Конечные точки сети для Microsoft Intune

В этой статье перечислены IP-адреса и параметры порта, необходимые для параметров прокси-сервера в развертываниях Microsoft Intune.

В качестве облачной службы Intune не требуется локальная инфраструктура, например серверы или шлюзы.

Доступ для управляемых устройств

Для управления устройствами, защищенными брандмауэрами и прокси-серверами, нужно включить возможность обмена данными с Intune.

• Конечные точки в этой статье разрешают доступ к портам, указанным в следующих таблицах.

• Для некоторых задач Intune требуется доступ к прокси-серверу без проверки подлинности к manage.microsoft.com, *.azureedge.net и graph.microsoft.com.

  Примечание.

  Проверка трафика SSL не поддерживается для "*.manage.microsoft.com", "*.dm.microsoft.com" или конечных точек аттестации работоспособности устройств (DHA), перечисленных в разделе соответствия требованиям.

Параметры прокси-сервера можно изменить на отдельных клиентских компьютерах. Кроме того, с помощью параметров групповой политики можно изменить параметры для всех клиентских компьютеров, защищенных указанным прокси-сервером.

Управляемые устройства должны иметь конфигурации с выбранным параметром Все пользователи, чтобы все пользователи могли получать доступ к службам через брандмауэры.

Скрипт PowerShell

Чтобы упростить настройку служб через брандмауэры, мы подключены к службе конечной точки Office 365. В настоящее время доступ к сведениям о конечной точке Intune осуществляется через скрипт PowerShell. Существуют другие зависимые службы для Intune, которые уже охвачены как часть службы Microsoft 365 и помечены как обязательные. Службы, уже охваченные Microsoft 365, не включаются в скрипт, чтобы избежать дублирования.

С помощью следующего сценария PowerShell можно получить список IP-адресов для службы Intune.

(invoke-restmethod -Uri ("https://endpoints.office.com/endpoints/WorldWide?ServiceAreas=MEM`&`clientrequestid=" + ([GUID]::NewGuid()).Guid)) | ?{$_.ServiceArea -eq "MEM" -and $_.ips} | select -unique -ExpandProperty ips

С помощью следующего сценария PowerShell можно получить список полных доменных имен, используемых Intune и зависимыми службами. При выполнении скрипта URL-адреса в выходных данных скрипта могут отличаться от URL-адресов в следующих таблицах. Как минимум, убедитесь, что url-адреса включены в таблицы.

(invoke-restmethod -Uri ("https://endpoints.office.com/endpoints/WorldWide?ServiceAreas=MEM`&`clientrequestid=" + ([GUID]::NewGuid()).Guid)) | ?{$_.ServiceArea -eq "MEM" -and $_.urls} | select -unique -ExpandProperty urls

Скрипт предоставляет удобный метод для перечисления и проверки всех служб, необходимых Intune и Autopilot, в одном расположении. Служба конечных точек может возвращать дополнительные свойства, например свойство category, которое указывает, следует ли настроить полное доменное имя или IP-адрес как Allow, Optimize или Default.

Конечные точки

Вам также требуются полные доменные имена, которые охватываются в рамках требований Microsoft 365. Для справки в следующих таблицах показана служба, к которую они привязаны, и список возвращенных URL-адресов.

Столбцы данных, показанные в таблицах:

• Идентификатор. Идентификатор строки, также известный как набор конечных точек. Этот идентификатор совпадает с тем, что возвращается веб-службой для набора конечных точек.

• Категория. Показывает, относится ли набор конечных точек к категории Optimize, Allow или Default. В этом столбце также перечислены наборы конечных точек, необходимые для сетевого подключения. Для наборов конечных точек, для которых не требуется сетевое подключение, мы предоставляем заметки в этом поле, чтобы указать, какие функции будут отсутствуют, если набор конечных точек заблокирован. Если вы исключаете всю область обслуживания, наборы конечных точек, перечисленные как обязательные, не требуют подключения.

  Вы можете ознакомиться с этими категориями и рекомендациями по управлению ими в статье Новые категории конечных точек Microsoft 365.

• ER: значение Да или True, если набор конечных точек поддерживается через Azure ExpressRoute с префиксами маршрутов Microsoft 365. Сообщество BGP, включающее указанные префиксы маршрутов, соответствует указанной области обслуживания. Если ER имеет значение No или False, ExpressRoute не поддерживается для этого набора конечных точек.

• Адреса: Списки полные доменные имена или доменные имена с подстановочными знаками и диапазоны IP-адресов для набора конечных точек. Обратите внимание, что диапазон IP-адресов имеет формат CIDR и может включать множество отдельных IP-адресов в указанной сети.

• Порты: Списки порты TCP или UDP, объединенные со списком IP-адресов для формирования конечной точки сети. Вы можете заметить некоторое дублирование в диапазонах IP-адресов, где перечислены разные порты.

Intune базовая служба

Зависимости Autopilot

Удаленная помощь

Intune зависимости

В этом разделе в следующих таблицах перечислены Intune зависимости, а также порты и службы, к которым обращается клиент Intune.

• Зависимости служб push-уведомлений Windows
• Зависимости оптимизации доставки
• Зависимости Apple
• Зависимости Android AOSP

Зависимости служб push-уведомлений Windows (WNS)

Для устройств с Windows под управлением Intune, использующих управление мобильными устройствами (MDM), действия устройства и другие непосредственные задачи требуют использования служб push-уведомлений Windows (WNS). Дополнительные сведения см. в разделе Пропуск трафика уведомлений Windows через брандмауэры предприятий.

Зависимости оптимизации доставки

Требования к портам . Для однорангового трафика оптимизация доставки использует 7680 для TCP/IP. Он использует Teredo на порту 3544 для обхода NAT (использование Teredo является необязательным). Для обмена данными между клиентом и службой используется HTTP или HTTPS через порт 80/443.

Требования к прокси-серверу . Чтобы использовать оптимизацию доставки, необходимо разрешить запросы диапазона байтов. Дополнительные сведения см. в разделе Требования к прокси для Центра обновления Windows.

Требования к брандмауэру . Разрешите следующие имена узлов через брандмауэр для поддержки оптимизации доставки. Для обмена данными между клиентами и облачной службой оптимизации доставки:

• *.do.dsp.mp.microsoft.com

Для метаданных оптимизации доставки:

• *.dl.delivery.mp.microsoft.com

Зависимости Apple

Дополнительные сведения см. в следующих источниках:

• Использование продуктов Apple в корпоративных сетях
• Порты TCP и UDP, используемые программными продуктами Apple
• Сведения о подключениях узлов серверов macOS, iOS/iPadOS и iTunes и фоновых процессах iTunes
• Если клиенты с macOS и iOS/iPadOS не получают push-уведомления Apple

Зависимости Android AOSP

Сведения о портах Android . В зависимости от того, как вы решили управлять устройствами Android, может потребоваться открыть порты Google Android Enterprise и (или) push-уведомление Android. Дополнительные сведения о поддерживаемых методах управления Android см. в документации по регистрации устройств Android.

Зависимости Android Enterprise

Google Android Для предприятий — Google предоставляет документацию по требуемым сетевым портам и именам узлов назначения в android Enterprise Bluebook в разделе Брандмауэр этого документа.

Push-уведомление Android— Intune использует Google Firebase Cloud Messaging (FCM) для push-уведомлений, чтобы активировать действия устройства и проверка. Это требуется как администратору устройств Android, так и Android Enterprise. Сведения о требованиях к сети для FCM см. в разделе о портах FCM и брандмауэре документа Google.

Зависимости проверки подлинности

Дополнительные сведения см. в статье Office 365 URL-адреса и диапазоны IP-адресов.

Требования к сети для сценариев PowerShell и приложений Win32

Если вы используете Intune для развертывания сценариев PowerShell или приложений Win32, необходимо также предоставить доступ к конечным точкам, в которых сейчас находится ваш клиент.

Чтобы найти расположение клиента (или единицу масштабирования Azure (ASU), войдите в центр администрирования Microsoft Intune, выберите Администрирование>клиента Сведения о клиенте. Расположение указано в поле Расположение клиента, например Северная Америка 0501 или Европа 0202. Соответствующий номер можно найти в приведенной ниже таблице. Эта строка сообщает, какое имя хранилища и конечные точки CDN следует предоставить доступ. Строки различаются по географическому региону, обозначаемому первыми двумя буквами в имени (na = Северная Америка, eu = Европа, ap = Азиатско-Тихоокеанский регион). Расположение клиента является одним из этих трех регионов, хотя фактическое географическое расположение вашей организации может находиться в другом месте.

Microsoft Store

Управляемым устройствам Windows, использующим Microsoft Store, для получения, установки или обновления приложений, требуется доступ к этим конечным точкам.

API Microsoft Store (AppInstallManager):

• displaycatalog.mp.microsoft.com
• purchase.md.mp.microsoft.com
• licensing.mp.microsoft.com
• storeedgefd.dsx.mp.microsoft.com

агент клиентский компонент Центра обновления Windows:

Дополнительные сведения см. в следующих ресурсах:

• Управление конечными точками подключения для Windows 11 Корпоративная
• Управление конечными точками подключения для Windows 10 Корпоративная версии 21H2

Скачивание содержимого Win32:

Расположения и конечные точки загрузки содержимого Win32 уникальны для каждого приложения и предоставляются внешним издателем. Расположение для каждого приложения Магазина Win32 можно найти с помощью следующей команды в тестовой системе (вы можете получить [PackageId] для приложения Магазина, указав ссылку на свойство Package Identifier приложения после добавления его в Microsoft Intune):

winget show [PackageId]

В свойстве URL-адреса установщика отображается внешнее расположение загрузки или резервный кэш на основе региона (размещенный в Майкрософт) в зависимости от того, используется ли кэш. Обратите внимание, что расположение загрузки содержимого может изменяться между кэшем и внешним расположением.

Резервный кэш приложений Win32, размещенный корпорацией Майкрософт:

• Зависит от региона, например : sparkcdneus2.azureedge.net, sparkcdnwus2.azureedge.net

Оптимизация доставки (необязательно, требуется для пиринга):

Дополнительные сведения см. в следующем ресурсе:

• Конечные точки содержимого и служб подключенного кэша Майкрософт

Перенос политик аттестации работоспособности устройств в аттестацию Microsoft Azure

Если клиент включает какие-либо из параметров Windows 10/11 "Политика соответствия — работоспособность устройств", Windows 11 устройства начнут использовать службу Microsoft Аттестация Azure (MAA) в зависимости от расположения клиента Intune. Однако среды Windows 10 и GCCH/DOD будут по-прежнему использовать существующую конечную точку DHA "has.spserv.microsoft.com" аттестации работоспособности устройств для создания отчетов об аттестации работоспособности устройств, и это изменение не повлияет на это.

Если у клиента есть политики брандмауэра, которые запрещают доступ к новой службе Intune MAA для Windows 11, то Windows 11 устройства с назначенными политиками соответствия, используя любые параметры работоспособности устройства (BitLocker, безопасная загрузка, целостность кода), не будут соответствовать требованиям, так как они не смогут связаться с конечными точками аттестации MAA для своего расположения.

Убедитесь, что нет правил брандмауэра, блокирующих исходящий трафик HTTPS/443, и что проверка трафика SSL не выполняется для конечных точек, перечисленных в этом разделе, в зависимости от расположения клиента Intune.

Чтобы найти расположение клиента, перейдите в центр администрирования Intune администрирования>> Состояниеклиента> Сведенияо клиенте, см. в разделе Расположение клиента.

Служба развертывания Windows Update для бизнеса

Дополнительные сведения о необходимых конечных точках для службы развертывания клиентский компонент Центра обновления Windows для бизнеса см. в разделе предварительные требования клиентский компонент Центра обновления Windows для службы развертывания для бизнеса.

Аналитика конечных точек

Дополнительные сведения о необходимых конечных точках для аналитики конечных точек см. в разделе Конфигурация прокси-сервера аналитики конечных точек.

Microsoft Defender для конечной точки

Дополнительные сведения о настройке подключения Defender для конечной точки см. в разделе Требования к подключению.

Чтобы поддерживать управление параметрами безопасности Defender для конечной точки, разрешите следующие имена узлов через брандмауэр. Для взаимодействия между клиентами и облачной службой:

• *.dm.microsoft.com. Использование подстановочного знака поддерживает конечные точки облачной службы, которые используются для регистрации, проверка и создания отчетов и которые могут изменяться по мере масштабирования службы.

  Важно!

  Проверка SSL не поддерживается в конечных точках, необходимых для Microsoft Defender для конечной точки.

Управление привилегиями на конечных точках Microsoft Intune

Для поддержки управления привилегиями конечных точек разрешите следующие имена узлов на TCP-порте 443 через брандмауэр.

Для взаимодействия между клиентами и облачной службой:

• *.dm.microsoft.com. Использование подстановочного знака поддерживает конечные точки облачной службы, которые используются для регистрации, проверка и создания отчетов и которые могут изменяться по мере масштабирования службы.

• *.events.data.microsoft.com — используется управляемыми Intune устройствами для отправки необязательных данных отчетов в конечную точку сбора данных Intune.

  Важно!

  Проверка SSL не поддерживается для конечных точек, необходимых для управления привилегиями конечных точек.

Дополнительные сведения см. в статье Обзор управления привилегиями конечных точек.

Статьи по теме

URL-адреса и диапазоны IP-адресов для Office 365

Обзор сетевого подключения Microsoft 365

Сети доставки содержимого (CDN)

Другие конечные точки, не включенные в веб-службу IP-адресов и URL-адресов Office 365

Управление конечными точками Office 365