Присоединение к Microsoft Entra и гибридное присоединение к Microsoft Entra в ориентированных на облако конечных точках

Для многих критически важных и важных служб, включая условный доступ и единый вход Microsoft Entra, конечным точкам необходимо иметь облачное удостоверение. Для конечных точек Windows, принадлежащих организации, облачное удостоверение создается при присоединении устройства к Microsoft Entra или гибридной Microsoft Entra.

При переходе на облачные конечные точки необходимо понимать различия между устройствами, присоединенными к Microsoft Entra, и гибридными устройствами, присоединенными к Microsoft Entra:

• Присоединение к Microsoft Entra: устройства присоединены к Microsoft Entra. Они не присоединены к локальной службе AD.

  Более подробную информацию см. в разделе "Устройства, присоединенные к Microsoft Entra" (открывает другой веб-сайт Майкрософт).

• Гибридное присоединение к Microsoft Entra: устройства зарегистрированы в Microsoft Entra и присоединены к локальному домену AD.

  Дополнительные сведения см. в статье "Гибридные устройства, присоединенные к Microsoft Entra" (открывает другой веб-сайт Майкрософт).

Данная функция применяется к:

• Облачные конечные точки Windows

В этой статье описаны некоторые различия между устройствами, присоединенными к Microsoft Entra, и гибридными устройствами, присоединенными к Microsoft Entra. Обзор облачных конечных точек и их преимуществ см. в статье Что такое облачные конечные точки..

Присоединение Microsoft Entra

Когда конечная точка, например устройство с Windows, присоединена к Microsoft Entra, она устанавливает доверительные отношения с Microsoft Entra и имеет удостоверение (device-id) в Microsoft Entra. Конечная точка управляется и контролируется организацией.

Конечная точка присоединена к Microsoft Entra. Она не присоединяется к локальному домену AD.

Чтобы присоединить конечные точки Windows к Microsoft Entra, у вас есть несколько вариантов:

• Использование Windows Autopilot. Windows Autopilot помогает пользователям посредством взаимодействия Windows при первом включении (OOBE). Когда пользователи входят в свою рабочую или учебную учетную запись, конечная точка присоединяется к Microsoft Entra.

  Все устройства, зарегистрированные Windows Autopilot, автоматически считаются устройствами, принадлежащими организации. Windows Autopilot — это один из наиболее распространенных подходов к присоединению устройств организации к Microsoft Entra и управлению ими ИТ-отделом.

• Использование взаимодействия Windows при первом включении (OOBE). Когда пользователи вводят свою рабочую или учебную учетную запись на устройстве, конечная точка автоматически присоединяется к Microsoft Entra.

• Использование приложения "Параметры". На устройстве конечные пользователи открывают приложение "Параметры" (Учетные записи>Доступ к работе или учебе>Подключение) и используют свою рабочую или учебную учетную запись.

• Использование пакета подготовки Windows. Для получения дополнительных сведений перейдите по ссылке:

  • Пакеты подготовки для Windows
  • Массовое присоединение устройства Windows к Microsoft Entra и Microsoft Intune с помощью пакета подготовки — запись блога Microsoft Tech Community

Преимущества для ИТ-службы организации

• С помощью условного доступа можно разрешить или ограничить доступ к ресурсам организации, которые соответствуют или не соответствуют вашим требованиям.
• Параметры и рабочие данные свободно перемещаются в облаках, совместимых с корпоративной инфраструктурой. Личные учетные записи Майкрософт, такие как Hotmail, не используются и могут быть заблокированы.
• Использование Windows Hello для бизнеса позволяет снизить риск кражи учетных данных.

Преимущества для конечных пользователей

• Для проверки подлинности конечных пользователей с помощью Microsoft Entra и конечной точки Windows пользователям необходима рабочая или учебная учетная запись. Личные учетные записи не используются.

• Получите единый вход (SSO) для приложений Microsoft 365 и SaaS с подключением к Интернету.

• Используйте удобство и безопасность Windows Hello для бизнеса для входа в конечную точку Windows.

  При входе с Windows Hello для бизнеса пользователи автоматически используют единый вход для многих своих сетевых и локальных приложений и ресурсов.

• Параметры ОС перемещаются между всеми устройствами, присоединенными к Microsoft Entra.

  Важно!

  Конечным пользователям, работающим удаленно на устройствах, присоединенных к Microsoft Entra, не требуется VPN для входа, когда на устройстве истекает срок действия кэшированных учетных данных. На устройствах с гибридным присоединением к Microsoft Entra требуется VPN для входа в систему, когда срок действия кэшированных учетных данных истечет.

Ресурсы присоединения Microsoft Entra

• Что такое удостоверение устройства в Microsoft Entra?
• Что такое устройство, присоединенное к Microsoft Entra?
• Как работает регистрация устройств Microsoft Entra
• Планирование внедрения присоединения к Microsoft Entra
• Документация Windows Hello для бизнеса — безопасность Windows

Гибридное присоединение к Microsoft Entra

Гибридные устройства, присоединенные к Microsoft Entra, присоединяются к локальному домену AD и регистрируются в Microsoft Entra. Для этих устройств требуется сетевое подключение к локальным контроллерам домена (DC) для первоначального входа на устройства и управления устройствами.

Если устройства не могут подключиться к контроллеру домена, возможно, пользователям не удастся выполнить вход, и они могут не получать обновления политики.

Многим организациям с существующими устройствами, присоединенными к домену, требуются преимущества и функции Microsoft Entra и управления конечными точками. Если ваши устройства еще не могут быть полностью облачными, вы можете зарегистрировать эти существующие устройства в Microsoft Entra. При регистрации существующих устройств в Microsoft Entra создается удостоверение устройства, и ваши устройства гибридно присоединяются к Microsoft Entra. Они не считаются облачными конечными точками.

Если ваша организация готова и хочет стать облачной, то присоединение к Microsoft Entra (в этой статье) является правильным выбором. Существующие устройства необходимо сбросить. Дополнительные сведения и рекомендации см. в руководстве по планированию высокого уровня.

Ресурсы гибридного присоединения к Microsoft Entra

Сведения о том, как зарегистрировать в Microsoft Entra устройства, присоединенные к домену, см. в статье "Настройка гибридного присоединения к Microsoft Entra". Настройка гибридного присоединения к Microsoft Entra включает сведения для управляемых и федеративных доменов.

Какой вариант подходит для вашей организации?

Выбор варианта зависит от среды, конечных точек и целей организации. Принимая решение, учитывайте краткосрочные и долгосрочные последствия.

Рассмотрим следующие сценарии.

Сценарий	Присоединение к Microsoft Entra или гибридное присоединение к Microsoft Entra
Вы подготавливаете новые конечные точки Windows	Присоединение к Microsoft Entra Если у вас есть новые, отремонтированные или обновленные устройства с Windows, которые вы подготавливаете и регистрируете, рекомендуется присоединиться к Microsoft Entra. Windows имеет современные функции, встроенные в ОС, включая современное управление, современную проверку подлинности и другие. По умолчанию для новых и сбрасываемых конечных точек должно использоваться присоединение к Microsoft Entra. Гибридное присоединение к Microsoft Entra Вы можете использовать гибридное присоединение к Microsoft Entra для новых конечных точек, но обычно это не рекомендуется. При присоединении с помощью гибридного присоединения к Microsoft Entra вы не сможете использовать современные функции, встроенные в Windows.
У вас есть существующие, ранее подготовленные конечные точки Windows, которые гибридно присоединены к Microsoft Entra или AD	Гибридное присоединение к Microsoft Entra Если у вас есть существующие конечные точки, присоединенные к локальному домену AD (включая гибридное присоединение к Microsoft Entra), рекомендуется гибридное присоединение к Microsoft Entra. Устройства получают удостоверение облака и могут использовать облачные службы, для которых требуется облачное удостоверение. Для конечных пользователей с существующими конечными точками этот вариант оказывает минимальное влияние. Присоединение к Microsoft Entra Существующие устройства, присоединенные к локальному домену AD (включая гибридное присоединение к Microsoft Entra), необходимо сбросить, чтобы присоединиться к Microsoft Entra. Если их нельзя сбросить, значит не существует поддерживаемого пути Майкрософт, чтобы присоединиться к ним в Microsoft Entra.

Общие вопросы, ответы и сценарии

В этом разделе приведены ответы на распространенные вопросы об устройствах, присоединенных к Microsoft Entra и гибридных устройствах, присоединенных к Microsoft Entra.

Следует ли использовать гибридное присоединение к Microsoft Entra в качестве долгосрочного или конечного целевого состояния для устройств?

Нет, гибридное присоединение к Microsoft Entra не должно быть долгосрочным или конечной целью для любой организации.

Если вы не ограничены (по техническим, политическим или нормативным причинам), ваша организация должна переместиться или планирует переход на Microsoft Entra, присоединенную для ваших конечных точек Windows.

Какую стратегию следует взять на вооружение организации для переноса существующих устройств гибридного присоединения к Microsoft Entra в присоединение к Microsoft Entra?

Стратегия зависит от многих факторов, многие из которых специфичны для вашей организации.

Как правило, корпорация Майкрософт рекомендует дождаться дополнительного события. Например, вы можете перейти на присоединение к Microsoft Entra во время обновления оборудования, обновления ОС или сценария устранения неполадок устройства при наличии нового (или сброса) экземпляра Windows. Используя этот подход, вы минимизируете простои в работе пользователей и оптимизируете процесс преобразования в Microsoft Entra Join. Помните, что не существует поддерживаемого корпорацией Майкрософт процесса или способа преобразования существующего устройства из гибридного присоединения Microsoft Entra к присоединению к Microsoft Entra без сброса Windows.

На устройствах, присоединенных к гибридному присоединению к Microsoft Entra, необходимо выполнить полную очистку устройства, так как сброс Windows Autopilot не поддерживает устройства, присоединенные к гибридному присоединению к Microsoft Entra.

Чтобы перейти на Microsoft Entra Join, вы можете заблаговременно сбросить существующие устройства. Этот подход может быть более разрушительным для пользователей и требует дополнительного планирования & тестирования. Но вы можете использовать этот подход, если у вас несколько устройств или если у вас есть веское экономическое обоснование для перехода на Microsoft Entra Join.

Существует блокировщик, который не позволяет моей организации перейти на присоединение к Microsoft Entra

Возможно, существуют препятствия и проблемы, не зависящие от корпорации Майкрософт, которые могут помешать вашей организации полностью перейти на Microsoft Entra Join. Кроме того, могут обнаружиться неизвестные заранее проблемы, специфичные для вашей организации, ее конфигурации или ожиданий. Эти блокировки могут быть техническими или возникать по другим, не техническим причинам.

Помните, что переход на присоединение к Microsoft Entra не является предложением "все или ничего". Перемещение устройств в Microsoft Entra Join требует времени, даже с блокировщиками или ингибиторами либо без них.

Если вы обнаружите потенциальное препятствие, которое мешает вам использовать Microsoft Entra Join, определите область, влияние и решение. Руководство по высокоуровневому планированию для перехода на облачные конечные точки может помочь.

Могут ли конечные точки присоединения Microsoft Entra и гибридного присоединения Microsoft Entra сосуществовать в одной среде?

Да, конечные точки присоединения Microsoft Entra и гибридного присоединения Microsoft Entra могут сосуществовать в одной среде. Они не являются взаимоисключающими.

Наличие смешанной среды увеличивает сложность, затраты на обслуживание и поддержку. Но вы можете использовать гибридное присоединение к Microsoft Entra до тех пор, пока эти конечные точки не будут заменены или сброшены. Помните, что гибридное присоединение к Microsoft Entra не должно быть конечной целью вашей организации для состояния конечной точки Windows.

Могут ли пользователи систем Microsoft Entra Join получать доступ к локальным ресурсам?

Да, пользователи систем присоединения к Microsoft Entra могут получать доступ к локальным ресурсам.

Конечные точки присоединения к Microsoft Entra могут получать доступ к локальным ресурсам и могут использовать единый вход (SSO). Для получения более подробных сведений обратитесь к документу Облачные конечные точки и локальные ресурсы.

Какими состояниями присоединения устройств может управлять Intune?

Microsoft Intune, являющийся 100% облачным решением, может управлять клиентскими устройствами Windows, которые являются присоединением к Microsoft Entra или гибридным присоединением к Microsoft Entra. В Intune множество встроенных функций и параметров, которые могут управлять параметрами и функциями устройств, защищать конечные точки и делать многое другое.

В документе Высокоуровневое руководство по планированию перехода на облачные конечные точки: какие функции Intune следует знать перечислены некоторые из этих возможностей. Еще один хороший ресурс — Что такое Intune.

На конечных точках гибридного присоединения Microsoft Entra можно использовать локальные объекты групповых политик (GPO) или Intune для управления параметрами политики. Также можно использовать сочетание GPO и Intune, но такое сочетание добавляет административную нагрузку и усложняет работу. Если включить совместное управление (Intune (облако) + Configuration Manager (локальная версия)), то можно использовать некоторые функции Microsoft Entra, такие как условный доступ.

Некоторые рекомендации см. в Руководстве по развертыванию: настройка или переход к Microsoft Intune.

Какие состояния присоединения устройств необходимы для соответствия устройств требованиям и/или условного доступа?

Как гибридные конечные точки присоединения к Microsoft Entra, так и конечные точки присоединения к Microsoft Entra поддерживают политики соответствия и условный доступ при управлении Intune или совместном управлении Intune и Configuration Manager.

Существуют ли ограничения для гибридного присоединения к Microsoft Entra?

Да, существуют ограничения для гибридного присоединения к Microsoft Entra.

Эти ограничения в целом одинаковы для локальных устройств, присоединенных к домену. В частности, для конечных точек гибридного присоединения к Microsoft Entra требуется прямая видимость локального контроллера домена AD для первоначального входа и изменения паролей. Если домен не работает или недоступен, пользователям может быть заблокирован вход в их конечные точки. Если ваша организация отказывается от использования локального домена, вам также необходимо отказаться от гибридного присоединения к Microsoft Entra для ваших устройств.

Если вы используете беспарольную проверку подлинности, пользователям потребуется доступ в Интернет и прямая видимость для контроллеров домена (DC). Для проверки подлинности конечные точки гибридного присоединения к Microsoft Entra могут использовать протокол Kerberos и NTLM.

Считается ли гибридное присоединение к Microsoft Entra изначально облачным?

Нет, гибридное присоединение к Microsoft Entra не считается облачным.

Облачное решение состоит в том, чтобы Microsoft Entra присоединить ваши конечные точки. Конечные точки и их удостоверения создаются и хранятся в Microsoft Entra. Intune управляет конечными точками с помощью параметров и политик. Эти службы работают с другими облачными службами, включая Microsoft 365, Microsoft Defender XDR и другие.

Следуйте рекомендациям по облачным конечным точкам

1. Обзор. Что такое облачные конечные точки?
2. Руководство: настройка облачных конечных точек Windows с помощью Microsoft Intune
3. 🡺 Концепция: присоединение к Microsoft Entra и гибридное присоединение к Microsoft Entra (вы здесь)
4. Концепция. Ориентированные на облако конечные точки и локальные ресурсы
5. Руководство по высокоуровневому планированию
6. Известные проблемы и важные сведения