Настройка действий для несоответствующих устройств в Intune

Политики соответствия требованиям могут включать действия по несоответствию, которые представляют собой шаги, которые политика выполняет по расписанию, когда обнаруживает, что устройство не соответствует вашим требованиям безопасности. Например, политика может удаленно заблокировать несоответствующее устройство, чтобы защитить его, или отправить уведомление пользователям, чтобы они могли понять и устранить проблему.

Обзор

Каждая политика соответствия требованиям включает в себя пометить устройство как встроенное действие по умолчанию, которое планируется активировать немедленно в нулевые дни. Когда Intune обнаруживает, что устройство не соответствует требованиям, оно сразу же помечает устройство несоответствующим. Microsoft Entra условный доступ может запретить устройству доступ к ресурсам вашей организации.

Добавление дополнительных действий позволяет контролировать, что происходит с несоответствующим устройствам и когда. Например, вы можете предоставить пользователям льготный период, чтобы они соответствовали требованиям, прежде чем блокировать их доступ.

Для каждого указанного действия можно настроить расписание, которое определяет, когда действие вступает в силу. Расписание основано на днях после того, как устройство помечено как несоответствующее. Вы также можете добавить одно и то же действие несколько раз. Если устройство остается несоответствующим, действие повторяется в каждое запланированное время.

На каждой платформе могут быть доступны только определенные действия.

Доступные действия при несоответствии

При несоответствии доступны следующие действия:

• Пометить устройство как несоответствующее. Это встроенное действие по умолчанию включается в каждую политику соответствия, для которых задано значение 0 (0) дней, поэтому устройства немедленно помечаются как несоответствующие.

  При изменении расписания по умолчанию вы предоставляете льготный период, в течение которого пользователь может устранить проблемы или стать совместимым без пометки как несоответствующего.

  Это действие поддерживается на всех платформах, поддерживаемых Intune.

• Отправить сообщение электронной почты пользователю. Это действие отправляет пользователю уведомление по электронной почте. При включении этого действия доступны следующие варианты:

  • Выберите шаблон сообщения уведомления, который будет отправлен этим действием. Прежде чем назначить его этому действию, создайте шаблон сообщения уведомления . При создании настраиваемого уведомления вы настраиваете языковой стандарт, тему, текст сообщения и можете добавить логотип компании, название компании и другие контактные данные.
  • Выберите отправку сообщения нескольким получателям, выбрав одну или несколько групп Microsoft Entra.

  Intune использует адрес электронной почты в профиле конечного пользователя, а не имя участника-пользователя (UPN). Если адрес электронной почты отсутствует в файле, Intune не отправляет уведомление. После отправки сообщения Intune включает в уведомление дополнительные сведения о несоответствующем устройстве.

  Это действие поддерживается на всех платформах, поддерживаемых Intune.

  Примечание.

  Уведомления отправляются из microsoft-noreply@microsoft.com.

  Убедитесь, что у вас нет политик почтовых ящиков, которые запрещают доставку сообщений электронной почты с этих адресов. В противном случае конечные пользователи могут не получить уведомление по электронной почте. Ожидается, что сообщения с уведомлениями о соответствии будут отправляться в течение 6 часов после того, как устройство будет помечено как несоответствующее.

• Удаленная блокировка несоответствующего устройства. Используйте это действие для удаленной блокировки устройства. Затем пользователю предлагается ввести ПИН-код или пароль для разблокировки устройства. Дополнительные сведения см. в разделе Удаленная блокировка.

  Это действие поддерживают следующие платформы:

  • Администратор устройств Android
  • Android (AOSP)
  • Android Enterprise
    • Полностью управляемая
    • Выделенная
    • Корпоративный рабочий профиль
    • Личный рабочий профиль
  • iOS/iPadOS
  • macOS

• Добавление устройства в список устаревших устройств. При выполнении этого действия на устройстве устройство добавляется в список устаревших устройств в Центре администрирования Intune. Чтобы просмотреть список, перейдите враздел Соответствиеустройств> и перейдите на вкладку Снять с учета несоответствующие устройства. Однако устройство не прекращается до тех пор, пока администратор явно не инициирует процесс прекращения использования. Когда администратор удаляет устройство из этого списка, прекращение использования удаляет все корпоративные данные с устройства и удаляет это устройство из управления Intune.

  Это действие поддерживают следующие платформы:

  • Администратор устройств Android
  • Android (AOSP)
  • Android Enterprise
    • Полностью управляемая
    • Выделенная
    • Корпоративный рабочий профиль
    • Личный рабочий профиль
  • iOS/iPadOS
  • macOS
  • Windows

  Примечание.

  На вкладке Снять с учета выбранные устройства отображаются только те устройства, для которых активируется действие Добавить устройство в список с учета. Список всех устройств, которые не соответствуют требованиям, см. в отчете о несовместимых устройствах, упомянутом в разделе Мониторинг политики соответствия устройств.

  Чтобы снять с учета одно или несколько устройств из списка, выберите устройства для снятия с учета, а затем выберите Снять с учета выбранные устройства. При выборе действия, которое выводит устройства из эксплуатации, появляется диалоговое окно подтверждения. Только после подтверждения намерения снятия устройств с учета они очищаются от данных компании и удаляются из системы управления Intune.

  Другие варианты включают списание всех устройств, Очистка состояния прекращения использования всех устройств и Очистка состояния снятия с учета выбранных устройств. При очистке состояния прекращения использования устройства устройство удаляется из списка устройств, которые могут быть сняты с учета до тех пор, пока к этому устройству снова не будет применено действие Add device to retire list (Добавить устройство в список списания ).

  Дополнительные сведения о снятии устройств с учета.

• Отправка push-уведомлений конечному пользователю. Настройте это действие для отправки push-уведомлений о несоответствии устройству через приложение Корпоративный портал или приложение Intune на устройстве.

  Это действие поддерживают следующие платформы:

  • Администратор устройств Android
  • Android Enterprise:
    • Полностью управляемая
    • Выделенная
    • Корпоративный рабочий профиль
    • Личный рабочий профиль
  • iOS/iPadOS

  Push-уведомление отправляется при первом входе устройства с Intune и обнаруживается, что он не соответствует политике. Когда пользователь выбирает уведомление, откроется приложение Корпоративный портал или приложение Intune, в котором отображаются сведения о том, почему они несоответствуют. После этого пользователь может предпринять действия по устранению проблемы. Сведения о несоответствии создаются Intune и не могут быть настроены.

  Важно!

  Intune, приложение Корпоративный портал и приложение Microsoft Intune не могут гарантировать доставку push-уведомлений. Уведомления могут появиться после нескольких часов задержки, если вообще появятся. Это ограничение включает в себя, когда пользователи отключают push-уведомления.

  Не полагайтесь на этот метод уведомления для срочных сообщений.

  Каждый экземпляр действия отправляет уведомление один раз. Чтобы повторно отправить то же уведомление из политики, настройте в этой политике дополнительные экземпляры действия, каждое из которых имеет собственное расписание.

  Например, вы можете запланировать первое действие в течение нуля дней, а затем добавить второй экземпляр действия, для которого задано три дня. Эта задержка перед вторым уведомлением дает пользователю несколько дней, чтобы устранить проблему и избежать второго уведомления.

  Чтобы избежать отправки пользователям слишком большого количества повторяющихся уведомлений, учитывайте следующие моменты:

  • Одна политика с несколькими push-уведомлениями, запланированными на один день, отправляет только одно уведомление в этот день.
  • Несколько политик с одинаковыми условиями соответствия и одинаковым расписанием отправляют отдельное уведомление, что приводит к отправке нескольких уведомлений на одно устройство в один день.

Прежде чем начать

Вы можете добавить действия для несоответствия при настройке политики соответствия устройств или позже, изменив политику. Добавьте дополнительные действия в каждую политику в соответствии со своими потребностями. Помните, что каждая политика соответствия требованиям автоматически включает действие по умолчанию для несоответствия, которое помечает устройства как несоответствующие с расписанием, равным нулю дней.

Чтобы использовать политики соответствия устройств для блокировки корпоративных ресурсов, настройте Microsoft Entra условный доступ. Инструкции см. в статье Условный доступ в Microsoft Entra ID.

Рекомендации по созданию политики соответствия устройств для конкретной платформы см. в следующих статьях:

• Android
• Android (AOSP)
• Рабочие профили Android
• iOS
• macOS
• Windows

Создание шаблона уведомлений

Чтобы отправить сообщение электронной почты пользователям, создайте шаблон сообщения уведомления и свяжите его с политикой соответствия как действие для несоответствия. Если устройство не соответствует требованиям, сведения, которые вы вводите в шаблоне, отображаются в сообщении электронной почты, отправленном пользователям.

Шаблон сообщения уведомления может содержать несколько сообщений, каждое из которых относится к разному языковому стандарту. При указании нескольких сообщений и языковых стандартов пользователи, не соответствующие требованиям, получают соответствующее локализованное сообщение на основе предпочитаемого языка Microsoft 365.

Добавьте переменные в сообщение, чтобы создать персонализированное сообщение электронной почты с динамическим содержимым. В следующей таблице описаны переменные, которые можно использовать в строке темы и тексте сообщения.

Создание шаблона

1. Войдите в Центр администрирования Microsoft Intune.

2. Выберите Безопасность конечной точки>Соответствие устройства>Уведомления>Создать уведомление.

3. В разделе Основные сведения введите понятное имя шаблона, чтобы его можно было идентифицировать. Нажмите кнопку Далее.

4. В разделе Параметры верхнего и нижнего колонтитулов добавьте сведения о компании и логотип.

   

   Доступны следующие параметры:

   • Email заголовке — Показать логотип компании (по умолчанию = Включить) — отправьте логотип, чтобы добавить фирменную символику вашей организации в шаблоны электронной почты. Дополнительные сведения о фирменной символике корпоративного портала см. в разделе Настройка фирменной символики организации.
   • Email нижний колонтитул — показать название компании (по умолчанию = Включить). Включите этот параметр, чтобы отобразить название вашей компании в сообщении электронной почты. Сведения о названии компании см. в разделе Значение клиента .
   • Email нижнем колонтитуле — показать контактные данные (по умолчанию = Включить). Включите этот параметр, чтобы в сообщении отображались контактные данные вашей организации, такие как имя, номер телефона и адрес электронной почты. См . раздел Значение клиента , чтобы просмотреть контактные данные в записи.
   • Email нижний колонтитул — показать ссылку на веб-сайт корпоративного портала (по умолчанию — отключить) — включите этот параметр, чтобы включить ссылку на веб-сайт Корпоративный портал в сообщение электронной почты. См . раздел Значение клиента , чтобы просмотреть ссылку на веб-сайт, отображаемую для пользователей.

   Нажмите кнопку Далее, чтобы продолжить.

5. В шаблонах сообщений уведомлений настройте одно или несколько сообщений. Для каждого сообщения укажите перечисленные ниже значения.

   • Языковой стандарт. Выберите язык, соответствующий языковому стандарту пользователя устройства.
   • Тема. Добавьте строку темы для сообщения электронной почты. Можно ввести до 78 символов.
   • Необработанный редактор HTML. Включите редактор HTML, чтобы получить предложения при добавлении форматирования HTML и ссылок на сообщение. Атрибут можно использовать для href добавления ссылки (должен быть URL-адресОМ HTTPS). Поддерживаемые теги HTML: <a>, <strong>, , <u><b>, <ol>, <ul>, <li>, <p>, <br>, <code>, <table>, , <tbody>, , <tr>, <td>, , <thead>. <th> Вы не обязаны использовать редактор HTML и можете добавить поддерживаемый HTML-код, не включив редактор.
   • Сообщение. Создайте сообщение, объясняющее причину несоответствия. Можно ввести до 2000 символов.

   Чтобы создать шаблон с динамическим содержимым, вставьте маркер поддерживаемой переменной в строку темы или сообщение. Список поддерживаемых переменных см. в таблице в разделе Создание шаблона сообщения уведомления в этой статье.

   Важно!

   Обязательно используйте в тексте сообщения только поддерживаемые Intune теги и атрибуты HTML. Intune отправляет сообщения, содержащие другие типы тегов, элементов или стилей в виде обычного текста, а не в формате HTML. Это условие включает сообщения, содержащие:

   • CSS
   • Теги и атрибуты, не перечисленные в этой статье

   Примечание.

   Intune преобразует новые символы строки в стиле Windows в <br> Html-теги, но игнорирует все другие типы новых символов строки, в том числе для macOS и Linux. Чтобы обеспечить правильную отрисовку разрывов строк в шаблонах, рекомендуется использовать <br> тег для указания конца строки.

6. Установите флажок Значение по умолчанию для одного из сообщений. Intune отправляет сообщение по умолчанию пользователям, которые не настроили предпочитаемый язык, или если шаблон не содержит определенное сообщение для их языкового стандарта. Сообщением по умолчанию можно назначить только одно сообщение. Чтобы удалить сообщение, нажмите кнопку с многоточием (...), а затем щелкните Удалить.

   Нажмите кнопку Далее, чтобы продолжить.

7. В разделе Теги области выберите теги, чтобы ограничить видимость этого сообщения и управление ими определенными Intune группами администраторов, такими как US-NC IT Team или JohnGlenn_ITDepartment. Дополнительные сведения о тегах области см. в разделе Использование RBAC и тегов области для распределенных ИТ-групп.

   Нажмите кнопку Далее, чтобы продолжить.

8. На странице Просмотр и создание проверьте конфигурации, чтобы убедиться, что шаблон уведомления готов к использованию. Чтобы завершить создание уведомления, выберите Создать.

Просмотр и изменение уведомлений

Вы можете просматривать уведомления, которые вы создаете, в разделеУведомления о политиках>соответствия. На этой странице выберите уведомление, чтобы просмотреть его конфигурацию и:

• Выберите Отправить предварительную версию электронной почты, чтобы отправить предварительное сообщение электронной почты с уведомлением в учетную запись, используемую для входа в Intune.

  Для успешной отправки предварительного сообщения электронной почты ваша учетная запись должна иметь разрешения, равные разрешениям следующих Microsoft Entra групп или Intune ролей: администратор Intune (также известный как администратор службы Intune) или диспетчер политик и профилей.

• Выбрать Правка для параметра Основные или Теги области, чтобы внести изменения.

Добавить действия при несоответствии

Можно добавить необязательные действия при создании политики соответствия требованиям или изменении существующей политики. Действие по умолчанию пометка как несоответствующее добавляется автоматически и не может быть удалено, но вы можете изменить его расписание.

1. Войдите в Центр администрирования Microsoft Intune.

2. Перейдите в раздел Соответствие устройств>.

3. Выберите политику, а затем выберите Свойства.

   У вас еще нет политики? Создайте политику для Android, iOS, Windows или другой платформы.

   Примечание.

   Устройства, управляемые сторонними партнерами по соответствию требованиям устройств, предназначенные для групп устройств, в настоящее время не могут получать действия по соответствию.

4. Выберите Действия для изменения несоответствия>.

5. Выберите действие.

   • Отправить электронное сообщение пользователям. Выберите отправку пользователям сообщения электронной почты, когда устройство не соответствует. Кроме того:

     • Выберите шаблон сообщения, созданный ранее
     • Введите любых дополнительных получателей, выбрав группы.

   • Удаленно блокировать несоответствующее устройство. Если устройство не соответствует требованиям, оно блокируется. Для разблокирования устройства пользователь должен будет ввести ПИН-код или секретный код.

   • Добавление устройства в список списания. Если устройство не соответствует требованиям, оно добавляется в список списанных устройств в Центре администрирования. Администратор должен явно удалить устройство из этого списка, прежде чем данные компании будут удалены, а устройство будет удалено из управления Intune.

   • Отправка push-уведомлений конечному пользователю. Настройте это действие для отправки push-уведомлений о несоответствии устройству через приложение Корпоративный портал или приложение Intune на устройстве.

6. Настройка расписания. Введите количество дней (от 0 до 365) после несоответствия, чтобы активировать действие. Если ввести значение 0, действие вступает в силу немедленно. По истечении этого льготного периода вы можете применить политику условного доступа , чтобы заблокировать доступ к таким ресурсам, как электронная почта и SharePoint.

   Дополнительные сведения о действии "Пометить устройство несоответствующим " по умолчанию и о том, как расписание влияет на льготные периоды, см. в разделе Доступные действия для несоответствия.

   Например, добавьте действие Отправить сообщение пользователю с расписанием в два дня. Если устройство по-прежнему не соответствует требованиям на второй день, отправляется сообщение электронной почты. Чтобы отправить сообщение электронной почты на пятый день, добавьте второй экземпляр действия с расписанием в пять дней.

   Дополнительные сведения о соответствии требованиям и встроенных действиях см. в статье с общими сведениями о соответствии.

7. Когда закончите, нажмите Добавить>OK, чтобы сохранить изменения.

Дальнейшие действия

Мониторинг политик.