Руководство по планированию Intune

Успешное развертывание Microsoft Intune или миграция в Microsoft Intune начинается с планирования. В этом руководстве описываются общие цели управления мобильными устройствами (MDM) и управления мобильными приложениями (MAM). В нем также представлены рекомендации по инвентаризации устройств, лицензированию, проверке текущих политик и инфраструктуры, созданию плана развертывания и т. д.

Пакет средств внедрения Intune содержит шаблоны электронной почты и полезные сведения.

Это пошаговое руководство. Поэтому обязательно добавьте или обновите существующие советы и рекомендации, которые вы нашли полезными.

Задача 1. Определение целей

Организации используют управление мобильными устройствами (MDM) и управление мобильными приложениями (MAM) для безопасного управления данными организации с минимальными нарушениями работы пользователей. При оценке решения MDM/MAM, такого как Microsoft Intune, руководствуйтесь целями и тем, чего вы хотите достичь.

В этом разделе мы обсудим распространенные цели при использовании Intune.

Пользователи хотят работать с приложениями организации на своих устройствах, включая работу с электронной почтой, обновление и совместное использование данных, а также многое другое. В Intune можно развертывать различные типы приложений, включая следующие:

• Приложения Office 365
• Приложения Win32
• Бизнес-приложения
• Пользовательские приложения
• Разрешение (или блокирование) доступа к встроенным приложениям или приложениям Магазина

Задача: создать список приложений, с которыми пользователи регулярно работают. Это приложения, которые вы хотите использовать на своих устройствах. Рекомендации:

Многие организации развертывают набор приложений Office для ПК и планшетов, таких как Word, Excel, OneNote, PowerPoint и Teams. На небольших устройствах, таких как мобильные телефоны, в зависимости от требований пользователя могут устанавливаться отдельные приложения.

Например, сотрудникам отдела продаж могут потребоваться Teams, Excel и SharePoint. На мобильных устройствах можно развернуть только эти приложения вместо развертывания всего пакета Office.

Пользователям часто требуется необходимость работать с электронной почтой и участвовать в собраниях на всех устройствах, включая личные устройства. На устройствах, принадлежащих организации, можно развернуть Outlook и Teams. На таких устройствах можно управлять всеми параметрами устройств и всеми параметрами приложений, включая требования к ПИН-коду и паролю. На личных устройствах такая возможность отсутствует. Поэтому определите, нужно ли предоставлять пользователям доступ к приложениям организации, таким как электронная почта и собрания.

Дополнительные сведения и рекомендации см. в разделе Личные устройства и устройства, принадлежащие организации (в этой статье).

При хранении данных на мобильном устройстве следует защитить их от вредоносного воздействия.

Задача: определить способ защиты устройств и сведения к минимуму влияния вредоносных действий. Рекомендации:

Защита от вирусов (AV) и защита от вредоносных программ являются обязательными. Intune сотрудничает с различными партнерами в области защиты мобильных устройств от угроз (MTD) для разработки решений по защите зарегистрированных устройств, личных устройств и приложений. На устройствах с Windows 10/11 можно использовать Microsoft Defender для конечной точки и Intune вместе.

Microsoft Defender для конечных точек включает функции безопасности и портал, помогающие отслеживать угрозы и реагировать на них.

Если устройство скомпрометировано, необходимо ограничить влияние с помощью условного доступа. Например:

Если устройство соответствует заданному уровню угроз, можно заблокировать доступ к ресурсам организации. Условный доступ помогает предотвратить распространение вредоносных действий.

Условный доступ помогает защитить сеть и ресурсы на устройствах, даже на тех, которые не зарегистрированы в Intune.

Например, Intune интегрируется с Microsoft Defender для конечных точек. Microsoft Defender для конечной точки сканирует устройство и определяет, скомпрометировано ли оно. Затем условный доступ может автоматически блокировать доступ к ресурсам организации на этом устройстве, включая электронную почту.

Обновления для устройства, операционной системы и приложений также помогают обеспечить безопасность данных. Создайте план, в котором определено, как и когда устанавливаются обновления. В Intune есть политики, помогающие управлять обновлениями, включая обновления для приложений Магазина.

Определите, как пользователи будут проходить проверку подлинности для доступа к ресурсам организации со своих многочисленных устройств. Например, вы можете:

Использовать сертификаты на устройствах для проверки подлинности функций и приложений, таких как подключение к виртуальной частной сети (VPN), открытие Outlook и многое другое. Эти сертификаты позволяют пользователю работать без пароля. Такой режим считается более безопасным, чем требование от пользователей ввести имя пользователя и пароль своей организации.

Если вы планируете использовать сертификаты, убедитесь в наличии инфраструктуры открытых ключей (PKI), готовой к созданию и развертыванию профилей сертификатов.

Использовать многофакторную проверку подлинности (MFA), если требуется дополнительный уровень проверки подлинности на устройствах, принадлежащих организации. Или же можно использовать MFA для проверки подлинности приложений на личных устройствах. Также можно использовать биометрию, например распознавание лиц и отпечатки пальцев.

Если вы планируете использовать биометрию для проверки подлинности, убедитесь, что устройства поддерживают такую возможность. Большинство современных устройств поддерживают.

Реализация развертывания "Никому не доверяй". Применяя принцип "Никому не доверяй", вы можете использовать возможности Azure AD и Microsoft Intune для защиты всех конечных точек, проверку подлинности без пароля и многое другое. Дополнительные сведения см. в Центре развертывания "Никому не доверяй".

Многим организациям требуется предоставить разным администраторам контроль над расположениями, подразделениями и т. д. Например, группа ИТ-администраторов Charlotte контролирует и отслеживает политики в кампусе Charlotte. Этим ИТ-администраторам Charlotte доступны только политики для расположения Charlotte. У них нет возможности просмотреть политики для расположения Redmond и управлять ими. Этот подход называется распределенным ИТ-администрированием.

В Intune для распределенного ИТ-администрирования используются теги области и категории регистрации устройств. Теги области используют управление доступом на основе ролей (RBAC). Таким образом, только пользователи из определенной группы имеют разрешение на управление политиками и профилями для пользователей и устройств в их области.

При использовании категорий устройств устройства автоматически добавляются в группы на основе создаваемых категорий. Когда пользователи регистрируют свое устройство, они выбирают категорию, например "Продажи", "ИТ-администратор", "кассовый терминал" и т. д. После этого группы устройств готовы к получению профилей и политик, которые вы создали.

Чтобы упростить управление устройствами, используйте категории устройств Intune для автоматического добавления устройств в группы с учетом заданных категорий.

Задача: определить способ распространения правил и параметров (политики и профили). Рекомендации:

Определите структуру администрирования. Например, может потребоваться разделить по расположению, например ИТ-администраторы Charlotte или ИТ-администраторы Redmond. Может потребоваться разделение по ролям, например Администраторы сети, которые управляют всем доступом к сети, включая VPN.

Эти категории станут тегами области.

Многие организации разделяют группы по типу устройства (например, устройства iOS, iPadOS, Android или Windows). Примеры:

• Распространение конкретных приложений на определенные устройства. Например, можно развернуть транспортное приложение Майкрософт на устройствах в сети Redmond.
• Развертывание политик в конкретных расположениях. Например, можно развернуть профиль VPN на устройствах в сети Charlotte, чтобы они автоматически подключались в зоне действия сети.
• Параметры управления для конкретных устройств. Например, можно отключить камеру на устройствах Android Enterprise, используемых на производстве, создать профиль антивирусной программы "Защитник Windows" для всех устройств Windows или добавить параметры электронной почты Exchange на все устройства iOS/iPadOS.

При хранении данных на мобильном устройстве следует защитить их от случайной потери или распространения. Это включает очистку данных организации с личных и корпоративных устройств.

Задача: создать план, охватывающий различные сценарии, которые оказывают влияние на вашу организацию. Рекомендации:

Устройство утеряно, украдено или больше не используется. Пользователь покидает организацию.

• В Intune можно удалить устройства с помощью очистки, снятия с учета или отмены регистрации вручную. Кроме того, можно автоматически удалить устройства, которые не синхронизировались в течение x дней.
• На уровне приложения можно удалить данные организации из приложений, управляемых Intune. Выборочная очистка отлично подходит для личных устройств, так как при этом персональные данные остаются на устройстве и удаляются только данные организации.

На личных устройствах может потребоваться запретить пользователям копирование и вставку, создание снимков экрана или перенаправление сообщений электронной почты. Политики защиты приложений могут блокировать эти функции на неуправляемых устройствах. Дополнительные сведения см. в разделе Предотвращение утечки данных на неуправляемых устройствах с помощью Intune.

На управляемых устройствах (устройствах, зарегистрированных в Intune) эти функции также можно контролировать с помощью профилей конфигурации устройств. Профили конфигурации устройств служат для управления параметрами устройства, а не приложения. На устройствах, обращающихся к секретным или конфиденциальным данным, профили конфигурации устройств могут препятствовать копированию и вставке, созданию снимков экрана и т. д.

В приложениях Office предотвратить несанкционированный доступ к данным организации можно с помощью Azure Information Protection. Эта функция использует метки для классификации файлов, например конфиденциальных данных.

Дополнительные сведения и рекомендации см. в разделе Личные устройства и устройства, принадлежащие организации (в этой статье).

Задача 2. Инвентаризация устройств

Организации имеют ряд устройств, включая настольные компьютеры, ноутбуки, планшеты и мобильные телефоны. Эти устройства могут принадлежать организации или вашим пользователям. При планировании решения по управлению устройствами обязательно продумайте все устройства, которые будут получать доступ к ресурсам организации, включая личные устройства пользователей.

В этом разделе содержатся сведения об устройствах, которые следует учитывать.

Intune поддерживает устройства Android, Android Enterprise, iOS/iPadOS, macOS и Windows. Сведения о конкретных версиях см. в разделе Поддерживаемые платформы.

Задача: если на устройствах используются неподдерживаемые версии операционных систем, которые в основном являются старыми операционными системами, то пора обновить ОС или заменить устройства. Эти старые ОС и устройства могут иметь ограниченную поддержку и представлять потенциальную угрозу безопасности. Под такими устройствами подразумеваются настольные компьютеры под управлением Windows 7, устройства iPhone 7 с исходной ОС версии 10.0 и т. д.

Уже стало привычным, что пользователи проверяют электронную почту, присоединяются к собраниям Teams, обновляют файлы SharePoint и многое другое на своих личных устройствах. Многие организации разрешают сотрудникам использовать личные устройства, однако также многие организации разрешают использовать только устройства, принадлежащие организации.

Как организация и администратор вы решаете, разрешено ли использовать личные устройства.

Задача: определить, как следует поступать с личными устройствами. Если для вашей организации важна мобильность сотрудников, рассмотрите следующие подходы.

Предоставьте пользователям возможность регистрации своих личных устройств в Intune. После регистрации администраторы будут полностью управлять этими устройствами, включая принудительную отправку политик, управление функциями и параметрами устройств и даже очистку устройств. Как администратору вам может потребоваться такой контроль либо вы можете думать, что вам требуется такой контроль.

Когда пользователи регистрируют свои личные устройства, они могут не понимать, что администраторы могут выполнять любые действия на их устройстве, включая случайную очистку или сброс устройства. Как администратор вы, возможно, не хотите нести ответственность за потенциальное влияние на устройства, не принадлежащие организации.

Кроме того, многие пользователи отказываются регистрироваться. Они находят другие способы доступа к ресурсам организации. Например, для использования приложения Outlook для проверки электронной почты организации требуется, чтобы устройства были зарегистрированы. Чтобы обойти это требование, пользователи открывают любой веб-браузер на устройстве и входят в Outlook Web Access, что может быть нежелательным. Кроме того, они создают снимки экрана и сохраняют изображения на устройстве, что также нежелательно.

Используйте на личных устройствах политики конфигурации приложений и политики защиты приложений. Пользователи не регистрируются в Intune. Эти устройства не в ходят в вашу область управления.

Используйте заявление об условиях использования с политикой условного доступа. Если пользователи не принимают их, они не получают доступ к приложениям. Если пользователь принимает условия, в Azure AD добавляется запись устройства, а устройство становится известным объектом. Когда устройство известно, вы можете отслеживать, к каким ресурсам осуществляется доступ с устройства.

Затем необходимо обеспечить контроль доступа и безопасность с помощью политик приложений.

Ознакомьтесь с задачами, наиболее часто используемыми в организации, такими как работа с электронной почтой и присоединение к собраниям. Используйте политики конфигурации приложений для настройки параметров конкретного приложения. Используйте политики защиты приложений для управления безопасностью приложений и доступом к ним.

Например, пользователи могут использовать приложение Outlook на личных устройствах для проверки служебной электронной почты. С помощью Intune администраторы создают политику защиты приложений Outlook, которая использует многофакторную проверку подлинности (MFA) при каждом открытии приложения Outlook, предотвращает копирование и вставку и многое другое.

Вы хотите, чтобы каждое устройство было полностью управляемым. В этом случае предоставьте пользователям все необходимые устройства, включая мобильные телефоны. Вложите средства в приобретение нового оборудования, чтобы пользователи продолжали работать эффективнее. Зарегистрируйте эти устройства, принадлежащие организации, в Intune и управляйте ими с помощью политик.

Этот вариант исключает использование личных устройств.

Рекомендуется всегда предполагать, что данные будут покидать устройства. Убедитесь, что используются надлежащие методы отслеживания и аудита. Дополнительные сведения см. в Центре развертывания с нулевым доверием.

Intune позволяет управлять настольными компьютерами под управлением Windows 10 и более поздних версий. Клиентская ОС Windows включает встроенные современные функции управления устройствами и удаляет зависимости от локальной групповой политики Active Directory (AD). Вы получаете преимущества облака при создании правил и параметров в Intune и развертывании этих политик на всех клиентских устройствах Windows, включая настольные компьютеры.

Если ваши устройства с Windows в настоящее время управляются с помощью Configuration Manager, их по-прежнему можно зарегистрировать в Intune. Такой подход называется совместным управлением. Совместное управление дает множество преимуществ, в том числе выполнение удаленных действий на устройстве (перезапуск, удаленное управление, сброс до заводских настроек), условный доступ с учетом соответствия требованиям и многое другое. Вы также можете подключать свои устройства к Intune в облаке.

Задача: ознакомиться с тем, что в настоящее время используется для управления мобильными устройствами, а также ознакомиться с целями и определить наилучший путь. Рекомендации:

Если в настоящее время вы ничего не используете, лучше всего выбрать Intune.

Для новых устройств, которые не зарегистрированы в Configuration Manager или любом другом решении MDM, наилучшим вариантом может оказаться именно Intune.

Если в настоящее время вы используете Configuration Manager, то доступны следующие варианты:

• Если вы хотите сохранить существующую инфраструктуру и переместить некоторые рабочие нагрузки в облако, используйте совместное управление. Вы получаете преимущества обеих служб. Существующие устройства могут получить некоторые политики из Configuration Manager (локально) и других политик из Intune (облако).
• Если вы хотите сохранить существующую инфраструктуру и использовать Intune для мониторинга локальных устройств, используйте подключение к клиенту. Вы получаете преимущество использования центра администрирования Endpoint Manager, но по-прежнему используете Configuration Manager для управления устройствами.
• Если вы хотите использовать только облачное решение для управления устройствами, переходите в Intune. Этот сценарий является редким. Существующие пользователи Configuration Manager часто предпочитают продолжать использовать Configuration Manager. В этих инструкциях по развертыванию представлены полезные сведения.

Задача 3. Определение затрат и лицензирование

Управление устройствами подразумевает использование различных взаимосвязанных служб. Intune включает параметры и функции, которые можно контролировать на различных устройствах. Существуют также и другие службы, которые играют ключевую роль:

Azure Active Directory (AD) Premium включает ряд функций, которые являются ключевыми для управления устройствами, в том числе следующие:

: клиентские устройства с Windows могут автоматически зарегистрироваться в Intune и автоматически получать ваши политики. (MFA): пользователи должны указать два или более метода проверки, например ПИН-код, приложение для проверки подлинности, отпечаток пальца и другие. MFA — это отличный вариант при использовании политик защиты приложений для личных устройств или устройств, принадлежащих организации, которые требуют дополнительной защиты. : если пользователи и устройства следуют правилам, например, используют 6-значный секретный код, они получают доступ к ресурсам организации. Если пользователи или устройства не соответствуют вашим правилам, они не получают доступа. : автоматическое добавление пользователей или устройств в группы, если они соответствуют критериям, таким как город, должность, тип ОС, версия ОС и многое другое.

В состав Office 365 входят приложения, с которыми работают пользователи, включая Outlook, Word, SharePoint, Teams, OneDrive и многое другое. Эти приложения можно развернуть на устройствах с помощью Intune.

Microsoft Defender для конечной точки помогает отслеживать и сканировать клиентские устройства Windows на предмет вредоносных действий. Можно также задать приемлемый уровень угрозы. В сочетании с условным доступом можно заблокировать доступ к ресурсам организации, если уровень угроз превышен.

Azure Information Protection классифицирует и защищает документы и сообщения электронной почты, применяя метки. В приложениях Office эту службу можно использовать, чтобы предотвратить несанкционированный доступ к данным организации, включая приложения на личных устройствах.

Все эти службы включены в лицензию Microsoft 365 E5. Дополнительные сведения см. в разделе Планы лицензирования Microsoft 365.

Задача: определить, какие службы и программы требуются вашей организации, а также используются ею для обеспечения высокой производительности и надежности. Рекомендации:

Если ваша цель — развернуть политики (правила) и профили (параметры) без какого-либо применения, вам подойдет Intune. Intune доступна в различных подписках, в том числе в качестве автономной службы. Дополнительные сведения см. в разделе Лицензирование Microsoft Intune.

В настоящее время вы используете Configuration Manager и хотите настроить совместное управление вашими устройствами. Intune уже включен в лицензию на Configuration Manager. Если вы хотите, чтобы новые устройства или существующие совместно управляемые устройства полностью управлялись с помощью Intune, вам потребуется отдельная лицензия Intune.

Вы хотите применить правила соответствия или пароля, созданные в Intune. Как минимум, требуется Intune и Azure AD Premium. Intune и Azure AD Premium доступны с Enterprise Mobility + Security.

Вы хотите управлять приложениями Office 365 только на устройствах. Как минимум, требуется Office 365. Дополнительные сведения см. в статье MDM для Office 365 и Microsoft Intune и Часто задаваемые вопросы об управлении мобильными устройствами для Office 365.

Вы хотите развернуть приложения Office 365 на устройствах и создать политики для защиты устройств, на которых выполняются эти приложения. Как минимум, требуется Intune и Office 365.

Вы хотите создать политики в Intune, развернуть приложения Office 365 и применить правила и параметры. Как минимум, требуется Intune, Office 365 и Azure AD Premium. Поскольку все эти службы включены в Microsoft 365, выгоднее будет использовать лицензию Microsoft 365.

Дополнительные сведения см. в разделе Планы лицензирования Microsoft 365.

Задача 4. Обзор существующих политик и инфраструктуры

У многих организаций имеются существующие политики и инфраструктура управления устройствами, которые применяются на протяжении многих лет. Например, у вас могут быть групповые политики 20-летней давности, и вы не знаете, что они делают. Если рассматривается вариант перехода в облако, вместо того, чтобы понять, что вы всегда делали, лучше определите цель.

Руководствуясь этими целями, создайте базовые показатели политик. Если у вас есть несколько решений для управления устройствами, то, возможно, пришло время использовать одно решение для управления мобильными устройствами.

Задача: начните с поиска задач, выполняемых локально, которые можно перенести в облако. Помните: вместо того чтобы понять, что вы всегда делали, лучше определите цель. Рекомендации:

Проверьте существующие политики и их структуру. Некоторые политики могут применяться глобально, некоторые применяются на уровне сайта, а некоторые — для конкретного устройства. Цель состоит в том, чтобы узнать и понять назначение глобальных политик, назначение локальных политик и т. д.

Политики AD применяются в порядке LSDOU: local (локально), site (сайт), domain (домен), organizational unit (подразделение). В этой иерархии политики подразделений имеют преимущественную силу над политиками домена, политики домена имеют преимущественную силу над политиками сайта и т. д.

В Intune политики применяются к создаваемым пользователям и группам. Иерархии не существует. Если две политики обновляют один и тот же параметр, то возникнет конфликт. Дополнительные сведения см. в разделе Распространенные вопросы, проблемы с политиками и профилями устройств в Microsoft Intune и возможные решения.

При переходе от групповой политики AD на Intune глобальные политики AD логически начинают работу с вашими группами или группами, которые вам нужны. Эти группы будут включать пользователей и устройства, на которых вы хотите ориентироваться на глобальном уровне, на уровне сайта и т. д. Эта задача дает представление о структуре группы, которая понадобится в Intune.

Будьте готовы создать новые политики и профили в Intune. Intune включает несколько функций, охватывающих сценарии, которые могут вас заинтересовать. Примеры:

• Базовые показатели безопасности. На устройствах с Windows 10 или 11 базовые показатели безопасности — это параметры безопасности, предварительно настроенные на рекомендуемые значения. Если вы не знакомы с защитой устройств или хотите получить исчерпывающие базовые показатели, ознакомьтесь с базовыми показателями безопасности.
• Административные шаблоны. На устройствах с Windows 10 или 11 используйте шаблоны ADMX для настройки параметров групповой политики для Windows, Internet Explorer, Office и Microsoft Edge версии 77 и более поздних. Эти шаблоны ADMX являются одними и теми же шаблонами ADMX, используемыми в групповой политике Active Directory, но они являются полностью облачными в Intune.
• Групповая политика: для импорта и анализа объектов групповой политики используйте аналитику групповой политики. Эта функция помогает определить, как объекты групповой политики преобразовываются в облаке. Выходные данные отображают, какие параметры поддерживаются в поставщиках MDM, включая Microsoft Intune. Здесь также отображаются все нерекомендуемые параметры или параметры, недоступные для поставщиков MDM.
• Интерактивные сценарии: интерактивные сценарии — это настроенные последовательности действий, ориентированных на комплексные варианты использования. Эти сценарии автоматически включают политики, приложения, назначения и другие конфигурации управления.

Создайте базовую политику, которая включает минимум ваших целей. Например:

Защищенная электронная почта. Как минимум, вам может потребоваться:

• Включить условный доступ для Exchange Online или подключиться к локальному решению электронной почты.
• Создать политики защиты приложений Outlook.

Параметры устройства. Как минимум, вам может потребоваться:

• Требовать шестизначный ПИН-код для разблокировки устройства.
• Запретить резервное копирование в личные облачные службы, такие как iCloud или OneDrive.

Профили устройств. Как минимум, вам может потребоваться:

• Создать профиль Wi-Fi, содержащий параметры для подключения к беспроводной сети Contoso по Wi-Fi.
• Создать профиль VPN с сертификатом для автоматической проверки подлинности и подключения к VPN организации.
• Создать профиль электронной почты с предварительно настроенными параметрами для подключения к Office 365 или почтовому решению Gmail.

Приложения. Как минимум, вам может потребоваться:

• Развернуть Office 365 с политиками защиты приложений.
• Развернуть бизнес-решения с политиками защиты приложений.

Проверьте текущую структуру групп. В Intune можно создавать и назначать политики для групп пользователей, групп устройств и динамических групп пользователей и устройств (требуется Azure AD Premium).

При создании групп в облаке, таких как Intune или Microsoft 365, они создаются в Azure AD. Фирменная символика Azure AD отсутствует, однако это именно то, что вы используете.

Создание новых групп — это простая задача. Их можно создать в Центре администрирования Microsoft Endpoint Manager. Дополнительные сведения см. в статье Добавление групп для организации пользователей и устройств.

Перемещение существующих списков рассылки (DL) в Azure AD может оказаться более сложной задачей. После того как списки рассылки находятся в Azure AD, эти группы могут использоваться службами Intune и Microsoft 365. Дополнительные сведения см. в указанных ниже статьях.

Если имеются существующие группы Office 365, можно перейти на Microsoft 365. Существующие группы остаются, и вы получаете все функции служб Microsoft 365. Дополнительные сведения см. в указанных ниже статьях.

Если у вас есть несколько решений для управления устройствами, переключитесь на одно решение для управления мобильными устройствами. Мы рекомендуем использовать Intune для защиты данных организации как в приложениях, так и на устройствах.

Задача 5. Создать план развертывания

Следующая задача — спланировать то, как и когда пользователи и устройства получают политики. В этой задаче также следует учитывать следующее.

• Определите цели и метрики успеха. Используйте эти точки данных для создания других этапов развертывания. Убедитесь, что поставленные цели согласуются с методологией SMART, то есть являются конкретными, измеримыми, достижимыми, реалистичными и своевременными. Запланируйте оценку показателей для целей на каждом этапе, чтобы отслеживать эффективность реализации проекта.
• Четко определите задачи и цели. Включите их во все информационные и учебные мероприятия, чтобы помочь пользователям понять, почему организация выбрала именно Intune.

Задача: создать план для развертывания политик и выбрать способ регистрации устройств пользователями в Intune. Рекомендации:

Развертывание политик должно быть поэтапным. Например:

Начните с пилотной или тестовой группы. Эти группы должны знать, что они являются первыми пользователями, и они захотят оставить отзыв. Используйте этот отзыв, чтобы улучшить конфигурацию, документацию, уведомления и упростить работу пользователей в будущем. Эти пользователи не должны быть руководителями или иными важными лицами.

После первоначального тестирования добавьте дополнительных пользователей в пилотную группу. Или создайте дополнительные пилотные группы для другого развертывания, например:

Отделы: каждый отдел может выступать в качестве этапа развертывания. В этом случае в качестве целевого объекта выступает сразу весь отдел. При таком развертывании пользователи каждого отдела, возможно, будут использовать свое устройство схожим образом с доступом к одним и тем же приложениям. Соответственно, к пользователям будут применяться одни и те же типы политик.

География: развертывание политик выполняется для всех пользователей в определенной географической области, будь то континент, страна, регион или отдельное здание организации. Такой тип развертывания позволяет сосредоточиться на определенном расположении пользователей. Вы можете предоставить Windows Autopilot для предварительно подготовленного развертывания, поскольку количество расположений, в которых одновременно развертывается Intune, меньше. Существует вероятность, что в одном и том же месте существуют различные отделы или различные варианты использования. Таким образом, можно одновременно тестировать разные варианты использования.

Платформа: в ходе этого развертывания одновременно развертываются аналогичные платформы. Например, можно развернуть политики на всех устройствах iOS/iPadOS в феврале, на всех устройствах Android в марте и на всех устройствах Windows в апреле. Такой подход может упростить работу для службы поддержки, поскольку они организуют поддержку только одной платформы за раз.

С помощью поэтапного развертывания можно получить отзыв от широкого спектра типов пользователей.

После успешного пилотного развертывания можно приступать к полноценному развертыванию рабочей среды. Ниже приведен пример плана развертывания Intune с целевыми группами и сроками.

Выберите, как пользователи будут регистрировать свои личные и корпоративные устройства. Вы можете использовать несколько способов регистрации:

• Самообслуживание пользователей: пользователи регистрируют свои устройства, руководствуясь инструкциями от ИТ-отдела организации. Такой подход применяется часто и обеспечивает большую масштабируемость по сравнению с регистрацией с сопровождением.
• Регистрация с сопровождением: с помощью предварительно настроенного развертывания сотрудники ИТ-отдела помогают пользователям пройти процесс регистрации, используя Teams. Этот подход часто используется среди руководства и в других группах, которым может потребоваться помощь.
• ИТ-ярмарка: на этом мероприятии сотрудники ИТ-отдела настраивают пункт помощи по регистрации в Intune. Пользователи получают сведения о регистрации в Intune, задают вопросы и получают помощь в регистрации своих устройств. Данный вариант выгоден как для ИТ-отдела, так и для пользователей, особенно на ранних стадиях развертывания Intune.

В следующем примере рассматриваются подходы к регистрации:

Задача 6. Информирование об изменениях

Управление изменениями основано на четком и понятном информировании о предстоящих изменениях. Идея состоит в том, чтобы сделать развертывание Intune гладким, убедиться в том, что пользователи осведомлены об изменениях, а также о любых перерывах.

Задача: план распространения должен включать важную информацию, способы уведомления пользователей и время информирования. Рекомендации:

Определите, какие сведения следует передавать. Информирование групп и пользователей следует осуществлять поэтапно, начиная с начального этапа развертывания Intune, предварительной регистрации и заканчивая действиями после регистрации.

Начальный этап: общая рассылка, знакомящая пользователей с проектом Intune. Она должна включать ответы на ключевые вопросы, например:

• Что такое Intune?
• Почему организация использует Intune, включая преимущества для организации и пользователей.
• Предоставьте высокоуровневый план развертывания и внедрения.
• Личные устройства можно использовать только после их регистрации. Объясните, почему вы приняли решение.

Этап предварительной регистрации: общая рассылка, включающая сведения об Intune и дополнительных службах (например, Office, Outlook и OneDrive), ресурсах для пользователей и конкретных временных рамках, когда пользователям и группам предоставляется доступ к Intune.

Этап регистрации: рассылка для групп и пользователей организации, которые должны получить доступ к Intune. Должна служить для информирования пользователей о том, что они готовы к получению Intune, включая шаги по регистрации и контактные сведения для получения справки и вопросов.

Этап после регистрации: рассылка для групп и пользователей организации, зарегистрированных в Intune. Она предоставляет дополнительные ресурсы, которые могут оказаться полезными, и позволяет узнать впечатления пользователей во время и после регистрации.

На этом этапе может пригодиться Пакет средств внедрения Intune. Вы можете использовать его в исходном виде или скорректировать в соответствии с потребностями организации.

Выберите способ передачи сведений о развертываниях Intune целевым группам и пользователям. Например:

Создайте корпоративное собрание для всей организации или используйте Microsoft Teams.

Создайте сообщение электронной почты для предварительной регистрации, сообщение для регистрации и сообщение о действиях после регистрации. Например:

• Электронное сообщение № 1. Объясните преимущества и ожидаемый результат, а также предоставьте расписание. Воспользуйтесь этой возможностью, чтобы продемонстрировать другие службы, доступ к которым будет предоставляться на устройствах под управлением Intune.
• Электронное сообщение №2. Скажите, что можно получить доступ к службам в Intune. Скажите пользователям, чтобы они зарегистрировались прямо сейчас. Сообщите пользователям сроки прекращения доступа. Напомните им о преимуществах и стратегических причинах миграции.

Используйте веб-сайт организации, на котором объясняются этапы развертывания, предполагаемые пользователи и контактные сведения.

Создайте плакаты, используйте социальные сети для организаций (такие как Yammer) или распространите буклеты, чтобы объявить о начале этапа предварительной регистрации.

Создайте временную шкалу, которая включает сведения о том, когда выполняется регистрация и кто ее должен выполнить. Первая рассылка об Intune может быть ориентирована на всю организацию или только на определенных ее сотрудников. Рассылка может осуществляться за несколько недель до начала развертывания Intune. После этого можно поэтапно снабжать группы и пользователей информацией согласно графику развертывания Intune.

Ниже приведен пример высокоуровневого коммуникационного плана для развертывания Intune.

Задача 7. Служба технической поддержки и конечные пользователи

В планирование и реализацию пилотных мероприятий на ранних этапах реализации развертывания Intune следует включить ИТ-поддержку. Это позволит сотрудникам службы поддержки заранее ознакомиться с Intune, и они получают знания и опыт для более эффективного определения и устранения проблем. Они также подготавливаются к поддержке полного развертывания в организации. Опытные специалисты службы технической поддержки и группы поддержки также помогают пользователям адаптироваться к новым изменениям.

Задача: обучение специалистов службы поддержки. Проверка принятия решений конечными пользователям по показателям успеха, установленным в плане развертывания. Рекомендации:

определить, кто будет поддерживать конечных пользователей. Организации могут иметь различные уровни (1–3) поддержки. Например, уровнями 1 и 2 может заниматься группа поддержки. Уровень 3 включает членов группы MDM, ответственных за развертывание Intune.

Уровень 1 обычно является первым уровнем поддержки и первым уровнем связи. Если проблему не удается устранить на уровне 1, она передается на уровень 2. С уровня 2 она передается на уровень 3. Службу технической поддержки Майкрософт можно рассматривать в качестве уровня 4.

• На начальных этапах развертывания следует убедиться, что на всех уровнях группы поддержки документируются проблемы и способы их устранения. Найдите закономерности и настройте коммуникацию для следующего этапа развертывания. Например:
  • Если разные пользователи или группы сомневаются в необходимости регистрации своих персональных устройств, рассмотрите возможность использования вызовов Teams для ответов на часто задаваемые вопросы.
  • Если у пользователей возникают те же проблемы при регистрации устройств, принадлежащих организации, организуйте личное событие, чтобы помочь пользователям зарегистрировать устройства.

  Создайте рабочий процесс службы технической поддержки и постоянно сообщайте о поддержке при устранении проблем и тенденциях, а также о других важных сведениях для всех уровней в группе поддержки. Например, проводите ежедневные или еженедельные собрания Teams, чтобы все уровни были осведомлены о тенденциях, шаблонах и могли получить помощь.

  В следующем примере показано, как компания Contoso реализует рабочие процессы ИТ-поддержки или службы поддержки.

  1. Конечные пользователи обращаются к специалистам по поддержке уровня 1 с проблемой, связанной с регистрацией.
  2. Уровню 1 службы поддержки не удается определить первопричину, поэтому проблема передается на уровень 2.
  3. Служба ИТ-поддержки или уровень поддержки 2 изучает проблему. На уровне 2 не удалось решить проблему, поэтому она передается на уровень 3, а также предоставляются дополнительные сведения, помогающие в решении проблемы.
  4. Специалисты по поддержке уровня 3 исследуют проблему, находят первопричину, а затем сообщают решение сотрудникам уровней 2 и 1.
  5. После этого сотрудник службы поддержки уровня 1 связывается с клиентом и помогает устранить проблему.

  Такой подход, особенно на ранних стадиях развертывания Intune, дает множество преимуществ, включая следующие.

  • Помощь в изучении технологий.
  • Быстрое выявление и решение проблем.
  • Улучшение общих впечатлений пользователей.

  Обучите группы поддержки и специалистов службы технической поддержки. Попросите их зарегистрировать устройства под управлением различных платформ, используемых в вашей организации (Android, iOS/iPadOS, macOS, Windows), чтобы они были знакомы с этим процессом. Рассмотрите возможность использования групп поддержки в качестве пилотной группы для ваших сценариев.

  Доступны учебные материалы, в том числе видео YouTube, учебники Майкрософт по регистрации, обеспечению соответствия требованиям, настройке, а также курсы от партнеров по обучению.

  Ниже приведен пример учебного плана для обучения службы поддержки Intune.

  📎📎📎📎📎📎📎📎📎📎