Microsoft Intune安全地管理标识、管理应用和管理设备

  • 项目

由于组织支持混合和远程员工，因此他们在管理访问组织资源的不同设备方面面临挑战。 员工和学生需要协作、随时随地工作，以及安全地访问和连接这些资源。 管理员需要保护组织数据、管理最终用户访问权限，以及随时随地为用户提供支持。

若要帮助解决这些挑战和任务，请使用 Microsoft Intune。

显示Microsoft Intune的功能和优势的关系图。

Microsoft Intune是基于云的终结点管理解决方案。 它管理用户对组织资源的访问，并简化许多设备（包括移动设备、台式计算机和虚拟终结点）的应用和设备管理。

可以保护组织拥有和用户个人设备上的访问权限和数据。 此外，Intune 具有支持零信任安全模型的合规性和报告功能。

本文列出了Microsoft Intune的一些功能和优势。

提示

主要功能和优势

Intune 的一些主要功能和优势包括：

  • 可以 管理用户和设备，包括组织拥有的设备和个人拥有的设备。 Microsoft Intune支持 Android、Android 开源项目 (AOSP) 、iOS/iPadOS、Linux Ubuntu Desktop、macOS 和 Windows 客户端设备。 借助 Intune，可以使用这些设备通过创建的策略安全地访问组织资源。

    有关详细信息，请转到：

    注意

    如果管理本地 Windows Server，可以使用 Configuration Manager。

  • Intune 通过内置的 应用体验（包括应用 部署、更新和删除）简化了应用管理。 你可以连接到专用应用商店并从中分发应用、启用 Microsoft 365 应用、部署 Win32 应用、创建应用保护策略，以及管理对其数据 & 应用的访问权限。

    有关详细信息，请转到使用Microsoft Intune管理应用。

  • Intune 自动执行 应用、安全性、设备配置、合规性、条件访问等策略部署。 策略准备就绪后，可以将这些策略部署到用户组和设备组。 若要接收这些策略，设备只需访问 Internet。

  • 员工和学生可以使用 公司门户 应用中的自助服务功能来重置 PIN/密码、安装应用、加入组等。 可以自定义公司门户应用，以帮助减少支持呼叫。

    有关详细信息，请转到配置Intune 公司门户应用、公司门户网站和 Intune 应用。

  • Intune 与移动威胁防御服务（包括Microsoft Defender for Endpoint和第三方合作伙伴服务）集成。 借助这些服务，重点在于终结点安全性，你可以创建策略来响应威胁、执行实时风险分析和自动修正。

    有关详细信息，请转到 移动威胁防御与 Intune 的集成。

  • 使用一个基于 Web 的管理中心，该管理中心侧重于终结点管理，包括数据驱动的报告。 管理员可以从具有 Internet 访问权限的任何设备登录到 Intune 管理中心。

    有关详细信息，请转到 演练 Intune 管理中心。 若要登录到管理中心，请转到Microsoft Intune管理中心。

    此管理中心使用 Microsoft Graph REST API 以编程方式访问 Intune 服务。 管理中心中的每个操作都是 Microsoft Graph 调用。 如果你不熟悉 Graph 并想要了解详细信息，请转到 Graph 与 Microsoft Intune 集成。

  • Microsoft Intune Suite提供高级终结点管理和安全性。 该套件具有可选的附加功能，包括远程帮助、Endpoint Privilege Management、适用于 MAM 的 Microsoft Tunnel等。

    有关详细信息，请转到 Intune Suite 加载项功能

了解如何通过 Microsoft Intune 从新式终结点管理中受益。

与其他 Microsoft 服务和应用集成

Microsoft Intune与其他专注于终结点管理的 Microsoft 产品和服务集成，包括：

与第三方合作伙伴设备和应用集成

借助 Intune 管理中心，可以轻松连接到不同的合作伙伴服务，包括：

借助这些服务，Intune：

  • 使管理员能够简化对第三方合作伙伴应用服务的访问权限。
  • 可以管理数百个第三方合作伙伴应用。
  • 支持公共零售商店应用、业务线 (LOB) 应用、公共商店中不提供的专用应用、自定义应用等。

有关在 Intune 中注册第三方合作伙伴设备的更多平台特定要求，请转到：

注册设备管理、应用程序管理或同时注册两者

组织拥有的设备在 Intune 中注册， (MDM) 进行移动设备管理 。 MDM 以设备为中心，因此设备功能根据需要的人员进行配置。 例如，可以将设备配置为允许访问 Wi-Fi，但前提是已登录用户是组织帐户。

在 Intune 中，可以创建策略来配置 & 设置的功能，并提供安全 & 保护。 设备完全由组织管理，包括登录的用户标识、安装的应用以及访问的数据。

设备注册时，可以在注册过程中部署策略。 注册完成后，设备即可使用。

对于自带设备 (BYOD) 方案中的个人设备，可以使用 Intune 进行 移动应用程序管理 (MAM) 。 MAM 以用户为中心，因此无论用于访问此数据的设备如何，应用数据都会受到保护。 重点介绍应用，包括安全访问应用和保护应用中的数据。

使用 MAM，可以：

  • 向用户发布移动应用。
  • 配置应用并自动更新应用。
  • 查看侧重于应用清单和应用使用情况的数据报告。

还可以同时使用 MDM 和 MAM。 如果设备已注册，并且存在需要额外安全性的应用，则还可以使用 MAM 应用保护策略。

有关详细信息，请转到：

保护任何设备上的数据

使用 Intune，可以保护 intune) 中注册 (托管 设备上的数据，并保护未在 Intune) 中注册 (非托管设备上的数据 。 Intune 可以将组织数据与个人数据隔离。 其思路是通过控制用户访问和共享信息的方式来保护公司信息。

对于组织拥有的设备，需要完全控制设备，尤其是安全性。 设备注册时，它们会收到你的安全规则和设置。

在 Intune 中注册的设备上，可以：

  • 创建和部署用于配置安全设置、设置密码要求、部署证书等的策略。
  • 使用移动威胁防御服务扫描设备、检测威胁和修正威胁。
  • 查看衡量安全设置和规则合规性的数据和报告。
  • 使用条件访问仅允许托管且合规的设备访问组织资源、应用和数据。
  • 如果设备丢失或被盗，请删除组织数据。

对于个人设备，用户可能不希望其 IT 管理员拥有完全控制权。 若要支持混合工作环境，请为用户提供选项。 例如，如果用户需要拥有对组织资源的完全访问权限，则注册其设备。 或者，如果这些用户只想访问 Outlook 或 Microsoft Teams，则使用需要多重身份验证的应用保护策略 (MFA) 。

在使用应用程序管理的设备上，可以：

  • 使用移动威胁防御服务通过扫描设备、检测威胁和评估风险来保护应用数据。
  • 防止将组织数据复制和粘贴到个人应用中。
  • 在第三方或合作伙伴 MDM 中注册的应用和非托管设备上使用应用保护策略。
  • 使用条件访问来限制可以访问组织电子邮件和文件的应用。
  • 删除应用内的组织数据。

有关详细信息，请转到：

简化访问

Intune 可帮助组织支持可从任意位置工作的员工。 可以配置一些功能，允许用户连接到组织，无论他们身在何处。

本部分包括可在 Intune 中配置的一些常见功能。

使用Windows Hello 企业版而不是密码

Windows Hello 企业版有助于防范网络钓鱼攻击和其他安全威胁。 它还可帮助用户更快、更轻松地登录到其设备和应用。

Windows Hello 企业版将密码替换为 PIN 或生物识别，例如指纹或面部识别。 此生物识别信息存储在本地设备上，永远不会发送到外部设备或服务器。

有关详细信息，请转到：

为远程用户创建 VPN 连接

VPN 策略为用户提供对组织网络的安全远程访问。

使用常见的 VPN 连接合作伙伴（包括 Check Point、Cisco、Microsoft Tunnel、NetMotion、Pulse Secure 等），可以使用网络设置创建 VPN 策略。 策略准备就绪后，将此策略部署到需要远程连接到网络的用户和设备。

在 VPN 策略中，可以使用证书对 VPN 连接进行身份验证。 使用证书时，最终用户无需输入用户名和密码。

有关详细信息，请转到：

为本地用户创建 Wi-Fi 连接

对于需要连接到本地组织网络的用户，可以使用网络设置创建 Wi-Fi 策略。 可以连接到特定的 SSID、选择身份验证方法、使用代理等。 还可以将策略配置为在设备处于范围内时自动连接到 Wi-Fi。

在 Wi-Fi 策略中，可以使用证书对 Wi-Fi 连接进行身份验证。 使用证书时，最终用户无需输入用户名和密码。

策略准备就绪后，将此策略部署到需要连接到本地网络的本地用户和设备。

有关详细信息，请转到：

为应用和服务启用单一登录 (SSO)

启用 SSO 后，用户可以使用其Microsoft Entra组织帐户（包括某些移动威胁防御合作伙伴应用）自动登录到应用和服务。

具体来说：

后续步骤