Настройка MDM Intune - BYOD
dsregcmd /status показывает, что устройство не является частью домена, но подключено к рабочей учетной записи.Содержание лекции: Настройка MDM Intune - BYOD
Расшифровка лекции: Настройка MDM Intune - BYOD
Полный текст первых минут лекции «Настройка MDM Intune - BYOD» из видеокурса PracticU – субтитры с временной меткой для каждого абзаца. Так можно прочитать и найти нужные темы ещё до начала обучения.
Добро пожаловать на лекцию про MDM. Мы поймем, в чем разница между Bring Your Own Device с MDM и с Azure AD. У нас есть 4 варианта, 4 комбинации. Bring Your Own Device – это значит, это мой Windows, это мой телефон из дома.
Я хочу подойти к рабочему материалу своего личного телефона. Я не хочу, чтобы все сотрудники организации могли логиниться в мой личный девайс, поэтому я его не присоединяю к Active Directory и я не хочу, чтобы организация им управляла.
Поэтому я не буду устанавливать MDM, управление мобильным девайсом с центрального места, с Intune. Что да, я хочу, чтобы я как сотрудник с моего телефона, с моего Windows мог подойти ко всем корпоративным ресурсам, ко всем файлам, к облачным приложениям и спокойно
работать. Но я не хочу, чтобы они мной управляли. С другой стороны, я могу захотеть, чтобы моим девайсом управляла организация, и это мы увидим минут через 10-15.
Давайте начнем с того, что мы присоединим наш Windows в нашу организацию, но не дадим им права управлять нами. То есть мы зарегистрируемся в Active Directory.
Видите, мы делаем Access Work or School и сделаем Connect, подсоединимся туда. То есть наш аккаунт в облаке будет сохранен в локальном Windows, и мы сможем с помощью него авторизироваться на разных приложениях, которые требуют вот эту вот новую современную авторизацию.
То есть я сейчас прописываю свой облачный аккаунт на моем Windows, как бы сохраняю свой облачный аккаунт внутри контроль панеля Windows.
И это не то же самое, как Active Directory. Видите, есть альтернативный способ, он называется Active Directory, это центральное управление, то есть присоединиться к центральному управлению пользователями.
И если я присоединюсь в центральное управление пользователями, произойдет что-то очень интересное. Каждый пользователь с организацией сможет зайти на это устройство, потому что это будет как бы общее устройство всей нашей организации.
На данный момент в группе администраторов локального устройства находятся только локальные пользователи, то есть пользователи с Active Directory, пользователи с облака, пользователи с центрального хранилища в облаке не могут зайти на мой компьютер, как мы видим это сейчас.
Если я присоединюсь в Active Directory, то они да, смогут заходить сюда. И это нормально, если этот девайс, этот Windows, этот компьютер принадлежит организации.
Но если это мой личный, я не хочу, чтобы они были здесь прописаны в моей локальной группе администраторов. Я хочу, чтобы только я и мой локальный пользователь здесь были.
Так, мы сейчас регистрируем пользователя, сохраняем его облачный аккаунт у меня на девайсе. Но мы не становимся частью от Active Directory, от центрального хранилища имен и паролей.
Вот Active Directory это такое центральное хранилище, оно может быть в облаке, в ажуре, оно может быть у меня локально в организации на сервере.
Но если я присоединяюсь в это центральное хранилище, то мой аккаунт будет тоже создан в этом центральном хранилище сисадмином. И тогда я или любой другой сотрудник, который прописан в этом центральном хранилище Active Directory, сможет залогиниться в этот компьютер.
И это принятая практика в девайсах, которые принадлежат нашей организации. Давайте сейчас посмотрим в админке, в office.com, в админ-центре имя этого пользователя.
Я не помню, какое его имя. Мы зашли в admin microsoft.com, в списке пользователей, в облаке, в этом центральном хранилище, я вижу, что alexwnorth.practicue.com надо написать его юзерней.
И мы пишем. То есть, когда мы пойдем на какой-то сервис в облаке, мы будем авторизовываться этим именем и паролем.
То есть, мы сохраняем свое удаленное имя и пароль у меня в компьютере. Пишу пароль этого Алекса, W, видите здесь сообщение, которое мы сделали на предыдущих лекциях, любая проблема, звоните ко мне, и заношу сейчас код с моего телефона, то есть Ажур увидел, что это новое устройство, и не знает, это хакер, это не хакер,
который подсмотрел пароль, и он требует код одноразовый, который каждую минуту меняется в телефоне этого Алекса.
Это мультифакторная авторизация Сегодня это обязательно надо сделать Чтобы если какой-то хакер как-то узнал мой пароль Он все равно не смог бы зайти с ним с другого устройства из своего дома И мы видим, что мы можем отключиться Но самое-самое важное мне вам показать Что в локальных администраторах никто с нашей организации не появился
И никто не сможет залогиниться Я вам даже сейчас продемонстрирую что при входе в компьютер, я сделал сейчас логаут, никто кроме моего локального пользователя не может войти в этот компьютер.
То есть пользователи с облака не смогут заходить в мое устройство. Этим отличается Bring Your Own Device регистрация от Active Directory.
Видите, Bring Your Own Device работает со своим личным девайсом и Azure AD. Мы заходим в Computer Management и видим, что действительно никто зайти не может. Давайте сейчас зайдем в Edge, в браузер.
Пойдем на office.com. Заметьте, мы только сделали логин локальным пользователем. Только что зашли в Windows локальным пользователем.
И мы заходим в наш браузер и идем на сайт office.com. Я вам хочу показать, что он сразу же понял, кто я такой. Видите, он меня сразу узнал.
Я зашел в Outlook, и он меня узнал. И вот он видит, что вот мои письма, вот я. И заметьте, я не заносил имя и пароль. Почему? Потому что он взял мое имя и пароль.
изнутри Windows. Помните? Мы же сохранили, мы зарегистрировались. И вот мой аккаунт. И сейчас я вам покажу очень важную команду в CMD, как можно увидеть, что я действительно зарегистрирован.
Directory Service DS Registration Reg CMD. То есть проверить свою регистрацию через командную строку. Это очень важная команда DSREC CMD, и мы в этой команде, в ее отчете, в статусе видим, что мы не часть домейна, наш аккаунт не в центральном месте сохранен, а он локальный аккаунт, но мы часть от Workplace, то
есть вот эта современная авторизация с помощью сохраненного имени и пароля в моем компьютере Workplace TenetNamePractique, то есть мы видим, что мы часть от рабочей группы такой.
Вот это, кстати, то, что дало Edge нас авторизовать через эту штуку. Я могу, конечно, отключиться от этой организации и уйти.
Я вам хочу сейчас показать, как это выглядит с точки зрения сервера. Мы зайдем в Azure AD, мы зайдем в Endpoint Manager, то есть Endpoint Manager это Intune, который управляет девайсами, а Azure AD, Active Directory, управляет в основном пользователями и авторизацией.
У него тоже есть список девайсов, и мы видим, что в этом списке появился наш единственный девайс, который называется Bring Your Own Device No MDM, это имя компьютера, и мы видим, что он registered, но он не часть от домейна, он просто зарегистрировался с юзернеймом, и с каким именем он зарегистрировался, с именем Алекса, и MDM им не управляет,
то есть Mobile Device Management, центральное управление приложениями и девайсами его не видит. Если мы пойдем действительно в Intune, в этот Endpoint Manager, который управляет девайсами, мы увидим, что наш список пустой, он не видит этого девайса.
Понятно? То есть пользователь, да, может как юзернейм пользоваться нашими Active Directory авторизацией, то есть он часть от нашего Single Sign-On, часть от нашей команды, но он не управляется с центрального места с точки зрения девайса.
То есть пользователь может авторизовываться, пользоваться услугами всех наших приложений в организации, но мы не управляем его девайсом.
Если бы он хотел, чтобы мы управляли его девайсом, его устройством, он мог бы нажать вот здесь справа «Enroll only in Device Management».
То есть стать частью от управления девайсами, частью от MDM. Мы это сейчас сделаем, только мы это сделаем не на этом Windows, а мы это сделаем на другом чистом Windows, чтобы увидеть разницу.
Мы идем сейчас на чистый новый Windows, и это тоже Bring Your Own Device, это тоже их девайс, то есть это тоже не часть от Active Directory, мы не хотим, чтобы любой человек с организацией мог сюда войти, и мы опять регистрируемся, заметьте, я не хочу быть от Active Directory, я не хочу быть частью от Active Directory, почему?
Потому что этот девайс, он мой личный, а не принадлежит организации. Я завтра утром уволюсь и хочу удалить аккаунт и все.
Я не хочу, чтобы мой юзернэм и пароль были в центральном хранилище. И я с помощью него, с помощью центрального хранилища входил в свой девайс. Нет, я хочу в свой девайс входить со своим локальным аккаунтом.
А когда я пойду на что-то в сети, там в офис.ком или неважно куда, я буду использовать вот этот AlexW. Понятно? То есть у меня как бы есть две учетные записи.
Одна в облаке AlexW, а вторая локальная. Я хочу на своем девайсе работать со своей