MICROSOFT INTUNE ΓΙΑ ΑΡΧΑΡΙΟΥΣ: ΑΠΟ ΤΟ ENROLLMENT ΣΤΙΣ ΠΡΩΤΕΣ ΜΑΣ ΠΟΛΙΤΙΚΕΣ

ΟΚ, με έπεισες! Έχω τις κατάλληλες άδειες, έχω πρόσβαση στο Microsoft Intune και θέλω επιτέλους να δω τι μπορεί να κάνει στην πράξη.

Αλλά από πού ξεκινάω; Πώς προσθέτω μια συσκευή; Πώς δημιουργώ μια πολιτική; Και, το σημαντικότερο, πώς ξέρω ότι εφαρμόστηκε;

Αν αυτές είναι οι πρώτες σου απορίες, βρίσκεσαι στο σωστό μέρος! 😄

Σε αυτό το άρθρο θα κάνουμε τα πρώτα μας βήματα στο Microsoft Intune. Θα προσθέσουμε έναν Windows 11 υπολογιστή, θα δημιουργήσουμε τρεις βασικές πολιτικές και θα δούμε πώς μπορούμε να ελέγξουμε ότι όλα λειτουργούν.

Δεν θα ασχοληθούμε ακόμα με Windows Autopilot, πολύπλοκα Conditional Access policies ή προχωρημένο security hardening. Αυτά θα έρθουν αργότερα!

ΤΙ ΘΑ ΧΡΕΙΑΣΤΟΥΜΕ;

Πριν ξεκινήσουμε, ας βεβαιωθούμε ότι έχουμε τα απαραίτητα:

Ένα Microsoft Intune tenant με τις κατάλληλες άδειες χρήσης.
Microsoft Entra ID P1 ή P2 για το automatic MDM enrollment που θα χρησιμοποιήσουμε.
Έναν χρήστη με κατάλληλη Intune άδεια.
Δικαιώματα διαχείρισης στο Intune και στο Entra ID για τις ενέργειες του οδηγού.
Έναν υπολογιστή ή Virtual Machine με Windows 11 Pro, Enterprise ή Education.
Σύνδεση στο Internet.
Και, φυσικά, λίγη υπομονή. Το Intune δεν είναι πάντα τόσο γρήγορο όσο θα θέλαμε. 😅

Σημαντικό: Για τις πρώτες μας δοκιμές προτείνω να χρησιμοποιήσουμε ένα ξεχωριστό Windows 11 VM ή test device και όχι τον προσωπικό μας υπολογιστή. Το enrollment μπορεί να επιτρέψει στον οργανισμό να διαχειρίζεται σημαντικές ρυθμίσεις της συσκευής.

ΒΗΜΑ 1: ΕΤΟΙΜΑΖΟΥΜΕ ΤΟ TEST ENVIRONMENT

Πρώτα θα φτιάξουμε μια ομάδα για τις δοκιμές μας.

Δεν θέλουμε να δημιουργήσουμε την πρώτη μας πολιτική και κατά λάθος να την εφαρμόσουμε σε όλους τους χρήστες του οργανισμού. Καλύτερα να αποφύγουμε τέτοιες εκπλήξεις. 😄

Ανοίγουμε το Microsoft Entra admin center και πηγαίνουμε:

Entra ID → Groups → All groups → New group

Δημιουργούμε μια Security group με όνομα:

SG-Intune-Windows-Pilot

Για αρχή επιλέγουμε Assigned membership και προσθέτουμε τον test user μας.

Αργότερα, αφού ολοκληρώσουμε το enrollment, μπορούμε να προσθέσουμε και τη συσκευή στην ομάδα, ώστε να τη χρησιμοποιήσουμε για device-targeted policies.

Με αυτόν τον τρόπο οι δοκιμές μας παραμένουν περιορισμένες στο pilot environment.

ΒΗΜΑ 2: ΕΝΕΡΓΟΠΟΙΟΥΜΕ ΤΟ AUTOMATIC ENROLLMENT

Τώρα πρέπει να διασφαλίσουμε ότι οι συσκευές που κάνουμε Microsoft Entra join θα μπορούν να εγγράφονται αυτόματα στο Intune.

Ανοίγουμε το Microsoft Intune admin center και πηγαίνουμε:

Devices → Enrollment → Windows → Automatic Enrollment

Εδώ θα βρούμε την επιλογή MDM user scope.

Έχουμε τρεις επιλογές:

None: Απενεργοποιημένο automatic MDM enrollment.
Some: Ενεργοποιημένο μόνο για συγκεκριμένες ομάδες χρηστών.
All: Ενεργοποιημένο για όλους τους χρήστες που πληρούν τις προϋποθέσεις.

Για το lab μας θα επιλέξουμε Some και θα προσθέσουμε την ομάδα SG-Intune-Windows-Pilot, στην οποία βρίσκεται ο test user.

Αφήνουμε τα προεπιλεγμένα MDM URLs και επιλέγουμε Save.

Ελέγχουμε επίσης ότι ο test user διαθέτει την απαραίτητη άδεια και ότι δεν υπάρχουν enrollment restrictions που αποκλείουν τη συσκευή μας.

Αυτό ήταν! Είμαστε έτοιμοι για το enrollment.

ΠΡΟΑΙΡΕΤΙΚΟ ΒΗΜΑ: ΡΥΘΜΙΖΟΥΜΕ ΤΑ DNS CNAME RECORDS

Πριν προχωρήσουμε στο enrollment, υπάρχει ακόμα μια ρύθμιση που αξίζει να γνωρίζουμε: τα DNS CNAME records.

Τα CNAME records επιτρέπουν στις συσκευές να ανακαλύπτουν αυτόματα τις κατάλληλες υπηρεσίες κατά τη διαδικασία εγγραφής.

Για το συγκεκριμένο lab, όπου χρησιμοποιούμε Microsoft Entra Join και Automatic MDM Enrollment, δεν είναι απαραίτητο να δημιουργήσουμε CNAME για το Intune. Η υπηρεσία MDM ανακαλύπτεται αυτόματα.

Αν όμως θέλουμε να υποστηρίξουμε enrollment scenarios που βασίζονται στο MDM autodiscovery, η Microsoft προτείνει τη δημιουργία του αντίστοιχου DNS record.

ΠΟΙΑ RECORDS ΔΗΜΙΟΥΡΓΟΥΜΕ;

Στον DNS provider που φιλοξενεί τη ζώνη του εταιρικού μας domain, μπορούμε να δημιουργήσουμε:

EnterpriseEnrollment.contoso.com → EnterpriseEnrollment-s.manage.microsoft.com
EnterpriseRegistration.contoso.com → EnterpriseRegistration.windows.net

Φυσικά, αντικαθιστούμε το contoso.com με το domain του οργανισμού μας.

Το EnterpriseEnrollment χρησιμοποιείται για την ανακάλυψη του Intune MDM enrollment service, ενώ το EnterpriseRegistration αφορά το Microsoft Entra device registration.

ΠΩΣ ΕΛΕΓΧΟΥΜΕ ΤΟ CNAME;

Αφού δημιουργήσουμε το DNS record, ανοίγουμε το Microsoft Intune admin center και πηγαίνουμε:

Devices → Enrollment → Windows → CNAME Validation

Εισάγουμε το domain μας και επιλέγουμε Test.

Αν το αποτέλεσμα δεν είναι επιτυχές, ελέγχουμε το DNS record και περιμένουμε να ολοκληρωθεί το DNS propagation.

Σημαντικό: Τα DNS CNAME records δεν αντικαθιστούν το Automatic MDM Enrollment configuration, τις κατάλληλες άδειες ή τις απαιτούμενες enrollment permissions.

Για το δικό μας lab μπορούμε να συνεχίσουμε κανονικά χωρίς αυτό το βήμα, εφόσον έχουμε ενεργοποιήσει σωστά το Automatic MDM Enrollment.

ΒΗΜΑ 3: ΚΑΝΟΥΜΕ ENROLL ΤΗ ΣΥΣΚΕΥΗ ΣΤΟ INTUNE

Πηγαίνουμε στον Windows 11 υπολογιστή που έχουμε επιλέξει για τις δοκιμές.

Ανοίγουμε:

Settings → Accounts → Access work or school → Connect

Εδώ χρειάζεται λίγη προσοχή!

Δεν θέλουμε απλώς να προσθέσουμε ένα εταιρικό email για πρόσβαση σε εφαρμογές. Για το συγκεκριμένο lab θέλουμε να κάνουμε τη συσκευή Microsoft Entra joined.

Επιλέγουμε την εναλλακτική ενέργεια:

Join this device to Microsoft Entra ID

Σε κάποιες εκδόσεις των Windows μπορεί να εμφανίζεται ακόμα η παλιότερη ονομασία Azure Active Directory.

Συνδεόμαστε με τον test user μας, ολοκληρώνουμε την επιβεβαίωση του οργανισμού και ακολουθούμε τα βήματα στην οθόνη.

Εφόσον έχουμε ρυθμίσει σωστά το automatic MDM enrollment και πληρούνται οι προϋποθέσεις, η συσκευή θα εγγραφεί και στο Intune.

Προσοχή: Το Microsoft Entra join δεν είναι το ίδιο με το απλό Entra registration. Επίσης, αυτός ο τρόπος δεν υποστηρίζεται στα Windows Home.

ΒΗΜΑ 4: ΕΛΕΓΧΟΥΜΕ ΑΝ Η ΣΥΣΚΕΥΗ ΕΜΦΑΝΙΖΕΤΑΙ

Επιστρέφουμε στο Intune admin center και πηγαίνουμε:

Devices → All devices

Αναζητούμε το όνομα της συσκευής μας.

Αν όλα έχουν λειτουργήσει σωστά, θα εμφανιστεί μια εγγραφή με πληροφορίες όπως:

Device name
Operating system
Primary user
Enrollment information
Compliance status
Last check-in

Μπαίνοντας στη συσκευή, μπορούμε να δούμε περισσότερες πληροφορίες για το hardware, τις εφαρμογές και τις πολιτικές που της έχουν ανατεθεί.

Για να συγχρονίσουμε χειροκίνητα τη συσκευή, μπορούμε να επιλέξουμε Sync από το Intune admin center ή να πάμε στον υπολογιστή:

Settings → Accounts → Access work or school → [Εταιρικός λογαριασμός] → Info → Sync

Το Sync ζητά από τη συσκευή να επικοινωνήσει με την υπηρεσία, αλλά δεν σημαίνει ότι κάθε policy θα εφαρμοστεί αμέσως.

Αν δεν εμφανίζεται η συσκευή, ελέγχουμε πρώτα τις άδειες, το MDM user scope, τα enrollment restrictions και αν ολοκληρώθηκε πράγματι το enrollment.

Τώρα που έχουμε τη συσκευή μας, ήρθε η ώρα για το ενδιαφέρον κομμάτι!

ΒΗΜΑ 5: ΠΡΩΤΗ ΠΟΛΙΤΙΚΗ – CONFIGURATION PROFILE

Ας ξεκινήσουμε με κάτι απλό και εύκολα ελέγξιμο.

Θα δημιουργήσουμε μια πολιτική που θα κλειδώνει την οθόνη της συσκευής μετά από πέντε λεπτά αδράνειας.

Στο Intune πηγαίνουμε:

Devices → Configuration → Create → New policy

Επιλέγουμε:

Platform: Windows 10 and later
Profile type: Settings catalog

Πατάμε Create.

Στο Basics δίνουμε ένα κατανοητό όνομα:

WIN - CFG - Screen Lock - Pilot

Επιλέγουμε Next → Add settings.

Στο Settings picker αναζητούμε τη ρύθμιση:

Max Inactivity Time Device Lock

Η ρύθμιση αντιστοιχεί στον μηχανισμό DeviceLock του Windows Policy CSP. Επιλέγουμε τη σχετική ρύθμιση, εφόσον είναι διαθέσιμη για την έκδοση Windows που χρησιμοποιούμε, και ορίζουμε:

5 minutes

Στο Assignments επιλέγουμε την pilot ομάδα μας. Για καθαρό device targeting, μπορούμε πρώτα να προσθέσουμε τη δοκιμαστική συσκευή στην ομάδα και να περιμένουμε να ενημερωθεί το membership.

Ολοκληρώνουμε τη δημιουργία της πολιτικής με Review + create.

Μετά την εφαρμογή της πολιτικής, αφήνουμε τη συσκευή ανενεργή και ελέγχουμε αν κλειδώνει όπως αναμένουμε.

Μόλις δημιουργήσαμε το πρώτο μας configuration profile!

ΒΗΜΑ 6: ΔΕΥΤΕΡΗ ΠΟΛΙΤΙΚΗ – COMPLIANCE POLICY

Ας δούμε κάτι διαφορετικό.

Μέχρι τώρα δημιουργήσαμε μια πολιτική που αλλάζει μια ρύθμιση στη συσκευή.

Μια Compliance policy, όμως, δεν υπάρχει απαραίτητα για να αλλάζει ρυθμίσεις. Σκοπός της είναι να ελέγχει αν η συσκευή πληροί συγκεκριμένες απαιτήσεις.

Πηγαίνουμε:

Devices → Compliance → Create policy

Επιλέγουμε Windows 10 and later και στη συνέχεια Create.

Δίνουμε όνομα:

WIN - COMP - Basic Security - Pilot

Στο Compliance settings ανοίγουμε την κατηγορία System Security.

Για το πρώτο μας lab μπορούμε να επιλέξουμε:

Firewall: Require
Antivirus: Require
Antispyware: Require

Αυτές οι ρυθμίσεις αξιολογούν την κατάσταση προστασίας της Windows συσκευής.

Στην ενότητα Actions for noncompliance κρατάμε την προεπιλεγμένη ενέργεια που χαρακτηρίζει τη συσκευή ως noncompliant όταν δεν πληροί τις απαιτήσεις.

Στη συνέχεια κάνουμε assignment στην pilot ομάδα και ολοκληρώνουμε τη δημιουργία.

Αφού η συσκευή συγχρονιστεί και αξιολογηθεί, επιστρέφουμε στο:

Devices → All devices → [Η συσκευή μας] → Device compliance

Εκεί μπορούμε να δούμε αν η συσκευή είναι Compliant ή Noncompliant και, ανάλογα με το αποτέλεσμα, να διερευνήσουμε ποια απαίτηση δεν πληροί.

Μια σημαντική λεπτομέρεια: η δημιουργία Compliance policy από μόνη της δεν μπλοκάρει την πρόσβαση στο Microsoft 365. Για να χρησιμοποιήσουμε το compliance status ως προϋπόθεση πρόσβασης, χρειάζεται η κατάλληλη πολιτική Conditional Access.

Αυτό θα το δούμε σε άλλο άρθρο. Προς το παρόν, ας μην κλειδώσουμε κατά λάθος τον εαυτό μας έξω από το tenant. 😅

ΒΗΜΑ 7: ΤΡΙΤΗ ΠΟΛΙΤΙΚΗ – MICROSOFT DEFENDER ANTIVIRUS

Τώρα θα περάσουμε στο Endpoint Security.

Το Intune μάς επιτρέπει να διαχειριζόμαστε κεντρικά ρυθμίσεις του Microsoft Defender Antivirus, χωρίς να χρειάζεται να χρησιμοποιήσουμε παραδοσιακά GPOs.

Από το Intune admin center πηγαίνουμε:

Endpoint security → Antivirus → Create policy

Επιλέγουμε:

Platform: Windows
Profile: Microsoft Defender Antivirus

Δίνουμε όνομα:

WIN - SEC - Defender AV - Pilot

Για ένα απλό test περιβάλλον μπορούμε να εξετάσουμε τις παρακάτω ρυθμίσεις, εφόσον υποστηρίζονται από το προφίλ μας:

Real-time protection: Enabled
Cloud-delivered protection: Enabled
Behavior monitoring: Enabled

Οι ακριβείς ονομασίες στο portal μπορεί να διαφέρουν και ορισμένες ρυθμίσεις εμφανίζονται με αντίστροφη λογική, για παράδειγμα ως Disable ή Turn off. Επομένως, διαβάζουμε προσεκτικά την περιγραφή πριν επιλέξουμε την τιμή.

Δεν χρειάζεται να αλλάξουμε κάθε διαθέσιμη ρύθμιση. Όσες δεν θέλουμε να διαχειριστούμε μπορούμε να τις αφήσουμε Not configured.

Κάνουμε assignment στην pilot ομάδα και δημιουργούμε την πολιτική.

Αν ο Microsoft Defender Antivirus είναι ο ενεργός antivirus provider της συσκευής, μπορούμε να ελέγξουμε την κατάστασή του από το Windows Security → Virus & threat protection.

Για την εφαρμογή της πολιτικής ελέγχουμε επίσης τα device και per-setting reports στο Intune.

Προσοχή σε συσκευές που χρησιμοποιούν τρίτο antivirus ή έχουν ήδη ρυθμίσεις Defender από GPOs ή άλλες πολιτικές. Δεν θέλουμε να δημιουργούμε conflicting configurations.

ΠΩΣ ΞΕΡΟΥΜΕ ΟΤΙ ΟΙ ΠΟΛΙΤΙΚΕΣ ΕΦΑΡΜΟΣΤΗΚΑΝ;

Αυτό είναι ένα από τα πιο σημαντικά σημεία του Intune.

Το ότι πατήσαμε Create δεν σημαίνει απαραίτητα ότι η συσκευή εφάρμοσε τη ρύθμιση.

Για να ελέγξουμε τα αποτελέσματα, ανοίγουμε την αντίστοιχη πολιτική από το Intune admin center και εξετάζουμε το monitoring και τα reports.

Ανάλογα με τον τύπο πολιτικής, μπορεί να δούμε καταστάσεις όπως:

Succeeded: Η πολιτική αναφέρεται ως επιτυχώς εφαρμοσμένη.
Error: Παρουσιάστηκε σφάλμα κατά την εφαρμογή.
Conflict: Υπάρχει σύγκρουση με άλλη διαχειριζόμενη ρύθμιση.
Pending: Δεν έχει ολοκληρωθεί ακόμα η επεξεργασία ή η αναφορά αποτελέσματος.
Not applicable: Η συγκεκριμένη ρύθμιση δεν εφαρμόζεται στη συσκευή.

Οι ακριβείς καταστάσεις διαφέρουν ανάλογα με τον τύπο πολιτικής.

Και φυσικά, δεν αρκούμαστε μόνο στο πράσινο Succeeded. Ελέγχουμε και την πραγματική συμπεριφορά της συσκευής.

Για παράδειγμα, στην πολιτική screen lock περιμένουμε να δούμε τη συσκευή να κλειδώνει μετά το χρονικό διάστημα που ορίσαμε.

ΚΑΙ ΑΝ ΔΕΝ ΕΦΑΡΜΟΖΕΤΑΙ ΚΑΤΙ;

Καλώς ήρθες στο troubleshooting! 😄

Πριν αρχίσουμε να ψάχνουμε παντού, ελέγχουμε μερικά βασικά πράγματα:

Έχει ολοκληρωθεί το enrollment;
Η συσκευή εμφανίζεται ως managed by Intune;
Ο χρήστης διαθέτει την απαιτούμενη άδεια;
Η σωστή ομάδα έχει γίνει assigned στην πολιτική;
Η ομάδα περιλαμβάνει τον σωστό χρήστη ή τη σωστή συσκευή;
Υποστηρίζεται το setting από τη συγκεκριμένη έκδοση Windows;
Έχει γίνει πρόσφατα sync;
Υπάρχουν άλλες πολιτικές που διαχειρίζονται το ίδιο setting;

Αν όλα αυτά φαίνονται σωστά, τότε μπορούμε να προχωρήσουμε σε πιο αναλυτικό troubleshooting.

Στα Windows, ένα πολύ χρήσιμο μέρος για να ξεκινήσουμε είναι το:

Event Viewer → Applications and Services Logs → Microsoft → Windows → DeviceManagement-Enterprise-Diagnostics-Provider

Για πολιτικές και λειτουργίες που βασίζονται στο Intune Management Extension υπάρχουν και ξεχωριστά logs.

Αλλά αυτά αξίζουν δικό τους άρθρο, γιατί το troubleshooting στο Intune μπορεί να γίνει ολόκληρη περιπέτεια!

ΤΙ ΜΑΘΑΜΕ ΣΗΜΕΡΑ;

Μέχρι στιγμής καταφέραμε να:

Δημιουργήσουμε μια pilot ομάδα.
Ρυθμίσουμε το automatic MDM enrollment.
Κάνουμε Microsoft Entra join και Intune enrollment σε μια Windows 11 συσκευή.
Δημιουργήσουμε ένα Configuration profile.
Δημιουργήσουμε μια Compliance policy.
Διαχειριστούμε βασικές ρυθμίσεις του Microsoft Defender Antivirus.
Ελέγξουμε την εφαρμογή των πολιτικών μας.

Και όλα αυτά χωρίς Domain Controller, χωρίς να δημιουργήσουμε κανένα GPO και χωρίς να χρειάζεται η συσκευή να συνδεθεί στο εταιρικό VPN για το Intune policy sync.

Αυτή είναι μόνο η αρχή!

Στα επόμενα άρθρα μπορούμε να δούμε Windows Autopilot, BitLocker, Windows LAPS, Update Rings, Application Deployment και φυσικά περισσότερα παραδείγματα troubleshooting.

Πριν προχωρήσουμε όμως, μια τελευταία συμβουλή:

Δοκίμαζε πρώτα τις πολιτικές σου σε μικρές pilot ομάδες, έλεγχε τα αποτελέσματα και μετά προχώρα σε ευρύτερο deployment.

Γιατί το να εφαρμόσεις λάθος πολιτική σε ένα VM είναι μάθημα. Το να την εφαρμόσεις σε 2.000 εταιρικά laptops είναι… incident. 😅

Happy troubleshooting, and may your devices always be compliant! 💜