Смартсорсинг.ру

Сообщество руководителей ИТ-компаний, ИТ-подразделений и сервисных центров

Более
5500 человек являются участниками сообщества Смартсорсинг на данный момент

Войти с помощью:

Авторизация

Новым пользователям

Зачем?

Windows Intune — «свой среди чужих»

Windows Intune — «облачное» решение для организации удаленного обслуживания компьютеров и наведения порядка в ИТ инфраструктуре предприятий малого и среднего бизнеса. Он упрощает управление и повышает защищенность рабочих станций, предоставляя основной функционал достаточно сложных и дорогостоящих продуктов семейства Microsoft System Center.

Сервис состоит из единой панели администрирования, расположенной на интернет сервере Microsoft :

и приложений-агентов, устанавливаемых на рабочих станциях:

Агент запускает применение политики, инвентаризацию оборудования и инвентаризацию программного обеспечения, а затем отправляет данные в Консоль администрирования Windows Intune, используя описанную ниже процедуру.

1. Примерно через пять минут после установки агента политики выполняется применение политики и устанавливается метка.
2. Агент политики возобновляет работу через каждые 60 минут после установки метки.
3. Агент политики выполняет проверки следующих интервалов времени.
   1. 8 часов с момента последнего применения политики.
   2. 7 дней с момента последней инвентаризации программного обеспечения.
   3. 14 дней с момента последней инвентаризации оборудования.
4. Если наступило время применения политики или выполнения инвентаризации, агент политики выполняет требуемое действие и отправляет собранные сведения диспетчеру распространения программного обеспечения Windows Intune.
5. После этого диспетчер распространения программного обеспечения Windows Intune отправляет отчет в службу Windows Intune в течение приблизительно 20 минут.
6. Агент политики ожидает запуска следующего цикла. См. шаг 2.

одновременно с агентом на рабочую станцию устанавливается антивирус Windows Intune Endpoint Protection, внешне напоминающий интерфейс Windows Security Essentials и автоматически замещающий его в системе. На другие установленные антивирусы внимания не обращается. (По крайней мере, на тестовой системе Eset NOD32 остался и продолжил работать без конфликтов. Пришлось прибегнуть к ручному удалению.)

В Консоль администрирования Windows Intune задачи управления распределены по следующим рабочим областям. Управлять всеми этими рабочими областями можно практически из любого браузера, поддерживающего Microsoft Silverlight.

Компьютеры

Чтобы обеспечить простоту и гибкость управления, в в рабочей области «Компьютеры» можно создавать группы компьютеров и управлять ими. Можно организовывать группы в соответствии с потребностями организации (например, по географическому положению, отделам или характеристикам оборудования). На странице Обзор компьютеров отображаются сводки состояния оповещений, обновлений и Endpoint Protection, позволяющие быстро оценить работоспособность компьютеров организации. Сводки состояния указывают на возможные или имеющиеся проблемы, что позволяет рационально распределять время и принимать необходимые меры. В Windows Intune можно представить группы компьютеров в виде иерархической структуры, что позволяет просматривать сводки состояния для определенной группы компьютеров, а также выявлять и устранять проблемы, связанные с непосредственными членами этой группы.

Обновления

Рабочая область «Обновления» предназначена для эффективного управления обновлениями ПО для всех управляемых компьютеров в организации. Консоль администрирования Windows Intune поддерживает и предлагает оптимальные методики управления обновлениями. Управление обновлениями происходит путем настройки политик для групп компьютеров, включающих как автоматическое так и ручное утверждение различных категорий обновлений для различных типов ПО и операционных систем.

Endpoint Protection

Windows Intune Endpoint Protection позволяет повысить безопасность управляемых компьютеров организации за счет обеспечения защиты от потенциальных угроз в реальном времени, обновления определений вредоносных программ и автоматического выполнения проверок. Сводки состояния Endpoint Protection, доступные в Консоль администрирования Windows Intune, позволяют быстро идентифицировать зараженные или незащищенные компьютеры и предпринять соответствующие действия. С помощью ссылок на разделы Центра Майкрософт по защите от вредоносных программ, доступных в консоли, можно получить дополнительные сведения о вредоносных программах, обнаруженных на компьютерах организации.

Оповещения

Для быстрой оценки общей работоспособности управляемых компьютеров организации можно использовать рабочую область «Оповещения». Оповещения позволяют выявлять потенциальные или имеющиеся проблемы и принимать соответствующие меры, чтобы предотвратить или свести к минимуму негативное воздействие на бизнес-операции. Чтобы обеспечить уведомление соответствующих лиц о новых оповещениях, можно настроить правила для отправки из Windows Intune уведомлений по электронной почте о новых оповещениях определенного уровня серьезности, о всех оповещениях или оповещениях о запросах удаленной помощи указанным получателям. В этом же разделе отображаются запросы от пользователей на удаленное подключение к их компьютерам для оказания удаленной помощи.

Программное обеспечение

В рабочей области «Программное обеспечение» выводится список программ, установленных на всех клиентских компьютерах, управление которыми выполняется с помощью Windows Intune. Этот список можно сортировать по издателю, имени, количеству установок или по категории программного обеспечения. Для каждой программы в списке предусмотрена отдельная позиция. Можно также выполнять поиск конкретной программы.

Лицензии

Windows Intune распространяется по подписке. Стоимость — $11 с одного компьютера в месяц. Вам все еще кажется, что это слишком дорого для системы управления рабочей станцией, антивируса и средства инвентаризации и удаленного доступа? Тогда Microsoft приготовил Вам еще один сюрприз — все подписчики Intune получают право на апгрейд Windows 7 до самой полной Корпоративной редакции и возможность приобретения Microsoft Desktop Optimization Pack ранее доступные только подписчикам сервиса Software Assurance. По данным недавнего исследования компании IDC, внедрив Intune, за счет снижения трудозатрат IT и увеличения производительности пользователей, в среднем компании будут экономить $700 с компьютера.

Из недостатков сервиса хотелось бы отметить отсутствие поддержки серверов — клиентов и невозможность удаленного подключения к рабочей станции пользователя без запроса с его стороны (unattended connect). Но, на форуме разработчиков оба этих пожелания уже неоднократно высказывались, и разработчики обещали их принять во внимание в следующих версиях и апдейтах.

В заключении краткого обзора хотелось бы задать участникам сообщества вопрос, так как перспектива прихода Windows Intune в Россию до сих пор туманна, и, даже сотрудники Microsoft пока не могут до сих пор сказать ничего определенного, может существуют альтернативные варианты сервиса с подобным или близким функционалом?

Microsoft Intune — это поставщик MDM и MAM для устройств Microsoft Intune is an MDM and MAM provider for your devices

Microsoft Intune — это облачная служба, в которой основное внимание уделяется управлению мобильными устройствами (MDM) и управлению мобильными приложениями (MAM). Microsoft Intune is a cloud-based service that focuses on mobile device management (MDM) and mobile application management (MAM). Вы контролируете использование устройств организации, включая мобильные телефоны, планшеты и ноутбуки. You control how your organization’s devices are used, including mobile phones, tablets, and laptops. Вы также можете настроить определенные политики для управления приложениями. You can also configure specific policies to control applications. Например, вы можете запретить отправку электронных писем людям за пределами вашей организации. For example, you can prevent emails from being sent to people outside your organization. Intune также позволяет сотрудникам вашей организации использовать личные устройства для учебы или работы. Intune also allows people in your organization to use their personal devices for school or work. На личных устройствах Intune помогает обеспечить защиту данных вашей организации и может изолировать данные организации от личных данных. On personal devices, Intune helps make sure your organization data stays protected, and can isolate organization data from personal data.

Intune является компонентом решения Microsoft Enterprise Mobility + Security (EMS). Intune is part of Microsoft’s Enterprise Mobility + Security (EMS) suite. Intune интегрируется с Azure Active Directory (Azure AD), чтобы контролировать доступ для пользователей и доступ к продуктам. Intune integrates with Azure Active Directory (Azure AD) to control who has access, and what they can access. Эта служба также интегрируется с Azure Information Protection для защиты данных. It also integrates with Azure Information Protection for data protection. Ее можно использовать с набором продуктов Microsoft 365. It can be used with the Microsoft 365 suite of products. Например, вы можете развернуть на устройствах Microsoft Teams, OneNote и другие приложения Microsoft 365. For example, you can deploy Microsoft Teams, OneNote, and other Microsoft 365 apps to devices. Эта функция позволяет сотрудникам работать на всех устройствах организации, обеспечивая при этом защиту данных организации с помощью создаваемых вами политик. This feature enables people in your organization to be productive on all of their devices, while keeping your organization’s information protected with policies you create.

С помощью Intune можно выполнять следующие задачи: With Intune, you can:

• Выбрать значение «100 % облака с Intune» или совместно управляемый с помощью Configuration Manager и Intune. Choose to be 100% cloud with Intune, or be co-managed with Configuration Manager and Intune.
• Задать правила и настроить параметры на персональных и корпоративных устройствах для доступа к данным и сетям. Set rules and configure settings on personal and organization-owned devices to access data and networks.
• Выполнять развертывание и проверку подлинности приложений на устройствах — локальных и мобильных. Deploy and authenticate apps on devices — on-premises and mobile.
• Защитить сведения о компании, контролируя способ доступа к информации и совместного пользования информацией. Protect your company information by controlling the way users access and share information.
• Быть уверенным, что для устройств и приложений обеспечено соответствие требованиям к безопасности. Be sure devices and apps are compliant with your security requirements.

Управление устройствами Manage devices

В Intune вы управляете устройствами с помощью подхода, который подходит вам. In Intune, you manage devices using an approach that’s right for you. Для устройств, принадлежащих организации, может потребоваться полный контроль над устройствами, включая параметры, функции и безопасность. For organization-owned devices, you may want full control on the devices, including settings, features, and security. При таком подходе устройства и пользователи этих устройств «регистрируются» в Intune. In this approach, devices and users of these devices «enroll» in Intune. После регистрации они получат правила и параметры с помощью политик, настроенных в Intune. Once enrolled, they receive your rules and settings through policies configured in Intune. Например, можно установить требования к паролю и ПИН-коду, создать VPN-подключение, настроить защиту от угроз и многое другое. For example, you can set password and PIN requirements, create a VPN connection, set up threat protection, and more.

Для персональных или собственных устройств (BYOD) пользователи могут запретить полный доступ для администраторов организации. For personal devices, or bring-your-own devices (BYOD), users may not want their organization administrators to have full control. При использовании такого метода пользователям следует предоставить параметры. In this approach, give users options. Например, пользователи регистрируют свои устройства, если им нужен полный доступ к ресурсам организации. For example, users enroll their devices if they want full access to your organization resources. Если этим пользователям нужен доступ только к электронной почте или Microsoft Teams, то для использования этих приложений следует использовать политики защиты приложений, для которых требуется многофакторная проверка подлинности (MFA). Or, if these users only want access to email or Microsoft Teams, then use app protection policies that require multi-factor authentication (MFA) to use these apps.

Когда устройства регистрируются и управляются в Intune, администраторы могут: When devices are enrolled and managed in Intune, administrators can:

• просмотреть зарегистрированные устройства и получить сведения об инвентаризации устройств, обращающихся к ресурсам организации; See the devices enrolled, and get an inventory of devices accessing organization resources.
• настроить устройства таким образом, чтобы они соответствовали стандартам безопасности и работоспособности. Configure devices so they meet your security and health standards. Например, вы вероятно захотите заблокировать устройства со снятой защитой. For example, you probably want to block jailbroken devices.
• Отправьте сертификаты на устройства, чтобы пользователи могли легко получать доступ к сети Wi-Fi или использовать VPN для подключения к сети. Push certificates to devices so users can easily access your Wi-Fi network, or use a VPN to connect to your network.
• Просмотреть отчеты по пользователям и устройствам, которые соответствуют и не соответствуют требованиям. See reports on users and devices that are compliant, and not compliant.
• Удалить данные организации, если устройство потеряно, украдено или больше не используется. Remove organization data if a device is lost, stolen, or not used anymore.

Онлайн-ресурсы: Online resources:

Попробуйте интерактивное руководство Try the interactive guide

Интерактивное руководство Управление устройствами с помощью Microsoft Endpoint Manager описывает, как в центре администрирования Microsoft Endpoint Manager можно управлять мобильными и настольными приложениями и защищать их. The Manage devices with Microsoft Endpoint Manager interactive guide steps you through the Microsoft Endpoint Manager admin center to show you how to manage and protect mobile and desktop applications.

Управление приложениями Manage apps

Управление мобильными приложениями (MAM) в Intune предназначено для защиты данных организации на уровне приложений, включая пользовательские приложения и приложения Магазина. Mobile application management (MAM) in Intune is designed to protect organization data at the application level, including custom apps and store apps. Управление приложениями можно использовать на устройствах, принадлежащих организации, и персональных устройствах. App management can be used on organization-owned devices, and personal devices.

При управлении приложениями в Intune администраторы могут: When apps are managed in Intune, administrators can:

• Добавлять и назначать мобильные приложения группам пользователей и устройствам, включая пользователей в конкретных группах, устройств в конкретных группах и т. д. Add and assign mobile apps to user groups and devices, including users in specific groups, devices in specific groups, and more.
• Настроить приложения для запуска или выполнения с включенными специальными настройками и обновить существующие приложения на устройстве. Configure apps to start or run with specific settings enabled, and update existing apps already on the device.
• Просматривать отчеты, в которых используются приложения, и следить за их использованием. See reports on which apps are used, and track their usage.
• Выполнить выборочную очистку, удалив из приложений только данные организации. Do a selective wipe by removing only organization data from apps.

Одним из способов обеспечения безопасности мобильных приложений в Intune является политика защиты приложений . One way that Intune provides mobile app security is through app protection policies. Политики защиты приложений: App protection policies:

• Использовать удостоверение Azure AD для изоляции данных организации от персональных данных. Use Azure AD identity to isolate organization data from personal data. Так личные сведения хранятся отдельно от сведений организации. So personal information is isolated from organizational IT awareness. Для доступа к данным, использующим учетные данные организации, предоставляется дополнительная защита безопасности. Data accessed using organization credentials are given additional security protection.
• Позволяет защитить доступ к персональным устройствам, запретив действия, которые могут выполнять пользователи, такие как копирование и вставка, сохранение и просмотр. Help secure access on personal devices by restricting actions users can take, such as copy-and-paste, save, and view.
• Можно создавать и развертывать на устройствах, зарегистрированных в Intune, в другой службе MDM или не зарегистрированных в никакой из служб MDM. Can be created and deployed on devices that are enrolled in Intune, enrolled in another MDM service, or not enrolled in any MDM service. На зарегистрированных устройствах политики защиты приложений могут добавить дополнительный уровень защиты. On enrolled devices, app protection policies can add an extra layer of protection.

Например, пользователь входит на устройство с учетными данными организации. For example, a user signs in to a device with their organization credentials. Идентификатор организации позволяет получить доступ к данным, которые запрещены для их личного идентификатора. Their organization identity allows access to data that’s denied to their personal identity. При использовании данных организации политики защиты приложений контролируют их сохранение и совместное использование. As that organization data is used, app protection policies control how the data is saved and shared. Когда пользователи входят с помощью личного идентификатора, эти средства защиты не применяются. When users sign in with their personal identity, those same protections aren’t applied. Таким образом, ИТ-отдел может управлять данными организации, а пользователи сохраняют контроль над своими личными данными, которые остаются конфиденциальными. In this way, IT has control of organization data, while end users maintain control and privacy over their personal data.

Кроме того, Intune можно использовать с другими службами EMS. And, you can use Intune with the other services in EMS. Эта функция обеспечивает безопасность ваших мобильных приложений организации за пределами операционной системы и любых других приложений. This feature provides your organization mobile app security beyond what’s included with the operating system and any apps. Приложения, управляемые с помощью EMS, имеют доступ к более широкому набору мобильных приложений и функций защиты данных. Apps managed with EMS have access to a broader set of mobile app and data protection features.

Соответствие требованиям и условный доступ Compliance and conditional access

Intune интегрируется с Azure AD, чтобы поддерживать широкий набор сценариев контроля доступа. Intune integrates with Azure AD to enable a broad set of access control scenarios. Например, требуйте, чтобы перед доступом к сетевым ресурсам мобильные устройства соответствовали стандартам организации, определенным в Intune, таким как электронная почта или SharePoint. For example, require mobile devices be compliant with organization standards defined in Intune before accessing network resources, such as email or SharePoint. Аналогичным образом, вы можете заблокировать доступ к сервисам, чтобы они были доступны только для определенного набора мобильных приложений. Likewise, you can lock down services so they’re only available to a specific set of mobile apps. Например, можно разрешить доступ к Exchange Online только из Outlook или Outlook Mobile. For example, you can lock down Exchange Online so it’s only accessed by Outlook or Outlook Mobile.

Онлайн-ресурсы: Online resources:

Сведения о получении Intune How to get Intune

Intune доступна: Intune is available:

Intune используется во многих секторах, включая государственные организации, образование, киоск или специальное устройство для производства и розничной торговли и многое другое. Intune is used in many sectors, including government, education, kiosk or dedicated device for manufacturing and retail, and more.