Требовать многофакторной проверки подлинности для регистрации устройств в Intune

Вы можете использовать Intune вместе с политиками условного доступа Microsoft Entra, чтобы требовать многофакторную проверку подлинности (MFA) во время регистрации устройства. Если требуется MFA, сотрудники и учащиеся, желающие зарегистрировать устройства, должны сначала пройти проверку подлинности с помощью второго устройства и двух форм учетных данных. Многофакторная аутентификация требует, чтобы он прошел проверку подлинности с использованием двух или более из этих методов проверки:

• что-то, что ему известно, например пароль или ПИН-код;
• Что-то, что у них есть, что невозможно дублировать, например доверенное устройство или телефон.
• Что-то такое, например, отпечаток пальца.

Если устройство не соответствует требованиям, пользователю устройства предлагается обеспечить соответствие устройства перед регистрацией в Microsoft Intune.

Требования

Настройте Intune так, чтобы при регистрации устройства требовалась многофакторная проверка подлинности

Выполните следующие действия, чтобы включить многофакторную проверку подлинности во время регистрации в Microsoft Intune.

1. Войдите в Центр администрирования Microsoft Intune.

2. Перейдите в раздел "Устройства".

3. Разверните "Управление устройствами", а затем выберите "Условный доступ". Эта область условного доступа аналогична области условного доступа, доступной в Центре администрирования Microsoft Entra. Дополнительные сведения о доступных параметрах см. в статье Создание политики условного доступа.

4. Нажмите кнопку Create new policy.

5. Назовите политику.

6. Выберите категорию "Пользователи ".

   1. На вкладке "Включить " выберите пользователей или группы.
   2. Появятся дополнительные параметры. Выберите Пользователи и группы Откроется список пользователей и групп.
   3. Найдите и выберите пользователей или группы Microsoft Entra, которых нужно включить в политику. Затем нажмите кнопку Выбрать.
   4. Чтобы исключить пользователей или группы из политики, перейдите на вкладку "Исключить " и добавьте этих пользователей или группы, как на предыдущем шаге.

7. Выберите следующую категорию — "Целевые ресурсы". На этом шаге вы выбираете ресурсы, к которым применяется политика. В этом случае мы хотим, чтобы политика применялась к событиям, когда пользователи или группы пытаются получить доступ к приложению регистрации Microsoft Intune.

   1. В разделе "Выберите, к чему применяется эта политика" выберите Ресурсы (ранее — облачные приложения).
   2. Выберите вкладку "Включить ".
   3. Нажмите кнопку "Выбрать ресурсы". Появятся дополнительные параметры.
   4. В разделе "Выбрать" выберите "Нет". Откроется список ресурсов.
   5. Найдите регистрацию Microsoft Intune. Затем выберите "Выбрать ", чтобы добавить приложение.

   Для автоматической регистрации устройств Apple с использованием помощника по настройке с современной проверкой подлинности есть два варианта на выбор. В приведенной ниже таблице описана разница между вариантами регистрации Microsoft Intune и Microsoft Intune.

   облачное приложение;	расположение запроса MFA.	Примечания по автоматической регистрации устройств
   Microsoft Intune	Помощник по настройке, Приложение корпоративного портала	При использовании этого параметра MFA требуется во время регистрации и при каждом входе пользователя в приложение или на веб-сайт корпоративного портала. Запросы MFA отображаются на странице входа на корпоративный портал.
   Регистрация в Microsoft Intune	Помощник по настройке	При использовании этого параметра MFA требуется во время регистрации устройства и отображается в виде однократного запроса MFA на странице входа на корпоративный портал.

   Примечание.

   Облачное приложение регистрации Microsoft Intune не создается автоматически для новых клиентов. Чтобы добавить приложение для новых клиентов, администратор Microsoft Entra должен создать объект субъекта службы с идентификатором приложения d4ebce55-015a-49b5-a083-c84d1797ae8c в PowerShell или Microsoft Graph.

8. Выберите категорию "Грант ". На этом шаге вы предоставляете или блокируете доступ к приложению регистрации Microsoft Intune.

   1. Выберите "Предоставить доступ".
   2. Выберите "Требовать многофакторную проверку подлинности".
   3. Выберите Требовать, чтобы устройство было отмечено как соответствующее.
   4. В разделе Для нескольких элементов управления выберите Требовать все выбранные элементы управления.
   5. Нажмите Выбрать.

9. Выберите категорию "Сеанс ". На этом шаге вы можете использовать элементы управления сеансом для включения ограниченных возможностей в приложении регистрации Microsoft Intune.

   1. Выберите "Частота входа". Появятся дополнительные параметры.
   2. Выбирайте каждый раз.
   3. Нажмите Выбрать.

10. Для включения политики выберите Вкл.

11. Нажмите "Создать ", чтобы сохранить и создать политику.

После применения и развертывания этой политики пользователи устройств, регистрирующие свои устройства, видят однократный запрос на прохождение MFA.