Steg 4 – Konfigurera enhetsfunktioner och inställningar för att skydda enheter och komma åt resurser

  • Artikel

Hittills har du konfigurerat din Intune-prenumeration, skapat appskyddsprinciper och skapat principer för enhetsefterlevnad.

I det här steget är du redo att konfigurera en minsta eller grundläggande uppsättning säkerhets- och enhetsfunktioner som alla enheter måste ha.

Diagram som visar hur du kommer igång med Microsoft Intune med steg 4, som konfigurerar enhetsfunktioner och säkerhetsinställningar.

Den här artikeln gäller för:

  • Android
  • iOS/iPadOS
  • macOS
  • Windows

När du skapar enhetskonfigurationsprofiler finns det olika nivåer och typer av principer tillgängliga. Dessa nivåer är microsofts rekommenderade minimiprinciper. Tänk på att din miljö och dina affärsbehov kan vara olika.

  • Nivå 1 – Lägsta enhetskonfiguration: På den här nivån rekommenderar Microsoft att du skapar principer som:

    • Fokusera på enhetssäkerhet, inklusive att installera antivirusprogram, skapa en stark lösenordsprincip och regelbundet installera programuppdateringar.
    • Ge användarna åtkomst till organisationens e-post och kontrollerad säker åtkomst till nätverket, oavsett var de befinner sig.

  • Nivå 2 – Förbättrad enhetskonfiguration: På den här nivån rekommenderar Microsoft att du skapar principer som:

    • Utöka enhetssäkerheten, inklusive att konfigurera diskkryptering, aktivera säker start och lägga till fler lösenordsregler.
    • Använd de inbyggda funktionerna och mallarna för att konfigurera fler inställningar som är viktiga för din organisation, inklusive analys av lokala grupprincipobjekt.

  • Nivå 3 – Hög enhetskonfiguration: På den här nivån rekommenderar Microsoft att du skapar principer som:

    • Övergå till lösenordsfri autentisering, inklusive användning av certifikat, konfiguration av enkel inloggning (SSO) till appar, aktivering av multifaktorautentisering (MFA) och konfiguration av Microsoft Tunnel.
    • Lägg till extra säkerhetslager med hjälp av Vanliga villkorsläge för Android eller skapa DFCI-principer för Windows-enheter.
    • Använd de inbyggda funktionerna för att konfigurera kioskenheter, dedikerade enheter, delade enheter och andra specialiserade enheter.
    • Distribuera befintliga gränssnittsskript.

I den här artikeln visas de olika nivåerna för enhetskonfigurationsprinciper som organisationer bör använda. De flesta av dessa principer i den här artikeln fokuserar på åtkomst till organisationens resurser och säkerhet.

Dessa funktioner konfigureras i enhetskonfigurationsprofiler i Microsoft Intune administrationscenter. När profilerna är klara kan de distribueras från Intune till dina enheter.

Tips

Ta en rundtur i Intune och Microsoft Intune administrationscenter.

Nivå 1 – Skapa din säkerhetsbaslinje

För att skydda organisationens data och enheter skapar du olika principer som fokuserar på säkerhet. Du bör skapa en lista över säkerhetsfunktioner som alla användare och/eller alla enheter måste ha. Den här listan är din säkerhetsbaslinje.

I din baslinje rekommenderar Microsoft minst följande säkerhetsprinciper:

  • Installera antivirus (AV) och sök regelbundet efter skadlig kod
  • Använda identifiering och svar
  • Aktivera brandväggen
  • Installera programuppdateringar regelbundet
  • Skapa en stark PIN-kod/lösenordsprincip

I det här avsnittet visas de Intune och Microsoft-tjänster som du kan använda för att skapa dessa säkerhetsprinciper.

En mer detaljerad lista över Windows-inställningar och deras rekommenderade värden finns i Säkerhetsbaslinjer för Windows.

Antivirus och genomsökning

✔️ Installera antivirusprogram och sök regelbundet efter skadlig kod

Alla enheter bör ha antivirusprogram installerade och regelbundet genomsökas efter skadlig kod. Intune integreras med MTD-tjänster (Mobile Threat Defense) från tredje part som tillhandahåller AV- och hotgenomsökning. För macOS och Windows är antivirus och genomsökning inbyggda för att Intune med Microsoft Defender för Endpoint.

Dina principalternativ:

Plattform Typ av princip
Android enterprise – Partner
för skydd mot mobilhot – Microsoft Defender för Endpoint för Android kan söka efter skadlig kod
iOS/iPadOS Partner för skydd mot mobilhot
macOS Intune Endpoint Security antivirusprofil (Microsoft Defender för Endpoint)
Windows-klient – Intune säkerhetsbaslinjer (rekommenderas)
– Intune Endpoint Security-antivirusprofil (Microsoft Defender för Endpoint)
– Partner för skydd mot mobilhot

Mer information om dessa funktioner finns i:

Identifiering och svar

✔️ Identifiera attacker och agera på dessa hot

När du snabbt identifierar hot kan du minimera påverkan av hotet. När du kombinerar dessa principer med villkorsstyrd åtkomst kan du blockera användare och enheter från att komma åt organisationsresurser om ett hot upptäcks.

Dina principalternativ:

Plattform Typ av princip
Android enterprise – Partner
för skydd mot mobilhot – Microsoft Defender för Endpoint på Android
iOS/iPadOS – Partner för skydd
mot mobilhot – Microsoft Defender för Endpoint på iOS/iPadOS
macOS Inte tillgängligt
Windows-klient – Intune säkerhetsbaslinjer (rekommenderas)
– Intune slutpunktsidentifiering och svarsprofil (Microsoft Defender för Endpoint)
– Partner för skydd mot mobilhot

Mer information om dessa funktioner finns i:

Brandvägg

✔️ Aktivera brandväggen på alla enheter

Vissa plattformar har en inbyggd brandvägg och på andra kan du behöva installera en brandvägg separat. Intune integreras med MTD-tjänster (Mobile Threat Defense) från tredje part som kan hantera en brandvägg för Android- och iOS/iPadOS-enheter. För macOS och Windows är brandväggssäkerhet inbyggt för att Intune med Microsoft Defender för Endpoint.

Dina principalternativ:

Plattform Typ av princip
Android enterprise Partner för skydd mot mobilhot
iOS/iPadOS Partner för skydd mot mobilhot
macOS Intune Endpoint Security-brandväggsprofil (Microsoft Defender för Endpoint)
Windows-klient – Intune säkerhetsbaslinjer (rekommenderas)
– Intune Endpoint Security-brandväggsprofil (Microsoft Defender för Endpoint)
– Partner för skydd mot mobilhot

Mer information om dessa funktioner finns i:

Lösenordsprincip

✔️ Skapa en stark lösenords-/PIN-princip och blockera enkla lösenord

PIN-koder låser upp enheter. På enheter som har åtkomst till organisationsdata, inklusive personligt ägda enheter, bör du kräva starka PIN-koder/lösenord och stöd för biometri för att låsa upp enheter. Användning av biometri är en del av en lösenordsfri metod, vilket rekommenderas.

Intune använder profiler för enhetsbegränsningar för att skapa och konfigurera lösenordskrav.

Dina principalternativ:

Plattform Typ av princip
Android enterprise Intune profil för enhetsbegränsningar för att hantera:
– Enhetslösenord
– Lösenord för arbetsprofil
AOSP Intune profil för enhetsbegränsningar
iOS/iPadOS Intune profil för enhetsbegränsningar
macOS Intune profil för enhetsbegränsningar
Windows-klient – Intune säkerhetsbaslinjer (rekommenderas)
– profil för Intune enhetsbegränsningar

En lista över de inställningar som du kan konfigurera finns i:

Programuppdateringar

✔️ Installera programuppdateringar regelbundet

Alla enheter bör uppdateras regelbundet och principer bör skapas för att säkerställa att dessa uppdateringar har installerats. För de flesta plattformar har Intune dedikerade principer som fokuserar på att hantera och installera uppdateringar.

Dina principalternativ:

Plattform Typ av princip
Android Enterprise-företagsägda enheter Inställningar för systemuppdatering med profilen Intune enhetsbegränsningar
Personligt ägda Android Enterprise-enheter Inte tillgängligt

Kan använda efterlevnadsprinciper för att ange en lägsta korrigeringsnivå, lägsta/högsta operativsystemversion med mera.
iOS/iPadOS Intune uppdateringsprincip
macOS Intune uppdateringsprincip
Windows-klient – Intune princip
för funktionsuppdateringar – Intune snabb uppdateringsprincip

Mer information om dessa funktioner och/eller de inställningar som du kan konfigurera finns i:

Nivå 1 – Få åtkomst till organisationens e-post, ansluta till VPN eller Wi-Fi

Det här avsnittet fokuserar på åtkomst till resurser i din organisation. Dessa resurser omfattar:

  • Email för arbets- eller skolkonton
  • VPN-anslutning för fjärranslutning
  • Wi-Fi anslutning för lokal anslutning

Diagram som visar ett e-postmeddelande, VPN och Wi-Fi profiler som distribuerats från Microsoft Intune till slutanvändarenheter.

E-post

Många organisationer distribuerar e-postprofiler med förkonfigurerade inställningar till användarenheter.

✔️ Anslut automatiskt till användarkonton

Profilen innehåller konfigurationsinställningarna för e-post som ansluter till din e-postserver.

Beroende på vilka inställningar du konfigurerar kan e-postprofilen också automatiskt ansluta användarna till sina enskilda e-postkontoinställningar.

✔️ Använda e-postappar på företagsnivå

Email profiler i Intune använda vanliga och populära e-postappar, till exempel Outlook. E-postappen distribueras till användarenheter. När den har distribuerats distribuerar du konfigurationsprofilen för e-postenheter med de inställningar som konfigurerar e-postappen.

Konfigurationsprofilen för e-postenheten innehåller inställningar som ansluter till Exchange.

✔️ Få åtkomst till e-post för arbete eller skola

Att skapa en e-postprofil är en gemensam minimibaslinjeprincip för organisationer med användare som använder e-post på sina enheter.

Intune har inbyggda e-postinställningar för Android-, iOS/iPadOS- och Windows-klientenheter. När användarna öppnar sin e-postapp kan de automatiskt ansluta, autentisera och synkronisera organisationens e-postkonton på sina enheter.

✔️ Distribuera när som helst

På nya enheter rekommenderar vi att du distribuerar e-postappen under registreringsprocessen. När registreringen är klar distribuerar du konfigurationsprincipen för e-postenheter.

Om du har befintliga enheter distribuerar du e-postappen när som helst och distribuerar konfigurationsprincipen för e-postenheter.

Kom igång med e-postprofiler

Så här kommer du igång:

  1. Distribuera en e-postapp till dina enheter. Mer information finns i Lägg till e-postinställningar på enheter med hjälp av Intune.

  2. Skapa en e-postenhetskonfigurationsprofil i Intune. Beroende på vilken e-postapp din organisation använder kanske inte konfigurationsprofilen för e-postenheten.

    Mer information finns i Lägg till e-postinställningar på enheter med hjälp av Intune.

  3. I konfigurationsprofilen för e-postenheten konfigurerar du inställningarna för din plattform:

  4. Tilldela konfigurationsprofilen för e-postenheten till dina användare eller användargrupper.

VPN

Många organisationer distribuerar VPN-profiler med förkonfigurerade inställningar till användarenheter. VPN ansluter dina enheter till ditt interna organisationsnätverk.

Om din organisation använder molntjänster med modern autentisering och säkra identiteter behöver du förmodligen ingen VPN-profil. Molnbaserade tjänster kräver ingen VPN-anslutning.

Om dina appar eller tjänster inte är molnbaserade eller inte är molnbaserade rekommenderar vi att du distribuerar en VPN-profil för att ansluta till ditt interna organisationsnätverk.

✔️ Arbeta var du än befinner dig

Att skapa en VPN-profil är en gemensam minimibaslinjeprincip för organisationer med distansarbetare och hybridarbetare.

När användarna arbetar var de än befinner sig kan de använda VPN-profilen för att på ett säkert sätt ansluta till organisationens nätverk för att få åtkomst till resurser.

Intune har inbyggda VPN-inställningar för Android-, iOS/iPadOS-, macOS- och Windows-klientenheter. På användarenheter visas VPN-anslutningen som en tillgänglig anslutning. Användarna väljer det. Beroende på inställningarna i VPN-profilen kan användarna dessutom automatiskt autentisera och ansluta till VPN på sina enheter.

✔️ Använda VPN-appar på företagsnivå

VPN-profiler i Intune använder vanliga VPN-appar för företag, till exempel Check Point, Cisco, Microsoft Tunnel med mera. VPN-appen distribueras till användarenheter. När appen har distribuerats distribuerar du VPN-anslutningsprofilen med inställningar som konfigurerar VPN-appen.

Konfigurationsprofilen för VPN-enheten innehåller inställningar som ansluter till VPN-servern.

✔️ Distribuera när som helst

På nya enheter rekommenderar vi att du distribuerar VPN-appen under registreringsprocessen. När registreringen är klar distribuerar du konfigurationsprincipen för VPN-enheter.

Om du har befintliga enheter distribuerar du VPN-appen när som helst och distribuerar sedan konfigurationsprincipen för VPN-enheter.

Kom igång med VPN-profiler

Så här kommer du igång:

  1. Distribuera en VPN-app till dina enheter.

  2. Skapa en VPN-konfigurationsprofil i Intune.

  3. Konfigurera inställningarna för din plattform i konfigurationsprofilen för VPN-enheter:

  4. Tilldela VPN-enhetskonfigurationsprofilen till dina användare eller användargrupper.

Wi-Fi

Många organisationer distribuerar Wi-Fi profiler med förkonfigurerade inställningar till användarenheter. Om din organisation har en personalstyrka som endast är fjärransluten behöver du inte distribuera Wi-Fi anslutningsprofiler. Wi-Fi profiler är valfria och används för lokal anslutning.

✔️ Ansluta trådlöst

När användarna arbetar från olika mobila enheter kan de använda Wi-Fi profilen för att trådlöst och säkert ansluta till organisationens nätverk.

Profilen innehåller Wi-Fi konfigurationsinställningar som automatiskt ansluter till nätverket och/eller SSID (tjänstuppsättningsidentifierare). Användarna behöver inte konfigurera sina Wi-Fi inställningar manuellt.

✔️ Stöd för mobila enheter lokalt

Att skapa en Wi-Fi profil är en gemensam minimibaslinjeprincip för organisationer med mobila enheter som arbetar lokalt.

Intune har inbyggda Wi-Fi inställningar för Android-, iOS/iPadOS-, macOS- och Windows-klientenheter. På användarenheter visas din Wi-Fi-anslutning som en tillgänglig anslutning. Användarna väljer det. Beroende på inställningarna i din Wi-Fi profil kan användarna dessutom automatiskt autentisera och ansluta till Wi-Fi på sina enheter.

✔️ Distribuera när som helst

På nya enheter rekommenderar vi att du distribuerar Wi-Fi-enhetskonfigurationsprincipen när enheter registreras i Intune.

Om du har befintliga enheter kan du distribuera Wi-Fi enhetskonfigurationsprincipen när som helst.

Kom igång med Wi-Fi profiler

Så här kommer du igång:

  1. Skapa en Wi-Fi enhetskonfigurationsprofil i Intune.

  2. Konfigurera inställningarna för din plattform:

  3. Tilldela Wi-Fi enhetskonfigurationsprofil till dina användare eller användargrupper.

Nivå 2 – Förbättrat skydd och konfiguration

Den här nivån utökar det du har konfigurerat på nivå 1 och ger mer säkerhet för dina enheter. I det här avsnittet skapar du en nivå 2-uppsättning principer som konfigurerar fler säkerhetsinställningar för dina enheter.

Microsoft rekommenderar följande säkerhetsprinciper på nivå 2:

  • Intune innehåller hundratals inställningar som kan hantera enheters funktioner och inställningar, som att inaktivera den inbyggda kameran, kontrollera meddelanden, tillåta Bluetooth, blockera spel med mera.

    Du kan använda de inbyggda mallarna eller inställningskatalogen för att se och konfigurera inställningarna.

    • Mallar för enhetsbegränsningar har många inbyggda inställningar som kan styra olika delar av enheterna, inklusive säkerhet, maskinvara, datadelning med mera.

      Du kan använda dessa mallar på följande plattformar:

      • Android
      • iOS/iPadOS
      • macOS
      • Windows

    • Använd inställningskatalogen för att se och konfigurera alla tillgängliga inställningar. Du kan använda inställningskatalogen på följande plattformar:

      • iOS/iPadOS
      • macOS
      • Windows

    • Använd de inbyggda administrativa mallarna, ungefär som att konfigurera ADMX-mallar lokalt. Du kan använda ADMX-mallarna på följande plattform:

      • Windows

  • Om du använder lokala grupprincipobjekt och vill veta om samma inställningar är tillgängliga i Intune använder du grupprincip analys. Den här funktionen analyserar dina grupprincipobjekt och kan, beroende på analysen, importera dem till en katalogprincip för Intune inställningar.

    Mer information finns i Analysera dina lokala grupprincipobjekt och importera dem i Intune.

Nivå 3 – Hög skydd och konfiguration

Den här nivån utökar det du har konfigurerat i nivå 1 och 2. Den lägger till extra säkerhetsfunktioner som används i organisationer på företagsnivå.

  1. Konfigurera Microsoft Intune
  2. Lägga till, konfigurera och skydda appar
  3. Planera för efterlevnadsprinciper
  4. 🡺 Konfigurera enhetsfunktioner (du är här)
  5. Registrera enheter