Развертывание гибридных присоединенных устройств Microsoft Entra с помощью Intune и Windows Autopilot

• Успешно настроены гибридные присоединенные устройства Microsoft Entra. Обязательно проверьте регистрацию устройства с помощью командлета Get-MgDevice .
• Если в Microsoft Entra Connect настроена фильтрация на основе доменов и подразделений, убедитесь, что подразделение или контейнер по умолчанию, предназначенные для устройств Windows Autopilot, включены в область синхронизации.

Устройство, которое необходимо зарегистрировать, должно соответствовать указанным ниже требованиям.

• Используйте поддерживаемую сейчас версию Windows.
• Доступ к Интернету, характеристики которого соответствуют требованиям Windows Autopilot к сети.
• Доступ к контроллеру домена Active Directory.
• Выполните успешную проверку связи с контроллером домена присоединяемого домена.
• Если используется прокси-сервер, необходимо включить и настроить параметр параметров прокси-сервера для автоматического обнаружения веб-прокси (WPAD).
• Пройденный запуск при первом включении компьютера (OOBE).
• Используйте тип авторизации, поддерживаемый Microsoft Entra ID при первом включении компьютера.

Хотя это не обязательно, но настройка гибридного присоединения Microsoft Entra для федеративных служб Active Directory (ADFS) ускоряет процесс регистрации Windows Autopilot Microsoft Entra во время развертывания. Федеративные клиенты, которые не поддерживают использование паролей и используют ADFS, должны выполнить действия, описанные в статье Поддержка параметров prompt=login в Службы федерации Active Directory (AD FS), чтобы правильно настроить интерфейс проверки подлинности.

• Соединитель Intune для Active Directory, также известный как соединитель автономного присоединения к домену (ODJ), необходимо установить на компьютере под управлением Windows Server 2016 или более поздней версии с платформой .NET Framework версии 4.7.2 или более поздней.

• Сервер, на котором размещен соединитель Intune для Active Directory, должен иметь доступ к Интернету и Active Directory.

  Примечание.

  Для соединителя Intune для сервера Active Directory требуется стандартный клиентский доступ домена к контроллерам домена, включая требования к портам RPC, необходимые для связи с Active Directory. Дополнительные сведения см. в следующих статьях:

  • Обзор служб и требования к сетевым портам в Windows
  • Как настроить брандмауэр для управления доменами Active Directory и отношениями доверия
  • Порты и протоколы, необходимые для гибридной идентификации

• Чтобы увеличить масштаб и доступность, можно установить несколько соединителей в одном домене. Каждый соединитель должен иметь возможность создавать объекты-компьютеры в домене, который он поддерживает.

• Администратор, устанавливающий соединитель Intune для Active Directory, должен быть локальным администратором сервера, на котором устанавливается соединитель Intune для Active Directory.

• Чтобы установить обновленный соединитель Intune для Active Directory, необходимо использовать учетную запись со следующими правами домена:

  • Обязательное условие — создание объектов msDs-ManagedServiceAccount в контейнере "Управляемые учетные записи служб"

  • Необязательно: изменение разрешений в подразделениях в Active Directory. Если у администратора, устанавливающего обновленный соединитель Intune для Active Directory, нет этого права, администратору, обладающему этими правами, потребуется выполнить дополнительные действия по настройке. Дополнительные сведения см. в разделе "Увеличение ограничения учетной записи компьютера" в подразделении этой статьи.

    Эти права позволяют установке соединителя Intune для Active Directory правильно создавать управляемые учетные записи служб (MSA) и правильно устанавливать разрешения для подразделений, в которые MSA добавляет компьютеры.

• Соединителю Intune для Active Directory требуются те же конечные точки, что и для Intune.

Подготовка к работе

• Перед установкой убедитесь, что выполнены все требования соединителя Intune для сервера Active Directory.

• Корпорация Майкрософт рекомендует (не обязательно), чтобы администратор, устанавливающий и настраивающий соединитель Intune для Active Directory, имел права домена, указанные в требованиях соединителя Intune для Active Directory. Эти права позволяют установщику соединителя Intune для Active Directory и процессу конфигурации устанавливать разрешения для управляемой учетной записи службы (MSA) в контейнере компьютера или в подразделениях, где создаются объекты-компьютеры.

  Если у администратора нет этих разрешений, другой администратор с соответствующими правами должен Увеличить лимит учетных записей компьютеров в подразделении (OU).

Выключение конфигурации усиленной безопасности обозревателя Internet

Начиная с версии 6.2504.2001.8 обновленный соединитель Intune для Active Directory перешел на использование WebView2, созданного на основе Microsoft Edge, вместо WebBrowser, созданного на основе Microsoft Internet Обозревателя. Это изменение означает, что параметр настройки усиленной безопасности обозревателя в Windows Server больше не нужно отключать. Установите соединитель Intune для Active Directory версии 6.2504.2001.8 или более поздней, чтобы избежать проблем с параметром конфигурации усиленной безопасности обозревателя.

Скачайте соединитель Intune для Active Directory

1. На сервере, на котором устанавливается соединитель Intune для Active Directory, войдите в Центр администрирования Microsoft Intune.

2. На начальном экране выберите "Устройства " в области слева.

3. В разделе "Устройства" | Экран "Обзор" в разделе "По платформе" выберите Windows.

4. В окне Windows | Экран устройств с Windows в разделе "Подключение устройств" выберите "Регистрация".

5. В окне Windows | Экран регистрации Windows в разделе Windows Autopilot выберите соединитель Intune для Active Directory.

6. На экране соединителя Intune для Active Directory выберите "Добавить".

7. В открывшемся окне "Добавить соединитель" в разделе "Настройка соединителя Intune для Active Directory" выберите "Скачать локальный соединитель Intune для Active Directory". По ссылке скачивается файл с именем ODJConnectorBootstrapper.exe.

Установите соединитель Intune для Active Directory на сервере

1. Войдите на сервер, на котором устанавливается соединитель Intune для Active Directory, с помощью учетной записи с правами локального администратора.

2. Если установлен предыдущий коннектор Intune для Active Directory, сначала удалите его перед установкой обновленного соединителя Intune для Active Directory. Дополнительные сведения см. в статье Удаление соединителя Intune для Active Directory.

   Важно!

   При удалении предыдущего установщика устаревшего соединителя Intune для Active Directory обязательно запустите установщик устаревшего соединителя Intune для Active Directory. Если установщик устаревшего соединителя Intune для Active Directory предлагает удалить его во время запуска, выберите его. Этот шаг обеспечивает полное удаление предыдущего устаревшего соединителя Intune для Active Directory. Установщик устаревшего соединителя Intune для Active Directory можно скачать из соединителя Intune для Active Directory.

   Совет

   В доменах, где используется только один соединитель Intune для Active Directory, корпорация Майкрософт рекомендует сначала установить обновленный соединитель Intune для Active Directory на другом сервере. Установите обновленный соединитель Intune для Active Directory на другом сервере до удаления старого соединителя Intune для Active Directory на текущем сервере. Установка соединителя Intune для Active Directory на другом сервере позволяет избежать простоев, пока соединитель Intune для Active Directory обновляется на текущем сервере.

3. Откройте скачанный ODJConnectorBootstrapper.exe файл, чтобы запустить соединитель Intune для установки Active Directory.

4. Выполните указания соединителя Intune для установки Active Directory.

5. По окончании установки установите флажок Запустить соединитель Intune для Active Directory.

   Примечание.

   Если установка соединителя Intune для программы установки Active Directory случайно закрыта без установки флажка Запустить соединитель Intune для Active Directory, соединитель Intune для конфигурации Active Directory можно повторно открыть, выбрав соединитель Intune для Active Directory>Intune Соединитель для Active Directory из меню "Пуск".

Вход в соединитель Intune для Active Directory

1. В окне соединителя Intune для Active Directory на вкладке "Регистрация" выберите "Войти".

2. На вкладке "Вход" войдите с помощью учетных данных Microsoft Entra ID для роли администратора Intune. Учетной записи пользователя должна быть назначена лицензия Intune. Процесс входа может занять несколько минут.

   Примечание.

   Учетная запись, используемая для регистрации соединителя Intune для Active Directory, является временным требованием во время установки. Учетная запись не будет использоваться после регистрации сервера.

3. После завершения входа:

   1. Откроется окно подтверждения успешной регистрации соединителя Intune для Active Directory. Нажмите кнопку "ОК", чтобы закрыть окно.
   2. Управляемая учетная запись службы с именем "<MSA_name>" была успешно настроена, появится окно подтверждения. Имя учетной записи Майкрософт имеет формат, в котором msaODJ########## пять случайных символов. Запомните имя созданной учетной записи Майкрософт, а затем нажмите кнопку "ОК", чтобы закрыть окно. Имя MSA может потребоваться позднее для настройки MSA для создания объектов-компьютеров в подразделениях.

4. На вкладке "Регистрация" показано, что соединитель Intune для Active Directory зарегистрирован. Кнопка "Войти" неактивна, а параметр "Настроить учетную запись управляемой службы" включен.

5. Закройте окно соединителя Intune для Active Directory.

Проверьте, включен ли соединитель Intune для Active Directory

После проверки подлинности соединитель Intune для Active Directory завершает установку. После завершения установки убедитесь, что он активен в Intune, выполнив следующие действия.

1. Перейдите в Центр администрирования Microsoft Intune, если он еще открыт. Если окно добавления соединителя по-прежнему отображается, закройте его.

   Если Центр администрирования Microsoft Intune еще не открыт:

   1. Войдите в Центр администрирования Microsoft Intune.

   2. На начальном экране выберите "Устройства " в области слева.

   3. В разделе "Устройства" | Экран "Обзор" в разделе "По платформе" выберите Windows.

   4. В окне Windows | Экран устройств с Windows в разделе "Подключение устройств" выберите "Регистрация".

   5. В окне Windows | Экран регистрации Windows в разделе Windows Autopilot выберите соединитель Intune для Active Directory.

2. На странице соединителя Intune для Active Directory выполните указанные ниже действия.

   • Убедитесь, что сервер отображается в названии соединителя, а в разделе "Состояние" — в качестве активного
   • Для обновленного соединителя Intune для Active Directory убедитесь, что установлена версия 6.2501.2000.5 или равна ей.

   Если сервер не отображается, выберите "Обновить" или покиньте страницу, а затем вернитесь на страницу соединителя Intune для Active Directory.

После установки соединителя Intune для Active Directory он начнет вести журнал в Просмотре событий по пути Журналы> приложений и служб MicrosoftIntuneODJConnectorService>>. По этому пути можно найти журналы администраторов и операционные журналы.

Настройте MSA, чтобы разрешить создание объектов в подразделениях (необязательно)

По умолчанию учетные записи Майкрософт имеют доступ только для создания объектов-компьютеров в контейнере "Компьютеры ". У учетных записей Майкрософт нет доступа к созданию объектов-компьютеров в подразделениях. Чтобы разрешить MSA создавать объекты в подразделениях, подразделения необходимо добавить в ODJConnectorEnrollmentWizard.exe.config XML-файл, находящийся в ODJConnectorEnrollmentWizard каталоге, где обычно C:\Program Files\Microsoft Intune\ODJConnector\установлен соединитель Intune для Active Directory.

Чтобы разрешить создание объектов в подразделениях, выполните следующие действия.

1. На сервере, где установлен соединитель Intune для Active Directory, перейдите в ODJConnectorEnrollmentWizard каталог, где обычно C:\Program Files\Microsoft Intune\ODJConnector\был установлен соединитель Intune для Active Directory.

2. В каталоге ODJConnectorEnrollmentWizard откройте существующий ODJConnectorEnrollmentWizard.exe.config XML-файл в текстовом редакторе, например, Блокноте.

3. В add key элементе ODJConnectorEnrollmentWizard.exe.config XML-файла:

   • Рядом с пунктом value=, добавьте любые желаемые OU, к которым MSA должен иметь доступ для создания объектов-компьютеров.
   • Имя подразделения должно быть в формате различающегося имени LDAP и если применимо, его необходимо экранировать.
   • Поддержка нескольких подразделений обеспечивается путем разделения подразделений точкой с запятой (;).
   • Обязательно сохраните кавычки (") рядом с value=. Все значения подразделений должны быть заключены в одну пару кавычек.
   • Не изменяйте имя элемента OrganizationalUnitsUsedForOfflineDomainJoinключа.

   Ниже приведен пример XML-записи с несколькими подразделениями в формате различающегося имени LDAP:

     <appSettings>
   
       <!-- Semicolon separated list of OUs that will be used for Hybrid Autopilot, using LDAP distinguished name format.
           The ODJ Connector will only have permission to create computer objects in these OUs.
           The value here should be the same as the value in the Hybrid Autopilot configuration profile in the Azure portal - https://learn.microsoft.com/en-us/mem/intune/configuration/domain-join-configure
   
           Usage example (NOTE: PLEASE ENSURE THAT THE DISTINGUISHED NAME IS ESCAPED PROPERLY):
           Domain contains the following OUs:
             - OU=HybridDevices,DC=contoso,DC=com
             - OU=HybridDevices2,OU=IntermediateOU,OU=TopLevelOU,DC=contoso,DC=com
   
           Value: "OU=HybridDevices,DC=contoso,DC=com;OU=HybridDevices2,OU=IntermediateOU,OU=TopLevelOU,DC=contoso,DC=com" -->
   
       <add key="OrganizationalUnitsUsedForOfflineDomainJoin" value="OU=SubOU,OU=TopLevelOU,DC=contoso,DC=com;OU=Mine,DC=contoso,DC=com" />
     </appSettings>
   

   Совет

   В этом примере замените красный текст рядом с value= ним на подразделения организации в формате различающегося имени LDAP. Как показано в примере, убедитесь, что все записи подразделений заключены в кавычки ("), а каждое подразделение разделено точкой с запятой (;) .

4. После добавления всех нужных подразделений сохраните ODJConnectorEnrollmentWizard.exe.config XML-файл.

5. В качестве администратора, обладающего соответствующими разрешениями на изменение разрешений подразделений, откройте соединитель Intune для Active Directory, перейдя в соединитель Intune для Active Directory>. Соединитель Intune для Active Directory из меню "Пуск".

   Важно!

   Если у администратора, устанавливающего и настраивающего соединитель Intune для Active Directory, нет разрешений на изменение разрешений OU, то вместо этого к разделу или шагам "Увеличение ограничения учетной записи компьютера" в организационном подразделении должен следовать администратор, обладающий разрешениями на изменение разрешений OU.

6. На вкладке "Регистрация" в окне соединителя Intune для Active Directory выберите "Настройка учетной записи управляемой службы".

7. Откроется окно подтверждения управляемой учетной записи службы с именем "<MSA_name>". Нажмите кнопку "ОК", чтобы закрыть окно.

Использование настраиваемой управляемой учетной записи службы (необязательно)

При желании соединитель можно настроить на использование собственной управляемой учетной записи службы, в отличие от учетной записи Майкрософт, автоматически настроенной соединителем.

Требования к MSA

В этом разделе описаны требования к MSA.

• Предоставленная учетная запись должна быть учетной записью службы с одной из следующих категорий объектов в Active Directory:

  • CN=ms-DS-Group-Managed-Service-Account,CN=Schema,CN=Configuration,DC=contoso,DC=com

  • CN=ms-DS-Managed-Service-Account,CN=Schema,CN=Configuration,DC=contoso,DC=com

• Значение конфигурации для учетной записи службы должно быть в следующем формате: <msaAccountName@domain>

• Учетная запись службы должна находиться в том же домене, что и сервер соединителя ODJ.

• Учетная запись службы должна быть установлена на сервере, на котором размещен соединитель ODJ. Дополнительные сведения см. в разделе Install-ADServiceAccount.

  • При использовании sMSA учетную запись можно связать только с одним компьютером.
  • При использовании gMSA сервер, на который вы устанавливаете gMSA, должен иметь доступ к паролю.

• Учетная запись службы должна иметь локальное разрешение " Вход в качестве службы ", которое можно установить напрямую или через членство в группе. Дополнительные сведения см. в разделе "Включение входа службы".

• Разрешение на создание объектов-компьютеров для гибридных потоков Autopilot необходимо предоставлять учетным записям служб вручную. Дополнительные сведения см. в статье Увеличение ограничения учетной записи компьютера в подразделении (OU).

Настройка

Обновление ODJConnectorEnrollmentWizard.exe.config. Его расположение по умолчанию: C:\Program Files\Microsoft Intune\ODJConnector\ODJConnectorEnrollmentWizard.

1. В разделе appSettings файла добавьте следующую строку:

   <add key="TenantConfiguredManagedServiceAccount" value="{accountname}" />

2. Войдите в соединитель.

Отключение обновлений подразделений

Использование собственной учетной записи Майкрософт не позволит соединителю вносить обновления подразделений, независимо от настроенных в OrganizationalUnitsUsedForOfflineDomainJoin. Чтобы избежать ошибок, отключите обновления подразделений путем обновления ODJConnectorEnrollmentWizard.exe.config. Его расположение по умолчанию: C:\Program Files\Microsoft Intune\ODJConnector\ODJConnectorEnrollmentWizard.

1. В разделе appSettings файла добавьте следующую строку:

   <add key="DisableOUUpdates" value="true" />

2. Войдите в соединитель.

Перед началом установки убедитесь, что выполнены все требования соединителя Intune для сервера Active Directory.

Отключение параметров усиленной безопасности Internet Explorer.

По умолчанию для Windows Server включена конфигурация усиленной безопасности Internet Explorer. Конфигурация усиленной безопасности обозревателя Internet может вызвать проблемы со входом в соединитель Intune для Active Directory. Поскольку Internet обозреватель устарел и в большинстве случаев даже не устанавливается на Windows Server, корпорация Майкрософт рекомендует отключить конфигурацию усиленной безопасности обозревателя Internet Explorer. Чтобы отключить конфигурацию усиленной безопасности обозревателя Интернета, выполните указанные ниже действия.

1. Войдите на сервер, на котором устанавливается соединитель Intune для Active Directory, с помощью учетной записи с правами локального администратора и правами администратора домена. Чтобы установщик соединителя Intune для Active Directory мог правильно создать учетную запись Майкрософт, необходимы права администратора домена.

2. Откройте диспетчер сервера.

3. В левой области диспетчера сервера выберите "Локальный сервер".

4. В правой панели СВОЙСТВА диспетчера сервера щелкните ссылку Включить или отключить рядом с параметром "Конфигурация усиленной безопасности IE".

5. В окне настройки усиленной безопасности обозревателя Internet выберите"Выкл." в разделе "Администраторы", а затем нажмите кнопку "ОК".

Установите на сервере устаревший соединитель Intune для Active Directory

1. Откройте ранее скачанный ODJConnectorBootstrapper.exe файл, чтобы запустить соединитель Intune для установки Active Directory.

   Примечание.

   Если устаревший соединитель Intune для Active Directory уже установлен, перейдите в меню > "Пуск" Соединитель Intune для Active Directory>Соединитель Intune для Active Directory и перейдите к разделу "Вход в устаревший соединитель Intune для Active Directory".

2. В окне установщика соединителя Intune для установки Active Directory выберите "Я согласен с условиями лицензии", а затем нажмите кнопку "Установить".

   Примечание.

   Если требуется расположение установки, отличное от расположения по умолчанию C:\Program Files\Microsoft Intune\ODJConnector, выберите "Параметры" и укажите нужное место установки.

3. После завершения установки выберите "Настроить сейчас" в окне установщика соединителя Intune для Active Directory.

   Примечание.

   Если случайно выбран вариант "Закрыть" или случайно закрыто окно соединителя Intune для программы установки Active Directory, соединитель Intune для конфигурации Active Directory можно получить, выбрав соединитель Intune для Active DirectoryСоединитель Intune для Active Directory> в меню "Пуск".

Вход в устаревший соединитель Intune

1. В окне соединителя Intune для Active Directory на вкладке "Регистрация" выберите "Войти".

2. На вкладке "Вход" войдите в систему, используя учетные данные администратора Intune. Учетной записи пользователя должна быть назначена лицензия Intune. Процесс входа может занять несколько минут.

   Примечание.

   Учетная запись, используемая для регистрации соединителя Intune для Active Directory, является временным требованием во время установки. Учетная запись не будет использоваться после регистрации сервера.

3. После завершения процесса входа появится окно подтверждения успешной регистрации соединителя Intune для Active Directory. Нажмите кнопку "ОК", чтобы закрыть окно.

4. На вкладке "Регистрация" показано, что соединитель Intune для Active Directory зарегистрирован, а кнопка "Войти" неактивна.

5. Закройте окно соединителя Intune для Active Directory.

Проверка активности устаревшего соединителя Intune для Active Directory

После проверки подлинности соединитель Intune для Active Directory завершает установку. После завершения установки убедитесь, что он активен в Intune, выполнив следующие действия.

1. Перейдите в Центр администрирования Microsoft Intune, если он еще открыт. Если окно добавления соединителя по-прежнему отображается, закройте его.

   Если Центр администрирования Microsoft Intune еще не открыт:

   1. Войдите в Центр администрирования Microsoft Intune.

   2. На начальном экране выберите "Устройства " в области слева.

   3. В разделе "Устройства" | Экран "Обзор" в разделе "По платформе" выберите Windows.

   4. В окне Windows | Экран устройств с Windows в разделе "Подключение устройств" выберите "Регистрация".

   5. В окне Windows | Экран регистрации Windows в разделе Windows Autopilot выберите соединитель Intune для Active Directory.

2. На странице "Соединитель Intune для Active Directory" убедитесь, что сервер отображается в названии соединителя и как активный в разделе "Состояние". Если сервер не отображается, выберите "Обновить" или покиньте страницу, а затем вернитесь на страницу соединителя Intune для Active Directory.

После установки соединителя Intune для Active Directory он начнет вести журнал в Просмотре событий по пути Журналы> приложений и служб MicrosoftIntuneODJConnectorService>>. По этому пути можно найти журналы администраторов и операционные журналы.

Соединитель Intune для Active Directory предназначен для подключения компьютеров к домену и добавления их в подразделение. По этой причине управляемая учетная запись службы, используемая для соединителя Intune для Active Directory, должна иметь разрешения на создание учетных записей компьютеров в подразделении, где компьютеры присоединены к локальному домену.

При наличии разрешений по умолчанию в Active Directory присоединение к домену с помощью соединителя Intune для Active Directory может изначально работать без каких-либо изменений разрешений подразделения в Active Directory. Однако после попытки MSA присоединить более 10 компьютеров к локальному домену эта служба перестает работать, так как по умолчанию Active Directory позволяет присоединить к локальному домену только 10 компьютеров.

Ограничение на присоединение к домену из 10 компьютеров не ограничивает следующих пользователей:

• Пользователи в группах "Администраторы" или "Администраторы домена". Для соблюдения модели принципа наименьших привилегий корпорация Майкрософт не рекомендует назначать MSA администратором или администратором домена.
• Пользователям с делегированными разрешениями на подразделения и контейнеры в Active Directory для создания учетных записей компьютеров: Рекомендуется использовать этот метод, так как он использует модель принципа предоставления минимальных привилегий.

Чтобы устранить это ограничение, MSA требуется разрешение " Создание учетных записей компьютеров " в организационном подразделении (OU), к которому присоединяются компьютеры в локальном домене. Соединитель Intune для Active Directory задает разрешения MSA для подразделений, если выполняется одно из следующих условий:

• Администратор, устанавливающий соединитель Intune для Active Directory, обладает необходимыми разрешениями для установки разрешений для подразделений.
• Администратор, настраивающий соединитель Intune для Active Directory, имеет необходимые разрешения для установки разрешений для подразделений.

Если у администратора, устанавливающего или настраивающего соединитель Intune для Active Directory, нет необходимых разрешений для установки разрешений для подразделений, необходимо выполнить следующие действия:

1. Войдите в компьютер, у которого есть доступ к консоли "Пользователи и компьютеры Active Directory" с учетной записью, которая в качестве необходимых разрешений для установки разрешений для подразделений.

2. Откройте консоль "Пользователи и компьютеры Active Directory", запустив DSA.msc.

3. Разверните нужный домен и перейдите к подразделению (OU), к которому присоединяются компьютеры во время Windows Autopilot.

   Примечание.

   Подразделение, к которому компьютеры присоединяются во время развертывания Windows Autopilot, указывается позже на этапе настройки и назначения профиля присоединения к домену .

4. Щелкните подразделение правой кнопкой мыши и выберите "Свойства".

   Примечание.

   Если компьютеры присоединяются к контейнеру Computers по умолчанию, а не к подразделению, щелкните контейнер Computers правой кнопкой мыши и выберите Delegate Control.

5. В открывшихся окнах свойств подразделения перейдите на вкладку "Безопасность".

6. На вкладке "Безопасность " выберите "Дополнительно".

7. В окне "Расширенные параметры безопасности " нажмите кнопку "Добавить".

8. В окнах ввода разрешений рядом с полем "Директор" щелкните ссылку "Выбрать субъекта ".

9. В окне "Выбрать пользователя, компьютер, учетную запись службы или группу " нажмите кнопку "Типы объектов... ".

10. В окне "Типы объектов" установите флажок "Проверка учетных записей служб" и нажмите кнопку "ОК".

11. В окне "Выбор пользователя, компьютера, учетной записи службы или группы" в поле "Введите имя выбираемого объекта" введите имя MSA, используемого для соединителя Intune для Active Directory.

    Совет

    Учетная запись MSA была создана на этапе/этапе "Установка соединителя Intune для Active Directory" и имеет формат имени, в ##### котором msaODJ##### находятся пять случайных символов. Если имя MSA неизвестно, выполните следующие действия, чтобы найти имя MSA:

    1. На сервере с соединителем Intune для Active Directory щелкните правой кнопкой мыши меню "Пуск" и выберите "Управление компьютером".
    2. В окне "Управление компьютером " разверните "Службы и приложения ", а затем выберите "Службы".
    3. В области результатов найдите службу с именем Intune ODJConnector for Active Service. Имя учетной записи Майкрософт указано в столбце "Войти как".

12. Выберите "Проверить имена", чтобы проверить запись имени MSA. После проверки записи нажмите кнопку "ОК".

13. В окнах ввода разрешений щелкните раскрывающееся меню Применяется к: , а затем выберите только этот объект.

14. В разделе "Разрешения" отмените выбор всех элементов, а затем установите флажок "Создать проверку объектов-компьютеров".

15. Нажмите кнопку "ОК", чтобы закрыть окно ввода разрешения .

16. В окне "Расширенные параметры безопасности " нажмите " Применить " или "ОК ", чтобы применить изменения.

Соединитель Intune для Active Directory предназначен для подключения компьютеров к домену и добавления их в подразделение. По этой причине сервер, на котором запущен соединитель Intune для Active Directory, должен иметь разрешения на создание учетных записей компьютеров в подразделении, где компьютеры присоединены к локальному домену.

При наличии разрешений по умолчанию в Active Directory присоединение к домену с помощью соединителя Intune для Active Directory может изначально работать без каких-либо изменений разрешений подразделения в Active Directory. Однако после того как сервер, на котором запущен соединитель Intune для Active Directory, попытается присоединить более 10 компьютеров к локальному домену, он перестанет работать, так как по умолчанию Active Directory позволяет присоединить к локальному домену только 10 компьютеров.

Ограничение на присоединение к домену из 10 компьютеров не ограничивает следующих пользователей:

• Пользователи в группах "Администраторы" или "Администраторы домена". Для соблюдения модели принципа наименьших привилегий корпорация Майкрософт не рекомендует делать учетную запись компьютера, на котором запущен соединитель Intune для Active Directory, администратором или администратором домена.
• Пользователям с делегированными разрешениями на создание учетных записей компьютеров в подразделениях и контейнерах Active Directory рекомендуется использовать этот метод, поскольку он использует модель принципа минимальных привилегий.

Чтобы устранить это ограничение, серверу, на котором запущен соединитель Intune для Active Directory, требуется разрешение на создание учетных записей компьютеров в организационном подразделении (OU), к которому присоединены компьютеры в локальном домене:

Чтобы увеличить ограничение учетной записи компьютера в подразделении, к которому компьютеры присоединяются во время Windows Autopilot, выполните следующие действия на компьютере, имеющем доступ к консоли "Пользователи и компьютеры Active Directory".

1. Откройте консоль "Пользователи и компьютеры Active Directory", запустив DSA.msc.

2. Разверните нужный домен и перейдите к подразделению (OU), к которому присоединяются компьютеры во время Windows Autopilot.

   Примечание.

   Подразделение, к которому компьютеры присоединяются во время развертывания Windows Autopilot, указывается позже на этапе настройки и назначения профиля присоединения к домену .

3. Щелкните подразделение правой кнопкой мыши и выберите Делегирование управления.

   Примечание.

   Если компьютеры присоединяются к контейнеру Computers по умолчанию, а не к подразделению, щелкните контейнер Computers правой кнопкой мыши и выберите Delegate Control.

4. В окне « Добро пожаловать в мастер делегирования управления » мастера делегирования управления нажмите кнопку «Далее».

5. В окне "Пользователи или группы " в разделе "Выбранные пользователи и группы" нажмите кнопку "Добавить".

6. Рядом с пунктом "Выбрать тип объекта": в окне "Выбор пользователей, компьютеров или групп" выберите "Типы объектов".

7. В окне "Типы объектов" установите флажок "Проверка компьютеров" и нажмите кнопку "ОК". Остальные элементы в этом окне можно оставить по умолчанию.

8. В окне "Выбор пользователей, компьютеров и групп" в поле "Введите имена выбираемых объектов" введите имя компьютера, на котором был установлен соединитель Intune для Active Directory, на этапе "Установка соединителя Intune для Active Directory".

9. Выберите "Проверить имена", чтобы проверить запись. После проверки записи нажмите кнопку "ОК".

10. Убедитесь, что в окне "Пользователи или группы " отображается нужный компьютер, а затем нажмите кнопку "Далее".

11. В окне " Задачи для делегирования " выберите "Создать настраиваемую задачу для делегирования" и нажмите кнопку "Далее".

12. В окне "Тип объекта Active Directory ":

    1. Выберите только следующие объекты в папке.

    2. В разделе Только следующие объекты в папке выберите Объекты-компьютеры.

    3. Установите флажок "Создать выделенные объекты в этой папке ".

    4. Нажмите кнопку Далее.

13. В окне "Разрешения" в разделе "Разрешения": установите флажок "Проверка полного доступа" и нажмите кнопку "Далее".

    Примечание.

    После установки флажка "Полный доступ" проверка автоматически выбираются все остальные параметры в разделе "Разрешения". Автоматический выбор флажков является нормальным и ожидаемым. Не отменяйте выбор полей для автоматической проверки.

14. В окне "Завершение делегирования управления " нажмите кнопку "Готово".

1. Войдите на компьютер, на котором размещен соединитель Intune для Active Directory.

2. Щелкните правой кнопкой мыши меню "Пуск" и выберите "Параметры", "Приложения",>"Установленные> приложения".

   Или

   Выберите следующий ярлык установленных приложений>:

   Открыть приложения > Установленные приложения

3. В окне "Установленные приложения>" найдите соединитель Intune для Active Directory.

4. Рядом с пунктом "Соединитель Intune для Active Directory" выберите ...>Удалите и нажмите кнопку "Удалить".

5. Соединитель Intune для Active Directory будет удален.

6. В некоторых случаях соединитель Intune для Active Directory может не полностью удаляться, пока исходный установщик ODJConnectorBootstrapper.exe соединителя Intune для Active Directory не будет запущен снова. Чтобы убедиться, что соединитель Intune для Active Directory полностью удален, запустите ODJConnectorBootstrapper.exe установщик еще раз. Если появится запрос на удаление, выберите его. В противном случае закройте установщик.ODJConnectorBootstrapper.exe

   Примечание.

   Установщик устаревшего соединителя Intune для Active Directory можно скачать из соединителя Intune для Active Directory, и его следует использовать только для удаления. Для новых установок используйте обновленный соединитель Intune для Active Directory.

1. Войдите на компьютер, на котором размещен соединитель Intune для Active Directory.

2. Щелкните правой кнопкой мыши меню "Пуск" и выберите "Параметры>,приложения".

   Или

   Выберите следующий ярлык приложений :

   Открытие приложений

3. В разделе "Приложения & функции" найдите и выберите соединитель Intune Active Directory.

4. В разделе Intune Connector для Active Directory нажмите кнопку "Удалить", а затем снова нажмите кнопку "Удалить".

5. Соединитель Intune для Active Directory будет удален.

6. В некоторых случаях соединитель Intune для Active Directory может не полностью удаляться, пока исходный установщик ODJConnectorBootstrapper.exe соединителя Intune для Active Directory не будет запущен снова. Чтобы убедиться, что соединитель Intune для Active Directory полностью удален, запустите ODJConnectorBootstrapper.exe установщик еще раз. Если появится запрос на удаление, выберите его. В противном случае закройте установщик.ODJConnectorBootstrapper.exe

   Примечание.

   Установщик устаревшего соединителя Intune для Active Directory можно скачать из соединителя Intune для Active Directory, и его следует использовать только для удаления. Для новых установок используйте обновленный соединитель Intune для Active Directory.

1. Войдите на компьютер, на котором размещен соединитель Intune для Active Directory.

2. Щелкните правой кнопкой мыши меню "Пуск" и выберите "Параметры","Системные>приложения" & "Возможности>".

   Или

   Выберите следующий ярлык приложений :

   Открытие приложений

3. В разделе "Приложения & функции" найдите и выберите соединитель Intune Active Directory.

4. В разделе Intune Connector для Active Directory нажмите кнопку "Удалить", а затем снова нажмите кнопку "Удалить".

5. Соединитель Intune для Active Directory будет удален.

6. В некоторых случаях соединитель Intune для Active Directory может не полностью удаляться, пока исходный установщик ODJConnectorBootstrapper.exe соединителя Intune для Active Directory не будет запущен снова. Чтобы убедиться, что соединитель Intune для Active Directory полностью удален, запустите ODJConnectorBootstrapper.exe установщик еще раз. Если появится запрос на удаление, выберите его. В противном случае закройте установщик.ODJConnectorBootstrapper.exe

   Примечание.

   Установщик устаревшего соединителя Intune для Active Directory можно скачать из соединителя Intune для Active Directory, и его следует использовать только для удаления. Для новых установок используйте обновленный соединитель Intune для Active Directory.