Создание ограничений платформы устройств

Создайте политику ограничения регистрации платформы устройств, чтобы ограничить регистрацию устройств в Intune. Доступные ограничения включают:

• Платформа устройства
• Версия ОС
• Производитель
• Право собственности (личное владение)

Вы можете создать политику ограничений платформы устройств в Центре администрирования Microsoft Intune или использовать уже доступную политику по умолчанию. Можно использовать до 25 политик ограничения платформы устройств.

В этой статье описаны ограничения платформы устройств, поддерживаемые в Microsoft Intune, и способы их настройки в Центре администрирования.

Требования

Политика, используемая по умолчанию

Microsoft Intune предоставляет одну политику по умолчанию для ограничений платформы устройства, которую можно изменить и настроить по мере необходимости. Intune применяет политику по умолчанию ко всем регистрациям пользователей и без пользователей, пока не будет назначена политика с более высоким приоритетом.

Рекомендация — ограничения платформы Android

Так как Intune поддерживает две платформы Android, важно понимать, как работают ограничения версий ОС при их использовании с ограничениями платформы устройства:

• Если разрешить обе платформы для одной и той же группы, а затем уточнить ее для конкретных и непересекающихся версий, Intune будет смотреть на версию, чтобы определить, через какой поток проходит регистрация устройств Android.
• Если разрешить обе платформы, но заблокировать одни и те же версии, устройства с заблокированными версиями не смогут зарегистрироваться. Пользователи этих устройств направляются через процесс регистрации администратора устройства Android, прежде чем они будут заблокированы и им будет предложено выйти.

Создайте ограничение платформы устройства

1. Войдите в Центр администрирования Microsoft Intune и перейдите в раздел "Устройства".

2. В разделе "Подключение устройств" выберите "Регистрация".

3. В разделе "Параметры регистрации" выберите Ограничение платформы устройства.

4. В верхней части страницы выберите вкладку, соответствующую настраиваемой платформе. Доступны следующие параметры:

   • Ограничения Windows
   • Ограничения Android
   • Ограничения macOS
   • Ограничения iOS/iPadOS
   • Ограничения tvOS
   • Ограничения visionOS

5. Выберите Создать ограничение.

6. На странице Основные сведения укажите для ограничения имя и необязательное описание.

7. Нажмите Далее.

8. На странице Параметры платформы настройте ограничения для выбранной платформы. Доступны следующие параметры:

   • Платформа (Android): выберите "Разрешить ", чтобы разрешить регистрацию платформы, и "Заблокировать ", чтобы ограничить ее.

   • MDM (Windows, macOS, iOS/iPadOS, tvOS и visionOS): выберите "Разрешить ", чтобы разрешить регистрацию платформы, и "Заблокировать ", чтобы ограничить ее.

   • Личные: выберите Разрешить, чтобы разрешить устройствам регистрироваться и работать в качестве личных устройств.

   • Изготовитель устройства (Android). Введите разделенный запятыми список производителей, которых нужно заблокировать.

   • Разрешить минимальный и максимальный диапазон (Android, Windows, iOS/iPadOS): введите минимальную и максимальную версии ОС, разрешенные для регистрации. Поддерживаемые форматы версий включают:

     • Windows поддерживает major.minor.build.rev для Windows. Intune не получает номер редакции во время регистрации, поэтому введите 0 в качестве номера редакции.

     • Администратор устройства Android и рабочий профиль Android Enterprise поддерживают major.minor.rev.build.

     • iOS/iPadOS поддерживает major.minor.rev.

       Совет

       Диапазон min/max неприменим к устройствам Apple, которые регистрируется с помощью программы регистрации устройств, Apple School Manager или приложения Apple Configurator. Хотя Intune не блокирует регистрации ADE, использующие Корпоративный портал для проверки подлинности, несоблюдение требований к ОС влияет на регистрацию, поскольку устройства не могут создать запись устройства Microsoft Entra, используемую для оценки политик условного доступа. Вы можете сказать, что это так, если пользователь устройства получает сообщение об ошибке с сообщением "Не удалось сопоставить запись устройства с пользователем" после входа в Корпоративный портал.

9. Нажмите кнопку Далее.

10. При необходимости добавьте теги областей в ограничение. Дополнительные сведения о тегах области см. в статье Использование управления доступом на основе ролей и тегов области для распределенных ИТ-систем.

    Примечание.

    При применении тегов области к ограничению только пользователи Intune в пределах области могут просматривать политику и управлять ею. Только пользователи в областях могут просматривать и упорядочивать ограничения или изменять их уровень приоритета. Они также могут видеть относительный приоритет ограничения, даже если они не видят всех ограничений.

11. Нажмите Далее.

12. На странице Назначения выберите Добавить группы и воспользуйтесь полем поиска, чтобы найти и выбрать группы. Чтобы назначить ограничение всем пользователям устройств, нажмите Добавить всех пользователей. Если не назначить ограничение хотя бы одной группе, ограничение не действует.

13. При необходимости после назначения групп нажмите Изменить фильтр, чтобы далее ограничить назначение политики с помощью фильтров. Фильтры доступны для политик macOS, iOS и Windows. Дополнительные сведения см. в разделе Применение фильтров назначения в этой статье.

14. Нажмите кнопку Далее.

15. Просмотрите свою политику и нажмите " Создать ", чтобы создать ее.

Просмотреть новую политику ограничений и получить доступ к ее свойствам можно в таблице ограничений >платформы устройств для регистрацииитипов устройств. Выберите и перетащите ограничение, чтобы переместить его в таблицу и изменить его приоритет.

Применение фильтров задания

Фильтры назначений можно использовать, чтобы включать и исключать дополнительные устройства из определенных политик, направленных на группу. Ограничения регистрации и политики ESP поддерживают использование фильтров назначения.

Например, можно использовать фильтр, чтобы разрешить регистрацию личных устройств Windows и одновременно заблокировать устройства, работающие под управлением определенного SKU операционной системы. Чтобы добиться этого результата, примените предварительно настроенный фильтр к назначениям ограничений регистрации. Фильтр должен иметь это свойство operatingSystemSKU в своих правилах. Примеры шагов:

1. Создание политики ограничения регистрации платформы для Windows.
2. В параметрах платформы выберите параметр, который позволяет регистрировать личные устройства.
3. В параметрах назначений выберите группы, которые хотите назначить.
4. Выберите Изменить фильтр, а затем примените предварительно настроенный фильтр, содержащий свойство operatingSystemSKU. Применяемое свойство блокирует устройства под управлением выпуска Windows 10 Домашняя.

Дополнительные сведения о создании фильтров см. в разделе Создание фильтра.

Поддерживаемые свойства фильтра

Ограничения регистрации поддерживают меньше свойств фильтра, чем другие политики, направленные на группу. Это связано с тем, что устройства еще не зарегистрированы, поэтому у Intune нет сведений об устройстве для поддержки всех свойств. Ограниченный выбор свойств становится доступным, когда вы:

• Настройка политики ограничения устройств платформы для устройств с Apple и Windows.
• Настройка политики состояния страницы регистрации (ESP) для Windows.
• Измените фильтр, который используется в ограничении регистрации или политике ESP.

Следующие свойства фильтра всегда доступны для использования с политиками регистрации:

Windows

• Производитель: для Windows 11 версии 22H2 и более поздних версий с KB5035942 (сборки ОС 22621.3374 и 22631.3374).
• Модель — для Windows 11 версии 22H2 и более поздних версий с KB5035942 (сборки ОС 22621.3374 и 22631.3374).
• Версия ОС
• Номер SKU операционной системы
• Собственность
• Имя политики регистрации

iOS/iPadOS и macOS

• Производитель
• Модель
• Версия ОС
• Собственность
• Имя политики регистрации

Дополнительные сведения об этих свойствах см. в разделе Свойства устройств. Фильтры нельзя использовать с ограничениями регистрации на Android.

Изменение ограничений регистрации

Изменения применяются к новым регистрациям и не влияют на устройства, которые уже зарегистрированы.

1. Вернитесь крегистрацииустройств>.
2. Выберите ограничения платформы устройства, а затем выберите платформу операционной системы, к которой относится ограничение.
3. В таблице "Ограничения типа устройства " выберите имя политики, которую требуется изменить.
4. Выберите пункт Свойства.
5. Нажмите Изменить.
6. Внесите изменения и нажмите "Просмотреть + сохранить".
7. Проверьте изменения и нажмите "Сохранить".