Настройка Intune MAM в Windows 10
Содержание лекции: Настройка Intune MAM в Windows 10
Расшифровка лекции: Настройка Intune MAM в Windows 10
Полный текст первых минут лекции «Настройка Intune MAM в Windows 10» из видеокурса PracticU – субтитры с временной меткой для каждого абзаца. Так можно прочитать и найти нужные темы ещё до начала обучения.
Добро пожаловать на лекцию, на которой мы наконец-то увидим, как MomPolicy работает на десятке. По-настоящему мы подключим сейчас эту десятку без MDM, без центрального управления девайсами к нашему Active Directory.
Но он не будет частью от Active Directory, он только зарегистрируется там. То есть мы будем использовать аккаунт Active Directory, но мы не станем частью домейна.
Потому что это мой личный девайс и я не хочу, чтобы все сотрудники организации могли заходить в мой личный девайс. Я вам напоминаю, на предыдущей лекции мы сделали политику по защите приложений.
И в этой политике прописали требования на 5 символов в пин-коде и другую иконку. И мы сейчас хотим увидеть, как эта политика распространяется на наши приложения.
Я вам хочу сейчас показать, что до того, как мы начинаем, в настройках Windows мы можем залогиниться без пин-кода, без пароля, локальную учетную запись.
Мы не часть домейна. Видите, мы во время логина не можем выбрать другого пользователя, и мы заходим вообще без пароля, потому что мы сделали локального пользователя без пароля и без пин-кода.
Это наша исходная точка, то что это мой личный девайс, и я хочу с ним подключиться к корпоративной информации. Но я не хочу быть частью от domain, я не хочу, чтобы моим девайсом кто-то управлял, я не хочу делать enroll in device management в MDM.
Поэтому я делаю connect, регистрируюсь в Active Directory, но не вхожу в domain. Если мы зайдем в Domain, то любой сотрудник нашей организации сможет логиниться в наше устройство.
А я не хочу, потому что это мое личное устройство. Я всего лишь хочу зайти на сайт нашей организации, зарегистрироваться там и сохранить пароль.
Так же, как мы в браузере сохраняем пароль пользователя, мы также пароль пользователя можем сохранить внутри Windows. Это называется Single Sign-On. И я регистрирую учетную запись пользователя AlexW в моем Windows.
Должен занести одноразовый пароль с моего телефона, который каждую минуту меняется. И имя и пароль Алекса будет сохранен внутри моего Windows точно так же, как в браузере я ставлю галочку «Сохранить имя и пароль».
Только вместо того, чтобы браузер это сохранял, теперь это сохраняет сам Windows. И мы увидим, что разные приложения могут считать эту учетную запись.
Заметьте, Alex делает регистрацию в Active Directory, и у него появляется окно, что требуется пин-код. Мы делаем ОК и пробуем занести пин-код, предположим, на 4 цифры.
Пин-код заменяет пароль, но только в локальном подходе. Нельзя через сеть подойти с помощью пин-кода.
Это не вместо пароля, это заменяет пароль только, если я физически нахожусь рядом с компьютером. И заметьте, что он требует 5 цифр, 5 символов.
Это я вам так доказываю, что моя полиса работает, что это не то, что стоит по умолчанию в Windows. И теперь его учетная запись зарегистрирована внутри моего Windows.
Я могу зайти в инфу и увидеть здесь, что полису он берет с сервера WIP.MOM. windowsinformationprotection.mam. Я вам напоминаю, где этот линк мы уже его видели и настраивали в Azure AD, в Azure Active Directory, в MDM and MAM, в Intune.
Мы видели вот здесь вот этот вот линк. Вот именно отсюда Windows взял ссылку, откуда брать по лесу. Вот она здесь и есть. То есть мы видели серверную часть и клиентскую часть.
И заметьте, что он Managed by не Practicue, а MDD Proof. Это значит, что это не MDM. Это не наш MDM, а это типа Microsoft MAM Server.
Также я могу сделать репорт и посмотреть конкретно, какая политика пришла ко мне. И мы это увидим через несколько минут. И я вам еще раз подчеркиваю, что эта учетная запись, это не Domain.
Мы всего лишь зарегистрировались и используем имя пользователя. Мы не управляем устройством, это очень важно понять. В Active Directory в девайсах мы можем увидеть наше единственное устройство.
Я специально каждый раз все очищаю, чтобы было чисто. И мы видим, что он Azure AD registered с именем Алекса, но без AMDM, без централизованного управления самим устройством, без Group Policy устройства, а только использует имя и пароль Алекса, там где он захочет, на том устройстве, на котором он зарегистрировался.
И давайте зайдем в Intune и там увидим, что у нас нет ни одного девайса. Короче, я вам доказал, что это не MDM, это именно MAM, именно полиса на уровне приложений мы устройством не управляем.
Это было очень важно показать, потому что в этом вся идея, что мы только управляем приложением. Давайте откроем Edge, Browser Edge. Пока он будет открываться, я вам покажу, что происходит за кулисами в Task Manager.
Пока он делает здесь setup свой, Edge, и мы заходим на сайт по умолчанию. Я хочу вам показать, что в Task Manager можно добавить в Details еще одну колонку. Я нажимаю правую кнопку и хочу добавить колонку.
Видите, сколько раз у меня Edge открыт. И он мне предлагает разные колонки, которые он не показывает, но они существуют. И я ищу Enterprise Context, корпоративный контекст.
Делаю ОК. Это новая вещь, которую внедрили в Windows в 2016, в десятке. И мы видим здесь, что приложение типа Enlightened, освещенное. Чем оно освещенное? Это новое поколение приложений, которые умеют разделять личную информацию от корпоративной информации.
То есть это приложение Edge, я могу сказать ему, что корпоративное, а что личное. И он будет на корпоративную информацию распространять требования нашей корпорации.
Во-первых, мы заходим в офис.ком и мы не пишем имя и пароль, а только нажимаем на иконку и он автоматом авторизовывается. Он берет мое имя и пароль изнутри Windows. И мы видим здесь, что меня Edge узнал.
Это новое поколение авторизации. И мы идем в Outlook. И мы внутри Outlook нашей корпорации. То есть это наша внутренняя переписка и сюда можно вставлять тайные наши документы.
Кстати, вот у меня здесь есть письмо, что меня присоединили как Алекса в группу MomPilotUsers. Нам надо сейчас потренироваться на вставление в письмо тайных и нетайных корпоративных данных, тайных и личных данных.
Для этого мы открываем Notepad. Заметьте, что Notepad, он тоже enlightened, он тоже умеет разделять личную информацию и корпоративную информацию.
И поэтому, если я в Notepad делаю сейв документу, то у меня рядом с именем документа есть такая новая иконочка, которой до этого не было.
Сохранить его как work, как рабочая или как personal. Видите, я могу сказать, что этот документ будет рабочий, видите, у него даже иконочка особая.
А сейчас мы сделаем еще один документ и сделаем его личным документом. Открываем еще раз Notepad и пишем BBB и сохраняем его как личный документ. То есть у нас есть один корпоративный, один личный.
И мы видим, что у нас есть такая иконочка, которую мы сделали в Group Policy, чтобы был overlay, накладка иконочек, видите. И этим отличается InLight, это освещенное приложение, от неосвещенного, От обычного освещенного умеет разделять корпоративную и некорпоративную информацию.
Она поддерживает это. И вот это вот колонка Enlighted.