основные понятия Microsoft Intune

Microsoft Intune состоит из трех основных компонентов: удостоверений, которые выполняют вход, устройств, с которыми они выполняют вход, и приложений, которые они используют для выполнения работы. Intune управляет этими основными элементами поверх Microsoft Entra ID и передает состояние устройства и приложения обратно в Microsoft Entra условный доступ, который позволяет получить доступ к корпоративным ресурсам.

Общие сведения о том, что и почему Intune делает, см. в статье Что такое Microsoft Intune?. Сведения о компонентах, интеграции и представлении развертывания см. в разделе Microsoft Intune архитектуры.

Три основных элемента

Основа	Что делает Intune	На что Intune опирается
Удостоверения	Нацеливает политики на пользователей и группы, ограничивает доступ администратора через управление доступом на основе ролей (RBAC) и создает сходство пользователей при регистрации.	Microsoft Entra ID для учетных записей, групп, проверки подлинности и условного доступа.
Устройства	Регистрирует, настраивает, защищает и стирает с учета оборудование, на котором работает ваша организация. Сообщает о состоянии соответствия для условного доступа.	Программы регистрации платформы (Windows Autopilot, Автоматическая регистрация устройств Apple, Android Enterprise).
Приложения	Развертывает, настраивает, защищает и обновляет приложения, необходимые пользователям, на зарегистрированных и личных устройствах.	Магазины приложений и каталоги поставщиков (Microsoft Store, App Store, Managed Google Play, Apple Business).

Остальная часть этой статьи описывает все основные аспекты и заканчивается примером, который отслеживает единый вход по всем трем.

Удостоверения

Intune не хранит удостоверения пользователей. Он использует Microsoft Entra ID для учетных записей, групп, проверки подлинности и условного доступа. В Intune удостоверения отображаются в трех местах.

Сходство пользователей при регистрации

Когда пользователь входит в устройство в первый раз, устройство связывается с этим пользователем. Эта связь называется сходством пользователей. Политики, назначенные пользователю, следуют им на всех связанных устройствах, и пользователь может получать доступ к электронной почте, файлам и приложениям с любого из этих устройств.

Если ни пользователь не связан с устройством, устройство не использует пользователя. Этот шаблон распространен для киосков, предназначенных для одной задачи, и для общих устройств, используемых несколькими людьми.

Определите назначение устройства перед регистрацией, чтобы вы могли выбрать правильный метод регистрации. Рекомендации для конкретной платформы см. в разделе Регистрация устройств в Microsoft Intune.

Доступ на основе ролей для администраторов

Intune использует управление доступом на основе ролей (RBAC), чтобы определить, что каждый администратор может видеть и делать в Центре администрирования. Встроенные роли, такие как диспетчер приложений и диспетчер политик и профилей, область разрешения на определенные задачи управления конечными точками. Так как Intune использует Microsoft Entra ID, доступны также встроенные роли Microsoft Entra (включая Intune администратор).

Связывание RBAC с область тегами, чтобы сузить то, что может видеть администратор, а не только то, что он может сделать. Например, предоставьте региональной службе технической поддержки роль, которая позволяет выполнять очистку устройств, но пометьте ее тегами, чтобы они могли видеть и очищать только устройства в своем регионе.

Дополнительные сведения см. в статьях Управление доступом на основе ролей с помощью Microsoft Intune и Использование тегов область для фильтрации политик.

Целевые политики и назначения

Intune является облачным и предназначен для политик непосредственно для пользователей или групп. Иерархия контейнеров, таких как подразделения, отсутствует. Вы создаете политику, а затем назначаете ее одной или нескольким Microsoft Entra группам.

Политику можно настроить следующими способами:

Группы пользователей, если параметр должен следовать за пользователем на всех устройствах. Например, профиль электронной почты или развертывание приложения.
Группы устройств, когда параметр должен применяться независимо от того, кто вошел в систему. Например, конфигурация киоска или политика frontline-worker.
Встроенные виртуальные группы (все пользователи, все устройства), когда параметр применяется на уровне клиента.

Дополнительные сведения см. в разделах Добавление групп для организации пользователей и устройств и Назначение профилей устройств в Microsoft Intune.

Устройства

Intune управляет и защищает рабочие столы, ноутбуки, планшеты и телефоны, на которые ваша организация использует android, iOS, iPadOS, Linux, macOS, tvOS, visionOS и Windows. Полная матрица поддерживаемых ОС см. в разделе Поддерживаемые операционные системы и браузеры.

Жизненный цикл устройства

Каждое управляемое устройство проходит через четыре этапа, все они обрабатываются в одном центре администрирования.

Регистрация: управление устройствами. Оборудование, принадлежащее организации, обычно использует автоматическую регистрацию через Windows Autopilot, Автоматическую регистрацию устройств Apple или Android Enterprise. Регистрация личных устройств с помощью приложения Корпоративный портал.
Настройка: применение параметров для Wi-Fi, VPN, сертификатов, электронной почты, функций устройств и параметров для конкретных платформ. Каталог параметров предоставляет тысячи параметров платформы.
Защита. Применение правил соответствия требованиям, шифрование дисков, развертывание базовых показателей безопасности и интеграция с защитой от угроз на мобильных устройствах. Каналы состояний соответствия Microsoft Entra условного доступа.
Прекращение использования. Если устройство потеряно, заменено или больше не требуется, удаленные действия позволяют очищать данные организации, сбрасывать устройство с заводских настроек или отменять регистрацию.

MDM и MAM

Intune поддерживает два режима управления. Их можно использовать как отдельно, так и вместе.

Управление мобильными устройствами (MDM) переводит все устройство в Intune управление: параметры, приложения и данные. MDM является типичным для оборудования, принадлежащей организации.
Управление мобильными приложениями (MAM) управляет только рабочими приложениями и данными в них. Пользователь сохраняет контроль над остальной частью устройства. MAM является типичным для сценариев использования собственных устройств (BYOD).

Их можно объединить на одном устройстве. Например, зарегистрированный корпоративный телефон (MDM) также может иметь политики защиты приложений (MAM) для приложений, которые обрабатывают особенно конфиденциальные данные.

Дополнительные сведения см. в статье Регистрация устройств в Microsoft Intune и общие сведения о политиках защита приложений.

Корпоративные и личные устройства

Большинство организаций управляют двумя группами устройств: оборудованием, которыми они владеют, и личными устройствами, которые сотрудники используют для работы. Intune поддерживает оба варианта с разными элементами управления.

Устройства, принадлежащие организации , должны быть зарегистрированы в MDM. Не полагайтесь на то, что пользователи сами управляют этими устройствами.
Личные устройства могут быть зарегистрированы в MDM, когда пользователи хотят получить полный доступ к ресурсам организации, или они могут использовать только политики MAM, которые защищают данные в Outlook, Teams и других управляемых приложениях.

Группы устройств

Группы устройств — это Microsoft Entra группы, содержащие только устройства. Они полезны, если параметр должен применяться независимо от того, кто вошел в систему: киоски, общие компьютеры, устройства первой линии или специальное оборудование.

Членство может быть статическим или динамическим.

Статические группы требуют добавления и удаления устройств вручную. Они полезны для небольших стабильных наборов устройств.
Динамические группы автоматически добавляют и удаляют устройства на основе заданных вами критериев. Они полезны для больших, меняющихся парков устройств

Приложения

Intune охватывает весь жизненный цикл приложения (развертывание, настройка, защита, обновление) на каждой поддерживаемой платформе.

Жизненный цикл приложения

Развертывание приложений из общедоступных магазинов, каталогов поставщиков, собственных бизнес-пакетов (LOB) или встроенных записей в Центре администрирования.
Настройте приложения перед их открытием пользователями с помощью политик конфигурации приложений. Задайте язык приложения, добавьте логотип организации, заблокируйте личные учетные записи и многое другое.
Защитите данные в приложениях с помощью политик защиты приложений. Требовать ПИН-код, блокировать копирование и вставку в личные приложения, предотвращать резервное копирование в личные облачные службы, шифровать неактивные данные и выборочно очищать данные организации.
Автоматически обновляйте приложения по мере того, как становятся доступными новые версии. Для приложений Microsoft 365, Microsoft Edge и Microsoft Teams в Windows можно передавать обновления в автоматическое исправление Windows.

защита приложений без регистрации (MAM-WE)

защита приложений политиках не требуется регистрация MDM. Они работают с тремя группами устройств:

Личные устройства , которые не зарегистрированы в mdm (BYOD).
Устройства, зарегистрированные в другом поставщике MDM: Intune по-прежнему могут защищать данные в своих управляемых приложениях.
Intune зарегистрированных устройств для приложений, которым требуется дополнительный уровень за пределами MDM.

Дополнительные сведения см. в статье Общие сведения о политиках защита приложений.

Приложения по платформам

Intune поддерживает приложения общедоступного магазина, бизнес-приложения, веб-приложения и типы приложений, зависящих от платформы, в Android, iOS, iPadOS, macOS и Windows. Сведения о разбивке по платформам типов приложений и их местонахождении см. в статье Добавление и обновление приложений в Microsoft Intune.

Как основные принципы сочетаются вместе

Типичное решение о доступе затрагивает все три основных элемента:

Пользователь входит на управляемое устройство и Microsoft Entra ID проверяет подлинность пользователя.
Устройство регистрируется в Intune и сообщает о состоянии соответствия требованиям и инвентаризации.
Intune перенаправит состояние соответствия в Microsoft Entra ID.
Пользователь открывает корпоративное приложение. Microsoft Entra условный доступ оценивает запрос с использованием пользователя, состояния соответствия устройства, приложения, расположения и сигналов от безопасности конечных точек в Microsoft Defender.
Условный доступ разрешает или блокирует доступ. Если доступ разрешен, а приложение является управляемым, политики защиты приложений применяют элементы управления в приложении (ПИН-код, ограничения копирования и вставки, выборочная очистка).

Каждое решение о доступе реализует все три основных элемента: удостоверение пользователя, соответствие устройства и приложение, которое открывает пользователь.

Обратная связь

Были ли сведения на этой странице полезными?

Last updated on 2026-05-23