Introduzione a Configuration Manager

I nuovi dipendenti possono lavorare in modo efficiente dal primo giorno.

Quando i dipendenti entrano nella società, devono attendere che le applicazioni vengano installate dopo il primo accesso.

Quando i dipendenti entrano nella società, effettuano l'accesso e le applicazioni vengono installate e sono pronte per l'utilizzo.

I dipendenti possono usare i propri dispositivi portatili sul lavoro, se i dispositivi sono conformi ai criteri di sicurezza monitorati e applicati. Questi criteri sono indicati di seguito:

• Password complesse

• Blocco dopo un periodo di inattività

• Cancellazione in modalità remota dei dispositivi mobili smarriti o rubati

I dipendenti connettono i propri dispositivi mobili a Exchange Server per il servizio di posta elettronica, ma non è possibile sapere con assoluta certezza se siano conformi ai criteri di sicurezza predefiniti specificati in Criteri cassetta postale di Exchange ActiveSync. È possibile che l'utilizzo personale di dispositivi mobili venga vietato a meno che l'IT non sia in grado di confermare l'adesione ai criteri.

L'organizzazione IT può segnalare la conformità di protezione dei dispositivi mobili con le impostazioni necessarie. Questa conferma consente agli utenti di continuare a usare il dispositivo mobile sul lavoro. Gli utenti possono cancellare il dispositivo mobile in modalità remota se viene smarrito o rubato e il supporto tecnico può cancellare il dispositivo mobile di qualsiasi utente segnalato come smarrito o rubato.

Prevedere la registrazione dei dispositivi mobili in un ambiente PKI per una maggiore sicurezza e un maggior controllo.

In genere, la continuità aziendale ha la precedenza sull'installazione delle applicazioni e degli aggiornamenti software necessari.

Le applicazioni e gli aggiornamenti software necessari vengono installati durante il giorno interrompendo spesso il lavoro degli utenti perché i computer rallentano o vengono riavviati durante l'installazione.

Gli utenti possono configurare l'orario lavorativo per evitare che il software necessario venga installato mentre usano il computer.

Davide verifica che i nuovi utenti dispongano di account utente in Active Directory e crea una nuova raccolta basata su query in Configuration Manager per questi utenti. Quindi definisce l'affinità utente dispositivo per questi utenti creando un file che associa gli account utente ai computer primari che utilizzeranno e importa il file in Configuration Manager.

Le applicazioni che i nuovi utenti devono avere già creato in Configuration Manager. Distribuisce quindi queste applicazioni con lo scopo di Richiesto nella raccolta che contiene i nuovi utenti.

Per le informazioni di affinità utente dispositivo, le applicazioni vengono installate per i computer primari di ogni utente prima che l'utente esegua l'accesso.

Le applicazioni sono pronte all'uso non appena l'utente esegue l'accesso.

Davide crea un connettore Exchange Server in Configuration Manager per gestire i dispositivi mobili che si collegano a Exchange Server in locale della società. Configura il connettore con le impostazioni di protezione che includono i requisiti per una password complessa e bloccano il dispositivo mobile dopo un periodo di inattività.

Davide dispone di Configuration Manager SP1, pertanto per la gestione aggiuntiva per i dispositivi che eseguono Windows Phone 8, Windows RT e iOS, ottiene una sottoscrizione di Microsoft Intune e quindi installa il ruolo del sistema del sito connettore di Microsoft Intune. Questa soluzione di gestione dei dispositivi mobile offre alla società un maggiore supporto di gestione per questi dispositivi. Ad esempio, la possibilità data agli utenti di installare le applicazioni su questi dispositivi e la gestione completa delle impostazioni. Inoltre, le connessioni ai dispositivi mobili sono protette mediante i certificati PKI creati automaticamente e distribuiti da Intune. Dopo aver configurato il connettore Microsoft Intune, Davide invia un messaggio di posta elettronica agli utenti proprietari dei dispositivi mobili in modo che possano fare clic su un collegamento per avviare il processo di registrazione.

Affinché i dispositivi mobili possano essere registrati da Intune, Davide usa le impostazioni di conformità per configurare le impostazioni di protezione per i dispositivi mobili. Queste impostazioni includono la necessità di configurare una password complessa e bloccare il dispositivo mobile dopo un periodo di inattività.

Con queste due soluzioni per la gestione dei dispositivi mobili, l'organizzazione IT ora può fornire informazioni sulla creazione di report dei dispositivi mobili usati nella rete aziendale e la relativa conformità alle impostazioni di protezione configurate.

Agli utenti viene ora mostrato come cancellare da remoto il dispositivo mobile usando il Catalogo applicazioni o il portale società in caso di perdita o furto del dispositivo mobile. Al supporto tecnico viene inoltre indicato come cancellare da remoto un dispositivo mobile per gli utenti usando la console di Configuration Manager.

Inoltre, per i dispositivi mobili registrati da Intune, Davide ora può distribuire le applicazioni mobili in modo che possano essere installate dagli utenti, raccogliere più dati inventario dai dispositivi e disporre di maggiore controllo della gestione di questi dispositivi poiché può accedere a più impostazioni.

Davide fa sapere agli utenti che possono configurare le loro ore di lavoro in Software Center e selezionare le opzioni per evitare le attività di distribuzione software durante questo periodo di tempo e quando il computer è in modalità presentazione.

Poiché gli utenti possono controllare quando Configuration Manager distribuisce software nei loro computer, gli utenti rimangono più produttivi durante le ore lavorative.

Tutti i computer eseguono software antimalware che dispone di file di definizione aggiornati e abilita Windows Firewall.

Computer diversi eseguono soluzioni antimalware diverse che non sono sempre aggiornate e, benché Windows Firewall sia abilitato per impostazione predefinita, a volte gli utenti lo disabilitano.

Agli utenti viene richiesto di contattare il supporto tecnico se viene rilevato software dannoso nel computer.

Tutti i computer eseguono la stessa soluzione antimalware che scarica automaticamente i file più recenti di aggiornamento della definizione e automaticamente riabilita Windows Firewall, se gli utenti lo disabilitano.

Il supporto tecnico riceve automaticamente una notifica tramite posta elettronica se viene rilevato software dannoso.

Le impostazioni di protezione per applicazioni specifiche vengono controllare regolarmente e aggiornate, se necessario.

I computer eseguono script di avvio complessi che si basano sull'appartenenza a gruppi di computer per reimpostare i valori del Registro di sistema per applicazioni specifiche.

Poiché questi script vengono eseguiti solo all'avvio e alcuni computer vengono lasciati accesi per giorni, il supporto tecnico non può controllare la deviazione della configurazione su base temporale.

I valori del Registro di sistema vengono controllati e aggiornati automaticamente senza basarsi sull'appartenenza al gruppo di computer o riavviare il computer.

I computer portatili che si spostano dalla rete Intranet a Internet devono essere protetti.

Gli utenti in viaggio spesso non riescono a connettersi tramite la connessione VPN quotidianamente e i portatili non sono più conformi ai requisiti di protezione.

È sufficiente una connessione Internet per mantenere i portatili conformi ai requisiti di protezione. Gli utenti non devono accedere o usare la connessione VPN.

Davide configura Endpoint Protection, abilita l'impostazione client per disinstallare altre soluzioni antimalware e abilita Windows Firewall. Configura le regole di distribuzione automatica in modo che i computer controllino e installino regolarmente gli aggiornamenti più recenti delle definizioni.

La soluzione antimalware unica consente di proteggere tutti i computer riducendo al minimo il carico amministrativo. Poiché il supporto tecnico riceve automaticamente una notifica tramite posta elettronica se viene rilevato antimalware, i problemi possono essere risolti rapidamente. In questo modo è possibile impedire attacchi in altri computer.

Davide usa le impostazioni di conformità per verificare la presenza di applicazioni specifiche. Quando vengono rilevate le applicazioni, gli elementi di configurazione verificano i valori del Registro di sistema e li aggiornano automaticamente se non sono conformi.

Usando gli elementi e le linee base di configurazione che sono distribuiti in tutti i computer e che controllano quotidianamente la conformità, non sono più necessari script distinti basati sull'appartenenza del computer e sul riavvio del computer.

Davide verifica che i server e i computer del sistema del sito dispongano dei certificati PKI che Configuration Manager richiede per le connessioni HTTPS e quindi installa i ruoli aggiuntivi del sistema del sito nella rete perimetrale che accetta le connessioni client da Internet.

I computer che si spostano automaticamente dalla rete Intranet a Internet continueranno a essere gestiti da Configuration Manager quando dispongono di una connessione a Internet. Tali computer non si basano sull'accesso degli utenti al computer o sulla connessione alla VPN.

Questi computer continueranno a essere gestiti per antimalware e Windows Firewall, aggiornamenti software ed elementi di configurazione. Di conseguenza, i livelli di conformità aumentano automaticamente.

Nei nuovi computer viene installato Windows 7.

Il supporto tecnico installa e configura Windows 7 per gli utenti e quindi invia il computer alla relativa posizione.

I nuovi computer vanno direttamente alla destinazione finale, sono collegati alla rete e installano e configurano Windows 7 automaticamente.

Alcuni computer devono disporre di criteri di gestione più rigorosi.

A causa dei criteri di gestione più rigorosi, questi computer non sono attualmente gestiti da Configuration Manager.

Gestire i computer usando Configuration Manager senza ulteriore carico amministrativo per gestire le eccezioni.

Davide acquisisce un'immagine del sistema operativo da un computer con Windows 7 installato e configurato in base alle specifiche della società. Distribuisce quindi il sistema operativo nei nuovi computer, usando il supporto di computer sconosciuti e PXE. Installa anche il client di Configuration Manager come parte della distribuzione del sistema operativo.

I nuovi computer risultano operativi più rapidamente senza interventi da parte del supporto tecnico.

Davide crea una raccolta per i computer per cui sono necessarie impostazioni più restrittive per i criteri, quindi crea un'impostazione personalizzata del dispositivo client per questa raccolta, che include la disabilitazione del controllo remoto, abilita l'immissione del PIN di BitLocker e consente solo agli amministratori locali di installare software.

Davide configura l'amministrazione basata su ruoli, in modo che i responsabili del supporto tecnico non possano visualizzare questa raccolta di computer, per evitare che vengano accidentalmente gestiti come computer standard.

Questi computer vengono ora gestiti da Configuration Manager, ma con impostazioni specifiche che non necessitano di un nuovo sito.

La raccolta per questi computer non risulta visibile ai responsabili del supporto tecnico, in modo da ridurre il rischio di invio accidentale di distribuzioni e script per computer standard.