مقاله · مدیریت دستگاهها
Microsoft Intune برای کسبوکارهای کوچک، به زبان ساده و بدون اصطلاحات پیچیده
Intune به یک تیم کوچک امکان می‌دهد لپ‌تاپ‌ها و گوشی‌ها را همان‌طور مدیریت کند که سازمان‌های بزرگ مدیریت می‌کنند: دستگاهها پیکربندی‌شده تحویل میشوند، تنظیمات امنیتی اعمال می‌شود و سختافزار گم‌شده را میتوان پاک کرد. در این مقاله توضیح می‌دهیم Intune چگونه کار میکند، کدام روش ثبت برای کدام دستگاه مناسب است و کسبوکارهای کوچک معمولاً کجا اشتباه می‌کنند.
- تاریخ انتشار
- ۸ دقیقه مطالعه
در این صفحه
نکات کلیدی
- Intune سرویس ابری مایکروسافت برای مدیریت دستگاههای Windows، macOS، iOS/iPadOS و Android و برنامههای روی آن‌هاست.
- برای هر نوع دستگاه و مدل مالکیت یک روش ثبت انتخاب کنید: Autopilot برای رایانههای ویندوزی شرکت، ثبت خودکار اپل برای دستگاههای اپل شرکت و محافظت از برنامهها بدون ثبت برای گوشی‌های شخصی.
- سیاستهای انطباق تعریف می‌کنند دستگاه سالم چه ویژگی‌هایی دارد؛ دسترسی مشروط این تعریف را به تصمیم درباره دسترسی تبدیل میکند.
- سیاستهای محافظت از برنامه به کارکنان اجازه می‌دهند از گوشی شخصی برای ایمیل و فایل‌های کاری استفاده کنند، در حالی که دادههای شرکت جدا و قابل پاک‌کردن می‌مانند.
- طرح Intune Plan 1 در Microsoft 365 Business Premium و طرح‌های سازمانی E3 و E5 گنجانده شده است؛ Business Basic و Business Standard آن را ندارند.
- استقرار را برنامهریزی کنید: سیاست‌ها را بسازید، با چند کاربر آزمایش کنید، سپس اجباری کنید و تمدید سالانه گواهی و توکن اپل را پیگیری کنید.
Intune در عمل چه کاری انجام می‌دهد
Microsoft Intune یک سرویس ابری مدیریت نقاط پایانی است. این سرویس مدیریت دستگاه موبایل (MDM)، که در آن سازمان کل دستگاه را مدیریت میکند، را با مدیریت برنامه موبایل (MAM)، که در آن فقط برنامههای شرکت و دادههای درون آن‌ها مدیریت می‌شود، ترکیب میکند. چون Intune به Microsoft Entra ID متصل است، وضعیت دستگاه میتواند در تصمیم‌گیری درباره اجازه ورود به Microsoft 365 به کار رود.
برای یک کسبوکار کوچک، فایده‌های عملی کاملاً ملموس است. یک لپ‌تاپ جدید را میتوان مستقیماً برای کارمند فرستاد و با نخستین ورود، خودش را پیکربندی کند. رمزگذاری BitLocker یا FileVault اجباری می‌شود و کلید بازیابی به‌صورت متمرکز ذخیره می‌شود. به‌روزرسانی‌های Windows طبق زمان‌بندی‌ای که شما تعیین می‌کنید انجام می‌شود. برنامههای لازم خودکار نصب میشوند. وقتی کسی سازمان را ترک میکند یا گوشی‌اش در تاکسی جا می‌ماند، واحد فناوری اطلاعات میتواند دادههای شرکت را از راه دور حذف کند. و همه این‌ها در یک کنسول مستند می‌شود، نه در حافظه کسی که هر دستگاه را راهاندازی کرده است.
انتخاب روش مناسب برای ثبت دستگاه
ثبت (enrolment) فرایندی است که دستگاه را تحت مدیریت Intune قرار می‌دهد. روش مناسب به سکو و به مالک دستگاه بستگی دارد.
روش Windows Autopilot (رایانههای ویندوزی شرکت)
شناسه سخت‌افزاری دستگاهها، معمولاً توسط فروشنده در زمان خرید، در تنت شما ثبت می‌شود. رایانه در نخستین روشن‌شدن به Microsoft Entra ID می‌پیوندد، در Intune ثبت می‌شود و برنامهها و تنظیمات شما را اعمال میکند. Autopilot همچنین میتواند دستگاه موجود را بدون نصب مجدد ایمیج، به وضعیت آماده کار بازنشانی کند.
پیوستن به Entra با ثبت خودکار
برای رایانههای ویندوزی موجود، پیوستن دستگاه به Entra ID در حالی که ثبت خودکار MDM پیکربندی شده، آن را تحت مدیریت قرار می‌دهد. این مسیر رایجی برای انتقال دستگاه‌هایی است که به‌صورت محلی راهاندازی شدهاند.
ثبت خودکار دستگاههای اپل
آیفون، آیپد و مکهای متعلق به شرکت که از طریق Apple Business Manager خریداری شدهاند را میتوان به Intune اختصاص داد تا هنگام راهاندازی خودکار ثبت شوند، با مدیریتی که کاربر نمیتواند آن را حذف کند.
ثبت با Android Enterprise
گوشی‌های اندرویدی متعلق به شرکت از ثبت «کاملاً مدیریت‌شده» استفاده می‌کنند. گوشی‌های اندرویدی شخصی میتوانند از «نمایه کاری» (work profile) استفاده کنند که برنامهها و دادههای کاری را در محفظه‌ای جداگانه نگه می‌دارد.
محافظت از برنامهها بدون ثبت دستگاه
برای گوشی‌های شخصی که کارکنان نمی‌خواهند کل دستگاهشان مدیریت شود، سیاستهای محافظت از برنامه، Outlook، Teams، OneDrive و دیگر برنامههای پشتیبانیشده را بدون ثبت دستگاه امن می‌کنند.
سیاستهای انطباق و دسترسی مشروط
سیاست انطباق (compliance policy) مجموعه قواعدی است که دستگاه باید رعایت کند تا سالم شناخته شود. قواعد معمول برای Windows شامل الزام BitLocker، Secure Boot، حداقل نسخه سیستمعامل، فایروال فعال، آنتی‌ویروس بلادرنگ و، اگر از Microsoft Defender for Business یا Defender for Endpoint استفاده می‌کنید، امتیاز ریسک دستگاه در حد یا پایین‌تر از یک آستانه است. برای گوشی‌ها، قواعد رایج شامل رمز عبور دستگاه، حداقل نسخه سیستمعامل و مسدود کردن دستگاههای جیلبریک‌شده یا روت‌شده است.
انطباق به‌تنهایی فقط یک وضعیت تولید میکند. کنترل واقعی از دسترسی مشروط می‌آید که میتواند پیش از اعطای دسترسی به Microsoft 365، دستگاه سازگار را الزامی کند. همین ترکیب است که مانع استفاده از گذرواژه دزدیده‌شده روی رایانه مهاجم می‌شود. آن را با دقت اجرا کنید: برای عدم انطباق اقداماتی مانند اعلان و مهلت تعیین کنید، مطمئن شوید دستگاهها وضعیت سازگار را گزارش می‌دهند، با یک گروه آزمایشی امتحان کنید و تنها پس از آن سیاست دسترسی مشروط را برای همه اجباری کنید. حساب‌های دسترسی اضطراری را مستثنا نگه دارید.
استفاده از دستگاه شخصی (BYOD) با سیاستهای محافظت از برنامه
بسیاری از کسبوکارهای کوچک اجازه می‌دهند کارکنان ایمیل و Teams را روی گوشی شخصی خود بخوانند. سیاستهای محافظت از برنامه این کار را امن‌تر می‌کنند، بدون اینکه از کارکنان بخواهند کنترل دستگاه شخصی‌شان را واگذار کنند. این سیاست درون برنامههای پشتیبانیشده اعمال می‌شود و میتواند برای باز کردن برنامههای کاری PIN یا اثر انگشت بخواهد، کپی و چسباندن دادههای شرکت در برنامههای شخصی را مسدود کند، از ذخیره فایل در فضای ذخیره‌سازی شخصی جلوگیری کند و دادههای کاری را درون برنامه رمزگذاری کند.
اگر کارمند سازمان را ترک کند یا گوشی گم شود، پاک‌سازی انتخابی (selective wipe) دادههای شرکت را از آن برنامهها حذف میکند و عکسها و پیامهای شخصی دست‌نخورده می‌مانند. محافظت از برنامه را با یک سیاست دسترسی مشروط همراه کنید که روی سکوهای موبایل، برنامه کلاینت تأییدشده یا سیاست محافظت از برنامه را الزامی کند تا کارکنان نتوانند به‌سادگی از طریق برنامه ایمیل پیش‌فرض گوشی یا مرورگر وارد شوند. یک سیاست کوتاه BYOD بنویسید که توضیح دهد واحد فناوری اطلاعات چه چیزهایی را میتواند و نمیتواند ببیند، چون انتظارات روشن جلوی بیشتر مخالفت‌ها را می‌گیرد.
ابتدا چه چیزهایی را پیکربندی کنیم
وقتی دستگاهها در حال ثبت شدن هستند، این سیاست‌ها بیشترین ارزش روزمره را برای یک سازمان کوچک ایجاد می‌کنند.
- رمزگذاری دیسک با BitLocker در Windows و FileVault در macOS، با نگهداری کلیدهای بازیابی در Intune یا Entra ID.
- حلقه‌های به‌روزرسانی Windows و سیاستهای به‌روزرسانی ویژگی‌ها، با یک حلقه آزمایشی کوچک که چند روز زودتر از بقیه به‌روزرسانی‌ها را دریافت میکند.
- تنظیمات Microsoft Defender Antivirus، محافظت در برابر دستکاری و قواعد کاهش سطح حمله، یا اتصال به Defender for Business در صورت داشتن لایسنس.
- استفاده از Windows LAPS تا هر دستگاه گذرواژه مدیر محلی یکتا و چرخشی داشته باشد که در Entra ID ذخیره می‌شود.
- حذف دسترسی مدیر محلی روزمره، همراه با فرایندی مستند برای نصب نرم‌افزارهای تأییدشده.
- برنامههای لازم مانند Microsoft 365 Apps، ویرایشگر PDF و نرم‌افزارهای تخصصی کسبوکار که از طریق Intune استقرار می‌یابند، نه با نصب دستی.
- مبناهای امنیتی (security baselines) یا نمایههای Settings Catalog برای گذرواژه، قفل صفحه، USB و مرورگر، که پیش از اختصاص بازبینی میشوند تا با محیط شما سازگار باشند.
لایسنس‌ها به زبان ساده
طرح Intune Plan 1 در Microsoft 365 Business Premium گنجانده شده است؛ طرحی که برای سازمان‌هایی با حداکثر ۳۰۰ کاربر طراحی شده و Entra ID P1 برای دسترسی مشروط و Microsoft Defender for Business را نیز در بر دارد. این طرح همچنین در طرح‌های سازمانی Microsoft 365 E3 و E5 وجود دارد و به‌تنهایی هم قابل خرید است. Microsoft 365 Business Basic و Business Standard شامل Intune نیستند؛ آن‌ها قابلیت داخلی محدودتری برای امنیت و مدیریت موبایل دارند که فقط برای سناریوهای ساده مناسب است.
مایکروسافت افزونه‌هایی برای Intune نیز می‌فروشد، مانند Remote Help و تحلیل پیشرفته نقاط پایانی، که برخی سازمان‌ها با رشد خود آن‌ها را مفید می‌یابند. نام‌ها و بسته‌های لایسنس هر از گاهی تغییر می‌کنند، پس پیش از آنکه استقرار را حول یک قابلیت خاص برنامهریزی کنید، موارد گنجانده‌شده فعلی را با تأمین‌کننده لایسنس خود تأیید کنید.
برنامه استقراری که از غافلگیری جلوگیری میکند
فهرست‌برداری و تصمیم‌گیری
دستگاهها را بر اساس سکو و مالکیت فهرست کنید، تصمیم بگیرید کدام‌ها کاملاً مدیریت شوند و کدام‌ها فقط از محافظت برنامه استفاده کنند و لایسنس‌ها را تأیید کنید.
آمادهسازی تنت
ثبت خودکار، گواهی Apple MDM Push، توکن Apple Business Manager (اگر دارید)، اتصال Android Enterprise و محدودیت‌های ثبت دستگاه را تنظیم کنید.
ساخت و آزمایش
سیاستهای انطباق، پیکربندی و برنامه را بسازید، سپس آن‌ها را به یک گروه آزمایشی از چند کاربر داوطلب در نقش‌های مختلف اختصاص دهید. هر چه خراب شد را اصلاح کنید.
ثبت همه دستگاهها
دستگاههای باقی‌مانده را در دسته‌هایی تحت مدیریت ببرید و به‌روشنی به کارکنان بگویید چه چیزی تغییر میکند و چگونه کمک بگیرند.
اجبار و نگهداری
دسترسی مشروط برای دستگاههای سازگار را فعال کنید، دستگاههای ناسازگار را هر هفته بازبینی کنید و تمدید سالانه گواهی Apple Push و توکن‌های ثبت را در تقویم بگذارید، چون یک گواهی منقضی‌شده مدیریت همه دستگاههای اپل را مختل میکند.
اشتباهات رایجی که می‌بینیم
اجباری کردن انطباق دستگاه پیش از آنکه دستگاهها به‌درستی گزارش دهند، اعمال یک مبنای امنیتی کامل بدون آزمایش، ساختن گواهی Apple Push با Apple ID شخصی که با رفتن کارمند از دست می‌رود، و باقی گذاشتن دسترسی مدیر محلی برای کارکنان به‌طوری که سیاست‌ها بی‌سروصدا خنثی شوند. از همه این‌ها میتوان با یک دوره آزمایشی و مستندسازی پرهیز کرد.
پرسش‌های متداول
آیا Intune میتواند علاوه بر رایانههای ویندوزی، مکها را هم مدیریت کند؟
بله. Intune دستگاههای macOS را مدیریت میکند، از جمله نمایههای پیکربندی، رمزگذاری FileVault، استقرار برنامهها و انطباق. مکهای متعلق به شرکت که از طریق Apple Business Manager خریداری شدهاند میتوانند هنگام راهاندازی خودکار ثبت شوند.
اگر روی گوشیام از محافظت برنامه استفاده کنم، آیا واحد فناوری اطلاعات عکسها یا پیامهای شخصیام را میبیند؟
خیر. سیاستهای محافظت از برنامه فقط بر دادههای شرکت درون برنامههای کاری پشتیبانیشده اعمال میشوند. واحد فناوری اطلاعات میتواند اطلاعاتی درباره برنامه و دستگاه، مانند نسخه سیستمعامل، ببیند و دادههای شرکت را حذف کند، اما نمیتواند محتوای شخصی را بخواند.
آیا برای استفاده از Intune به Windows Autopilot نیاز داریم؟
خیر. Autopilot آمادهسازی رایانههای ویندوزی جدید را بسیار سریعتر میکند، اما دستگاههای موجود را میتوان از طریق پیوستن به Entra با ثبت خودکار ثبت کرد. بسیاری از کسبوکارهای کوچک همزمان با تعویض سختافزار به Autopilot روی میآورند.
استقرار Intune برای یک کسبوکار کوچک چقدر زمان میبرد؟
به تعداد دستگاهها، سکوها و میزان پیکربندی موجودی که باید سامان داده شود بستگی دارد. یک استقرار دقیق پیش از اجبار، یک دوره آزمایشی دارد؛ پس آن را بر حسب هفته برنامهریزی کنید، نه روز.
استقرار Intune را با ما برنامهریزی کنید
می‌توانیم دستگاهها و لایسنس‌های شما را بررسی کنیم، سیاستهای ثبت و انطباق را طراحی کنیم و پیش از اجباری شدن هر چیزی، آن‌ها را با تیم شما آزمایش کنیم.