Endpoint di rete per Microsoft Intune

Questo articolo elenca gli indirizzi IP e le impostazioni delle porte necessarie per le impostazioni proxy nelle distribuzioni di Microsoft Intune.

In quanto servizio solo cloud, Intune non richiede un'infrastruttura locale, ad esempio server o gateway.

Accesso per i dispositivi gestiti

Per gestire i dispositivi dietro firewall e server proxy, è necessario abilitare la comunicazione per Intune.

• Gli endpoint in questo articolo consentono l'accesso alle porte identificate nelle tabelle seguenti.

• Per alcune attività, Intune richiede l'accesso non autenticato al server proxy a manage.microsoft.com, *.azureedge.net e graph.microsoft.com.

  Nota

  L'ispezione del traffico SSL non è supportata per gli endpoint "manage.microsoft.com", "dm.microsoft.com" o DHA (Device Health Attestation) elencati nella sezione conformità.

È possibile modificare le impostazioni del server proxy nei singoli computer client. È anche possibile usare le impostazioni di Criteri di gruppo per modificare le impostazioni per tutti i computer client che si trovano dietro un server proxy specificato.

I dispositivi gestiti richiedono configurazioni che consentono a Tutti gli utenti di accedere ai servizi tramite firewall.

Script di PowerShell

Per semplificare la configurazione dei servizi tramite firewall, è stata eseguita l'onboarding con il servizio endpoint di Office 365. In questo momento, le informazioni sull'endpoint di Intune sono accessibili tramite uno script di PowerShell. Esistono altri servizi dipendenti per Intune che sono già coperti come parte del servizio Microsoft 365 e sono contrassegnati come "obbligatori". I servizi già coperti da Microsoft 365 non sono inclusi nello script per evitare la duplicazione.

Usando lo script di PowerShell seguente, è possibile recuperare l'elenco di indirizzi IP per il servizio Intune.

(invoke-restmethod -Uri ("https://endpoints.office.com/endpoints/WorldWide?ServiceAreas=MEM`&`clientrequestid=" + ([GUID]::NewGuid()).Guid)) | ?{$_.ServiceArea -eq "MEM" -and $_.ips} | select -unique -ExpandProperty ips

Usando lo script di PowerShell seguente, è possibile recuperare l'elenco di FQDN usati da Intune e dai servizi dipendenti. Quando si esegue lo script, gli URL nell'output dello script possono essere diversi dagli URL nelle tabelle seguenti. Assicurarsi almeno di includere gli URL nelle tabelle.

(invoke-restmethod -Uri ("https://endpoints.office.com/endpoints/WorldWide?ServiceAreas=MEM`&`clientrequestid=" + ([GUID]::NewGuid()).Guid)) | ?{$_.ServiceArea -eq "MEM" -and $_.urls} | select -unique -ExpandProperty urls

Lo script fornisce un metodo pratico per elencare ed esaminare tutti i servizi richiesti da Intune e Autopilot in un'unica posizione. È possibile restituire proprietà aggiuntive dal servizio endpoint, ad esempio la proprietà category, che indica se l'FQDN o l'IP deve essere configurato come Allow, Optimize o Default.

Endpoint

Sono inoltre necessari FQDN coperti nell'ambito dei requisiti di Microsoft 365. Per riferimento, le tabelle seguenti mostrano il servizio a cui sono associati e l'elenco di URL restituiti.

Le colonne di dati visualizzate nelle tabelle sono:

• ID: numero ID della riga, noto anche come set di endpoint. Questo ID è lo stesso restituito dal servizio Web per il set di endpoint.

• Categoria: indica se il set di endpoint è categorizzato come Optimize, Allow o Default. Questa colonna elenca anche i set di endpoint necessari per la connettività di rete. Per i set di endpoint che non sono necessari per la connettività di rete, in questo campo vengono fornite note per indicare quali funzionalità mancano se il set di endpoint è bloccato. Se si esclude un'intera area del servizio, i set di endpoint elencati come obbligatori non richiedono la connettività.

  Per informazioni su queste categorie e indicazioni per la gestione, vedere Nuove categorie di endpoint di Microsoft 365.

• ER: si tratta di Sì/True se il set di endpoint è supportato su Azure ExpressRoute con prefissi di route di Microsoft 365. La community BGP che include i prefissi di route visualizzati è allineata all'area di servizio elencata. Quando ER è No/False, ExpressRoute non è supportato per questo set di endpoint.

• Indirizzi: elenca i nomi fqdn o i nomi di dominio con caratteri jolly e gli intervalli di indirizzi IP per il set di endpoint. Si noti che un intervallo di indirizzi IP è in formato CIDR e può includere molti singoli indirizzi IP nella rete specificata.

• Porte: elenca le porte TCP o UDP combinate con gli indirizzi IP elencati per formare l'endpoint di rete. Si potrebbe notare una duplicazione negli intervalli di indirizzi IP in cui sono elencate porte diverse.

Servizio core di Intune

Dipendenze di Autopilot

Guida remota

Dipendenze di Intune

In questa sezione le tabelle seguenti elencano le dipendenze di Intune e le porte e i servizi a cui accede il client di Intune.

• Dipendenze di Windows Push Notification Services
• Dipendenze di ottimizzazione recapito
• Dipendenze apple
• Dipendenze AOSP Android

Dipendenze di Windows Push Notification Services (WNS)

Per i dispositivi Windows gestiti da Intune gestiti tramite Gestione dispositivi mobili (MDM), le azioni dei dispositivi e altre attività immediate richiedono l'uso di Windows Push Notification Services (WNS). Per altre informazioni, vedere Consentire il traffico delle notifiche di Windows tramite firewall aziendali.

Dipendenze di ottimizzazione recapito

Requisiti delle porte : per il traffico peer-to-peer, Ottimizzazione recapito usa 7680 per TCP/IP. Usa Teredo sulla porta 3544 per l'attraversamento NAT (l'uso di Teredo è facoltativo) Per la comunicazione client-service, usa HTTP o HTTPS sulla porta 80/443.

Requisiti proxy : per usare Ottimizzazione recapito, è necessario consentire le richieste dell'intervallo di byte. Per altre informazioni, vedere Requisiti proxy per Windows Update.

Requisiti del firewall : consentire i nomi host seguenti attraverso il firewall per supportare Ottimizzazione recapito. Per la comunicazione tra i client e il servizio cloud ottimizzazione recapito:

• *.do.dsp.mp.microsoft.com

Per i metadati di Ottimizzazione recapito:

• *.dl.delivery.mp.microsoft.com

Dipendenze apple

Per ulteriori informazioni, vedere le seguenti risorse:

• Usare i prodotti Apple nelle reti aziendali
• Porte TCP e UDP usate dai prodotti software Apple
• Informazioni sulle connessioni host del server macOS, iOS/iPadOS e iTunes e sui processi in background di iTunes
• Se i client macOS e iOS/iPadOS non ricevono notifiche push Apple

Dipendenze AOSP Android

Informazioni sulla porta Android : a seconda di come si sceglie di gestire i dispositivi Android, potrebbe essere necessario aprire le porte Di Google Android Enterprise e/o la notifica push Android. Per altre informazioni sui metodi di gestione Android supportati, vedere la documentazione sulla registrazione di Android.

Dipendenze di Android Enterprise

Google Android Enterprise - Google fornisce la documentazione delle porte di rete e dei nomi host di destinazione necessari nel bluebook Android Enterprise, nella sezione Firewall del documento.

Notifica push Android : Intune usa Google Firebase Cloud Messaging (FCM) per la notifica push per attivare le azioni e gli archivi dei dispositivi. Questa operazione è richiesta sia dall'amministratore di dispositivi Android che da Android Enterprise. Per informazioni sui requisiti di rete di FCM, vedere Le porte FCM di Google e il firewall.

Dipendenze di autenticazione

Per altre informazioni, vedere URL e intervalli di indirizzi IP di Office 365.

Requisiti di rete per gli script di PowerShell e le app Win32

Se si usa Intune per distribuire script di PowerShell o app Win32, è anche necessario concedere l'accesso agli endpoint in cui risiede attualmente il tenant.

Per trovare la posizione del tenant (o l'unità di scalabilità di Azure), accedere all'interfaccia di amministrazione di Microsoft Intune, scegliere Dettagli tenant di amministrazione> tenant. La posizione si trova nella posizione tenant , ad esempio America del Nord 0501 o Europa 0202. Cercare il numero corrispondente nella tabella seguente. Tale riga indica il nome di archiviazione e gli endpoint della rete CDN a cui concedere l'accesso. Le righe sono differenziate per area geografica, come indicato dalle prime due lettere nei nomi (na = America del Nord, eu = Europa, ap = Asia Pacifico). La posizione del tenant è una di queste tre aree, anche se la posizione geografica effettiva dell'organizzazione potrebbe trovarsi altrove.

Microsoft Store

I dispositivi Windows gestiti che usano Microsoft Store, per acquisire, installare o aggiornare le app, devono accedere a questi endpoint.

API di Microsoft Store (AppInstallManager):

• displaycatalog.mp.microsoft.com
• purchase.md.mp.microsoft.com
• licensing.mp.microsoft.com
• storeedgefd.dsx.mp.microsoft.com

Configurazione del proxy

• Prerequisiti per Microsoft Store per le aziende e l'istruzione

Agente di Windows Update:

Per informazioni dettagliate, vedere le risorse seguenti:

• Gestire gli endpoint di connessione per Windows 11 Enterprise
• Gestire gli endpoint di connessione per Windows 10 Enterprise, versione 21H2

Download del contenuto Win32:

I percorsi e gli endpoint di download del contenuto Win32 sono univoci per ogni applicazione e sono forniti dal server di pubblicazione esterno. Puoi trovare la posizione per ogni app Win32 Store usando il comando seguente in un sistema di test (puoi ottenere il [PackageId] per un'app dello Store facendo riferimento alla proprietà Identificatore pacchetto dell'app dopo averla aggiunta a Microsoft Intune):

winget show [PackageId]

La proprietà Url del programma di installazione mostra il percorso di download esterno o la cache di fallback basata sull'area (ospitata da Microsoft) in base al fatto che la cache sia in uso. Si noti che il percorso di download del contenuto può cambiare tra la cache e la posizione esterna.

Cache di fallback dell'app Win32 ospitata da Microsoft:

• Varia in base all'area, ad esempio: sparkcdneus2.azureedge.net, sparkcdnwus2.azureedge.net

Ottimizzazione recapito (facoltativo, obbligatorio per il peering):

Per informazioni dettagliate, vedere la risorsa seguente:

• Endpoint di contenuto e servizi di Microsoft Connected Cache

Migrazione dei criteri di conformità dell'attestazione dell'integrità dei dispositivi all'attestazione di Microsoft Azure

Se un cliente abilita uno dei criteri di conformità di Windows 10/11 - Impostazioni di integrità dei dispositivi, i dispositivi Windows 11 inizieranno a usare un servizio di attestazione di Microsoft Azure (MAA) in base alla posizione del tenant di Intune. Tuttavia, gli ambienti Windows 10 e GCCH/DOD continueranno a usare l'endpoint DHA di attestazione dell'integrità del dispositivo esistente "has.spserv.microsoft.com" per la segnalazione dell'attestazione dell'integrità dei dispositivi e non è interessato da questa modifica.

Se un cliente ha criteri firewall che impediscono l'accesso al nuovo servizio MAA di Intune per Windows 11, i dispositivi Windows 11 con criteri di conformità assegnati usando una delle impostazioni di integrità del dispositivo (BitLocker, Avvio protetto, Integrità del codice) non saranno conformi perché non riescono a raggiungere gli endpoint di attestazione MAA per la loro posizione.

Assicurarsi che non siano presenti regole del firewall che bloccano il traffico HTTPS/443 in uscita e che l'ispezione del traffico SSL non sia eseguita per gli endpoint elencati in questa sezione, in base alla posizione del tenant di Intune.

Per trovare il percorso del tenant, passare all'interfaccia > di amministrazione> di Intune Statotenant Stato tenant>Dettagli tenant, vedere Percorso del tenant.

Servizio di distribuzione di Windows Update per le aziende

Per altre informazioni sugli endpoint necessari per il servizio di distribuzione Windows Update for Business, vedere Prerequisiti del servizio di distribuzione Windows Update for Business.

Analisi degli endpoint

Per altre informazioni sugli endpoint necessari per endpoint analitica, vedere Configurazione del proxy analitica endpoint.

Microsoft Defender per endpoint

Per altre informazioni sulla configurazione della connettività di Defender per endpoint, vedere Requisiti di connettività.

Per supportare la gestione delle impostazioni di sicurezza di Defender per endpoint, consentire i nomi host seguenti tramite il firewall. Per la comunicazione tra i client e il servizio cloud:

• *.dm.microsoft.com: l'uso di un carattere jolly supporta gli endpoint del servizio cloud usati per la registrazione, l'archiviazione e la creazione di report e che possono cambiare man mano che il servizio viene ridimensionato.

  Importante

  L'ispezione SSL non è supportata per gli endpoint necessari per Microsoft Defender per endpoint.

Gestione dei privilegi degli endpoint di Microsoft Intune

Per supportare Endpoint Privilege Management, consentire i nomi host seguenti sulla porta TCP 443 tramite il firewall

Per la comunicazione tra i client e il servizio cloud:

• *.dm.microsoft.com: l'uso di un carattere jolly supporta gli endpoint del servizio cloud usati per la registrazione, l'archiviazione e la creazione di report e che possono cambiare man mano che il servizio viene ridimensionato.

• *.events.data.microsoft.com : usato dai dispositivi gestiti da Intune per inviare dati di report facoltativi all'endpoint di raccolta dati di Intune.

  Importante

  L'ispezione SSL non è supportata sugli endpoint necessari per Endpoint Privilege Management.

Per altre informazioni, vedere Panoramica di Endpoint Privilege Management.

Argomenti correlati

URL e intervalli di indirizzi IP per Office 365

Informazioni generali sulla connettività di rete di Microsoft 365

Reti per la distribuzione di contenuti (CDN)

Altri endpoint non inclusi nel servizio Web URL e indirizzo IP di Office 365

Gestione degli endpoint di Office 365