Что за программа intune

Windows Intune может быть первой основанной на «облаке» службой, принятой бизнесом. Intune предоставляет простое управление и систему безопасности для настольных компьютеров. Перечислим 10 преимуществ этой службы

10. Цена. Intune обладает пользовательским модулем, но продается как служба. В настоящее время цена Intune составляет 11 долл. за компьютер в месяц. Для предприятий малого и среднего бизнеса цена может показаться несколько завышенной, однако в нее входит также лицензия на обновление до версии Windows 7 Enterprise.

9. Компоненты. В состав Intune входит клиентский агент и административная консоль. Административная консоль использует интернет-технологии и требует наличия Silverlight 3.0. Клиентский агент позволяет управлять рабочими столами настольных компьютеров; он поставляется в виде файла.msi, который имеет сертификат, делающий клиентский агент уникальным для каждого пользователя.

Агент можно загрузить с сайта Intune и распространить через Group Policy.

What is Microsoft Intune | Microsoft Intune Architecture | What is MDM and MAM

8. Защита от вредоносных программ. Клиент Intune пользуется тем же движком Microsoft Malware Protection Engine, который поставляется с профессиональным продуктом Microsoft Security Essentials (MSE). Механизм защиты от вредоносных программ в Intune предохраняет от вирусов и шпионского программного обеспечения и использует те же самые определения и описания вредоносных программ, что и MSE.

7. Централизованное выполнение обновлений. Подобно Windows Server Update Services (WSUS), Intune может распространять обновления программного обеспечения для Windows и приложений Microsoft. В отличие от служб WSUS, которые работают внутри сетевой инфраструктуры, Intune поставляет свои обновления из «облака» (то есть из Интернета). Intune поддерживает правила авторазвертывания, пользовательскую установку и извещения об установленных обновлениях.

6. Централизованно управляемая безопасность. Хотя Intune не интегрируется с Active Directory, администраторы могут использовать ее для распространения политик безопасности на всех компьютерах, управляемых Intune. Служба Intune позволяет администраторам контролировать обновления, настройки сетевого экрана и политики защиты клиентской системы. Если эти компьютеры управляются Active Directory, настройки Group Policy из Active Directory будут иметь приоритет.

5. Дистанционная помощь. Intune предоставляет дистанционную помощь. Значок на рабочем столе клиента Intune позволяет пользователю создать запрос на дистанционную помощь и посылает оповещение на административную консоль Intune. Эти запросы также можно отправить по электронной почте.

Затем администратор может ответить на запрос, что реализуется как сессия Microsoft Easy Assist, где администратор может общаться, пересылать файлы или работать с компьютером совместно с конечным пользователем.

4. Ведение инвентарной описи. Админи­стратив­ная консоль Intune позволяет видеть базовую аппаратную конфигурацию каждого управляемого компьютера и установленное программное обеспечение. Сканирование инвентарной описи позволяет администраторам находить неразрешенные и нелицензированные приложения. Если кого-то это беспокоит, Microsoft не может получить доступ к отчетам Intune.

Введение в Microsoft Intune

3. Отчеты. Intune подготавливает отчеты об обновлениях, программах и лицензиях. Каждый из отчетов разрешает настраивать критерии фильтрации и составления отчетов.

Отчет Updates показывает статус развернутых исправлений и обновлений; отчет Software перечисляет установленные приложения; отчет Licenses сравнивает развернутое программное обеспечение с текущими лицензионными соглашениями. Отчеты можно экспортировать в файлы HTML или CSV для импорта в Microsoft Excel.

2. Мониторинг компьютера. Одним из основных преимуществ, которое предоставляет Windows Intune, является возможность контроля состояния управляемых Intune компьютеров. Intune использует агент Microsoft System Center Operations Manager 2007 R2 совместно с агентом Windows Intune Monitoring.

Агент Ops Manager готовит отчеты о состоянии аппаратного и программного обеспечения, а агент Intune Monitoring — отчеты о статусе самих агентов Intune. Уведомления посылаются на административную консоль Intune.

1. Управление несколькими учетными записями. Поскольку служба Intune базируется в «облаке», у нее нет ограничений на количество мест контроля. Intune Multi-Account Console предоставляет краткий обзор текущего состояния нескольких учетных записей пользователей. Intune Multi-Account Console — очень удобная функция для консультантов, работающих с разными компаниями.

Данная функция позволяет фильтровать учетные записи, основываясь на их статусе, и углубляться внутрь каждой учетной записи.

Источник: www.osp.ru

Microsoft Intune безопасно управляет удостоверениями, приложениями и устройствами

По мере того как организации переходят на поддержку гибридных и удаленных сотрудников, они сталкиваются с проблемой управления различными устройствами, которые обращаются к ресурсам организации. Сотрудники и учащиеся должны сотрудничать, работать из любого места, а также безопасно получать доступ к этим ресурсам и подключаться к ним. Администраторам необходимо защищать данные организации, управлять доступом конечных пользователей и поддерживать пользователей, где бы они ни работали.

Для решения этих задач и задач используйте Microsoft Intune.

Microsoft Intune — это облачное решение для управления конечными точками. Он управляет доступом пользователей и упрощает управление приложениями и устройствами на многих устройствах, включая мобильные устройства, настольные компьютеры и виртуальные конечные точки.

Вы можете защитить доступ и данные на личных устройствах, принадлежащих организации и пользователей. Кроме того, Intune имеет функции соответствия требованиям и отчетности, поддерживающие модель безопасности «Никому не доверяй».

В этой статье перечислены некоторые функции и преимущества Microsoft Intune.

• Чтобы получить Intune, перейдите в раздел Лицензии, доступные для Microsoft Intune и Intune 30-дневную пробную версию.
• Дополнительные сведения о том, что значит быть облачным, см . в статье Дополнительные сведения о конечных точках, ориентированных на облако.

Основные функции и преимущества

Ниже перечислены некоторые ключевые функции и преимущества Intune:

• Вы можете управлять пользователями и устройствами, включая устройства, принадлежащие вашей организации, и личные устройства. Microsoft Intune поддерживает Android, Android Open Source Project (AOSP), iOS/iPadOS, macOS и клиентские устройства Windows. С помощью Intune эти устройства можно использовать для безопасного доступа к ресурсам организации с помощью создаваемых вами политик. Дополнительные сведения см. в статьях:

• Управление удостоверениями с помощью Microsoft Intune
• Управление устройствами с помощью Microsoft Intune

При управлении локальной средой Windows Server можно использовать Configuration Manager.

Интеграция с другими службами и приложениями Майкрософт

Microsoft Intune интегрируется с другими продуктами и службами Майкрософт, которые ориентированы на управление конечными точками, в том числе:

• Configuration Manager для локального управления конечными точками и Windows Server, включая развертывание обновлений программного обеспечения и управление центрами обработки данных Вы можете использовать Intune и Configuration Manager вместе в сценарии совместного управления, использовать подключение клиента или использовать оба варианта. С помощью этих параметров вы получите преимущества веб-центра администрирования и сможете использовать другие облачные функции, доступные в Intune. Дополнительные сведения см. по следующему разделу:

• Что такое совместное управление
• Часто задаваемые вопросы о совместном управлении
• Включение подключения клиента

• Обзор Windows Autopilot
• Развертывание Windows Autopilot для существующих устройств

• Что такое аналитика конечных точек
• Регистрация устройств Intune в аналитике конечных точек

• Добавление Приложения Microsoft 365 на устройства Windows 10/11 с Microsoft Intune
• Документация По Microsoft 365: управление устройствами с помощью Intune

• Обеспечение соответствия требованиям в Microsoft Defender для конечной точки с помощью условного доступа в Intune
• Настройка Microsoft Defender для конечной точки в Intune

• Что такое автоматическое исправление Windows?
• Часто задаваемые вопросы о автоматическом исправлении Windows

Интеграция со сторонними партнерскими устройствами и приложениями

Центр администрирования Intune упрощает подключение к различным партнерским службам, в том числе:

• Управляемый Google Play. При подключении к управляемой учетной записи Google Play администраторы могут получить доступ к частному магазину вашей организации для приложений Android и развернуть эти приложения на ваших устройствах. Дополнительные сведения см. в статье Добавление управляемых приложений Google Play на устройства Android Enterprise с помощью Intune.
• Токены и сертификаты Apple. При их добавлении устройства iOS/iPadOS и macOS могут регистрироваться в Intune и получать политики от Intune. Администраторы могут получить доступ к приобретенным корпоративным лицензиям приложений iOS/iPad и macOS, а также развернуть эти приложения на ваших устройствах. Дополнительные сведения см. в статьях:

• Получите сертификат Apple MDM Push Certificate
• Автоматическая регистрация устройств iOS/iPadOS в рамках программы автоматической регистрации устройств Apple
• Управление приложениями iOS и macOS, приобретенными через Apple Business Manager, с помощью Microsoft Intune

С помощью этих служб Intune:

• Предоставляет администраторам упрощенный доступ к службам приложений сторонних партнеров.
• Может управлять сотнями сторонних партнерских приложений.
• Поддерживает приложения общедоступного розничного магазина, бизнес-приложения (LOB), частные приложения, недоступные в общедоступном магазине, пользовательские приложения и многое другое.

Дополнительные требования к платформе для регистрации устройств сторонних партнеров в Intune см. по следующим причинам:

• Руководство по развертыванию: регистрация устройств Android в Microsoft Intune
• Руководство по развертыванию. Регистрация устройств iOS и iPadOS в Microsoft Intune
• Руководство по развертыванию. Регистрация устройств Linux в Microsoft Intune
• Руководство по развертыванию. Регистрация устройств macOS в Microsoft Intune

Регистрация в управлении устройствами, управление приложениями или и то, и другое

Устройства, принадлежащие организации, регистрируются в Intune для управления мобильными устройствами (MDM). MDM ориентирована на устройства, поэтому функции устройств настраиваются в зависимости от того, кому они нужны. Например, вы можете настроить устройство так, чтобы разрешить доступ к Wi-Fi, но только в том случае, если вошедшего пользователя является учетной записью организации.

В Intune вы создаете политики, которые настраивают параметры компонентов защиту. Устройства полностью управляются вашей организацией, включая удостоверения пользователей, которые входят в систему, установленные приложения и данные, к которым осуществляется доступ.

При регистрации устройств вы можете развернуть политики во время процесса регистрации. После завершения регистрации устройство будет готово к использованию.

Для личных устройств в сценариях использования собственных устройств (BYOD) можно использовать Intune для управления мобильными приложениями (MAM). MAM ориентирован на пользователей, поэтому данные приложения защищены независимо от устройства, используемого для доступа к этим данным. Основное внимание уделяется приложениям, включая безопасный доступ к приложениям и защиту данных в приложениях.

С помощью MAM вы можете:

• Публикация мобильных приложений для пользователей.
• Настройка приложений и автоматическое обновление приложений.
• Просмотр отчетов о данных, посвященных инвентаризации приложений и их использованию.

Вы также можете использовать MDM и MAM вместе. Если ваши устройства зарегистрированы и есть приложения, которым требуется дополнительная безопасность, вы также можете использовать политики защиты приложений MAM.

Дополнительные сведения см. в статьях:

• Что такое регистрация устройств в Intune?
• Обзор политик защиты приложений
• Создание и назначение политик защиты приложений

Защита данных на любом устройстве

С помощью Intune можно защитить данные на управляемых устройствах (зарегистрированных в Intune) и на неуправляемых устройствах (не зарегистрированных в Intune). Intune могут изолировать данные организации от персональных данных. Идея заключается в том, чтобы защитить информацию о компании, контролируя способ доступа пользователей к информации и совместного доступа к ней.

Для устройств, принадлежащих организации, требуется полный контроль над устройствами, особенно безопасность. Когда устройства регистрируются, они получают ваши правила и параметры безопасности.

На устройствах, зарегистрированных в Intune, вы можете:

• Создавайте и развертывайте политики, которые настраивают параметры безопасности, устанавливают требования к паролям, развертывают сертификаты и т. д.
• Используйте мобильные службы защиты от угроз для сканирования устройств, обнаружения угроз и устранения угроз.
• Просматривайте данные и отчеты, которые измеряют соответствие параметрам безопасности и правилам.
• Используйте условный доступ, чтобы разрешить доступ к ресурсам, приложениям и данным организации только управляемым и соответствующим устройствам.
• Удалите данные организации в случае потери или кражи устройства.

Для личных устройств пользователи могут не захотеть, чтобы их ИТ-администраторы имели полный контроль. Чтобы обеспечить поддержку гибридной рабочей среды, предоставьте пользователям варианты. Например, пользователи регистрируют свои устройства, если им нужен полный доступ к ресурсам организации. Если эти пользователи хотят получить доступ только к Outlook или Microsoft Teams, используйте политики защиты приложений, требующие многофакторной проверки подлинности (MFA).

На устройствах, использующих управление приложениями, можно:

• Используйте мобильные службы защиты от угроз для защиты данных приложений путем сканирования устройств, обнаружения угроз и оценки риска.
• Запретить копирование и вставку данных организации в личные приложения.
• Используйте политики защиты приложений в приложениях и на неуправляемых устройствах, зарегистрированных в стороннем или партнерском MDM.
• Используйте условный доступ, чтобы ограничить приложения, которые могут получать доступ к электронной почте и файлам организации.
• Удалите данные организации в приложениях.

Дополнительные сведения см. в статьях:

• Защита данных и устройств с помощью Microsoft Intune
• Интеграция Mobile Threat Defense с Intune

Упрощение доступа

Intune помогает организациям поддерживать сотрудников, которые могут работать из любого места. Существуют функции, которые можно настроить, которые позволяют пользователям подключаться к организации, где бы они ни находились.

В этом разделе содержатся некоторые общие функции, которые можно настроить в Intune.

Использование Windows Hello для бизнеса вместо паролей

Windows Hello для бизнеса помогает защититься от фишинговых атак и других угроз безопасности. Это также помогает пользователям быстрее и проще выполнять вход в свои устройства и приложения.

Windows Hello для бизнеса заменяет пароли с помощью ПИН-кода или биометрии, например отпечатков пальцев, распознавания лиц. Эти биометрические данные хранятся локально на устройствах и никогда не отправляются на внешние устройства или серверы.

Дополнительные сведения см. в статьях:

• Общие сведения о Windows Hello для бизнеса
• Управление Windows Hello для бизнеса на устройствах при регистрации в Intune
• Управление удостоверениями с помощью Microsoft Intune

Создание VPN-подключения для удаленных пользователей

Политики VPN предоставляют пользователям безопасный удаленный доступ к сети организации.

С помощью общих партнеров VPN-подключений, включая Check Point, Cisco, Microsoft Tunnel, NetMotion, Pulse Secure и т. д., вы можете создать политику VPN с параметрами сети. Когда политика будет готова, вы развернете ее для пользователей и устройств, которым необходимо удаленно подключиться к сети.

В политике VPN можно использовать сертификаты для проверки подлинности VPN-подключения. При использовании сертификатов пользователям не нужно вводить имена пользователей и пароли.

Дополнительные сведения см. в статьях:

• Создание профилей VPN для подключения к VPN-серверам в Intune
• Использование сертификатов для проверки подлинности в Microsoft Intune
• Microsoft Tunnel для Microsoft Intune

Создание подключения Wi-Fi для локальных пользователей

Для пользователей, которым необходимо подключиться к локальной сети организации, можно создать политику Wi-Fi с параметрами сети. Вы можете подключиться к определенному SSID, выбрать метод проверки подлинности, использовать прокси-сервер и многое другое. Вы также можете настроить политику для автоматического подключения к Wi-Fi, когда устройство находится в зоне действия.

В политике Wi-Fi можно использовать сертификаты для проверки подлинности Wi-Fi подключения. При использовании сертификатов пользователям не нужно вводить имена пользователей и пароли.

Когда политика будет готова, вы развернете ее для локальных пользователей и устройств, которым необходимо подключиться к локальной сети.

Дополнительные сведения см. в статьях:

• Создание политики Wi-Fi для подключения к Wi-Fi сетям в Intune
• Использование сертификатов для проверки подлинности в Microsoft Intune

Включение единого входа в приложениях и службах

При включении единого входа пользователи могут автоматически входить в приложения и службы с помощью учетной записи Azure AD организации, включая некоторые мобильные партнерские приложения для защиты от угроз.

Это означает следующее:

• На устройствах с Windows единый вход автоматически встроен и используется для входа в приложения и веб-сайты, использующие Azure AD для проверки подлинности, включая приложения Microsoft 365. Вы также можете включить единый вход в VPN и политики Wi-Fi.
• На устройствах iOS/iPadOS и macOS вы можете использовать подключаемый модуль единого входа Microsoft Enterprise для автоматического входа в приложения и веб-сайты, использующие Azure Active Directory (AD) для проверки подлинности, включая приложения Microsoft 365.
• На устройствах Android вы можете использовать библиотеку проверки подлинности Майкрософт (MSAL) для включения единого входа в приложения Android. Дополнительные сведения см. в статьях:

• Как работает единый вход для локальных ресурсов на устройствах, присоединенных к Azure AD
• Используйте подключаемый модуль единого входа Microsoft Enterprise на устройствах iOS, iPadOS и macOS в Microsoft Intune
• Включение единого входа между приложениями в Android с помощью MSAL

Дальнейшие действия

• Управление удостоверениями с помощью Microsoft Intune
• Управление устройствами с помощью Microsoft Intune
• Управление приложениями с помощью Microsoft Intune

Источник: learn.microsoft.com

Управление мобильными устройствами с помощью Microsoft Intune

Хотите позволить сотрудникам использовать личный ноутбук, планшет, телефон в качестве рабочего — запросто! Но как защитить, разделить персональную информацию от рабочей? А как же быть с приложениями? Нужно настроить все устройства согласно политикам компании? А если кто-то потеряет свое устройство с важной рабочей информацией?

Давайте узнаем ответы на эти и другие вопросы.

Сотрудники могут использую свое личное устройство на работе в личных целях, если политики компании это позволяют. Так почему бы не разрешить им использовать личное устройство и для рабочих задач?

«Возьми Свое Собственное Устройство на работу» — именно так звучит концепция BYOD (Bring Your Own Device). Тенденция BYOD снимает границы между частной жизнью и работой. Для ИТ-специалистов лучше контролировать ситуацию, а не бороться с ней административными способами.Разрешение использовать собственные устройства — это еще и инструмент повышения лояльности сотрудников, что важно для любой компании.

Желание сотрудников работать удаленно очевидно. Есть масса специалистов, которые не только хотят, но и могут работать удаленно. Для этого нужно иметь определенный уровень самоконтроля, но это вполне реально.

Однако, несмотря на неоспоримые плюсы, внедрение BYOD ассоциируется с проблемами безопасности и управляемости. Есть вероятность утери, кражи устройства, заражения зловредом. Но если разобраться, то преимущества BYOD для бизнеса существенно перевешивают недостатки.

Сегодня на рынке масса крупных и мелких компаний предоставляющих сервис MDM (Mobile Device Management).

Список существующих решений

Microsoft Intune
AirWatch by VMWare
Citrix XenMobile
BlackBerry Enterprise Service
SAP Afaria
Symantec Mobile Management
Good Technology
MaaS360 by Fiberlink
Dell Mobile Management
MobileIron
Centrify
FileWave
LANDESK
MobiControl
Sophos Mobile Control
Excitor MobiControl
Amtel
Tangoe Matrix Mobility
Kaseya BYOD
Absolute Manage
BoxTone
SOTI
FAMOC

Много кто пытался создавать, продвигать свое решение, но не все «выжили».

Перейдем к Intune. Доступно много теоретической информации, обзоров про Intune от Microsoft. Вкратце это облачная служба для управления мобильными устройствами на базе Windows, iOS, Android а так же компьютерами c ОС Windows.
Есть несколько конфигураций использования Intune. Я выделил две основные:

1. Автономная — Intune
2. Гибридная — Intune + SCCM 2012 или Intune + SCCM 2012 + Azure

Весь процесс управления можно разделить на 5 основных шагов:

Для регистрации необходимо установить приложение «Company Portal» на устройстве пользователя.
Ссылки на приложение

Чтобы облегчить администраторам общение с пользователями Microsoft предоставляет список ссылок, данная информация поможет им при регистрации устройств в Intune и выполнения различных задач на устройствах после регистрации.

После того как пользователь установил приложение и залогинился его устройство будет зарегистрировано.

Скриншоты шагов регистрации

• Приложения — список всех доступных пользователю приложений
• Мои Устройства — список устройств пользователя (максимум 5)
• Обратится в отдел ИТ — контактная информация для связи с ИТ отделом

После того как устройство зарегистрировано, им можно управлять.
Все зарегистрированные устройства и пользователи добавляются в соответствующие ветки в панели управления вкладки «Groups».
Администратор может группировать устройства (device group) и пользователей (user group) по доступным критериям или напрямую задавать членство в группе для дальнейшего распространения управления ими, аналогично коллекциям в SCCM 2012.

Развертывание приложений

• Установщик — указываем файл установки для приложения которое нужно развернуть. Например, APK для Android
• Внешняя ссылка — указываем ссылку на страницу приложения в магазине приложений. Например, Microsoft Store для Windows Mobile

Добавление приложения — установщик

Выбираем установочный файл:

Заполняем описание:

Задаем требования к версии операционной системы:

Приложение добавлено в список приложений в панели управления:

Добавление приложения — внешняя ссылка

Указываем ссылку на приложение в маркете:

Заполняем описание:

После того как приложение добавлено и доступно в списке приложений осталось лишь развернуть его на устройствах пользователей. Выбрав в контекстом меню «Manage Deployment. » назначаем приложение на группу пользователей или группу устройств.

Доступны следующие опции:

• Принудительная установка
• Доступная установка
• Удаление

На пользовательском устройстве появится приложение назначенное на соответствующую группу.

Пример отображения на различных устройствах

Android:

Windows Mobile:

Windows 10

iOS:

Настройка

• Параметры оборудования, такие как разрешение на использование Bluetooth, NFC.
• Параметры пароля, включая длину и качество пароля
• Параметры шифрования
• Настройки браузера, например запрет на сохранение cookie, блокировка jscript
• Разрешенные и запрещенные приложения
• Политики соответствия требованиям, например версия ОС

Например, политика запрещающая использовать камеру

При запуске камеры пользователь будет уведомлен:

Хотя Intune предоставляет широкий спектр параметров для настройки устройств, может возникнуть ситуация, когда требуемый параметр недоступен. Во многих случаях эту проблему можно решить с помощью настраиваемой политики, которая позволяет настраивать параметры OMA-URI — это общий стандарт для настройки мобильных устройств, чтобы задать необходимые значения.

Развертывание настроек происходит аналогичным образом как и развертывание приложений.

Мониторинг

После развертывания приложений и политик администратор следит за статусом на соответствующих вкладках.

На вкладке »Dashboard» отображается общий статус всех компонентов

Более детальная информация о статусе приложений отображается на вкладке »APPS»

Кликнув по приложению мы увидим детали:

Администратор будет уведомлен о наличии проблем в Intune при помощи оповещения.
Оповещения позволяют отслеживать, что происходит в Microsoft Intune. Например, на компьютере обнаружена вредоносная программа или обнаружен конфликт между двумя политиками Intune.

На вкладке с устройствами доступен очень полезный список фильтров, с помощью которого можно найти устройства с различным статусом.

Список фильтров

Защита

В случае потери сотрудником мобильного устройства или его кражи можно удалить корпоративные данные и приложения с устройства, можно также выполнить полную очистку. При необходимости возможен сброс секретного кода или удаленная блокировка устройства.

Все достаточно просто: находим имя пользователя, выбираем из его устройств нужное, и в контекстом меню выбираем необходимое действие:

В качестве заключения хотелось бы отметить зрелость продукта, ведь еще каких-то пару лет назад Intune был сыроват для корпоративного использования. На сегодняшний день это один из немногих стабильных решений с полноценной поддержкой и обновлениями. Кроме того он интегрируется с SCCM что немаловажно для больших корпораций.

Источник: habr.com