Pozn.: Tento článek (a patrně nějaké následující) obsahuje pouze moje stručné poznámky z této oblasti. Oficiální dokumentace je dost obsáhlá a na internetu se nachází mnoho dalších popisů. Stejně, jako ostatní cloudové služby Microsoft, se celá oblast dynamicky vyvíjí a mění. Později jsem zjistil, že dokumentace není zas tak přehledná. A některé věci fungují dobře na testovacích zařízeních, ale na produkčních se narazí na různé problémy. Takže jsem část více rozepsal.
Úvod do Intune
Intune vs. MDM for Office 365
Pro správu zařízení v Microsoft 365 můžeme využít dvě řešení:
- Basic Mobility and Security - na některých místech se označuje jako Mobile Device Management for Office 365 (MDM for Office 365)
- Microsoft Intune
Rozdíly popisuje Choose between Basic Mobility and Security or Intune
Co je Microsoft Intune
Oficiální dokumentace Microsoft Intune fundamentals, Microsoft Intune user help, Mobile Device Management.
Microsoft Intune je cloudové řešení pro správu koncových bodů. Můžeme spravovat uživatele a zařízení, která mohou být mobilní zařízení, stolní počítače a virtuální stroje. Zařízení mohou být vlastněna organizací nebo v osobním vlastnictví (BYOD). Podporuje Android, Android Open Source Project (AOSP), iOS/iPadOS, macOS a Windows. Můžeme chránit data na spravovaných (Enrolled in Intune) i nespravovaných (not enrolled in Intune) zařízeních. Intune může izolovat data organizace od osobních dat.
Intune tedy slouží ke správě (přístupu) uživatelů, zařízení a aplikací (User, Device and Application Management). Umožňuje zařízení registrovat a spravovat dvěma různými přístupy. Můžeme využít MDM, MAM nebo oboje.
- MDM - Mobile Device Management (správa zařízení)
- zaměřeno na zařízení
- funkce zařízení se konfigurují podle toho, kdo je potřebuje (uživatel)
- zařízení musí být registrované (Enrolled) v Intune
- zařízení je spravované organizací, včetně uživatelských identit, které se přihlašují, nainstalovaných aplikací a dat, ke kterým se přistupuje
- MAM - Mobile Application Management (správa aplikací)
- zaměřeno na uživatele
- data aplikace jsou chráněna bez ohledu na zařízení použité k přístupu k těmto datům
- zaměřujeme se na aplikace, včetně bezpečného přístupu k aplikacím a ochrany dat v aplikacích
- můžeme publikovat, konfigurovat a aktualizovat aplikace
Klíčové vlastnosti Intune
- User and device management
- App management
- Configuration policy management
- Self-service features with Company Portal
- Web-based admin center
Integrace s dalšími službami a aplikacemi Microsoft
- Configuration Manager (MECM, dříve SCCM)
- Windows Autopilot
- Endpoint Analytics
- Microsoft 365
- Microsoft Defender for Endpoint
- Windows Autopatch
Integrace s partnerskými zařízeními a aplikacemi třetích stran
- Managed Google Play
- Apple tokens and certificates
- TeamViewer
Administrační portály a weby
- Microsoft Endpoint Manager admin center - https://endpoint.microsoft.com
- Company Portal - https://portal.manage.microsoft.com
- Basic Mobility and Security (administrace v rámci Purview) - https://compliance.microsoft.com/basicmobilityandsecurity
Licence pro Intune
Každý uživatel, kterému přiřadíme licenci pro Intune, může přistupovat a používat online služby a související software (včetně softwaru System Center) ke správě aplikací a až 15 zařízení MDM. Intune PC agent povoluje 5 fyzických a 1 virtuální počítač na uživatelskou licenci.
Standardní jsou uživatelské licence (Intune license), kterou musí mít každý uživatel, který je přiřazen k zařízení (user affinity). Zařízení bez přiřazeného uživatele vyžadují licenci zařízení (device license).
Licence na službu Intune se nachází v různých licenčních plánech. Neúplný výčet včetně aktuálních cen uváděných Microsoftem (za měsíc při roční platbě):
- Microsoft 365 Business Premium - 18,6 EUR
- Microsoft 365 E3 - 35,4 EUR
- Microsoft 365 E5 - 53,7 EUR
- Microsoft Enterprise Mobility + Security E3 - 9 EUR
- Microsoft Enterprise Mobility + Security E5 - 13,9 EUR
- Microsoft Intune - 6,7 EUR
- Microsoft 365 F1 - 1,90 EUR
- Microsoft 365 F3 - 6,70 EUR
Práce s licencemi v PowerShellu
Pokud chceme použít PowerShell pro konfiguraci licencí a služeb, tak je důležitý název služby, který se v PowerShell cmdletech používá.
- INTUNE_A - Microsoft Intune
- INTUNE_O365 - Mobile Device Management for Office 365 (Basic Mobility and Security)
Můžeme si vypsat dostupné licenční plány, kde se nachází služba Intune
PS C:\> foreach ($sku in (Get-MsolAccountSku) ) {
foreach ($sp in $sku.ServiceStatus | where {$_.ServicePlan.ServiceName -like "INTUNE_A"}) {
New-Object -TypeName PSObject -Property @{"AccountSkuId"=$sku.AccountSkuId;"ServicePlan"=$sp.ServicePlan.ServiceName}
}
}
ServicePlan AccountSkuId
----------- ------------
INTUNE_A firma:MEETING_ROOM
INTUNE_A firma:SPE_E5
INTUNE_A firma:SPE_E3
Aby nedošlo k nehnětené registraci zařízení do Intune (při úvodním zprovozňování), tak můžeme určitým uživatelům odebrat licenci na službu Intune. Popis se nachází v článku PowerShell pro Azure AD, Exchange Online, práce s licencemi.
Základní zprovoznění a nastavení Intune
Autorita pro správu mobilních zařízení
Můžeme využít několik variant (cloudové) správy zařízení. Důležité je, jak je nastavena MDM autorita.
- Intune Standalone - MDM authority = Microsoft Intune
- Intune co-management - Intune + Configuration Manager (MECM), MDM authority = Microsoft Intune
- Basic Mobility and Security for Microsoft 365 - MDM authority = Microsoft Office 365
- Basic Mobility and Security for Microsoft 365 coexistence - podle licence, uživatelé využijí buď Intune nebo MDM for M365, při přiřazení licence se přepne
Nastavení MDM authority na Intune
Pozn.: Nové tenanty od 1911 service release jsou automaticky nastavené na Intune.
Kontrola aktuálního nastavení MDM authority
- Microsoft Endpoint Manager admin center - Tenant administration - Tenant status - MDM authority
Abychom mohli využít Intune pro správu zařízení, tak musí být nastavena autorita na Microsoft Intune. Změna nastavení záleží na aktuální hodnotě. Pokud máme Office 365, tak by mělo jít přepnout (přidat) na Intune:
- Microsoft Endpoint Manager admin center - Devices - Overview
- nahoře se nachází informační řádek You’re using Office 365 for device management. Click here to add Intune.
- klikneme na řádek a v nastavení zatrhneme Intune MDM authority a klikneme na tlačítko Add
Device Registration Restrictions - omezení registrace zařízení do Azure AD
V rámci Azure AD můžeme řídit registraci a připojování zařízení do Azure AD. Můžeme zde také nastavit (doporučené) vyžadování MFA při registraci nebo připojení zařízení do Azure AD.
- Azure Active Directory admin center - Devices - Device settings
Device Enrollment Restrictions - omezení registrace zařízení do Intune
Abychom mohli využít MDM správu zařízení, tak musí být tato zařízení registrovaná do Intune (Enrolled). Můžeme povolit nebo zakázat registraci určitých operačních systémů do Intune, zvlášť můžeme řešit zařízení v osobním vlastnictví. Existuje výchozí politika a můžeme vytvářet další.
Pozn.: Dokud není nastavena MDM authority na Intune, tak tlačítko Edit chybí.
- Microsoft Endpoint Manager admin center - Devices - Enroll devices - Enrollment device platform restrictions
- klik All Users - Properties
- vedle Platform settings tlačítko Edit
Pomocí Conditional Access Policies můžeme také vyžadovat MFA při registraci do Intune, více Require multifactor authentication for Intune device enrollments.
Přizpůsobení portálu společnosti - Company Portal
- How to configure the Intune Company Portal apps, Company Portal website, and Intune app
- Microsoft Endpoint Manager admin center - Tenant administration - Customization
Můžeme upravit vzhled firemního portálu, který se využívá pro registraci zařízení do Intune a instalaci aplikací. Upravujeme výchozí politiku nebo vytváříme nové. Pokud chceme provést editaci, tak je povinné vyplnit jméno organizace a URL na prohlášení o ochraně soukromí.
Device clean-up rules - automatické mazání zařízení
- Automatically delete devices with cleanup rules
- Microsoft Endpoint Manager admin center - Devices - Device clean-up rules
Můžeme aktivovat automatické mazání zařízení, která jsou neaktivní, zastaralé nebo nereagující, z Intune správy. Zadáme počet dní (30 až 270), pokud se po tuto dobu zařízení nepřipojí, je smazáno.
Windows Device Enrollment - registrace Windows zařízení do Intune
- What is device enrollment in Intune?
- Set up enrollment for Windows devices
- Intune enrollment methods for Windows devices
- Deployment guide: Enroll Windows devices in Microsoft Intune
Pro registraci zařízení do Intune existuje velké množství metod. Může probíhat automaticky nebo se vyvolá ručně. Některé metody provádí správce, není potřeba žádná spolupráce uživatele, registrace je vynucena pomocí politik. Pomocí jiných metod si může zařízení registrovat uživatel.
Registrovat můžeme zařízení vlastněná organizací, ale také osobní zařízení Bring-your-own-device (BYOD). Určitá zařízení jsou automaticky označena jako corporate-owned (například ta, která jsou (Hybrid) Azure AD Joined, nebo manuálně označena jako firemní pomocí IMEI, sériového čísla či ve vlastnostech zařízení). Ostatní jako personally-owned (třeba ta, která jsou Azure AD Registered). Identify devices as corporate-owned
Microsoft tyto metody popisuje na řadě míst a popis mi nepřijde úplně konzistentní (třeba na jednom místě se metoda označuje Hybrid Azure AD Join, ale jinde Automatic enrollment via Group Policy). Orientace je docela složitá a v praxi jsem narážel na různé problémy.
Metody pro registraci do Intune
Metody, které může vyvolat uživatel (pokud je povoleno):
- Azure AD Join - Automatic enrollment via MDM - zařízení se automaticky registruje do Intune ve chvíli, kdy je zařazeno do Azure AD (provedeme Azure AD Join), Auto enrollment
- Windows Autopilot - automatizuje nastavení a před konfiguraci nových firemních zařízení, včetně Azure AD Join a registrace do Intune, provede reset zařízení (vymaže data)
- Bring-your-own-device (BYOD) - uživatel může využít web nebo aplikaci Company Portal, pokud máme nastavený Auto enrollment, tak můžeme v nastavení Windows přidat Work or School Account, dojde k registraci do Azure AD a automaticky také do Intune
- MDM only enrollment - registrace pouze do Intune, ale ne do Azure AD, nabízí omezené možnosti (můžeme použít i pro zařízení, která již jsou Azure AD Joined)
Metody, které používá administrátor:
- Hybrid Azure AD Join - Automatic enrollment via Group Policy - zařízení, která jsou Hybrid Azure AD Joined, můžeme registrovat do Intune pomocí Group Policy, vyžaduje Auto enrollment
- Co-management with Microsoft Intune and Configuration Manager - pokud používáme Configuration Manager a nastavíme Co-management, tak můžeme zapnout automatickou registraci (spravovaných) zařízení do Intune, vyžaduje Auto enrollment
- Bulk enrollment - Provisioning package - umožňuje správci hromadně registrovat firemní zařízení, vytvoříme provisioning package pomocí Windows Configuration Designer (WCD) a nainstalujeme na zařízení (můžeme jej použít i během počátečního nastavení - OOBE), tato metoda nepřiřadí zařízení uživateli, vyžaduje Auto enrollment
- Device Enrollment Manager (DEM) - speciální účet, který má oprávnění zaregistrovat a spravovat více (1000) firemních zařízení, tato metoda nepřiřadí zařízení uživateli, vyžaduje Auto enrollment, Add device enrollment managers
- Enrolling Windows IoT Core devices - využívá Windows IoT Core Dashboard a provisioning package, který použijeme během počátečního spuštění, tato metoda nepřiřadí zařízení uživateli
Certifikát od Microsoft Intune MDM Device CA
Když se počítač registruje do Intune, tak se mu vystaví certifikát, podobně jako při registraci do Azure AD. Jméno certifikátu je Intune Device ID (to je jiné, než Azure AD Device ID) a je vystaven autoritou Microsoft Intune MDM Device CA, kořenová autorita je Microsoft Intune Root Certification Authority. Platnost je (cca) 1 rok.
Automatic Enrollment
Pro využití řady registračních metod je podmínkou, aby byl povolen Auto enrollment. Ten primárně umožní, aby se Windows zařízení zaregistrovala do Intune. To se děje automaticky ve chvíli, kdy se zařízení připojí (Join) nebo registrují (Register) do Azure AD. Proces může být vyvolán uživatelem, když přidá pracovní účet (Work Account) na své soukromé zařízení nebo připojí firemní zařízení do Azure AD. Tato funkce vyžaduje Azure AD Premium licenci.
Konfiguraci můžeme provést ze dvou různých admin center.
- Microsoft Endpoint Manager admin center - Devices - Windows - Windows enrollment - Automatic Enrollment
- Azure Active Directory admin center - Mobility (MDM and MAM) - Microsoft Intune
Nastavujeme zvlášť MDM a MAM. Určujeme, zda je automatická registrace zakázaná, povolená pro všechny nebo pouze uživatele z určitých skupin. Pokud je pro uživatele povoleno MDM i MAM, tak firemní zařízení bude registrováno v MDM. Windows BYOD zařízení bude registrováno v MAM.
Ověření, že jsou Windows připojena do Intune
V nastavení Windows můžeme zkontrolovat, že je zařízení registrované do Intune. Například, že došlo k automatické registraci do MDM.
- otevřeme nastavení Settings - Accounts - Access work or school
- vybereme připojený účet, můžeme zde mít připojení do AD domény (Hybrid Azure AD Join), Azure AD (Azure AD Join) nebo samostatné připojení do MDM
- pokud je zařízení registrováno do Intune, tak je zde tlačítko Info, které nám zobrazí detaily o připojení
DNS alias pro registraci (CNAME)
Pokud nemáme licenci Azure AD Premium, která nám dovoluje využít Auto enrollment, tak Microsoft doporučuje vytvořit na naší doméně DNS alias (CNAME záznam). Jinak musí uživatelé ručně zadávat adresu MDM serveru, což je enrollment.manage.microsoft.com.
Na doméně, kterou využíváme jako UPN sufix, vytvoříme CNAME záznamy:
EnterpriseEnrollment.firma.czsměřující naEnterpriseEnrollment-s.manage.microsoft.comEnterpriseRegistration.firma.czsměřující naEnterpriseRegistration.windows.net
V Microsoft Endpoint Manager admin center - Devices - Windows - Windows enrollment - CNAME Validation můžeme záznam ověřit.
Automatická registrace pomocí Group Policy - Automatic Enrollment
V předchozí kapitole zmíněná automatická registrace probíhá ve chvíli, kdy je zařízení připojováno (registrováno) do Azure AD. Pokud máme stávající zařízení, která již připojena jsou, tak musíme využít jinou metodu. Asi primární (a skoro jediná) metoda, kterou můžeme využít, pokud máme hybridní prostředí a využíváme Hybrid Azure AD Join, je tato.
Pomocí Group Policy můžeme vyvolat automatickou registraci zařízení do Intune. Musí jít o zařízení s Windows 10 (nebo 11), minimálně verze 1709, která jsou Hybrid Azure AD Joined. Vytvoříme GPO, který aplikujeme na počítače, které chceme registrovat do Intune. Konfigurace se nachází v cestě
Computer Configuration/Policies/Administrative Templates/Windows Components/MDM
Povolíme politiku Enable Automatic MDM enrollment using default Azure AD credentials a nastavíme Selected Credential Type to use na User Credential.
Pokud dojde k registraci zařízení do Intune a následně spustíme příkaz gpupdate /force. Tak se zobrazí varování
Windows failed to apply the MDM Policy settings. MDM Policy settings might have its own log file.
Microsoft k tomu má článek Windows failed to apply the MDM Policy settings on hybrid Azure AD-joined devices. Je to očekávané chování, protože je počítač již registrovaný.
Automatická registrace pomocí Group Policy - průběh registrace
Když se tato politika aplikuje na klienta, tak vytvoří naplánovanou úlohu, která se spouští každých 5 minut po dobu jednoho dne. Ta provede celý proces registrace. Může být vyžadováno MFA, pak je uživatel vyzván k dokončení procesu (ověření). V optimálním případě proběhne registrace během pár minut. Zařízení je v Azure AD vidět v MDM jako spravované pomocí Intune. O něco později se zobrazí v administraci Intune, kde může 15 minut trvat, než se zaktualizují údaje.
Úlohu si můžeme zobrazit v Task Scheduler Library - Microsoft - Windows - EnterpriseMgmt, jméno úlohy
Schedule created by enrollment client for automatically enrolling in MDM from Azure Active Directory
Ve výsledku posledního běhu úlohy můžeme vidět chybový kód, pokud se registrace nedaří. Více detailů nalezneme lozích.
Automatická registrace pomocí Group Policy - hledání a řešení problémů
Pokud registrace selhává, tak je nejlepší se podívat na logy. Pomocí Event Viewer otevřeme
Applications and Services Logs - Microsoft - Windows - DeviceManagement-Enterprise-Diagnostic-Provider - Admin
V praxi mi třeba registrace neproběhla a po několik hodin se vracela chyba 0x8018002B, pak se samo změnilo na chybu 0x82aa0008 a po určité době registrace najednou proběhla.
Event ID 75 obsahuje informace o úspěšné registraci, Event ID 76 značí selhání registrace. Související informace jsou v dalších událostech, jako Event ID 81, Event ID 90. Informace můžeme hledat v Troubleshooting Windows device enrollment problems in Microsoft Intune.
Při problémech s registrací v některých diskusích radí promazat všechny klíče v registrech \HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Enrollments o zastaralých registracích (s ID v názvu), které jdou (řada smazat nejde). Microsoft má podobnou radu v oficiální dokumentaci. Doporučuje projít klíče a smazat klíč, který obsahuje nejvíce položek (ostatní mají jen dvě nebo tři položky).
Registrace zařízení, které bylo spravováno pomocí Configuration Manager
Pokud provedeme registraci zařízení, například pomocí výše uvedené automatické registrace, a na počítači se nachází Configuration Manager client (SCCM Client Agent), tak se zařízení v Intune zobrazí jako spravované pomocí Co-management (a ne Intune). Configuration Manager client ve vlastnostech na záložce General také ukazuje jako Co-management povolený. Stane se to i v případě, že Co-management nemáme vůbec na Configuration Manager nastavený.
Pokud chceme zařízení spravovat pouze pomocí Intune, tak musíme odinstalovat Configuration Manager client.
C:\Windows\ccmsetup> ccmsetup.exe /uninstall
Ale to ještě nestačí, musíme také smazat dva klíče v registrech, které po klientovi zůstaly.
\HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\DeviceManageabilityCSP \HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\CCMSetup
Pak je potřeba určitou dobu počkat, následně jsem viděl počítač v Intune dvakrát (každý pod jinou správou). Po dalším čase špatný záznam zmizel. Případně se dá vyzkoušet skript na kompletní odebrání klienta Remove-MCMClient.ps1.
MDM only enrollment - registrace pouze do Intune
V seznamu registračních metod do Intune uvádí Microsoft i tuto, ale není zde odkaz do dokumentace a oficiální popis jsem nenalezl. Ale podle náznaků se pravděpodobně provádí pomocí:
- nastavení Windows Settings - Accounts - Access work or school
- pomocí volby Enroll only in device management
- zadáme svoji emailovou adresu a dojde k registraci
Můžeme tak registrovat zařízení, které není připojené ani registrované v Azure AD a žádný záznam v Azure AD nevznikne. Zařízení se registruje jako osobní (takže musíme mít povolenu registraci osobních Windows zařízení), můžeme později v Intune změnit na firemní. Pokud registrujeme zařízení, které je Hybrid Azrue AD Joined, tak se v Access work or school zobrazí dvě připojení, původní do AD domény a nové do MDM.
Company Portal - portál společnosti
Do Windows můžeme aplikaci Company Portal nainstalovat z Microsoft Store Company Portal. Částečně se dá využít i webová verze https://portal.manage.microsoft.com.
Pokud je počítač Hybrid Azrue AD Joined a není registrován do Intune, tak nám aplikace napíše, že toto zařízení není nastavené pro firemní použití. Můžeme využít průvodce, který má dva kroky. První je přidání účtu. Když se o něj pokusíme, tak dostaneme chybu, že zařízení již je připojené do naší organizace.
Pro registraci do Intune, můžeme tedy portál společnosti využít, pouze pokud zařízení není registrované nebo připojené do Azure AD. Zařízení se registruje jako osobní.
Co-management
Využití současné správy a výhod Intune i Configuration Manager (MECM, dříve SCCM) je samostatná rozsáhlá oblast. Zde je pouze základní zmínka.
Povolit a nastavit společnou správu musíme v konfiguraci Configuration Manager. Zde (záložka Enablement) můžeme také zapnout automatickou registraci (spravovaných) zařízení do Intune.
- Administration - Cloud Services - Cloud Attach
Pro určité situace můžeme definovat co-management politiky v Intune.
- Microsoft Endpoint Manager admin center - Devices - Enroll devices - Windows enrollment - Co-management Settings
Zrušení registrace (odebrání) z Intune - Unenroll Windows device
Správce
Pokud chceme zrušit registraci určitého zařízení do Intune, tak můžeme využít akci Retire.
- Microsoft Endpoint Manager admin center - Devices - All devices - vybrané zařízení - volba Retire
Když se zařízení připojí k Intune, tak dostane vzdálený příkaz k akci odejít (Retire). Na zařízení se zobrazí informace, že byl odebrán účet (workplace account) a smazány související informace. Co přesně se smaže, na jakém OS, popisuje Microsoft v dokumentaci. Hybrid Azrue AD Joined počítač zůstane stále připojen do obou AD, ale je odebrán z Intune.
Uživatel
Microsoft má také uživatelskou dokumentaci, kde popisuje, že vlastník zařízení jej může odregistrovat z Intune. Postup je takový, že v nastavení Settings - Accounts - Access work or school klikneme na připojení svého účtu (AD doména nebo Azure AD) a zvolíme Disconnect. Dostaneme několik varování. Pokud byl počítač Hybrid Azrue AD Joined, tak dojde k jeho vyřazení z AD domény. Ale záznam počítače stále zůstane v Intune i Azure AD.
Pokud ale bylo zařízení registrováno samostatně do Intune (metoda MDM only enrollment), tak můžeme odpojit pouze toto připojení do MDM. Počítač zůstane zařazený do domény i Azure AD. Jeho účet se odstraní z Intune.
Změna primárního uživatele
Pouze u zařízení s Windows, která jsou Azure AD Joined nebo Hybrid Azure AD Joined, můžeme změnit primárního uživatele. Jako primární uživatel se většinou nastaví osoba, která provádí registraci zařízení. Uživatel musí mít Intune licenci. Na ostatních zařízeních se musí provést nová registrace.
- Microsoft Endpoint Manager admin center - Devices - All devices
- vybereme Windows zařízení - Properties
- tlačítko Change primary user
Komentáře
Zatím tento záznam nikdo nekomentoval.