Pontos de extremidade de rede para o Microsoft Intune

Este artigo lista endereços IP e configurações de porta necessárias para configurações de proxy em suas implantações de Microsoft Intune.

Como um serviço somente na nuvem, Intune não requer uma infraestrutura local, como servidores ou gateways.

Acesso para dispositivos gerenciados

Para gerenciar dispositivos por trás de firewalls e servidores proxy, habilite a comunicação para o Intune.

Observação

As informações nessa seção também se aplicam ao Conector do Certificados do Microsoft Intune. O conector tem os mesmos requisitos de rede que os dispositivos gerenciados.

  • Os pontos de extremidade neste artigo permitem acesso às portas identificadas nas tabelas a seguir.

  • Para algumas tarefas, Intune requer acesso não autenticado do servidor proxy a manage.microsoft.com, *.azureedge.net e graph.microsoft.com.

    Observação

    Não há suporte para inspeção de tráfego SSL para os pontos de extremidade 'manage.microsoft.com', 'dm.microsoft.com' ou DHA (Atestado de Integridade do Dispositivo) listados na seção de conformidade.

Você pode modificar as configurações do servidor proxy em computadores clientes individuais. Você também pode usar as definições da Política de Grupo para alterar as configurações de todos os computadores cliente que estejam em um servidor proxy especificado.

Os dispositivos gerenciados exigem configurações que permitam que Todos os Usuários acessem os serviços através de firewalls.

Script do Windows PowerShell

Para facilitar a configuração de serviços por meio de firewalls, integramos o serviço Office 365 Ponto de Extremidade. Neste momento, as informações do ponto de extremidade Intune são acessadas por meio de um script do PowerShell. Há outros serviços dependentes para Intune, que já são cobertos como parte do Serviço Microsoft 365 e são marcados como "necessários". Os serviços já cobertos pelo Microsoft 365 não estão incluídos no script para evitar duplicação.

Usando o script do PowerShell a seguir, você pode recuperar a lista de endereços IP para o serviço Intune.

(invoke-restmethod -Uri ("https://endpoints.office.com/endpoints/WorldWide?ServiceAreas=MEM`&`clientrequestid=" + ([GUID]::NewGuid()).Guid)) | ?{$_.ServiceArea -eq "MEM" -and $_.ips} | select -unique -ExpandProperty ips

Usando o script do PowerShell a seguir, você pode recuperar a lista de FQDNs usados por serviços dependentes e Intune. Quando você executa o script, as URLs na saída do script podem ser diferentes das URLs nas tabelas a seguir. No mínimo, certifique-se de incluir as URLs nas tabelas.

(invoke-restmethod -Uri ("https://endpoints.office.com/endpoints/WorldWide?ServiceAreas=MEM`&`clientrequestid=" + ([GUID]::NewGuid()).Guid)) | ?{$_.ServiceArea -eq "MEM" -and $_.urls} | select -unique -ExpandProperty urls

O script fornece um método conveniente para listar e revisar todos os serviços necessários por Intune e Autopilot em um único local. Propriedades adicionais podem ser retornadas do serviço de ponto de extremidade, como a propriedade category, que indica se o FQDN ou IP deve ser configurado como Permitir, Otimizar ou Padrão.

Pontos de extremidade

Você também precisará de FQDNs cobertas como parte dos Requisitos do Microsoft 365. Para referência, as tabelas a seguir mostram o serviço ao qual estão vinculadas e a lista de URLs retornadas.

As colunas de dados mostradas nas tabelas são:

  • ID: o número de ID da linha, também conhecido como um conjunto de pontos de extremidade. Essa ID é a mesma que é retornada pelo serviço Web para o conjunto de pontos de extremidade.

  • Categoria: mostra se o conjunto de pontos de extremidade é categorizado como Otimizar, Permitir ou Padrão. Esta coluna também lista quais conjuntos de pontos de extremidade são necessários para ter conectividade de rede. Para conjuntos de pontos de extremidade que não são necessários para ter conectividade de rede, fornecemos anotações neste campo para indicar qual funcionalidade estaria ausente se o conjunto de pontos de extremidade estiver bloqueado. Se você estiver excluindo uma área de serviço inteira, os conjuntos de ponto de extremidade listados conforme necessário não exigem conectividade.

    Você pode ler sobre essas categorias e diretrizes para seu gerenciamento em Novas categorias de ponto de extremidade do Microsoft 365.

  • ER: isso será Sim/True se o conjunto de pontos de extremidade tiver suporte no Azure ExpressRoute com prefixos de rota do Microsoft 365. A comunidade BGP que inclui os prefixos de rota mostrados se alinha com a área de serviço listada. Quando o ER é Não/False, o ExpressRoute não tem suporte para esse conjunto de pontos de extremidade.

  • Endereços: Listas os FQDNs ou nomes de domínio curinga e intervalos de endereços IP para o conjunto de pontos de extremidade. Observe que um intervalo de endereços IP está no formato CIDR e pode incluir muitos endereços IP individuais na rede especificada.

  • Portas: Listas as portas TCP ou UDP combinadas com endereços IP listados para formar o ponto de extremidade de rede. Você pode notar alguma duplicação em intervalos de endereços IP em que há portas diferentes listadas.

Intune serviço principal

Observação

Se o firewall que você está usando permitir que você crie regras de firewall usando um nome de domínio, use o domínio *.manage.microsoft.com. No entanto, se o provedor de firewall que você está usando não permitir que você crie uma regra de firewall usando um nome de domínio, recomendamos que você use a lista aprovada de todas as sub-redes nesta seção. As sub-redes listadas aqui são provisionadas para diferentes Intune unidades de escala em todas as regiões de nuvem e os clientes podem ser reprovados em todas as outras unidades de escala durante a recuperação de desastre ou para resolver problemas de capacidade.

ID Desc Categoria ER Endereços Portas
163 Serviço de host e cliente do Endpoint Manager Permitir
Obrigatório
Falso *.manage.microsoft.com
manage.microsoft.com
EnterpriseEnrollment.manage.microsoft.com
104.46.162.96/27, 13.67.13.176/28, 13.67.15.128/27, 13.69.231.128/28, 13.69.67.224/28, 13.70.78.128/28, 13.70.79.128/27, 13.71.199.64/28, 13.73.244.48/28, 13.74.111.192/27, 13.77.53.176/28, 13.86.221.176/28,13.89.174.240/28, 13.89.175.192/28, 20.189.229.0/25, 20.191.167.0/25, 20.37.153.0/24, 20.37.192.128/25, 20.38.81.0/24, 20.41.1.0/24, 20.42.1.0/24, 20.42.130.0/24, 20.42.224.128/25, 20.43.129.0/24, 20.44.19.224/27, 20.49.93.160/27, 40.119.8.128/25, 40.67.121.224/27, 40.70.151.32/28, 40.71.14.96/28, 40.74.25.0/24, 40.78.245.240/28, 40.78.247.128/27, 40.79.197.64/27, 40.79.197.96/28, 40.80.180.208/28, 40.80.180.224/27, 40.80.184.128/25, 40.82.248.224/28, 40.82.249.128/25, 52.150.137.0/25, 52.162.111.96/28, 52.168.116.128/27, 52.182.141.192/27, 52.236.189.96/27, 52.240.244.160/27, 20.204.193.12/30, 20.204.193.10/31, 20.192.174.216/29, 20.192.159.40/29
TCP: 80, 443
172 Otimização de entrega de MDM Padrão
Obrigatório
Falso *.do.dsp.mp.microsoft.com
*.dl.delivery.mp.microsoft.com
*.emdl.ws.microsoft.com
kv801.prod.do.dsp.mp.microsoft.com
geo.prod.do.dsp.mp.microsoft.com
emdl.ws.microsoft.com
2.dl.delivery.mp.microsoft.com
bg.v4.emdl.ws.microsoft.com
TCP: 80, 443
170 MEM – PS e Win32Apps Padrão
Obrigatório
Falso swda01-mscdn.azureedge.net
swda02-mscdn.azureedge.net
swdb01-mscdn.azureedge.net
swdb02-mscdn.azureedge.net
swdc01-mscdn.azureedge.net
swdc02-mscdn.azureedge.net
swdd01-mscdn.azureedge.net
swdd02-mscdn.azureedge.net
swdin01-mscdn.azureedge.net
swdin02-mscdn.azureedge.net
TCP: 443
97 Outlook.com de consumidores e o OneDrive Padrão
Falso account.live.com
login.live.com
TCP: 443

Dependências do Autopilot

ID Desc Categoria ER Endereços Portas
164 Autopilot - Windows Update Padrão
Obrigatório
Falso *.download.windowsupdate.com
*.windowsupdate.com
*.dl.delivery.mp.microsoft.com
*.prod.do.dsp.mp.microsoft.com
emdl.ws.microsoft.com
*.delivery.mp.microsoft.com
*.update.microsoft.com
tsfe.trafficshaping.dsp.mp.microsoft.com
au.download.windowsupdate.com
2.dl.delivery.mp.microsoft.com
download.windowsupdate.com
dl.delivery.mp.microsoft.com
geo.prod.do.dsp.mp.microsoft.com
catalog.update.microsoft.com
TCP: 443
165 Autopilot – Sincronização NTP Padrão
Obrigatório
Falso time.windows.com
www.msftncsi.com
www.msftconnecttest.com
UDP: 123
169 Autopilot – Dependências do WNS Padrão
Obrigatório
Falso clientconfig.passport.net
windowsphone.com
*.s-microsoft.com
www.msftncsi.com
c.s-microsoft.com
TCP: 443
173 Autopilot – dependências de implantação de terceiros Padrão
Obrigatório
Falso ekop.intel.com
ekcert.spserv.microsoft.com
ftpm.amd.com
TCP: 443
182 Autopilot – Upload de diagnóstico Padrão
Obrigatório
Falso lgmsapeweu.blob.core.windows.net
TCP: 443

Ajuda remota

ID Desc Categoria ER Endereços Portas Observações
181 MEM – recurso Ajuda remota Padrão
Obrigatório
Falso *.support.services.microsoft.com
remoteassistance.support.services.microsoft.com
rdprelayv3eastusprod-0.support.services.microsoft.com
*.trouter.skype.com
remoteassistanceprodacs.communication.azure.com
edge.skype.com
aadcdn.msftauth.net
aadcdn.msauth.net
alcdn.msauth.net
wcpstatic.microsoft.com
*.aria.microsoft.com
browser.pipe.aria.microsoft.com
*.events.data.microsoft.com
v10.events.data.microsoft.com
*.monitor.azure.com
js.monitor.azure.com
edge.microsoft.com
*.trouter.communication.microsoft.com
go.trouter.communication.microsoft.com
*.trouter.teams.microsoft.com
trouter2-usce-1-a.trouter.teams.microsoft.com
api.flightproxy.skype.com
ecs.communication.microsoft.com
remotehelp.microsoft.com
trouter-azsc-usea-0-a.trouter.skype.com
TCP: 443
187 Dependência – Ajuda remota web pubsub Padrão
Obrigatório
Falso *.webpubsub.azure.com
AMSUA0101-RemoteAssistService-pubsub.webpubsub.azure.com
TCP: 443
188 dependência Ajuda remota para clientes GCC Padrão
Obrigatório
Falso remoteassistanceweb-gcc.usgov.communication.azure.us
gcc.remotehelp.microsoft.com
gcc.relay.remotehelp.microsoft.com
*.gov.teams.microsoft.us
TCP: 443

Intune dependências

Nesta seção, as tabelas a seguir listam as dependências Intune e as portas e serviços que o cliente Intune acessa.

Dependências do WNS (Serviços de Notificação por Push) do Windows

ID Desc Categoria ER Endereços Portas
171 MEM – Dependências do WNS Padrão
Obrigatório
Falso *.notify.windows.com
*.wns.windows.com
sinwns1011421.wns.windows.com
sin.notify.windows.com
TCP: 443

Para dispositivos Windows gerenciados pelo Intune-gerenciados usando o Gerenciamento de Dispositivo Móvel (MDM), as ações do dispositivo e outras atividades imediatas exigem o uso dos Serviços de Notificação por Push do Windows (WNS). Para obter mais informações, confira Permitindo o tráfego da Notificação do Windows por meio de firewalls empresariais.

Dependências de otimização de entrega

ID Desc Categoria ER Endereços Portas
172 MDM – Dependências de otimização de entrega Padrão
Obrigatório
Falso *.do.dsp.mp.microsoft.com
*.dl.delivery.mp.microsoft.com
*.emdl.ws.microsoft.com
kv801.prod.do.dsp.mp.microsoft.com
geo.prod.do.dsp.mp.microsoft.com
emdl.ws.microsoft.com
2.dl.delivery.mp.microsoft.com
bg.v4.emdl.ws.microsoft.com
TCP: 80, 443

Requisitos de porta – Para tráfego ponto a ponto, a Otimização de Entrega usa 7680 para TCP/IP ou 3544 para a travessia NAT (opcionalmente Teredo). Para comunicação entre cliente e serviço, ele usa HTTP ou HTTPS pela porta 80/443.

Requisitos de proxy – para usar a Otimização de Entrega, você deve permitir solicitações do Intervalo de Bytes. Para obter mais informações, confira Requisitos de proxy para o Windows Update.

Requisitos de firewall – permitir que os nomes de host a seguir por meio do firewall dêem suporte à Otimização de Entrega. Para a comunicação entre clientes e o serviço de nuvem Otimização de Entrega:

  • *.do.dsp.mp.microsoft.com

Para os metadados da Otimização de Entrega:

  • *.dl.delivery.mp.microsoft.com
  • *.emdl.ws.microsoft.com

Dependências da Apple

ID Desc Categoria ER Endereços Portas
178 MEM – Dependências da Apple Padrão
Obrigatório
Falso itunes.apple.com
*.itunes.apple.com
*.mzstatic.com
*.phobos.apple.com
phobos.itunes-apple.com.akadns.net
5-courier.push.apple.com
phobos.apple.com
ocsp.apple.com
ax.itunes.apple.com
ax.itunes.apple.com.edgesuite.net
s.mzstatic.com
a1165.phobos.apple.com
TCP: 80, 443, 5223

Para obter mais informações, consulte os seguintes recursos:

Dependências do ANDROID AOSP

ID Desc Categoria ER Endereços Portas
179 MEM – Dependência do AOSP do Android Padrão
Obrigatório
Falso intunecdnpeasd.azureedge.net
TCP: 443

Observação

Como o Google Mobile Services não está disponível na China, os dispositivos na China gerenciados pelo Intune não podem usar recursos que exijam o Google Mobile Services. Esses recursos incluem: Funcionalidades do Google Play Protect, tais como o atestado de dispositivo SafetyNet, Gerenciamento de aplicativos da Google Play Store, funcionalidades do Android Enterprise (consulte esta documentação do Google ). Além disso, o aplicativo Portal da Empresa do Intune para Android usa o Google Mobile Services para se comunicar com o serviço Microsoft Intune. Como o Google Play Services não está disponível na China, algumas tarefas podem exigir até 8 horas para serem concluídas. Para obter mais informações, consulte Limitações do gerenciamento de Intune quando o GMS não estiver disponível.

Informações da porta do Android – dependendo de como você optar por gerenciar dispositivos Android, talvez seja necessário abrir as portas do Google Android Enterprise e/ou a notificação por push do Android. Para obter mais informações sobre os métodos de gerenciamento do Android suportados, consulte a documentação de registro do Android.

Dependências do Android Enterprise

Google Android Enterprise - O Google fornece a documentação das portas de rede necessárias e nomes de host de destino em seu Android Enterprise Bluebook, na seção Firewall desse documento.

Notificação por push do Android – Intune aproveita o Google Firebase Cloud Messaging (FCM) para a notificação por push para disparar ações de dispositivo e marcar-ins. Isso é exigido pelo Administrador de Dispositivos Android e pelo Android Enterprise. Para obter informações sobre os requisitos de rede do FCM, consulte portas FCM do Google e seu firewall.

Dependências de autenticação

ID Desc Categoria ER Endereços Portas
56 Autenticação e Identidade incluem serviços relacionados ao Azure Active Directory e Azure AD. Permitir
Obrigatório
Verdadeiro login.microsoftonline.com
graph.windows.net
TCP: 80, 443
150 O Serviço de Personalização do Office fornece Office 365 ProPlus configuração de implantação, configurações de aplicativo e gerenciamento de políticas baseadas em nuvem. Padrão Falso *.officeconfig.msocdn.com
config.office.com
TCP: 443
59 Serviços de suporte de identidade & CDNs. Padrão
Obrigatório
Falso enterpriseregistration.windows.net
TCP: 80, 443

Para obter mais informações, acesse Office 365 URLs e intervalos de endereços IP.

Requisitos de rede para scripts do PowerShell e aplicativos Win32

Se você estiver usando o Intune para implantar scripts do PowerShell ou aplicativos Win32, também precisará permitir acesso aos pontos de extremidade nos quais seu locatário reside no momento.

Para localizar o local do locatário (ou ASU (Unidade de Escala do Azure), entre no centro de administração Microsoft Intune, escolhaDetalhes do locatário de administração> do locatário. A localização está em Localização do locatário e deve ser algo semelhante a América do Norte 0501 ou Europa 0202. Procure o número correspondente na tabela a seguir. Essa linha indicará a qual nome de armazenamento e pontos de extremidade de CDN permitir acesso. As linhas são diferenciadas por região geográfica, conforme indicado pelas duas primeiras letras nos nomes (na = América do Norte, eu = Europa, ap = Pacífico Asiático). Seu local de locatário é uma dessas três regiões, embora a localização geográfica real da sua organização possa estar em outro lugar.

Observação

Permitir resposta parcial HTTP é necessário para scripts & pontos de extremidade do Win32 Apps.

ASI (Unidade de Escala do Azure) Nome do armazenamento CDN Porta
AMSUA0601
AMSUA0602
AMSUA0101
AMSUA0102
AMSUA0201
AMSUA0202
AMSUA0401
AMSUA0402
AMSUA0501
AMSUA0502
AMSUA0601
AMSUA0701
AMSUA0702
AMSUA0801
AMSUA0901
naprodimedatapri
naprodimedatasec
naprodimedatahotfix
naprodimedatapri.azureedge.net
naprodimedatasec.azureedge.net
naprodimedatahotfix.azureedge.net
TCP: 443
AMSUB0101
AMSUB0102
AMSUB0201
AMSUB0202
AMSUB0301
AMSUB0302
AMSUB0501
AMSUB0502
AMSUB0601
AMSUB0701
euprodimedatapri
euprodimedatasec
euprodimedatahotfix
euprodimedatapri.azureedge.net
euprodimedatasec.azureedge.net
euprodimedatahotfix.azureedge.net
TCP: 443
AMSUC0101
AMSUC0201
AMSUC0301
AMSUC0501
AMSUC0601
AMSUD0101
approdimedatapri
approdimedatasec
approdimedatahotifx
approdimedatapri.azureedge.net
approdimedatasec.azureedge.net
approdimedatahotfix.azureedge.net
TCP: 443

Microsoft Store

Dispositivos Windows gerenciados usando a Microsoft Store – para adquirir, instalar ou atualizar aplicativos – precisarão de acesso a esses pontos de extremidade.

API da Microsoft Store (AppInstallManager):

  • displaycatalog.md.mp.microsoft.com
  • purchase.md.mp.microsoft.com
  • licensing.mp.microsoft.com
  • storeedgefd.dsx.mp.microsoft.com

Agente Windows Update:

Para obter detalhes, confira os seguintes recursos:

Download de conteúdo do Win32:

Os locais e os pontos de extremidade de download de conteúdo win32 são exclusivos por aplicativo e são fornecidos pelo editor externo. Você pode encontrar o local para cada aplicativo da Loja Win32 usando o seguinte comando em um sistema de teste (você pode obter o [PackageId] para um aplicativo Store fazendo referência à propriedade Identificador de Pacote do aplicativo depois de adicioná-lo a Microsoft Intune):

winget show [PackageId]

A propriedade Url do Instalador mostrará o local de download externo ou o cache de fallback baseado na região (hospedado pela Microsoft) com base em se o cache está em uso. Observe que o local de download de conteúdo pode ser alterado entre o cache e o local externo.

Cache de fallback do aplicativo Win32 hospedado pela Microsoft:

  • Varia por região, exemplo: sparkcdneus2.azureedge.net, sparkcdnwus2.azureedge.net

Otimização de entrega (opcional, necessária para emparelhamento):

Para obter detalhes, confira o seguinte recurso:

Migrando políticas de conformidade de atestado de integridade do dispositivo para o atestado do Microsoft Azure

Se um cliente habilitar qualquer uma das configurações de conformidade Windows 10/11 – Integridade do dispositivo, Windows 11 dispositivos começarão a usar um serviço MAA (Microsoft Atestado do Azure) com base no local Intune locatário. No entanto, Windows 10 e ambientes GCCH/DOD continuarão a usar o ponto de extremidade DHA do Atestado de Integridade do Dispositivo existente 'has.spserv.microsoft.com' para relatórios de atestado de integridade do dispositivo e não é afetado por essa alteração.

Se um cliente tiver políticas de firewall que impedem o acesso ao novo serviço MAA Intune para Windows 11, Windows 11 dispositivos com políticas de conformidade atribuídas usando qualquer uma das configurações de integridade do dispositivo (BitLocker, Inicialização Segura, Integridade de Código) cairão fora da conformidade, pois não conseguirão alcançar os pontos de extremidade de atestado do MAA para sua localização.

Verifique se não há regras de firewall que bloqueiem o tráfego HTTPS/443 de saída e que a inspeção de tráfego SSL não esteja em vigor para os pontos de extremidade listados nesta seção, com base no local do Intune locatário.

Para localizar a localização do locatário, navegue até o centro de administração> do Intune > administradorLocatário status>Tenant detalhes, confira Localização do locatário.

  • 'https://intunemaape1.eus.attest.azure.net'

  • 'https://intunemaape2.eus2.attest.azure.net'

  • 'https://intunemaape3.cus.attest.azure.net'

  • 'https://intunemaape4.wus.attest.azure.net'

  • 'https://intunemaape5.scus.attest.azure.net'

  • 'https://intunemaape6.ncus.attest.azure.net'

Análise do ponto de extremidade

Para obter mais informações sobre os pontos de extremidade necessários para análise do Ponto de Extremidade, consulte Configuração de proxy de análise do Ponto de Extremidade.

Microsoft Defender para Ponto de Extremidade

Para obter mais informações sobre como configurar a conectividade do Defender para Ponto de Extremidade, consulte Requisitos de conectividade.

Permitir que os nomes de host a seguir por meio do firewall dêem suporte ao gerenciamento de configurações de segurança do Defender para Ponto de Extremidade. Para comunicação entre clientes e o serviço de nuvem:

  • *.dm.microsoft.com - O uso de um curinga dá suporte aos pontos de extremidade de serviço de nuvem usados para registro, marcar e relatórios e que podem ser alterados conforme o serviço é dimensionado.

    Importante

    Não há suporte para a Inspeção SSL no ponto de extremidade 'dm.microsoft.com'.

Gerenciamento de privilégios de ponto de extremidade do Microsoft Intune

Permitir que os nomes de host a seguir na porta tcp 443 por meio do firewall dêem suporte ao Endpoint Privilege Management.

Para comunicação entre clientes e o serviço de nuvem:

  • *.dm.microsoft.com - O uso de um curinga dá suporte aos pontos de extremidade de serviço de nuvem usados para registro, marcar e relatórios e que podem ser alterados conforme o serviço é dimensionado.

  • *.events.data.microsoft.com - Usado por dispositivos gerenciados por Intune para enviar dados de relatório opcionais para o ponto de extremidade da coleta de dados Intune.

    Importante

    Não há suporte para a Inspeção SSL no ponto de extremidade 'dm.microsoft.com'.

Para obter mais informações, confira a visão geral do Gerenciamento de Privilégios do Ponto de Extremidade.

Intervalos de URLs e de endereços IP do Office 365

Visão Geral da Conectividade de Rede do Microsoft 365

Redes de entrega de conteúdo (CDNs)

Outros pontos de extremidade não incluídos no serviço Web de URL e Endereço IP do Office 365

Gerenciar pontos de extremidade do Office 365