portal firmy.
Usługa Azure AD w wersji Premium Inna usługa AD
Windows 10 Rejestrowanie automatyczne Rejestrowanie użytkownika
Starsze wersje systemu Windows Rejestrowanie użytkownika Rejestrowanie użytkownika

Organizacje, które mogą używać rejestrowania automatycznego, mogą także skonfigurować zbiorcze rejestrowanie urządzeń za pomocą aplikacji Windows Configuration Designer.

Wymagania wstępne dotyczące rejestrowania urządzeń

Aby administrator mógł zarejestrować urządzenia w usłudze Intune i zarządzać nimi, licencje muszą być przypisane do jego konta. Przeczytaj o przypisywaniu licencji na rejestrację urządzenia.

Możesz również pozwolić administratorom bez licencji na logowanie się do programu MEM. Aby uzyskać więcej informacji, zobacz Administratorzy bez licencji.

Obsługa wielu użytkowników

Usługa Intune obsługuje wielu użytkowników na urządzeniach, które:

  • mają system Windows 10 z zainstalowaną aktualizacją dla twórców,
  • są przyłączone do domeny usługi Azure Active Directory.

Gdy użytkownicy standardowi logują się przy użyciu poświadczeń usługi Azure AD, otrzymują aplikacje i zasady przypisane do ich nazwy użytkownika. Tylko użytkownik podstawowy urządzenia może używać interfejsu Portal firmy scenariuszy samoobsługi, takich jak instalowanie aplikacji i akcji urządzenia (takich jak usuwanie lub resetowanie). W przypadku Windows 10 urządzeń, które nie mają przypisanego użytkownika podstawowego, można nadal używać Portal firmy do instalowania dostępnych aplikacji.

Włączanie automatycznej rejestracji urządzeń z systemem Windows 10

Automatyczna rejestracja umożliwia użytkownikom rejestrowanie urządzeń z systemem Windows 10 w usłudze Intune. Aby zarejestrować urządzenie, użytkownik dodaje konto służbowe do swojego urządzenia osobistego lub łączy urządzenie należące do firmy z usługą Azure Active Directory. W tle urządzenie zostaje zarejestrowane i przyłączone do usługi Azure Active Directory. Po zarejestrowaniu urządzenie jest zarządzane za pomocą usługi Intune.

Wymagania wstępne

Konfigurowanie automatycznej rejestracji w usłudze MDM

  1. Zaloguj się do aplikacji Azure Portali wybierz pozycję Azure Active Directory > Mobility (MDM i MAM) > Microsoft Intune.

    Zrzut ekranu przedstawia Azure Portal wybrane opcje.

  2. Skonfiguruj zakres użytkownika oprogramowania MDM. Określ użytkowników, których urządzenia powinny być zarządzane przez usługę Microsoft Intune. Te urządzenia z systemem Windows 10 mogą zostać automatycznie zarejestrowane w celu zarządzania w usłudze Microsoft Intune.

    • Brak — automatyczne rejestrowanie w usłudze zarządzania urządzeniami mobilnymi (MDM) jest wyłączone

    • Niektóre — wybierz grupy, które mogą automatycznie rejestrować swoje urządzenia z systemem Windows 10

    • Wszystkie — wszyscy użytkownicy mogą automatycznie rejestrować swoje urządzenia z systemem Windows 10

      Ważne

      W przypadku urządzeń BYOD z systemem Windows zakres użytkownika funkcji MAM ma pierwszeństwo, jeśli dla wszystkich użytkowników (lub tych samych grup użytkowników) jest włączony zarówno zakres użytkownika funkcji MAM, jak i zakres użytkownika oprogramowania MDM (automatyczne rejestrowanie MDM). Urządzenie nie zostanie zarejestrowane przez oprogramowanie MDM i będą stosowane zasady funkcji Windows Information Protection (WIP), jeśli je skonfigurowano.

      Jeśli Twoją intencją jest włączenie automatycznego rejestrowania urządzeń BYOD z systemem Windows przez oprogramowanie MDM: skonfiguruj zakres użytkowników oprogramowania MDM Wszyscy (lub Niektórzy i określ grupę), a także skonfiguruj zakres użytkowników funkcji MAM Brak (lub Niektórzy i określ grupę, upewniając się, że użytkownicy nie są członkami grupy objętej zarówno zakresem użytkowników oprogramowania MDM, jak i funkcji MAM).

      W przypadku urządzeń firmowych zakres użytkowników oprogramowania MDM ma pierwszeństwo, jeśli włączone są zakresy użytkowników zarówno oprogramowania MDM, jak i funkcji MAM. Urządzenie zostanie automatycznie zarejestrowane w skonfigurowanym oprogramowaniu MDM.

    Uwaga

    Zakres użytkowników MDM musi być ustawiony na grupę Azure AD, która zawiera obiekty użytkowników.

    Zrzut ekranu przedstawiający Azure Portal, w którym można skonfigurować zakres użytkownika M D M.

  3. Użyj wartości domyślnych dla następujących adresów URL:

    • Adres URL Warunków użytkowania zarządzania urządzeniami mobilnymi
    • Adres URL odnajdywania zarządzania urządzeniami przenośnymi
    • Adres URL zgodności oprogramowania MDM
  4. Wybierz pozycję Zapisz.

Uwierzytelnianie dwuskładnikowe nie jest domyślnie włączone dla usługi. Zaleca się jednak korzystanie z uwierzytelniania dwuskładnikowego podczas rejestrowania urządzenia. Aby włączyć uwierzytelnianie dwuskładnikowe, należy skonfigurować dostawcę usługi uwierzytelniania dwuskładnikowego w usłudze Azure AD i skonfigurować konta użytkowników do uwierzytelniania wieloskładnikowego. Zobacz Wprowadzenie do Azure Active Directory Serwer Multi-Factor Authentication.

Uproszczenie rejestrowania systemu Windows bez usługi Azure AD Premium

Aby uprościć rejestrację, możesz utworzyć alias serwera nazw domen (DNS) (typ rekordu CNAME), który przekierowuje żądania rejestrowania do serwerów usługi Intune. W przeciwnym razie użytkownicy próbujący nawiązać połączenie z usługą Intune będą musieli wprowadzić nazwę serwera usługi Intune podczas rejestracji.

Krok 1: Tworzenie rekordu CNAME (opcjonalnie)

Utwórz rekordy zasobów CNAME systemu DNS dla domeny Twojej firmy. Jeśli na przykład witryna internetowa firmy to contoso.com, w systemie DNS należy utworzyć rekord CNAME, który przekierowuje domenę EnterpriseEnrollment.contoso.com do domeny enterpriseenrollment-s.manage.microsoft.com.

Chociaż tworzenie wpisów DNS rekordów CNAME jest opcjonalne, rekordy CNAME ułatwiają użytkownikom rejestrację. Jeśli rekord CNAME nie zostanie znaleziony, użytkownicy są proszeni o ręczne wprowadzenie nazwy serwera MDM: enrollment.manage.microsoft.com.

Typ Nazwa hosta Przekierowanie na TTL
CNAME EnterpriseEnrollment.domena_firmowa.com EnterpriseEnrollment-s.manage.microsoft.com 1 godzina
CNAME EnterpriseRegistration.domena_firmowa.com EnterpriseRegistration.windows.net 1 godzina

Jeśli firma używa więcej niż jednego sufiksu głównej nazwy użytkownika (UPN), musisz utworzyć jeden rekord CNAME dla każdej nazwy domeny i wskazać każdy z nich w witrynie EnterpriseEnrollment-s.manage.microsoft.com. Na przykład użytkownicy w firmie Contoso jako adresu e-mail/nazwy UPN używają następujących formatów:

  • name@contoso.com
  • name@us.contoso.com
  • name@eu.contoso.com

Administrator systemu DNS firmy Contoso powinien utworzyć następujące rekordy CNAME:

Typ Nazwa hosta Przekierowanie na TTL
CNAME EnterpriseEnrollment.contoso.com EnterpriseEnrollment-s.manage.microsoft.com 1 godzina
CNAME EnterpriseEnrollment.us.contoso.com EnterpriseEnrollment-s.manage.microsoft.com 1 godzina
CNAME EnterpriseEnrollment.eu.contoso.com EnterpriseEnrollment-s.manage.microsoft.com 1 godzina

EnterpriseEnrollment-s.manage.microsoft.com — obsługuje przekierowanie do usługi Intune z rozpoznawaniem domeny na podstawie nazwy domeny adresu e-mail

Propagowanie zmian rekordów DNS może potrwać do 72 godzin. Nie można zweryfikować zmiany w systemie DNS w usłudze Intune, dopóki trwa propagowanie rekordu DNS.

Krok 2: Weryfikacja rekordu CNAME (opcjonalnie)

  1. W centrum administracyjnym programu Microsoft Endpoint Manager wybierz kolejno pozycje Urządzenia > Windows > Rejestracja w systemie Windows > Weryfikacja rekordu CNAME.
  2. W polu Domena wprowadź witrynę internetową firmy, a następnie wybierz pozycję Testuj.

Dodatkowe punkty końcowe, które nie są obsługiwane

EnterpriseEnrollment-s.manage.microsoft.com to preferowana nazwa FQDN na potrzeby rejestracji. Istnieją dwa inne punkty końcowe, które były wcześniej używane i nadal działają. Nie są one już jednak obsługiwane. EnterpriseEnrollment.manage.microsoft.com (bez -s) oraz manage.microsoft.com mogą służyć jako elementy docelowe serwera autowykrywania, ale użytkownik musi dotknąć przycisku OK w komunikacie potwierdzenia. Jeśli wskażemy EnterpriseEnrollment-s.manage.microsoft.com, użytkownik nie będzie musiał wykonać kolejnego kroku potwierdzenia, dlatego jest to zalecana konfiguracja

Alternatywne metody przekierowania nie są obsługiwane

Użycie metody innej niż konfiguracja CNAME nie jest obsługiwane. Na przykład użycie serwera proxy do przekierowywania enterpriseenrollment.contoso.com/EnrollmentServer/Discovery.svc do enterpriseenrollment-s.manage.microsoft.com/EnrollmentServer/Discovery.svc lub manage.microsoft.com/EnrollmentServer/Discovery.svc nie jest obsługiwane.

Informowanie użytkowników o sposobie rejestrowania urządzeń z systemem Windows

Poinformuj użytkowników, jak mogą zarejestrować swoje urządzenia z systemem Windows i czego mogą oczekiwać po włączeniu ich do zarządzania.

Uwaga

Użytkownicy końcowi muszą uzyskać dostęp do witryny Portal firmy przy użyciu przeglądarki Microsoft Edge, aby wyświetlać aplikacje systemu Windows przypisane do konkretnych wersji systemu Windows. Inne przeglądarki, w tym Google Chrome, Mozilla Firefox oraz Internet Explorer nie obsługują tego typu filtrowania.

Aby uzyskać instrukcje dotyczące rejestrowania użytkownika końcowego, zobacz Rejestrowanie urządzenia z systemem Windows 10 i Rejestrowanie urządzenia z systemem Windows 8.1 lub Windows RT 8.1. Możesz również poinformować użytkowników, aby zapoznali się z tematem Co widzi administrator IT na moim urządzeniu.

Ważne

Jeśli nie włączono automatycznej rejestracji w rozwiązaniu MDM, ale masz urządzenia z systemem Windows 10, które zostały dołączone do usługi Azure AD, po rejestracji w konsoli usługi Intune będą widoczne dwa rekordy. Możesz rozwiązać ten problem, upewniając się, że użytkownicy z urządzeniami dołączonymi do usługi Azure AD przechodzą do pozycji Konta > Uzyskaj dostęp do miejsca pracy lub nauki i Połącz przy użyciu tego samego konta.

Aby uzyskać więcej informacji o zadaniach użytkowników końcowych, zobacz Zasoby dotyczące środowiska użytkownika końcowego w usłudze Microsoft Intune.

Rekordy CNAME rejestracji

Usługa Azure Active Directory ma różne rekordy CNAME, których używa do rejestracji urządzeń z systemem iOS, iPadOS, Android i Windows. Dostęp warunkowy usługi Intune wymaga zarejestrowania urządzeń. Ta operacja nosi również nazwę „dołączania w miejscu pracy”. Jeśli planujesz korzystanie z dostępu warunkowego, musisz również skonfigurować rekord CNAME EnterpriseRegistration dla każdej posiadanej nazwy firmy.

Typ Nazwa hosta Przekierowanie na TTL
CNAME EnterpriseRegistration. domena_firmy.com EnterpriseRegistration.windows.net 1 godzina

Aby uzyskać więcej informacji na temat rejestracji urządzeń, zobacz Manage device identities using the Azure portal (Zarządzanie tożsamościami urządzeń w witrynie Azure Portal)

Automatyczne rejestrowanie i rejestracja urządzeń z systemem Windows 10

Ta sekcja dotyczy klientów w chmurze dla instytucji rządowych USA.

Chociaż tworzenie wpisów DNS rekordów CNAME jest opcjonalne, rekordy CNAME ułatwiają użytkownikom rejestrację. Jeśli rekord CNAME nie zostanie znaleziony, użytkownicy są monitowani o ręczne wprowadzenie nazwy serwera MDM: enrollment.manage.microsoft.us.

Typ Nazwa hosta Przekierowanie na TTL
CNAME EnterpriseEnrollment.domena_firmowa.com Enrollment.manage.microsoft.us 1 godzina
CNAME EnterpriseRegistration.domena_firmowa.com EnterpriseRegistration.windows.net 1 godzina

Następne kroki