Настройка MDM Intune - Azure AD
Содержание лекции: Настройка MDM Intune - Azure AD
Расшифровка лекции: Настройка MDM Intune - Azure AD
Полный текст первых минут лекции «Настройка MDM Intune - Azure AD» из видеокурса PracticU – субтитры с временной меткой для каждого абзаца. Так можно прочитать и найти нужные темы ещё до начала обучения.
Добро пожаловать на лекцию про MDM в компьютерах, который часть от Azure AD, часть от нашего домейна в облаке. У нас есть 4 варианта. У нас может быть компьютер в Azure AD без MDM, может быть компьютер в Azure AD с MDM.
Я вам напоминаю, что Azure AD это центральное хранилище пользователей в облаке. И там сохранены все имена и пароли наших пользователей, и он может реплицироваться, копироваться на локальной Active Directory.
А может быть ситуация, в которой мы не хотим, чтобы наш пользователь был в облаке, потому что это мой личный девайс. Я принес свой личный девайс на работу, свой личный телефон, свой личный лэптоп на работу, и хочу только подключиться к корпоративной информации.
Потому что я временный работник или я хочу работать с моим личным компьютером. Это называется Bring Your Own Device. И этот сценарий мы уже видели и рассматривали на предыдущей лекции.
И этот Bring Your Own Device, когда мой личный Windows, мой личный пользователь подключается в рабочее облако, тоже может быть с MDM и без MDM. MDM это управление самим девайсом.
Что значит управление самим девайсом? Это значит, что мы устанавливаем что-то на этот девайс, программы, требуем security, например, пароль определенной длины, мы обновляем Windows, то есть MDM управляет самим девайсом, Mobile Device Management, управляет телефонами, Windows, iPhone, все это называется MDM.
Мне лично это очень напоминает Group Policy в Active Directory. Я вообще-то называю MDM Group Policy в облаке или SCCM в облаке.
System Center Server в облаке или Group Policy в облаке. Это MDM управляет самим девайсом. Давайте сейчас посмотрим, как мы можем этот компьютер подключить в Azure AD.
То есть, чтобы пользователь с облака мог логиниться, входить в этот компьютер, и любой пользователь с нашего облака, с нашего центрального хранилища мог логиниться в этот компьютер, заходить и работать на нем, не имея локального юзера, не имея локальной учетной записи.
И это в отличие от Bring Your Own Device. В Bring Your Own Device BYOD в этом сценарии только локальные пользователи конкретного девайса могут в него входить.
Пользователи с облака центрального хранилища не могут логиниться в мой личный девайс. В этом принципиальная разница. Мы сейчас не будем рассматривать Bring Your Own Device, потому что это делали мы на предыдущей лекции.
Мы сейчас добавим компьютер в Azure AD без MDM и с MDM. И все будем делать вручную. И я вам покажу, как это все сделать и автоматически.
То есть мы можем автоматизировать любой компьютер, который будет добавлен в Azure AD, автоматом будет присоединен в MDM. Но этот MDM стоит денег. Этот Intune, который управляет девайсами, стоит отдельных денег, отдельных лицензий.
Если я хочу сэкономить денег, я могу установить все программы вручную на этом компьютере и не управлять им централизованно, но позволить всем своим пользователям логиниться в этот компьютер и вести учетные записи в облаке.
Мы идем в новый контроль панел, в Settings и делаем Connect. Заметьте, здесь нам надо прописать email адрес или нажать в Azure Active Directory. Разница очень большая.
Если я нажимаю внизу в присоединение в Active Directory, то тогда пользователи с центрального хранилища в облаке или в локальной Active Directory, то есть локальный Active Directory это то, что я сам установил этот сервер Active Directory у себя внутри организации, или этот Active Directory будет в облаке, то тогда они смогут логиниться на этот компьютер.
Это то, что мы сейчас будем делать. Я вам напоминаю, что если вы здесь напишите свой email, вы не будете частью домейна. Это и есть сценарий bring your own device.
То есть вот сюда написать свой email, вот в это поле, он просто сохранит мою учетную запись облака, мое имя и пароль локально. Это как в браузере сохранить имя и пароль на какой-то сайт.
Этот компьютер не будет частью центрального управления. И это то, что мы делали в Bring Your Own Device, мы сюда вписывали email.
Это эквивалент сохранению имени и пароля внутри браузера, не более того. Просто вместо того, чтобы сохранить это в браузере, мы сохраняем свое имя и пароль внутри Windows.
А если мы присоединяемся в Active Directory, то это уже совершенно другая история. Потому что мы даем право всем учетным записей нашей организации, всем пользователям нашей организации, всем заходить в этот компьютер.
Я вам сейчас покажу два варианта, как подсоединиться в этот Active Directory и автоматически зайти в MDM или не заходить. Видите, у нас внутри Azure Active Directory есть два варианта.
Мы можем включить вот этот вот MDM Auto Enrollment, то есть автоматический вход в MDM во время присоединения этого компьютера, видите, Active Directory.
Здесь прямо написано MDM Auto Enrollment будет происходить во время входа в Active Directory. Я могу всех подсоединить, я могу подсоединить только отдельную группу пользователей.
И почему отдельную группу? Потому что у меня не хватает лицензий на всех. Управлять девайсами это отдельная программа. Этот Intune стоит денег, эта лицензия стоит денег.
Если я хочу, я могу внутри Active Directory автоматом подключать всех в Intune, а могу этого не делать. Мы сейчас настроили автоматическое подключение.
Я его скоро отключу обратно, потому что я хочу вам все показать, как делается в ручном режиме. Но в принципе, знайте, что в большинство организаций это включено.
То есть все, кто входит в домейн, также присоединяются к центральному управлению девайсами, самими устройствами. Еще раз я подчеркиваю, что Active Directory в Ажуре – это в основном управление пользователями.
А управление девайсами это Intune, это отдельная лицензия. То есть там разделили групп полисей и пользователей. Я все отключил. Видите, отключил автоматический enrollment для того, чтобы сделать его ручками.
Мы идем сначала в виртуалку, которую мы хотим подсоединить в MDM в Azure AD без MDM. Я делаю Connect в контроль панели. Еще раз я подчеркиваю, не записывать email наверху, а нажать на эту кнопку Join, присоединиться в Active Directory в Ажуре.
Мы должны пройти авторизацию. Любой пользователь, кстати, имеет право подключать компьютеры в домейн. Мы это можем изменить в настройках в Active Directory в Ажуре.
Я подсоединяюсь специально простым пользователем, не администратором, только чтобы вам показать, что это действительно так работает. И у меня есть защита.
Two-Factor Authentication требует занести пароль пользователя с моего телефона. У меня на телефоне сейчас есть код, который надо сюда занести. И раз в минуту он меняется.
Это на тот случай, если мое имя и мой пароль кто-то украдет, но он не сможет украсть мой телефон, который мне каждую минуту меняет имя и пароль.
То есть этот одноразовый токен такой у меня на телефоне, который раз в минуту меняется. Это называется two-factor authentication и про это у нас была отдельная лекция.
Сейчас мы видим, что у меня есть предупреждение, хочу ли я действительно присоединиться в этот домейн. Он спрашивает, это действительно та организация, в которую ты хочешь зайти?
И говорит, что аккаунт AlexW, с которым я логинился, станет локальным администратором на этом конкретном компьютере. Не на всех компьютерах, а именно на этом устройстве.
Я делаю ему Join, становлюсь частью домейна, делаю Done. И вот я часть от Active Directory. Заметьте, я могу отключиться, я могу подсоединиться, но я не могу управлять здесь девайсом.
Здесь нету кнопки Info для управления девайсом. И что произошло? В тот момент, когда мы стали частью от Active Directory, от Azure Active Directory, в моих локальных группах, в администраторах появились новые пользователи с облака.
Видите, появился Alex из AD, из Azure AD и также еще два новых SID. Вот эти номера называются Security ID SID. Я вам сейчас покажу, что это за номера такие.
Это группы, которые стали частью от моего локального администратора. То есть они получили права