Configurare il collegamento del tenant per supportare i criteri di sicurezza degli endpoint da Intune

Quando si usa lo scenario di collegamento del tenant di Configuration Manager, è possibile distribuire i criteri di sicurezza degli endpoint da Intune ai dispositivi gestiti con Configuration Manager. Per usare questo scenario, è necessario innanzitutto configurare il collegamento del tenant per Configuration Manager e abilitare le raccolte di dispositivi da Configuration Manager per l'uso con Intune. Dopo aver abilitato le raccolte per l'uso, usare l'interfaccia di amministrazione di Microsoft Intune per creare e distribuire criteri.

Requisiti per l'uso dei criteri di Intune per il collegamento del tenant

Per supportare l'uso dei criteri di sicurezza degli endpoint di Intune con i dispositivi di Configuration Manager, l'ambiente di Configuration Manager richiede le configurazioni seguenti. Le indicazioni per la configurazione sono disponibili in questo articolo:

Requisiti generali per il collegamento del tenant

• Configurare il collegamento al tenant : con lo scenario di collegamento del tenant , è possibile sincronizzare i dispositivi da Configuration Manager all'interfaccia di amministrazione di Microsoft Intune. È quindi possibile usare l'interfaccia di amministrazione per distribuire i criteri supportati in tali raccolte.

  Il collegamento al tenant viene spesso configurato con la co-gestione, ma è possibile configurare il collegamento tenant autonomamente.

• Sincronizzare i dispositivi e le raccolte di Configuration Manager : dopo aver configurato il collegamento del tenant, è possibile selezionare i dispositivi di Configuration Manager da sincronizzare con l'interfaccia di amministrazione di Microsoft Intune. È anche possibile tornare in un secondo momento per modificare i dispositivi sincronizzati.

  Dopo aver selezionato i dispositivi da sincronizzare, è necessario abilitare le raccolte per l'uso con i criteri di sicurezza degli endpoint da Intune. I criteri supportati per i dispositivi di Configuration Manager possono essere assegnati solo alle raccolte abilitate.

• Autorizzazioni per l'ID Microsoft Entra : per completare la configurazione del collegamento del tenant, l'account deve disporre delle autorizzazioni di amministratore globale per la sottoscrizione di Azure.

• Tenant per Microsoft Defender per endpoint : il tenant di Microsoft Defender per endpoint deve essere integrato con il tenant di Microsoft Intune (sottoscrizione di Microsoft Intune Piano 1). Vedere Usare Microsoft Defender per endpoint nella documentazione di Intune.

Requisiti di versione di Configuration Manager per i criteri di sicurezza degli endpoint di Intune

Antivirus

Gestire le impostazioni antivirus per i dispositivi di Configuration Manager quando si usa il collegamento tenant.

Percorso dei criteri:

• Windows antivirus > per la sicurezza > degli endpoint (ConfigMgr)

Profili:

• Microsoft Defender Antivirus (anteprima)
• Esperienza di sicurezza di Windows (anteprima)

Versione obbligatoria di Configuration Manager:

• Configuration Manager Current Branch versione 2006 o successiva

Piattaforme per dispositivi di Configuration Manager supportate:

• Windows 8.1 (x86, x64), a partire da Configuration Manager versione 2010
• Windows 10 e versioni successive (x86, x64, ARM64)
• Windows 11 e versioni successive (x86, x64, ARM64)
• Windows Server 2012 R2 (x64), a partire da Configuration Manager versione 2010
• Windows Server 2016 e versioni successive (x64)

Rilevamento endpoint e risposta

Per gestire le impostazioni dei criteri di rilevamento e risposta degli endpoint per i dispositivi di Configuration Manager quando si usa il collegamento tenant.

Piattaforma: Windows (ConfigMgr)

Profilo: Rilevamento e risposta degli endpoint (ConfigMgr)

Versione obbligatoria di Configuration Manager:

• Configuration Manager Current Branch versione 2002 o successiva, con aggiornamento nella console Configuration Manager 2002 Hotfix (KB4563473)
• Configuration Manager Technical Preview 2003 o versione successiva

Piattaforme per dispositivi di Configuration Manager supportate:

• Windows Server 8.1 (x86, x64), a partire da Configuration Manager versione 2010
• Windows 10 e versioni successive (x86, x64, ARM64)
• Windows 11 e versioni successive (x86, x64, ARM64)
• Windows Server 2012 R2 (x64) a partire da Configuration Manager versione 2010
• Windows Server 2016 e versioni successive (x64)

Firewall

Il supporto per i dispositivi gestiti da Configuration Manager è disponibile in anteprima.

Gestire le impostazioni dei criteri del firewall per i dispositivi di Configuration Manager quando si usa il collegamento tenant.

Percorso dei criteri:

• Firewall di sicurezza > degli endpoint

Profili:

• Windows Firewall (ConfigMgr)

Versione obbligatoria di Configuration Manager:

• Configuration Manager Current Branch versione 2006 o successiva, con aggiornamento nella console Configuration Manager 2006 Hotfix (KB4578605)

Piattaforme per dispositivi di Configuration Manager supportate:

• Windows 11 e versioni successive (x86, x64, ARM64)
• Windows 10 e versioni successive (x86, x64, ARM64)

Configurare Configuration Manager per supportare i criteri di Intune

Prima di distribuire i criteri di Intune nei dispositivi di Configuration Manager, completare le configurazioni descritte in dettaglio nelle sezioni seguenti. Queste configurazioni consentono di eseguire l'onboarding dei dispositivi di Configuration Manager con Microsoft Defender per endpoint e di usarli con i criteri di Intune.These configurations onboard your Configuration Manager devices with Microsoft Defender for Endpoint, and enable them to work with the Intune policies.

Le attività seguenti vengono completate nella console di Configuration Manager. Se non si ha familiarità con Configuration Manager, collaborare con un amministratore di Configuration Manager per completare queste attività.

1. Verificare l'ambiente di Configuration Manager
2. Configurare il collegamento e la sincronizzazione dei dispositivi del tenant
3. Selezionare i dispositivi da sincronizzare
4. Abilitare le raccolte per i criteri di sicurezza degli endpoint

Attività 1: Confermare l'ambiente di Configuration Manager

I criteri di Intune per i dispositivi di Configuration Manager richiedono versioni minime diverse di Configuration Manager, a seconda di quando il criterio è stato rilasciato per la prima volta. Esaminare i requisiti di versione di Configuration Manager per i criteri di sicurezza degli endpoint di Intune disponibili in precedenza in questo articolo per verificare che l'ambiente supporti i criteri che si prevede di usare. Una versione più recente di Configuration Manager supporta criteri che richiedono una versione precedente.

Quando è necessario un hotfix di Configuration Manager, è possibile trovare l'hotfix come aggiornamento nella console per Configuration Manager. Per altre informazioni, vedere Installare gli aggiornamenti nella console nella documentazione di Configuration Manager.

Dopo aver installato gli aggiornamenti necessari, tornare qui per continuare a configurare l'ambiente per supportare i criteri di sicurezza degli endpoint dall'interfaccia di amministrazione di Microsoft Intune.

Attività 2: Configurare il collegamento e la sincronizzazione dei dispositivi del tenant

Con il collegamento del tenant, è possibile specificare raccolte di dispositivi dalla distribuzione di Configuration Manager per la sincronizzazione con l'interfaccia di amministrazione di Microsoft Intune. Dopo la sincronizzazione delle raccolte, usare l'interfaccia di amministrazione per visualizzare le informazioni su tali dispositivi e per distribuire i criteri di sicurezza degli endpoint da Intune a tali dispositivi.

Per altre informazioni sullo scenario di collegamento del tenant, vedere Abilitare il collegamento del tenant nel contenuto di Configuration Manager.

Abilitare il collegamento tenant quando la co-gestione non è stata abilitata

1. Nella console di amministrazione di Configuration Manager passare aPanoramicadell'amministrazione>>Gestione condivisadi Servizi> cloud.

2. Sulla barra multifunzione selezionare Configura co-gestione per aprire la procedura guidata.

3. Nella pagina Onboarding tenant selezionare AzurePublicCloud per l'ambiente. Il cloud di Azure per enti pubblici non è supportato.

   1. Scegliere Accedi. Usare l'account Amministratore globale per accedere.

   2. Verificare che l'opzione Carica nell'interfaccia di amministrazione di Microsoft Intune sia selezionata nella pagina Onboarding tenant .

   3. Rimuovere il controllo da Abilita registrazione client automatica per la co-gestione.

      Quando questa opzione è selezionata, la procedura guidata presenta pagine aggiuntive per completare la configurazione della co-gestione. Per altre informazioni, vedere Abilitare la co-gestione nel contenuto di Configuration Manager.

      

4. Selezionare Avanti e quindi Sì per accettare la notifica Crea applicazione Microsoft Entra . Questa azione esegue il provisioning di un'entità servizio e crea una registrazione dell'applicazione Microsoft Entra per facilitare la sincronizzazione delle raccolte con l'interfaccia di amministrazione di Microsoft Intune.

5. Nella pagina Configura caricamento configurare le raccolte di dispositivi da sincronizzare. È possibile limitare la configurazione alle raccolte di dispositivi o usare l'impostazione di caricamento del dispositivo consigliata per Tutti i dispositivi gestiti da Microsoft Endpoint Configuration Manager.

   Consiglio

   È possibile ignorare la selezione delle raccolte ora e successivamente usare le informazioni nell'attività seguente, Attività 3, per configurare le raccolte di dispositivi da sincronizzare con l'interfaccia di amministrazione di Microsoft Intune.

6. Selezionare Riepilogo per esaminare la selezione e quindi selezionare Avanti.

7. Al termine della procedura guidata, selezionare Chiudi.

Il collegamento al tenant è ora configurato e i dispositivi selezionati vengono sincronizzati con l'interfaccia di amministrazione di Microsoft Intune.

Abilitare il collegamento tenant quando si usa già la co-gestione

1. Nella console di amministrazione di Configuration Manager passare aPanoramicadell'amministrazione>>Gestione condivisadi Servizi> cloud.

2. Fare clic con il pulsante destro del mouse sulle impostazioni di co-gestione e scegliere Proprietà.

3. Nella scheda Configura caricamento selezionare Carica nell'interfaccia di amministrazione di Microsoft Intune e quindi Applica.

   L'impostazione predefinita per il caricamento del dispositivo è Tutti i miei dispositivi gestiti da Microsoft Endpoint Configuration Manager. È anche possibile scegliere di limitare la configurazione a una o poche raccolte di dispositivi.

   

4. Accedere con l'account amministratore globale quando richiesto.

5. Selezionare Sì per accettare la notifica Crea applicazione Microsoft Entra . Questa azione effettua il provisioning di un'entità servizio e crea una registrazione dell'applicazione Microsoft Entra per facilitare la sincronizzazione.

6. Selezionare OK per uscire dalle proprietà di co-gestione se sono state apportate modifiche. In caso contrario, passare all'attività 3 per abilitare selettivamente il caricamento del dispositivo nell'interfaccia di amministrazione di Microsoft Intune.

   Il collegamento al tenant è ora configurato e i dispositivi selezionati vengono sincronizzati con l'interfaccia di amministrazione di Microsoft Intune.

Attività 3: Selezionare i dispositivi da sincronizzare

Quando il collegamento tenant è configurato, è possibile selezionare i dispositivi da sincronizzare. Se non sono già stati sincronizzati i dispositivi o è necessario riconfigurare quelli sincronizzati, è possibile modificare le proprietà della co-gestione nella console di Configuration Manager a tale scopo.

Selezionare i dispositivi da caricare

1. Nella console di amministrazione di Configuration Manager passare aPanoramicadell'amministrazione>>Gestione condivisadi Servizi> cloud.

2. Fare clic con il pulsante destro del mouse sulle impostazioni di co-gestione e scegliere Proprietà.

3. Nella scheda Configura caricamento selezionare Carica nell'interfaccia di amministrazione di Microsoft Intune e quindi Applica.

   L'impostazione predefinita per il caricamento del dispositivo è Tutti i miei dispositivi gestiti da Microsoft Endpoint Configuration Manager. È anche possibile scegliere di limitare la configurazione a una o poche raccolte di dispositivi.

Attività 4: Abilitare le raccolte per i criteri di sicurezza degli endpoint

Dopo aver configurato i dispositivi per la sincronizzazione con l'interfaccia di amministrazione di Microsoft Intune, è necessario abilitare le raccolte per l'uso con i criteri di sicurezza degli endpoint. Quando si abilitano le raccolte di dispositivi per l'uso con i criteri di sicurezza degli endpoint da Intune, si rendono disponibili le raccolte configurate per essere destinate ai criteri di sicurezza degli endpoint.

Abilitare le raccolte per l'uso con i criteri di sicurezza degli endpoint

1. Da una console di Configuration Manager connessa al sito di primo livello fare clic con il pulsante destro del mouse su una raccolta di dispositivi sincronizzata con l'interfaccia di amministrazione di Microsoft Intune e scegliere Proprietà.

2. Nella scheda Sincronizzazione cloud abilitare l'opzione Rendi disponibile questa raccolta per assegnare i criteri di sicurezza degli endpoint dall'interfaccia di amministrazione di Microsoft Intune.

   • Non è possibile selezionare questa opzione se la gerarchia di Configuration Manager non è collegata al tenant.
   • Le raccolte disponibili per questa opzione sono limitate dall'ambito della raccolta selezionato per il caricamento del collegamento tenant.

   

3. Selezionare Aggiungi e quindi selezionare il gruppo Microsoft Entra che si vuole sincronizzare con Raccogliere i risultati dell'appartenenza.

4. Selezionare OK per salvare la configurazione.

   I dispositivi in questa raccolta possono ora eseguire l'onboarding con Microsoft Defender per endpoint e supportare l'uso dei criteri di sicurezza degli endpoint di Intune.

Visualizzare lo stato del connettore

Il connettore di Configuration Manager fornisce informazioni dettagliate sull'implementazione di Configuration Manager. Dall'interfaccia di amministrazione di Microsoft Intune è possibile esaminare i dettagli sul connettore di Configuration Manager, ad esempio l'ora dell'ultima sincronizzazione riuscita e lo stato della connessione.

Per visualizzare lo stato del connettore di Configuration Manager:

1. Accedere all'interfaccia di amministrazione di Microsoft Intune.

2. Selezionare Amministrazione tenant>Connettori e tokens>Microsoft Endpoint Configuration Manager. Selezionare una gerarchia di Configuration Manager che esegue la versione 2006 o successiva per visualizzare ulteriori informazioni.

   

   Nota

   Alcune informazioni non sono disponibili se la gerarchia esegue la versione 2006 o precedente di Configuration Manager.

Dopo aver confermato che la connessione a Configuration Manager da Microsoft Intune è integra, il tenant è stato collegato correttamente a Configuration Manager.

Visualizzare i dettagli del dispositivo locale

È possibile visualizzare i dettagli del client di Configuration Manager, tra cui raccolte, appartenenza a gruppi di limiti e informazioni client per un dispositivo specifico nell'interfaccia di amministrazione di Microsoft Intune.

Visualizzare i dettagli del client in base al dispositivo

Per visualizzare i dettagli del client per un dispositivo specifico, eseguire la procedura seguente:

1. In un browser passare all'interfaccia di amministrazione di Microsoft Intune.

2. Selezionare Dispositivi>tutti i dispositivi.

   I dispositivi caricati tramite collegamento tenant visualizzano ConfigMgr nella colonna Managed by .

   

3. Selezionare un dispositivo sincronizzato da Configuration Manager tramite il collegamento del tenant.

4. Selezionare Dettagli client per visualizzare altri dettagli.

   Una volta all'ora, vengono aggiornati i campi seguenti:

   • Ultima richiesta di criteri
   • Ora ultima attività
   • Punto di gestione

   

5. Selezionare Raccolte per elencare le raccolte del client.

   Le raccolte consentono di organizzare le risorse in unità gestibili.

   

Visualizzare un elenco di dispositivi in base all'utente

Per visualizzare un elenco di dispositivi appartenenti a un utente, eseguire la procedura seguente:

1. In un browser passare all'interfaccia di amministrazione di Microsoft Intune.

2. Selezionare Risoluzione dei problemi e supporto>risolvere i problemi>Selezionare l'utente.

   Se un utente è già visualizzato, scegliere Cambia utente per selezionare un altro utente.

3. Cercare o selezionare un utente elencato e quindi fare clic su Seleziona.

   Nella tabella Dispositivi sono elencati i dispositivi di Configuration Manager associati all'utente.

Per ulteriori informazioni sulla visualizzazione dei dettagli del client e sul collegamento del tenant, vedere Collegamento del tenant: dettagli del client ConfigMgr nell'interfaccia di amministrazione.

Visualizzare i dati dei dispositivi locali

Dall'interfaccia di amministrazione di Microsoft Intune è possibile visualizzare l'inventario hardware per i dispositivi di Configuration Manager caricati usando Esplora risorse.

Per visualizzare i dati del dispositivo da Esplora risorse:

1. In un browser passare all'interfaccia di amministrazione di Microsoft Intune.

2. Selezionare Dispositivi>tutti i dispositivi.

3. Selezionare un dispositivo sincronizzato da Configuration Manager tramite il collegamento del tenant.

   I dispositivi sincronizzati tramite collegamento tenant visualizzano ConfigMgr nella colonna Managed by . I dispositivi possono anche visualizzare co-gestiti quando si applicano sia Configuration Manager che Intune e visualizzare Intune quando si applica solo la gestione di Intune.

4. Selezionare Esplora risorse per visualizzare l'inventario hardware.

5. Cercare o selezionare una classe (un valore del dispositivo) per recuperare le informazioni dal client.

   

Esplora risorse può visualizzare una visualizzazione cronologica dell'inventario dei dispositivi nell'interfaccia di amministrazione di Microsoft Intune. Quando si esegue la risoluzione dei problemi, la presenza di dati cronologici sull'inventario può fornire informazioni preziose sulle modifiche apportate al dispositivo.

1. Nell'interfaccia di amministrazione di Microsoft Intune selezionare Esplora risorse se non è già selezionata.

2. Selezionare una classe (un valore del dispositivo).

3. Immettere una data personalizzata nel controllo selezione data/ora per ottenere i dati cronologici dell'inventario.

   

4. Chiudere Esplora risorse e tornare alle informazioni sul dispositivo selezionando l'icona X in alto a destra in Esplora risorse.

   

Per altre informazioni sulla visualizzazione dei dati del dispositivo per i dispositivi di collegamento del tenant, vedere Collegamento del tenant: Esplora risorse nell'interfaccia di amministrazione.

Visualizzare la gestione delle app locali

Dall'interfaccia di amministrazione di Microsoft Intune è possibile avviare un'installazione dell'applicazione in tempo reale per un dispositivo collegato al tenant. È possibile distribuire un'applicazione a un dispositivo o a un utente. È anche possibile ripristinare, rivalutare, reinstallare o disinstallare un'applicazione.

Per installare un'applicazione in un dispositivo locale, eseguire la procedura seguente:

1. In un browser passare all'interfaccia di amministrazione di Microsoft Intune.

2. Selezionare Dispositivi>tutti i dispositivi.

3. Selezionare un dispositivo sincronizzato da Configuration Manager tramite il collegamento del tenant.

   Come indicato in precedenza, i dispositivi sincronizzati tramite collegamento tenant visualizzano ConfigMgr nella colonna Managed by . I dispositivi visualizzano co-gestiti quando si applicano sia Configuration Manager che Intune e visualizzano Intune quando si applica solo la gestione di Intune.

4. Selezionare Applicazioni per visualizzare un elenco di app applicabili.

5. Selezionare un'applicazione che non è stata installata e quindi selezionare Installa.

   

Per ulteriori informazioni sulle applicazioni e sul collegamento del tenant, vedere Collegamento del tenant: installazione di un'applicazione dall'interfaccia di amministrazione.

Visualizzare gli script locali

È possibile eseguire gli script di PowerShell dal cloud su un singolo dispositivo gestito da Configuration Manager in tempo reale. È anche possibile consentire ad altri utenti, ad esempio helpdesk, di eseguire script di PowerShell. Questo offre tutti i vantaggi degli script di PowerShell definiti e approvati dall'amministratore di Configuration Manager da usare in questo nuovo ambiente.

1. In un browser passare all'interfaccia di amministrazione di Microsoft Intune.

2. Selezionare Dispositivi>tutti i dispositivi.

3. Selezionare un dispositivo sincronizzato da Configuration Manager tramite il collegamento del tenant.

   Come indicato in precedenza, i dispositivi sincronizzati tramite collegamento tenant visualizzano ConfigMgr nella colonna Managed by . I dispositivi visualizzano co-gestiti quando si applicano sia Configuration Manager che Intune e visualizzano Intune quando si applica solo la gestione di Intune.

4. Selezionare Script per visualizzare un elenco di script disponibili.

   Sono elencati gli script eseguiti di recente che hanno come destinazione direttamente il dispositivo. L'elenco include gli script eseguiti dall'interfaccia di amministrazione, dall'SDK o dalla console di Configuration Manager. Gli script avviati dalla console di Configuration Manager per le raccolte contenenti il dispositivo non vengono visualizzati, a meno che gli script non siano stati avviati in modo specifico per il singolo dispositivo.

   

Per ulteriori informazioni sull'esecuzione di script nei dispositivi collegati al tenant, vedere Collegamento del tenant: esecuzione di script dall'interfaccia di amministrazione.

Visualizzare la sequenza temporale degli eventi del dispositivo locale

Quando Configuration Manager sincronizza un dispositivo con Microsoft Intune tramite collegamento tenant, è possibile visualizzare una sequenza temporale degli eventi per tali dispositivi all'interno dell'interfaccia di amministrazione di Microsoft Intune. Questa sequenza temporale mostra le attività passate nel dispositivo che possono consentire di risolvere problemi.

Una volta al giorno Configuration Manager invia gli eventi del dispositivo locale all'interfaccia di amministrazione di Microsoft Intune. Nell'interfaccia di amministrazione sono visibili solo gli eventi raccolti dopo che il client riceve il criterio Abilita raccolta dati di analisi endpoint. È possibile generare facilmente eventi di test installando un'applicazione o un aggiornamento da Configuration Manager o riavviando il dispositivo. Gli eventi vengono conservati per 30 giorni.

Per visualizzare la sequenza temporale degli eventi del dispositivo:

1. In un browser passare all'interfaccia di amministrazione di Microsoft Intune.

2. Selezionare Dispositivi>tutti i dispositivi.

3. Selezionare un dispositivo sincronizzato da Configuration Manager tramite il collegamento del tenant.

   Come indicato in precedenza, i dispositivi sincronizzati tramite collegamento tenant visualizzano ConfigMgr nella colonna Managed by . I dispositivi visualizzano co-gestiti quando si applicano sia Configuration Manager che Intune e visualizzano Intune quando si applica solo la gestione di Intune.

4. Selezionare Sequenza temporale. Per impostazione predefinita, vengono visualizzati gli eventi delle ultime 24 ore.

   • Selezionare Sincronizza per recuperare i dati recenti generati sul client. Il dispositivo invia eventi una volta al giorno all'interfaccia di amministrazione per impostazione predefinita.
   • Utilizzare il pulsante Filtro per modificare l'intervallo di tempo, i livelli evento e il nome provider.
   • Se si seleziona un evento, è possibile visualizzarne il messaggio dettagliato.
   • Selezionare Aggiorna per ricaricare la pagina e visualizzare gli eventi appena raccolti.

   

Per altre informazioni sulla visualizzazione di eventi del dispositivo per i dispositivi collegati al tenant, vedere Collegamento del tenant: sequenza temporale del dispositivo nell'interfaccia di amministrazione.

Passaggi successivi

• Configurare i criteri di sicurezza degli endpoint per il rilevamento e la rispostadi antivirus, firewall ed endpoint.
• Altre informazioni su Microsoft Defender per endpoint.