Microsoft 365 / 使用Intune注册和管理Windows设备

Microsoft Intune 是一项云服务，用于注册组织的 PC 和移动设备，并管理其设置、安全状态和工作应用。如果您是第一次管理 Windows 设备，请先确认 许可证和注册范围，然后按照测试设备注册 → 安全设置部署 → 合规状态确认 → 应用部署 的顺序进行。本篇以 Windows 11 测试 PC 为基础，说明每个步骤中应选择什么以及在哪里查看结果。

管理中心和实操准备

通过 Microsoft Intune 管理中心 进行管理。即使以前使用的是 Microsoft Endpoint Manager 管理中心，也可以通过此地址访问。管理中心会持续更新，菜单名称和布局可能有所不同。实际操作请以文中提供的菜单路径和项目名称为准。

• 用户与许可证: 确认受管理用户是否拥有 Intune 使用权限。如果使用自动MDM（移动设备管理）注册和条件访问，也要确认 Microsoft Entra ID P1/P2 等相关功能的许可证。要部署 Office 应用程序，还需要单独的应用使用和激活权限。
• 管理员权限: 确认 Intune 角色和范围是否能够管理相关设备、策略和组。看到菜单并不代表拥有所有操作权限。
• 测试范围: 准备一台获得组织批准的测试 PC 以及测试用户和组。首先确认现有 MDM 管理状态、Windows 版本和版本类型，以及重要文件的备份和恢复方法。
• 记录: 记录设备名称、序列号、注册用户、修改的策略和组、应用前的值。不直接分配给所有用户或所有设备。

Windows 10 的常规支持已于 2025 年 10 月 14 日结束。能够注册 Intune 与操作系统的安全支持是否存在是分开的。新的练习请使用受支持的 Windows 11 环境，现有的 Windows 10 设备请单独确认更新和支持计划。注册方式和要求可在 Windows 注册指南 中查看。

选择设备注册方式

注册(Enrollment) 是将设备连接到 Intune 管理对象的过程。仅仅在 Microsoft Entra ID 中存在设备条目，并不表示 Intune 注册完成。需要在 Intune 的 设备 → 所有设备 中确认管理方式、用户及上次签入时间。

通过公司门户注册测试设备

管理员首先检查 Windows 注册限制、用户注册上限及该用户的 Intune 权限。已经由其他组织管理的电脑不要随意断开连接，应与现有管理员协商处理。不能仅仅安装公司门户应用并登录，还需要完成应用的设备设置与连接流程。

1. 在测试电脑的 Microsoft Store 中安装 公司门户（Company Portal）。
2. 打开公司门户，并使用所属组织的公司或学校帐户登录。在主页的设备设置中 下一步→连接，确认帐户后完成设置。阅读显示的组织管理提示后，返回公司门户确认完成状态。
3. 管理员在 设备 → 所有设备 中查找对应的 PC。不要只看名称，还要对比序列号、用户、操作系统和管理状态。还要确认设备是否在公司门户中显示。

如果无法查询，首先确认用户和组织帐户是否正确，并在公司门户中同步。若有错误，请记录代码和时间，然后检查许可证、注册限制、网络及重复注册。不要先重复进行重装或删除设备。各界面的流程可与 Windows 公司门户注册流程 对照。

自动注册和 Windows Autopilot

MDM（移动设备管理） 是组织管理设备设置和状态的一种方式。要设置自动注册，请在管理中心的 设备 → 注册 → Windows → 自动注册 中确认 MDM 用户范围。初期使用 部分（Some） 和试验组，并确认该用户是否具备所需的 Intune 和 Entra ID 权限。MDM使用条款URL、MDM发现URL和MDM合规性URL 在没有特殊原因时不要更改默认值。

在保存用户范围后，在测试 PC 上执行组织规定的加入·注册程序，并确认是否出现在 Intune 列表中。排除某个范围是限制未来自动注册的措施，不应视为对已注册设备进行自动取消管理的操作。有关详细设置，请参考 自动 MDM 注册配置。

Windows Autopilot 帮助在初始 Windows 设置过程中准备组织的设备配置和应用程序。传统的 Autopilot 会将设备注册到服务中，将部署配置文件分配给目标组，并准备自动注册·网络·支持版本等。它不同于在普通 PC 上安装公司门户的相同步骤。需要初始化的部署测试应在没有重要数据的独立 PC 上进行。

Windows Autopilot 与 Windows Autopilot 设备准备 是不同的部署方式。即使名称相似，也不要假设设备识别·策略·支持条件相同，应遵循组织选择的程序。

公司 Windows 设备的名称更改

设备名称应按照组织的命名规则设置，就像资产编号一样。例如，测试用 PC 可以使用如 SEOUL-TEST01 这样的可识别名称。在 Intune 中更改 Windows 名称仅适用于公司拥有的设备， Microsoft Entra 混合加入设备不支持此操作。 混合环境请使用域管理方法处理。

1. 设备 → 所有设备中选择目标 PC。对照设备名称和序列号，确保未选择其他用户的 PC。
2. 在设备的 属性 → 编辑中修改名称。旧版界面中也可能显示为 重命名 操作。
3. 按照组织命名规则输入名称，并在与用户协商重启时间后保存。如果立即重启正在操作的 PC，未保存的工作可能会中断。

在确认设备已上线并完成签入后，对照管理中心的设备操作状态与 Windows 的 设置 → 系统 → 关于。不必因为列表未立即刷新而重复相同的请求。恢复时，也请先记录之前的名称，然后以支持的方式重新更改，并进行必要的重启。管理名称、公司门户显示名称与Windows设备名称的更改行为可能不同。请查看 设备名称更改的支持范围。

通过合规策略评估安全状态

合规策略（Compliance policy）是用于评估设备是否满足组织最低条件的规则。例如，可以区分需要保护软件的设备。防病毒软件的安装和设置或 BitLocker 的启用需要与后面讲解的安全配置一起设计。以下实践是在测试组中应用防病毒要求并检查每台设备结果的流程。

1. 访问 设备 → 合规（Compliance）。之前的界面显示为合规策略。
2. 选择 创建策略。
3. 在平台上选择 Windows 10 及以上 并创建它。即使菜单名称中有 Windows 10，也会用于 Windows 11 的目标策略。
4. 在策略名称中填写目标和用途。例如指定为 TEST-Windows-Antivirus 并在说明中标明为测试策略。
5. 展开合规性设置的类别，确认评估条件。不要将练习中未涉及的项目全部改为必需。
6. 将 系统安全 → 病毒防护 设置为必需。这是一个检查组织使用的防病毒软件和 Windows 安全状态是否符合要求的测试。
7. 在不合规操作中查看标记为不合规的日程和用户通知。工作设备的宽限期和支持流程应根据组织策略设置，不要添加不必要的锁定或禁用操作。
8. 在分配中选择预先准备好的测试组。确认是用户组还是设备组，以及实际成员是谁。
9. 在审核界面再次确认条件、操作和目标后创建。
10. 在同步测试 PC 后，检查策略的设备状态和各设置状态。如果没有目标设备或处于待处理状态，则不会记录为评估完成。

预期结果是 策略到达测试设备，并显示防病毒要求条件的评估结果 。如果不符合要求，请先在设备详细信息中查看失败的设置，并调查 Windows 安全状态、策略冲突和最后签入。不要仅凭屏幕上的整体圆形图表就判定所有设备都是安全的。有多个策略的设备还需单独检查其他策略的失败情况。

标记为不合规的默认操作配置为立即执行，并且可以调整计划。但需要阻止资源访问时，应同时检查授予控制的条件访问。 了解合规策略的创建与评估 ，以及 不合规操作和宽限期 ，先进行测试，再逐步启用条件访问，避免因过早全面应用而阻止正在注册的设备。

防病毒、BitLocker、防火墙在哪里设置？

合规性策略侧重于基准评估，配置策略侧重于实际设置部署。对同一设置在多个配置配置文件和安全基准中重复管理，会使冲突原因难以查找。请明确每个策略的负责范围，并同时检查现有组策略及其他管理工具。Intune 端点安全与策略的差异已有说明。

杀毒软件

在“端点安全 → 杀毒软件 → 创建策略”中，选择支持的 Windows 平台和 Microsoft Defender Antivirus 配置文件。确认现有杀毒软件、实时防护和更新管理方式，并仅向测试组分配必要的设置。请同时检查设备的策略状态和 Windows 安全中的实际杀毒状态。使用第三方杀毒软件的 PC 不应假设与将 Microsoft Defender 作为默认杀毒软件的 PC 条件相同。请在杀毒软件策略指南中确认支持条件。

磁盘加密与 BitLocker

端点安全 → 磁盘加密中创建 Windows BitLocker 策略。请先检查TPM（受信任的平台模块）、Windows 版本、现有加密状态以及恢复密钥的存储和访问权限。不要在数据和恢复手段未准备好的设备上批量应用。在试验电脑上应用后，不仅要确认策略是否成功，还要检查实际驱动器的加密状态以及授权管理员是否可以访问恢复密钥。解除策略分配并不等同于磁盘解密，因此取消变更也需要单独规划。

防火墙和策略结果确认

端点安全 → 防火墙中管理 Windows 防火墙配置文件和规则。不要完全关闭防火墙，而应针对所需应用、端口、方向和网络配置文件进行设计。在测试组中检查业务应用、VPN 和远程支持是否正常运行，并调查设备在各策略下的错误。加密、防火墙等各配置文件的功能可以参考 端点安全策略类型。

仅允许合规设备访问连接

在 Microsoft Entra 条件访问中，如果要求设备显示为合规状态，可以使用 Intune 的评估状态来判断资源访问。条件访问并不是在 Intune 的防病毒设置界面中开启的功能。请在确认目标用户、云应用、平台和所需许可证后进行配置。

首先按照 条件访问策略的测试·例外·恢复程序，先在仅报告模式下确认预期影响，并在有限测试对象上实际检查访问情况。通过登录日志确认合规设备是否成功，非合规设备是否应用了预期的限制。如果忽略紧急访问帐户和设备注册·恢复路径而对所有用户·所有资源一次性应用，管理操作也可能会受阻。

向 Windows 部署 Microsoft 365 应用

此操作是将 Microsoft 365 Apps 部署到已注册 Intune 的测试 PC 的流程。首先确认该用户的应用许可证、现有 Office 的安装方式、32/64 位、附加功能兼容性以及安装过程中正在进行的其他操作。部署前请指导用户保存文档并关闭 Office 应用。

1. 进入应用 → 所有应用或 Windows 应用列表。
2. 选择 创建(Create)。旧版界面中该按钮可能显示为“添加”。
3. 在应用类型中选择 Microsoft 365 Apps → Windows 10 及以上。
4. 确认所选的应用类型后，点击 选择。
5. 填写应用包的名称和描述。名称应便于识别这是试验部署。
6. 设置安装应用、架构、语言和更新通道等。应根据组织的更新操作方式设置通道，并确认不会与现有部署设置冲突。
7. 在分配中选择试验组。若目的是自动安装，选择必需(Required)；若希望用户在公司门户自行选择，则选择可用(Available)，并确认支持对象和行为后再选择。
8. 在审核屏幕中确认产品、配置和目标后进行创建。确保试验设备进行签入并留出安装时间。

还应确认应使用配置设计器还是XML（可扩展标记语言）输入。按照官方说明，Microsoft 365 Apps for business版本使用XML数据配置应用套件。对于现有的MSI（Windows Installer安装包）版Office，应审查卸载设置；该设置可能影响所有现有的MSI Office应用，而不仅是这次选择安装的应用。不要未经确认就启用卸载现有应用。当前Windows版本的支持情况及详细选项，请参阅适用于Windows的Microsoft 365 Apps部署说明。

完成标准并不是显示已创建策略的消息。在应用的设备安装状态与用户安装状态中，检查测试电脑是否成功，并在PC上打开Word等目标应用，检查帐户的激活状态以及实际工作文档能否打开。如果失败，请按顺序检查错误代码、最后签入时间、Office冲突、安装中应用运行情况、网络和许可证。

在中止测试时，应先将测试组从分配对象中移除，以停止额外部署。不要假设仅通过解除分配或在Intune中删除应用条目已安装的应用会自动删除。如需要删除，请单独确认受支持的删除方法及对用户数据和业务的影响。设备初始化或停用等远程操作不作为解决策略错误的首要措施。