Настройка JIT-регистрации в Microsoft Intune

Применимо к: iOS/iPadOS

Настройте JIT-регистрацию в Microsoft Intune, чтобы пользователи устройств могли инициировать и выполнять регистрацию устройств из рабочего или учебного приложения. Корпоративный портал Intune Intune не требуется при использовании JIT-регистрации. Вместо этого JIT-регистрация использует расширение единого входа Apple (SSO) для регистрации в Microsoft Entra и проверок соответствия требованиям. Проверки регистрации и соответствия требованиям могут быть полностью интегрированы в специальное приложение Майкрософт или стороннего разработчика, настроенное с помощью расширения для приложения единого входа (SSO) Apple. Это расширение уменьшает количество запросов на проверку подлинности во время сеанса работы пользователя устройства и устанавливает единый вход на всем устройстве.

Исправление соответствия JIT, функция, инициирующая проверку соответствия, автоматически включается на устройствах, использующих JIT-регистрацию, и для него применяются политики соответствия. Исправление соответствия требованиям происходит во внедренном потоке в приложении, регистрируется пользователем. Они могут видеть свое состояние соответствия требованиям и принимать действенные меры для устранения проблем после завершения JIT-регистрации. Например, если устройство не соответствует требованиям, в приложении открывается веб-сайт корпоративного портала, на котором показана причина несоответствия.

В этой статье описано, как включить JIT-регистрацию путем создания политики расширения приложений с единым входом в Центре администрирования Microsoft Intune.

Предварительные условия

Рекомендации по настройке SSO

• Первый вход пользователя после достижения начального экрана должен выполняться в рабочем или учебном приложении, настроенном с расширением единого входа. В противном случае регистрация Microsoft Entra и проверка соответствия требованиям не удастся. Мы рекомендуем направить сотрудников в приложение Microsoft Teams. Приложение интегрировано с новейшими библиотеками удостоверений и обеспечивает наиболее удобную работу с домашнего экрана пользователя.

• Расширение единого входа автоматически применяется ко всем приложениям Майкрософт, поэтому, чтобы избежать проблем с проверкой подлинности, не добавляйте идентификаторы пакетов для приложений Майкрософт в политику. Вам нужно только добавить сторонние приложения.

• Не добавляйте идентификатор пакета для приложения Microsoft Authenticator в политику расширения единого входа. Так как это приложение Майкрософт, расширение единого входа будет работать с ним автоматически.

Настройка JIT-регистрации

Создайте политику расширения приложения единого входа, использующую расширение единого входа Apple для включения JIT-регистрации.

1. Войдите в Центр администрирования Microsoft Intune.

2. Создайте политику конфигурации устройств iOS/iPadOS в категории "Функции> устройства" Расширение>приложения для единого входа.

3. В поле "Тип расширения приложения с единым входом" выберите Microsoft Entra ID.

4. Добавьте идентификаторы пакетов приложений для любых сторонних приложений с помощью единого входа (SSO). Расширение единого входа автоматически применяется ко всем приложениям Майкрософт, поэтому, чтобы избежать проблем с проверкой подлинности, не добавляйте приложения Майкрософт в политику.

   Не добавляйте приложение Microsoft Authenticator в расширение единого входа. Это приложение добавляется позже в политику приложения.

   Чтобы добавить ИД пакета приложения в Intune, можно использовать Центр администрирования Intune.

5. В разделе "Дополнительная настройка" добавьте нужную пару "ключ-значение". Удалите пробелы после и после значения и ключа. В противном случае регистрация "точно в срок" не будет работать.

   • Обозначения: device_registration
   • Тип: строка
   • Значение: {{DEVICEREGISTRATION}}

6. (Рекомендуется) Добавьте пару "ключ-значение", которая включает единый вход в браузере Safari для всех приложений в политике. Удалите пробелы после и после значения и ключа. В противном случае регистрация "точно в срок" не будет работать.

   • Обозначения: browser_sso_interaction_enabled
   • Тип: целое число
   • Значение : 1

7. Нажмите кнопку Далее.

8. Для заданий назначьте профиль всем пользователям или выберите определенные группы.

9. Нажмите кнопку Далее.

10. На странице "Просмотр + создание " просмотрите выбранные параметры, а затем нажмите кнопку " Создать ", чтобы завершить создание профиля.

11. Перейдите в раздел "Приложения",>"Все приложения" и назначьте Microsoft Authenticator группам в качестве обязательного приложения. Дополнительные сведения см. в статьях Добавление приложений в Microsoft Intune и Назначение приложений группам.

Дальнейшие действия

Создайте политику регистрации для регистрации устройств. Политика регистрации запускает процесс регистрации пользователя устройства и позволяет ему инициировать регистрацию. Сведения о том, как создать профиль для поддерживаемых типов регистрации, см. в следующих ресурсах:

• Регистрация пользователей на основе учетной записи
• Регистрация пользователей на корпоративном портале
• Автоматическая регистрация устройств Apple для использования помощника по настройке с современной проверкой подлинности
• Регистрация веб-устройств
• Регистрация устройств на корпоративном портале