指南 · 设备管理
用大白话讲清楚：小企业如何使用Microsoft Intune
Intune让小团队也能像大型机构一样管理笔记本电脑和手机：设备到手即已完成配置，安全设置强制生效，丢失的设备可以远程清除数据。本文介绍它的工作原理、不同设备适合哪种注册方式，以及小企业通常在哪些地方容易出错。
- 发布日期
- 阅读约需8分钟
本页内容
要点速览
- Intune是Microsoft的云服务，用于管理Windows、macOS、iOS/iPadOS和Android设备及其上的应用。
- 按设备类型和所有权选择注册方式：公司的Windows电脑用Autopilot，公司的Apple设备用Apple自动设备注册，个人手机则使用无需注册的应用保护。
- 合规策略定义什么样的设备算“健康”；条件访问则把这一定义转化为是否允许访问的决定。
- 应用保护策略让员工可以用个人手机处理工作邮件和文件，同时让公司数据保持独立、可单独清除。
- Microsoft 365 Business Premium以及企业版E3和E5都包含Intune Plan 1；Business Basic和Business Standard不包含。
- 规划好推广步骤：先建策略，再小范围试点，最后强制执行，并跟踪每年需要续期的Apple证书和令牌。
Intune究竟能做什么
Microsoft Intune是一项基于云的终端管理服务。它结合了移动设备管理（MDM，由机构管理整台设备）和移动应用管理（MAM，只管理公司应用及其中的数据）。由于Intune与Microsoft Entra ID相互关联，在决定是否允许某次Microsoft 365登录时，可以把设备状态纳入考量。
对小企业来说，实际好处非常具体。新笔记本电脑可以直接寄给员工，员工首次登录时自动完成配置。BitLocker或FileVault加密强制启用，恢复密钥集中保存。Windows更新按您控制的计划进行。必需的应用自动安装。员工离职或手机落在出租车上时，IT可以远程删除公司数据。所有这些都记录在同一个控制台中，而不是只存在于当初配置每台电脑的那个人的记忆里。
选择合适的注册方式
注册是让设备纳入Intune管理的过程。合适的方式取决于设备平台以及设备归谁所有。
Windows Autopilot（公司的Windows电脑）
设备的硬件哈希值会注册到您的租户，通常由经销商在您购买时完成。电脑首次开机时会加入Microsoft Entra ID、注册到Intune，并应用您的应用和设置。Autopilot还可以在不重装系统的情况下，把现有设备重置为可供业务使用的状态。
加入Entra并自动注册
对于现有的Windows电脑，在已配置MDM自动注册的情况下把设备加入Entra ID，即可将其纳入管理。这是迁移原本在本地配置的电脑时常用的路径。
Apple自动设备注册
通过Apple Business Manager购买的公司自有iPhone、iPad和Mac可以分配给Intune，在设置过程中自动注册，而且用户无法自行移除管理。
Android Enterprise
公司自有的Android手机采用完全托管注册。员工个人的Android手机可以使用工作资料（work profile），把工作应用和数据放在独立的容器中。
无需注册的应用保护
对于员工不希望整台设备被管理的个人手机，应用保护策略可以在不注册设备的情况下保护Outlook、Teams、OneDrive及其他受支持的应用。
合规策略与条件访问
合规策略是一组规则，设备必须满足这些规则才算“健康”。Windows常见的规则包括：必须启用BitLocker和安全启动、操作系统不低于某个版本、防火墙处于开启状态、实时防病毒正在运行；如果您使用Microsoft Defender for Business或Defender for Endpoint，还可以要求设备风险评分不高于某个阈值。手机常见的规则包括：必须设置设备密码、系统不低于某个版本，以及阻止已越狱或已获取root权限的设备。
合规策略本身只会产生一个状态，真正起控制作用的是条件访问：它可以要求只有合规设备才能访问Microsoft 365。正是这种组合，让被盗的密码无法在攻击者的电脑上使用。推广时要谨慎：先设置不合规时的处理方式，例如发送通知并给予宽限期；确认设备能正确报告合规状态；用试点小组测试；最后才对所有人强制执行条件访问策略。应急（break-glass）账户要始终排除在外。
用应用保护策略管理员工自带设备
许多小企业允许员工用自己的手机查看电子邮件和Teams。应用保护策略能让这种做法更安全，又不需要员工交出个人设备的控制权。策略在受支持的应用内部生效，可以要求打开工作应用时输入PIN或使用生物识别，禁止把公司数据复制粘贴到个人应用，禁止把文件保存到个人存储空间，并在应用内对工作数据进行加密。
如果员工离职或手机丢失，可以执行选择性擦除，只删除这些应用中的公司数据，个人照片和消息不受影响。请将应用保护与一条条件访问策略配合使用，要求移动平台必须使用经批准的客户端应用或受应用保护策略保护的应用，这样员工就无法改用手机自带的邮件应用或浏览器登录。再写一份简短的自带设备政策，说明IT能看到什么、看不到什么；预期清楚了，大多数顾虑也就消除了。
首先要配置的内容
设备开始注册后，以下策略能为小型机构带来日常工作中的大部分价值。
- 磁盘加密：Windows使用BitLocker，macOS使用FileVault，恢复密钥托管在Intune或Entra ID中。
- Windows更新通道和功能更新策略，并设置一个小型试点通道，比其他人提前几天接收更新。
- Microsoft Defender防病毒设置、防篡改保护和攻击面减少规则；如果许可证允许，则接入Defender for Business。
- 使用Windows LAPS，为每台设备设置唯一且定期轮换的本地管理员密码，并保存在Entra ID中。
- 取消日常使用的本地管理员权限，并制定有书面记录的已批准软件安装流程。
- Microsoft 365 Apps、PDF编辑器和业务软件等必需应用由Intune统一部署，而不是手动安装。
- 针对密码、锁屏、USB和浏览器设置的安全基线或设置目录配置文件，在分配前先审查，确保适合您的环境。
用通俗的话讲许可证
Microsoft 365 Business Premium包含Intune Plan 1。该方案面向最多300名用户的机构，还包含用于条件访问的Entra ID P1以及Microsoft Defender for Business。Microsoft 365 E3和E5企业版方案同样包含Intune Plan 1，它也可以单独购买。Microsoft 365 Business Basic和Business Standard不包含Intune，只提供一项功能较有限的内置移动设备与安全功能，只适合简单场景。
Microsoft还销售Intune附加组件，例如远程协助和高级终端分析，有些机构在规模扩大后会觉得它们很有用。许可证名称和组合会不时调整，因此在围绕某项具体功能规划部署之前，请先向您的许可证供应商确认当前包含的内容。
避免意外的推广计划
清点并做决定
按平台和所有权列出所有设备，决定哪些完全托管、哪些只使用应用保护，并确认许可证。
准备租户
设置自动注册、Apple MDM推送证书、Apple Business Manager令牌（如有）、Android Enterprise绑定以及设备注册限制。
建立策略并试点
创建合规、配置和应用策略，然后分配给一个由几位来自不同岗位、愿意配合的用户组成的试点小组。出现问题就及时修正。
全员注册
分批把其余设备纳入管理，并清楚告知员工会有哪些变化，以及如何获得帮助。
强制执行并持续维护
为合规设备启用条件访问，每周检查不合规的设备，并在日历上标注Apple推送证书和注册令牌的年度续期，因为证书一旦过期，所有Apple设备的管理都会中断。
我们常见的错误
在设备尚未正确报告状态之前就强制执行合规要求；未经测试就套用完整的安全基线；用员工个人的Apple ID创建Apple推送证书，结果员工离职时一起带走；让员工保留本地管理员权限，导致策略被悄悄撤销。只要做好试点和文档记录，这些错误都可以避免。
常见问题
Intune除了Windows电脑，也能管理Mac吗？
可以。Intune可以管理macOS设备，包括配置文件、FileVault加密、应用部署和合规检查。通过Apple Business Manager购买的公司自有Mac可以在设置过程中自动注册。
如果我在手机上使用应用保护，IT能看到我的个人照片或消息吗？
不能。应用保护策略只作用于受支持工作应用中的公司数据。IT可以看到应用和设备的相关信息，例如系统版本，也可以删除公司数据，但无法读取个人内容。
使用Intune一定要用Windows Autopilot吗？
不一定。Autopilot能让新Windows电脑的部署快得多，但现有设备可以通过加入Entra并自动注册的方式纳入管理。许多小企业是在更换硬件时逐步采用Autopilot的。
小企业推广Intune需要多长时间？
这取决于设备数量、平台种类，以及有多少现有配置需要理清。稳妥的推广会在强制执行前安排一段试点期，因此应按周而不是按天来规划。
和我们一起规划Intune推广
我们可以审查您的设备和许可证，设计注册和合规策略，并在任何策略强制执行之前先与您的团队一起试点。