Настройка действий для несоответствующих устройств в Intune

Политики соответствия могут включать действия в случае несоответствия, то есть действия, предпринимаемые политикой по расписанию при обнаружении устройства, не соответствующего требованиям безопасности. Например, политика может удаленно заблокировать несовместимое устройство, чтобы защитить его, или отправить уведомление пользователям, чтобы они могли понять и устранить проблему.

Обзор

Каждая политика соответствия требованиям включает встроенное действие по умолчанию " Пометить устройство как несоответствующее ", которое запускается немедленно через нулевой день. Если служба Intune обнаруживает, что устройство не соответствует требованиям, она сразу же помечает устройство как несовместимое. После этого условный доступ Microsoft Entra может заблокировать устройству доступ к ресурсам вашей организации.

Добавление дополнительных действий дает вам контроль над тем, что и когда происходит с несоответствующими устройствами. Например, вы можете дать пользователям льготный период, чтобы они выполнили требования, прежде чем заблокировать им доступ.

Для каждого указанного действия можно настроить расписание, которое определяет, когда действие вступает в силу. Расписание основано на днях после того, как устройство будет помечено как несоответствующее. Одно и то же действие можно добавлять несколько раз. Если устройство не соответствует требованиям, действие повторяется в каждый запланированный раз.

На каждой платформе могут быть доступны только определенные действия.

Доступные действия при несоответствии

В случае несоответствия доступны следующие действия:

• Пометить устройство как несоответствующее: это встроенное действие по умолчанию включается в каждую политику соответствия (ноль) дней (ноль) дней, поэтому устройства сразу же помечаются как несоответствующие.

  При изменении расписания по умолчанию предоставляется льготный период, в течение которого пользователь может устранить проблемы или обеспечить соответствие требованиям, не будучи помеченным как несоответствующий.

  Это действие поддерживается на всех платформах, поддерживаемых Intune.

• Отправить сообщение электронной почты пользователю. Это действие отправляет пользователю уведомление по электронной почте. Если вы включите это действие, у вас будут следующие варианты:

  • Выберите шаблон сообщения уведомления, который будет отправлен этим действием. Прежде чем назначать его действию, создайте шаблон уведомления . При создании настраиваемого уведомления вы настраиваете языковой стандарт, тему, текст сообщения и можете добавить логотип компании, название компании и другие контактные данные.
  • Выберите отправку сообщения большему количеству получателей, выбрав одну или несколько групп Microsoft Entra.

  Intune использует адрес электронной почты в профиле пользователя, а не имя участника-пользователя (UPN). Если в файле нет адреса электронной почты, Intune не отправляет уведомление. После отправки сообщения Intune включает в уведомление дополнительные сведения о несоответствующем устройстве.

  Это действие поддерживается на всех платформах, поддерживаемых Intune.

  Примечание.

  Уведомления по электронной почте отправляются из microsoft-noreply@microsoft.com.

  Убедитесь, что у вас нет политик почтовых ящиков, которые запрещают доставку сообщений с этих адресов. В противном случае конечные пользователи могут не получить уведомление по электронной почте. Ожидается, что сообщения по электронной почте с уведомлением о соответствии будут отправлены в течение 6 часов после того, как устройство будет помечено как несоответствующее.

• Удаленная блокировка несоответствующего устройства: используйте это действие для удаленной блокировки устройства. Затем пользователю предлагается ввести ПИН-код или пароль для разблокировки устройства. Дополнительные сведения см. в разделе Удаленная блокировка.

  Это действие поддерживают следующие платформы:

  • Администратор устройств Android
  • Android (AOSP)
  • Android Enterprise
    • Полностью управляемая
    • Выделенная
    • Корпоративный рабочий профиль
    • Личный рабочий профиль
  • iOS/iPadOS
  • macOS

• Список добавления устройства в список снятых с учета. Когда это действие выполняется на устройстве, устройство добавляется в список снятых с учета несоответствующих устройств в Центре администрирования Intune. Вы можете перейти в раздел "Соответствие устройств>" и выбрать вкладку "Снять с учета несоответствующие устройства", чтобы просмотреть список. Однако устройство не будет снято с учета до тех пор, пока администратор не инициирует процесс снятия с учета явным образом. Когда администратор удаляет устройство из этого списка, при этом с устройства удаляются все данные компании и это устройство удаляется из системы управления Intune.

  Это действие поддерживают следующие платформы:

  • Администратор устройств Android
  • Android (AOSP)
  • Android Enterprise
    • Полностью управляемая
    • Выделенная
    • Корпоративный рабочий профиль
    • Личный рабочий профиль
  • iOS/iPadOS
  • macOS
  • Windows

  Примечание.

  На вкладке "Снятие с учета выбранных устройств" отображаются только устройства, для которых активировано действие "Добавить устройство в список выбытия". Список всех несоответствующих устройств см. в отчете "Несоответствующие устройства", упомянутом в разделе "Мониторинг политики соответствия устройств требованиям".

  Чтобы удалить одно или несколько устройств из списка, выберите устройства для списания, а затем нажмите кнопку Снять выбранные устройства. При выборе действия, которое выводит устройства из эксплуатации, появляется диалоговое окно подтверждения. Только после подтверждения намерения снятия устройств с учета они очищаются от данных компании и удаляются из системы управления Intune.

  Другие параметры: Удалить все устройства, Очистить все устройства и Очистить состояние снятия выбранных устройств. При снятии состояния снятия устройства устройство удаляется из списка устройств, которые могут быть сняты с учета до тех пор, пока действие "Добавить устройство в список списания " не будет применено к этому устройству снова.

  Дополнительные сведения о снятии устройств с учета.

• Отправить push-уведомление пользователю: Настройте это действие для отправки push-уведомления о несоответствии на устройство через приложение "Корпоративный портал" или "Intune" на устройстве.

  Это действие поддерживают следующие платформы:

  • Администратор устройств Android
  • Android Enterprise:
    • Полностью управляемая
    • Выделенная
    • Корпоративный рабочий профиль
    • Личный рабочий профиль
  • iOS/iPadOS

  Push-уведомление отправляется при первой регистрации устройства в Intune и обнаружении его несоответствия политике. Когда пользователь выбирает уведомление, открывается приложение "Корпоративный портал" или "Intune" и отображается информация о том, почему они не соответствуют требованиям. После этого пользователь может предпринять действия по устранению проблемы. Сведения о несоответствии генерируются Intune и не могут быть настроены.

  Важно!

  Intune, приложение "Корпоративный портал" и приложение Microsoft Intune не могут гарантировать доставку push-уведомления. Уведомления могут появиться после нескольких часов задержки, если вообще появятся. Это ограничение распространяется на случаи, когда пользователи отключают push-уведомления.

  Не полагайтесь на этот метод уведомления для срочных сообщений.

  Каждый экземпляр действия отправляет уведомление один раз. Чтобы повторно отправить то же уведомление из политики, настройте в этой политике дополнительные экземпляры действия, каждое из которых имеет собственное расписание.

  Например, вы можете запланировать первое действие в течение нуля дней, а затем добавить второй экземпляр действия, для которого задано три дня. Эта задержка перед вторым уведомлением дает пользователю несколько дней, чтобы решить проблему и избежать второго уведомления.

  Чтобы избежать отправки пользователям слишком большого количества повторяющихся уведомлений, учитывайте следующие моменты.

  • Одна политика с несколькими push-уведомлениями, запланированными на один день, отправляет только одно уведомление в этот день.
  • Несколько политик с одинаковыми условиями соответствия и одним расписанием отправляют отдельное уведомление, что приводит к получению нескольких уведомлений на одно и то же устройство в один день.

Прежде чем начать

Вы можете добавить действия в случае несоответствия при настройке политики соответствия устройства или позже, изменив политику. Добавьте дополнительные действия в каждую политику в соответствии с вашими потребностями. Помните, что каждая политика соответствия автоматически включает действие по умолчанию в случае несоответствия, которое помечает устройства как несоответствующие с расписанием на нулевые дни.

Чтобы использовать политики соответствия устройств для блокировки доступа устройств к корпоративным ресурсам, настройте условный доступ Microsoft Entra. Инструкции см. в разделе Условный доступ в Microsoft Entra ID.

Рекомендации по созданию политики соответствия устройств для конкретных платформ см. в следующих статьях:

• Android
• Android (AOSP)
• Рабочие профили Android
• iOS
• macOS
• Windows

Создание шаблона уведомлений

Чтобы отправлять электронные письма пользователям, создайте шаблон уведомления и свяжите его с политикой соответствия требованиям в качестве действия в случае несоответствия. Если устройство не соответствует требованиям, сведения, введенные в шаблоне, отображаются в сообщении электронной почты, отправляемом пользователям.

Шаблон уведомления может включать несколько сообщений, каждое для определенного языка. Если указать несколько сообщений и языковых стандартов, конечные пользователи, не соответствующие требованиям, получат соответствующее локализованное сообщение на основе предпочтительного языка Microsoft 365.

Добавьте переменные в сообщение, чтобы создать персонализированное письмо с динамическим содержимым. В таблице ниже описаны переменные, которые можно использовать в строке темы и тексте сообщения.

Создание шаблона

1. Войдите в Центр администрирования Microsoft Intune.

2. Выберите Безопасность конечной точки>Соответствие устройства>Уведомления>Создать уведомление.

3. В разделе "Основы" введите понятное имя шаблона, чтобы его было легче найти. Нажмите кнопку Далее.

4. В разделе "Параметры колонтитулов" добавьте сведения о компании и логотип.

   

   Доступны следующие параметры:

   • Заголовок Email — показать логотип компании (по умолчанию = включить) — отправьте логотип, чтобы добавить фирменную символику вашей организации в шаблоны сообщений электронной почты. Дополнительные сведения о фирменной символике корпоративного портала см. в разделе Настройка фирменной символики организации.
   • Нижний колонтитул Email — показать название компании (по умолчанию = включить) — включите этот параметр, чтобы показать название компании в сообщении электронной почты. Просмотр зарегистрированного названия компании см. в разделе "Значение клиента ".
   • Нижний колонтитул в Email — показать контактные данные (по умолчанию = Включить) — включите этот параметр, чтобы отобразить в сообщении электронной почты контактные данные вашей организации, такие как имя, номер телефона и адрес электронной почты. Просмотр контактных данных записи см. в разделе "Значение клиента ".
   • Нижний колонтитул Email - Показать ссылку на веб-сайт корпоративного портала (по умолчанию = Отключить) - Включите этот параметр, чтобы включить ссылку на веб-сайт Корпоративного портала в сообщение электронной почты. См. Значение клиента , чтобы просмотреть ссылку на веб-сайт, отображаемую пользователям.

   Нажмите кнопку Далее, чтобы продолжить.

5. В шаблонах уведомлений настройте одно или несколько сообщений. Для каждого сообщения укажите перечисленные ниже значения.

   • Языковой стандарт: выберите язык, соответствующий языковому стандарту пользователя устройства.
   • Тема: добавьте тему сообщения. Вы можете ввести до 78 символов.
   • Редактор необработанных HTML: включите редактор HTML, чтобы получить предложения при добавлении форматирования HTML и ссылок в сообщение. С помощью атрибута href можно добавить ссылку (URL-адрес HTTPS). Поддерживаемые теги HTML включают: <a>, <strong>, <b>, <th><thead><td><tr><tbody><table><code><p><ul><br><u><ol><li>. Вам не обязательно использовать редактор HTML, и вы можете добавить поддерживаемый HTML-код, не включая его.
   • Сообщение: создайте сообщение с объяснением причины несоответствия. Вы можете ввести не более 2000 символов.

   Чтобы создать шаблон с динамическим содержимым, вставьте маркер поддерживаемой переменной в строку темы или сообщение. Список поддерживаемых переменных см. в таблице в разделе "Создание шаблона уведомления сообщения" в этой статье.

   Важно!

   Убедитесь, что в тексте сообщения используются только теги и атрибуты HTML, поддерживаемые Intune. Intune отправляет сообщения, содержащие другие типы тегов, элементов или стилей в виде обычного текста вместо формата HTML. Это условие включает сообщения, которые содержат:

   • CSS
   • Теги и атрибуты, не перечисленные в этой статье

   Примечание.

   Intune преобразует символы новой строки в <br> стиле Windows HTML, но игнорирует все другие типы символов новой строки, включая символы для macOS и Linux. Чтобы разрывы строк отображались правильно в шаблонах, рекомендуется использовать <br> тег для обозначения конца строки.

6. Установите флажок По умолчанию для одного из сообщений. Intune отправляет сообщение по умолчанию пользователям, которые не установили предпочитаемый язык или если шаблон не содержит конкретное сообщение для их языкового стандарта. Сообщением по умолчанию можно назначить только одно сообщение. Чтобы удалить сообщение, нажмите кнопку с многоточием (...), а затем щелкните Удалить.

   Нажмите кнопку Далее, чтобы продолжить.

7. В разделе "Теги области" выберите теги, чтобы ограничить видимость этого сообщения и управление им определенными группами администраторов Intune, такими как US-NC IT Team или JohnGlenn_ITDepartment. Дополнительные сведения о тегах области см. в разделе Использование RBAC и тегов области для распределенных ИТ-групп.

   Нажмите кнопку Далее, чтобы продолжить.

8. В разделе "Просмотр + создание" проверьте конфигурации, чтобы убедиться, что шаблон сообщения уведомления готов к использованию. Чтобы завершить создание уведомления, выберите Создать.

Просмотр и изменение уведомлений

Вы можете просмотреть созданные вами уведомления вразделе "Уведомления"политик> соответствия. На этой странице выберите уведомление, чтобы просмотреть его конфигурацию и:

• Выберите "Отправить предварительное электронное письмо", чтобы отправить предварительный просмотр уведомления по электронной почте в учетную запись, которую вы использовали для входа в Intune.

  Для успешной отправки письма с предварительной версией ваша учетная запись должна иметь разрешения, соответствующие разрешениям следующих групп Microsoft Entra или ролей Intune: Администратор Intune (также известный как администратор службы Intune) или Диспетчер политик и профилей.

• Выбрать Правка для параметра Основные или Теги области, чтобы внести изменения.

Добавить действия при несоответствии

Можно добавить необязательные действия при создании политики соответствия требованиям или изменении существующей политики. Действие по умолчанию с пометкой как несоответствующее добавляется автоматически и не может быть удалено, но вы можете изменить его расписание.

1. Войдите в Центр администрирования Microsoft Intune.

2. Перейдите враздел "Соответствиеустройств> требованиям".

3. Выберите политику, а затем выберите "Свойства".

   У вас еще нет политики? Создайте политику для Android, iOS, Windows или другой платформы.

   Примечание.

   Устройства, управляемые сторонними партнерами по соответствию устройств, для которых нацелены группы устройств, в настоящее время не могут получать действия по обеспечению соответствия.

4. Выберите "Действия в случае несоответствия>"Изменить.

5. Выберите действие.

   • Отправить электронное сообщение пользователям. Выберите отправку пользователям сообщения электронной почты, когда устройство не соответствует. Кроме того:

     • Выберите шаблон сообщения, созданный ранее
     • Введите любых дополнительных получателей, выбрав группы.

   • Удаленно блокировать несоответствующее устройство. Если устройство не соответствует требованиям, оно блокируется. Для разблокирования устройства пользователь должен будет ввести ПИН-код или секретный код.

   • Добавление устройства в список для удаления: если устройство не соответствует требованиям, оно добавляется в список для снятия с учета в Центре администрирования. Администратор должен явным образом удалить устройство из этого списка, прежде чем данные компании будут удалены и устройство будет удалено из системы управления Intune.

   • Отправить push-уведомление пользователю: Настройте это действие для отправки push-уведомления о несоответствии на устройство через приложение "Корпоративный портал" или "Intune" на устройстве.

6. Настройка расписания: введите количество дней (от 0 до 365) после несоответствия, через которое будет инициировано действие. При вводе 0 действие вступает в силу немедленно. После этого льготного периода вы можете применить политику условного доступа , чтобы заблокировать доступ к таким ресурсам, как электронная почта и SharePoint.

   Сведения о действии по умолчанию "Пометить устройство как несоответствующее " и о влиянии расписания на льготные периоды см. в разделе "Доступные действия в случае несоответствия".

   Например, добавьте действие "Отправить сообщение конечному пользователю " с расписанием в два дня. Если на второй день устройство по-прежнему не соответствует, отправляется сообщение электронной почты. Чтобы отправить повторное сообщение электронной почты на пятый день, добавьте второй экземпляр действия с Расписанием на пять дней.

   Дополнительные сведения о соответствии требованиям и встроенных действиях см. в статье с общими сведениями о соответствии.

7. Когда закончите, нажмите Добавить>OK, чтобы сохранить изменения.

Дальнейшие действия

Мониторинг политик.