intune-device-mgmt

Microsoft Intune - 设备管理

Microsoft Intune 是一项基于云的终端管理服务，可用于在 Windows、macOS、iOS/iPadOS、Android 和 Linux 设备上进行注册、配置、安全保护和监控。它提供设备合规性信号，供条件访问用于访问决策。

适用场景

管理企业设备和 BYOD 设备群，并生成条件访问所依赖的合规性信号。使用此技能规划注册、合规性、安全基线和分批推广。

此技能不适用于个人设备上的仅应用保护（intune-app-protection）、EDR（defender-for-endpoint）或磁盘加密（bitlocker-design）。

根据平台和所有权选择注册方式

平台	企业所有	个人（BYOD）
Windows	Autopilot + Entra 加入（预配或由用户驱动）	Entra 注册 + MAM 或共同管理
macOS	Apple Business Manager (ABM) + ADE 注册	用户注册（管理能力有限）
iOS/iPadOS	ABM + ADE 监管模式	用户注册（优先采用基于帐户的方式）
Android	Android Enterprise 完全托管（企业）	Android Enterprise 工作配置文件

经验法则：如果设备归企业所有，则通过 Autopilot / ABM / Android Enterprise 完全托管实施完整 MDM。如果是个人设备，则优先采用工作配置文件（Android）或用户注册 （iOS），以清晰分隔企业数据和个人数据。切勿将个人设备注册为完整 MDM——用户会反对，而且你要承担处理个人数据的责任。

方法

1. 注册 — 配置平台专属的注册方式（Autopilot 部署配置文件、 ABM 令牌 + ADE 配置文件、Android Enterprise 绑定）。如果策略要求，阻止企业用户注册个人平台设备（注册限制）。 验证：Autopilot 设备进入开箱即用体验 (OOBE)，一次性完成加入和 Intune 注册，无需 IT 人员介入。

2. 配置文件 — 使用设置目录（而非旧版模板）。部署 Wi-Fi / VPN / 证书配置文件、OS 强化设置和浏览器策略。每个用途使用一个配置文件；不要将无关设置打包在一起。

3. 合规策略为条件访问提供信号 — 按平台定义合规要求： 加密、OS 版本、安全启动、Defender 信号、越狱/Root 检测。合规状态将驱动 CA 授权控制“要求将设备标记为合规”。 验证：不合规设备在 CA“如果-假设”中被阻止，合规设备则获准访问。

4. 应用安全基线 — 从 Intune 安全基线（Windows、Defender for Endpoint、Edge）开始。这些基线是强化安全的起点，然后再调整差异项。不要从头编写安全设置。 验证：基线已应用，且在试点环中报告为合规；差异项已记录。

5. 通过环和筛选器分批推广 — 试点环（5%）→ 快速环（20%）→ 广泛环（75%）。 使用筛选器在不同设备类型中精准定位策略（例如，仅限 Windows 11、 仅限企业所有设备）。 验证：策略报告显示分阶段推广；试点环比广泛推广提前 2 周。

6. 更新 — Windows：Autopatch 或更新环。iOS/macOS：托管软件更新。 按环规划更新延期；不要在 Microsoft 发布更新的当天推送。

7. 监控 + 修复 — 每日查看加密 / 合规性 / 配置报告。合规性偏差会导致 CA 阻止访问——请迅速处理。

防护措施

• 按环逐步试点配置并确保合规；避免首日就在整个组织范围内强制实施。 在整个组织范围内采用不当的合规策略，会导致所有人午餐时间前就无法访问电子邮件。
• 设置合规宽限期，并提供清晰的用户整改指引，以避免用户被锁定。 宽限期为 24-72 小时；告知用户需要修复什么，以及去哪里修复。
• 使用筛选器，在不同设备类型中精准定位策略。 仅适用于 Windows 的策略若命中 iOS 设备，报告就会一直显示失败。
• 注册限制至关重要。 只允许实际管理的平台／所有权类型；否则用户会自行注册个人设备，而这些设备就会归你管理。
• 先采用基线，再添加自定义设置。 从零开始自定义的安全策略会立即偏离 Microsoft 指南。
• 不要将 Defender for Endpoint EDR 注册配置放入配置文件。 请使用 Defender 终结点安全策略或 MDE 集成方式。

常见反模式

• “第 1 天就在整个租户启用合规策略” - 第 2 天就会发生用户被锁定事件。
• “把所有设置都放进一个庞大的 Windows 配置文件” - 难以维护；一个设置失败就会导致整个配置文件标记为失败。
• “合规策略没有宽限期” - 一次网络中断就会导致用户被阻止。必须设置宽限期。
• “将 iPhone 注册到完整 MDM，以支持 BYOD” - 用户会强烈不满，还会暴露数据保护风险。应改用用户注册。
• “跳过安全基线，自己编写策略” - 速度更慢、安全性更低，而且会立即过时。
• “不使用筛选器，定位所有设备” - macOS 和 iOS 会在仅适用于 Windows 的策略中报告失败，反之亦然。应使用筛选器精准定位。

示例提示词

• Plan device enrollment with Autopilot for Windows and ABM for macOS.
• Create compliance policies for Windows, iOS, and Android that feed Conditional Access.
• Apply Intune security baselines and tune deltas for our environment.
• Set up update rings with Windows Autopatch and a pilot-fast-broad cadence.
• Use filters to scope an iOS-only configuration profile.
• Roll out a new compliance policy with grace period and ring strategy.

Microsoft Learn

• Intune 概述：https://learn.microsoft.com/mem/intune/fundamentals/what-is-intune
• 设备注册：https://learn.microsoft.com/mem/intune/enrollment/device-enrollment
• Windows Autopilot：https://learn.microsoft.com/autopilot/overview
• 合规策略：https://learn.microsoft.com/mem/intune/protect/device-compliance-get-started
• 安全基线：https://learn.microsoft.com/mem/intune/protect/security-baselines
• 设置目录：https://learn.microsoft.com/mem/intune/configuration/settings-catalog
• Windows Autopatch：https://learn.microsoft.com/windows/deployment/windows-autopatch/overview/windows-autopatch-overview
• 筛选器：https://learn.microsoft.com/mem/intune/fundamentals/filters