Microsoft 365 · 设备管理
服务类别: Microsoft 365笔记本电脑和手机自动完成配置，并持续保持合规
借助 Microsoft Intune 和 Windows Autopilot，新笔记本电脑可以直接寄给员工，员工登录后电脑会自动安装您的应用、安全设置和策略。我们为 Windows、macOS、iOS 和 Android 设计、部署并维护这套配置。
概览
- 服务内容
- 为公司设备和个人设备设计、部署并持续管理 Microsoft Intune 和 Windows Autopilot
- 适合对象
- 员工约5至200人、拥有远程、混合办公或多地点员工、使用 Windows、Mac 和移动设备的加拿大机构
- 核心内容
- 注册方式、合规与配置策略、Autopilot 配置文件、应用部署、更新通道、BYOD 应用保护以及设备报告（以服务范围为准）
- 许可证说明
- Intune Plan 1 包含在 Microsoft 365 Business Premium 以及企业版 E3 和 E5 套餐中；许可证需另行购买，除非已写入您的方案
- 默认不含
- 硬件采购、设备实物维修、超出约定范围的业务应用打包以及许可证采购
- 计价方式
- 部署按项目报价；持续管理按每用户或每设备计费，以书面报价确认
Intune 管理包括哪些内容
Microsoft Intune 是微软用于管理设备和应用的云服务。它取代了过去在办公室给笔记本电脑装系统镜像、再加入本地域的做法。无论设备身在何处，策略、应用、更新和安全设置都通过互联网下发；Microsoft Entra ID 还可以根据设备的合规状态决定它能否访问公司数据。
我们的 Intune 服务既包括初始搭建，也包括持续维护。部署阶段，我们选择注册方式，设计合规和配置策略，设置 Windows Autopilot，打包您的标准应用，并按试点组逐步推广。部署完成后，我们维护策略、审批新应用、关注更新合规情况，并随着微软平台的变化进行调整。
Intune 是我们更广泛的设备管理服务的一部分，后者还涵盖不通过微软管理的设备。本页专门介绍 Intune 和 Autopilot。
Intune 能解决的设备问题
新笔记本电脑要花好几天才能配好
需要有人逐台拆箱、手动安装应用、记住正确的设置，而远程入职的员工还得等设备一来一回地寄送。
不知道哪些设备已加密或已更新
没有可靠的设备清单来显示 BitLocker 或 FileVault 状态、操作系统版本，或者更新是否已经安装。
个人手机里存着公司邮件
员工在个人设备上查看邮件，既不要求设置 PIN 码，手机丢失或员工离职时也无法删除其中的公司数据。
丢一台笔记本电脑就成了数据事件
如果无法远程锁定、擦除，也拿不出加密证据，设备被盗后您就无法确定有哪些信息可能外泄。
我们设置和维护的内容
Windows Autopilot
由供应商或我们注册设备，通过部署配置文件将设备加入 Entra ID，并在首次登录时的开箱体验中自动安装应用和策略。
合规策略
针对加密、最低操作系统版本、防火墙、防病毒和密码要求制定规则，并与条件访问关联，阻止不合规设备访问公司数据。
配置文件
将安全基线、BitLocker 和 FileVault、Wi-Fi 和 VPN 配置、浏览器设置以及 OneDrive 已知文件夹移动统一下发到每台设备。
应用部署
自动部署 Microsoft 365 Apps、常用业务工具和应用商店应用，并通过公司门户（Company Portal）提供必装和可选应用。
更新管理
在已获许可时使用 Windows 更新通道或 Windows Autopatch，控制功能更新和驱动程序策略，并强制执行 macOS 和移动操作系统更新。
BYOD 应用保护
通过应用保护策略保护个人手机上的 Outlook、Teams 和 OneDrive，无需注册整台设备；员工离职时可进行选择性擦除。
包含哪些内容，哪些需要单独确定范围
通常包含
- 为公司的 Windows、macOS、iOS 和 Android 设备设计注册方式
- Windows Autopilot 配置文件和设备注册支持
- 为 Mac 和 iPhone 集成 Apple Business Manager 和自动设备注册
- 合规策略及其与条件访问的关联
- 配置文件和安全基线
- 部署约定的标准应用
- 更新通道和合规报告
- 针对个人移动设备的应用保护策略
需单独确定范围或报价
- 硬件采购和实物维修
- 超出约定清单的复杂业务应用打包
- Intune 许可证采购，除非已写入您的方案
- 从其他 MDM 平台迁移，除非作为项目报价
- 大规模的企业级 Configuration Manager 协同管理
平台和工具
- Microsoft Intune 管理中心
- Windows Autopilot 和 Windows Autopatch
- Windows 11 和 Windows 10 商业版本
- macOS，配合 Apple Business Manager 和自动设备注册
- iOS 和 iPadOS，Android Enterprise 工作资料和完全托管设备
- Intune 应用保护策略（MAM）和公司门户（Company Portal）
- 通过 Intune 接入 Microsoft Defender for Business 或 Defender for Endpoint
- Microsoft Entra ID 条件访问中的设备合规要求
适合哪些机构
远程和混合办公团队
直接把笔记本电脑寄给加拿大各地员工、需要在员工不到办公室的情况下完成设备配置的机构。
Business Premium 订阅用户
已通过 Business Premium 为 Intune 付费、却尚未部署的公司。
允许员工自带手机的企业
允许员工用个人手机收发邮件和使用 Teams、需要保护公司数据但不想管理员工个人设备的企业。
您将获得什么
- 新员工拿到自动配置好的笔记本电脑就能开始工作
- 每台已注册设备都有加密、更新状态和合规情况的证据
- 可以从丢失的设备或离职员工的手机上删除公司数据
- 统一的安全设置，而不是每台机器各自配置
- 在已获许可时，只有您信任的设备才能访问 Microsoft 365
Intune 部署如何进行
设备摸底
我们盘点设备、归属情况、操作系统、现有管理工具以及各团队所需的应用。
方案设计
我们商定注册方式、策略组合、应用清单、更新方式和 BYOD 规则，并形成文档供您批准。
试点
一小组用户先行注册，其中包括一台全新的 Autopilot 设备，以便我们完善策略和用户指引。
推广
现有设备分批注册，覆盖完成后再启用条件访问的合规要求。
持续管理
我们维护策略、部署应用更新、审查合规报告，并根据平台变化进行调整。
合作方式
部署项目和持续管理均以书面报价确认。
Intune 部署项目
有明确范围的项目，负责设计并推广 Intune 和 Autopilot，结束时移交文档。
Intune 持续管理
作为 Microsoft 365 托管服务或托管IT服务套餐的一部分提供持续管理。
先做终端评估
终端安全评估会在部署前审查您当前的设备安全状况。
常见问题
使用 Intune 必须有 Business Premium 吗？
Business Premium 以及企业版 E3 和 E5 套餐都包含 Intune，也可以单独购买 Intune 许可证。Business Basic 和 Business Standard 不包含 Intune。
Intune 能否在不控制整台设备的情况下管理个人手机？
可以。应用保护策略只保护 Outlook、Teams 和 OneDrive 中的公司数据，并支持选择性擦除，无需注册设备，也不会看到设备上的个人内容。
现有的笔记本电脑能用 Autopilot 吗？
可以。现有的 Windows 设备可以注册到 Autopilot，通常在重置或重新分配时进行。新设备可以在采购时由供应商完成注册。
Intune 支持 Mac 吗？
支持。Mac 可以通过 Apple Business Manager 注册以实现自动设置，并使用配置文件、FileVault、应用部署和合规策略。
包含防病毒软件吗？
Intune 负责部署安全设置并报告其状态。终端防护本身来自 Microsoft Defender for Business 或其他产品，我们可以通过 Intune 完成接入。
规划您的 Intune 和 Autopilot 推广
告诉我们您的设备情况和团队的工作方式。我们会确定部署范围，并以书面报价确认价格。