從雲端管理行動裝置和電腦

適用於: Microsoft Intune

本指南可提供您哪些協助？ 身為小型企業的 IT 專業人員，您可以使用這份解決方案指南來了解我們建議的解決方案設計和實作步驟，透過雲端管理行動裝置和電腦，並讓公司中的人員使用他們所選擇的裝置來存取應用裝置和資料。

此解決方案指南將告訴您沒有本機伺服器的小型企業如何將其目前的基礎結構延伸至雲端，以支援行動裝置管理和攜帶您自己的裝置 (BYOD)需求 (在公司使用個人行動裝置與電腦來存取公司資源)。 除了透過雲端管理行動裝置與電腦，此解決方案也會說明如何讓公司裡的人使用選擇的裝置來存取應用程式與資料，同時在那些裝置上強制執行公司原則。

在本解決方案指南中：

• 案例、問題陳述和目標

• 此解決方案的建議設計

• 實作此解決方案的步驟

下圖說明此解決方案指南可解決的問題。

使用未受管理的行動裝置與電腦存取公司資料與應用程式的使用者。

案例、問題陳述和目標

本節說明案例、目前問題與您可能已設定的目標。 檢閱此解決方案以了解使用未受管理的行動裝置與電腦存取公司應用程式與資料之使用者面臨的問題之後，您可以判斷解決方案是否符合您的需求，或您是否需要針對您的特定商業環境調整解決方案。

案例

在此解決方案中，小型企業正在尋找僅限雲端的解決方案來管理行動裝置和電腦。 此解決方案最適用於小型企業，因為小型企業通常：

• IT 支援團隊較小。

• 倚賴網頁型的免費電子郵件讓員工溝通。

• 沒有內部部署伺服器。

• 未使用管理軟體來管理行動裝置或電腦。

問題陳述

要解決的整體問題是：

在沒有內部部署的伺服器狀況下，小型企業很難管理行動裝置和電腦，以及保護公司資料。 小型企業的員工十分機動，他們希望隨時都能夠輕鬆並持續地存取所需的應用程式以完成工作。 此外，無論使用何種裝置，員工都必須能夠完成工作。

目標

根據案例及所陳述的問題，需要能夠符合下列目標的行動裝置及電腦相關的管理解決方案：

• 無論員工使用的裝置是公司所有或個人所有，以單一管理主控台有效率地管理員工的行動裝置及電腦十分重要。 管理行動裝置和電子包含設定安全性和相容性設定、蒐集及維護軟體和硬體清查，以及部署軟體。

• 協助防止惡意程式碼感染與潛在垃圾軟體，以免感染連線到公司資產的電腦。

• 可在行動裝置遺失、遭竊或淘汰時清除除其上儲存的公司資料，以保護公司資料。

• 提供公司入口網站，讓員工註冊他們的裝置，存取授權的應用程式，以及連絡支援人員。

• 降低對內部部署伺服器的需求。

什麼是此解決方案的建議設計？

如稍早所述，我們對公司建議的解決方案是使用 Microsoft Intune 來管理公司擁有的和員工擁有的行動裝置和電腦。 系統管理員可以輕易使用 Microsoft Intune 系統管理入口網站，滿足其基本的行動裝置和電腦管理需求，並且使用 Microsoft Intune 公司入口網站部署應用程式或提供使用者自助服務。

觀賞此示範影片，以了解開始使用免費的 Microsoft Intune 試用版和管理您的第一個裝置是多麼容易：

為什麼我們會建議這種設計？

Microsoft Intune 是以雲端為基礎的電腦與行動裝置管理解決方案，不需要內部部署硬體即可運作，而且那些電腦與行動裝置是員工擁有或公司擁有並不重要。 使用 Microsoft Intune，您可以保護貴公司的資訊資產及管理存取公司資源與授權軟體的使用者，使用者可以使用公司入口網站自行安裝這些軟體。

下圖說明如何在沒有內部部署基礎結構的情況下使用 Microsoft Intune 來管理行動裝置與電腦。

使用 Microsoft Intune 來管理行動裝置與電腦

下表列出屬於這個解決方案設計的元素，並說明它們為何要包含在設計中。 此外，您也可以在 TechNet 上的 Microsoft Intune 文件庫中找到可用於實作 Microsoft Intune 的其他規劃資訊。

實作此解決方案的步驟有哪些？

使用本節中的步驟，實作解決方案。 請務必確認已正確部署每個步驟才繼續下一個步驟。

1. 註冊免費的 30 天試用版的 Microsoft Intune。 您可以註冊免費的 30 天試用版的 Microsoft Intune，以管理多達 25 部電腦與行動裝置。

   警告

   如果您的公司已經有 Microsoft Online Services 公司或學校帳戶，而且您在試用期結束時可能繼續擁有此 Microsoft Intune 訂閱，則您必須使用公司的「全域管理員」帳戶按一下 [登入] 頁面上的 [登入] 選項並驗證您的身分。 這個動作可確保您的 Microsoft Intune 試用版連結至現有的 Microsoft Online Services 帳戶。

   驗證步驟： 檢閱來自 Microsoft Online Services 小組的確認電子郵件，確定所有資訊都正確無誤，且您可以使用電子郵件中包含的使用者識別碼來登入 Microsoft Intune 帳戶入口網站。

2. 熟悉各種 Microsoft Intune 入口網站、 工作區與工作。 有三個 Microsoft Intune 入口網站必須注意：兩個可供您用來存取 Microsoft Intune 服務之各種功能的系統管理入口網站，以及一個可供您的使用者用來連線到 Microsoft Intune 服務的公司入口網站。

   Microsoft Intune 入口網站	驗證步驟
   Microsoft Intune 帳戶入口網站。 系統管理員可以使用 Microsoft Intune 帳戶入口網站為所有 Microsoft Onlice Services (包括 Microsoft Intune 和 Office 365) 管理使用者、群組及網域。 您可以使用帳戶入口網站來檢查您的訂閱狀態、新增訂閱、新增網域名稱，以及啟動新的使用者帳戶。 您也可以在該處進行設定並設定內部部署 Active Directory 網域服務 (AD DS) 執行個體的連結 (如果有的話)。	確定您可以使用您的租用戶系統管理員認證登入 Microsoft Intune 帳戶入口網站。
   Microsoft Intune 管理主控台。 Microsoft Intune 管理主控台是網頁型主控台，可協助您快速存取重要資訊與 Microsoft Intune 管理功能。 您可以在這裡管理使用者與裝置群組、設定原則設定、檢視警示及採取動作、檢閱報告，以及執行其他服務系統管理工作。	確定您可以使用您的租用戶系統管理員認證登入 Microsoft Intune 管理主控台。
   Microsoft Intune 公司入口網站。 若要自行註冊電腦，使用者必須先存取 Microsoft Intune 公司入口網站，並使用他們的 Microsoft Intune 使用者識別碼來登入。 身為系統管理員，您可以從管理主控台的 [管理] 工作區，設定公司入口網站設定，像是公司名稱、支援聯絡人資訊，以及隱私權聲明連結。 別忘了您需要傳送指示給使用者，說明當其進入公司入口網站時可能會看到的項目。 請務必包含其使用者識別碼與臨時密碼、將其電腦與行動裝置連線到 Microsoft Intune 的步驟、有關如何瀏覽及安裝應用程式的資訊，以及如何連絡 IT 以取得協助的資訊。	確定您可以使用您的租用戶系統管理員認證登入 Microsoft Intune 公司入口網站。

3. 新增 Microsoft Intune 使用者與系統管理員。

   租用戶系統管理員可以使用帳戶入口網站將使用者新增到 Microsoft Intune 使用者群組，以指派訂閱授權給使用者。 新增使用者到帳戶入口網站中維護的 Microsoft Intune 使用者群組，也是讓那些使用者顯示在 Microsoft Intune 管理主控台的方式。

   在帳戶入口網站中，Microsoft Intune 服務系統管理員帳戶的建立方式與一般使用者帳戶建立方式不同。 相反地，您可以選擇指派系統管理權限給現有的使用者。 在 [系統管理] 工作區之系統管理下的管理主控台中，您可以指派唯讀存取權或完整存取權系統管理權限給使用者。 被指派唯讀存取權的服務系統管理員無法修改 Microsoft Intune 設定，但他們可以檢視資料及執行報告。 具有完整存取權的服務系統管理員擁有所有可能的系統管理權限。

   您可以使用 Microsoft Intune 管理主控台來檢視租用戶系統管理員資訊，但是您無法在該處建立它們。 根據預設值，訂閱擁有者會成為您 Microsoft Intune 服務的租用戶系統管理員，而且會擁有 Microsoft Intune 帳戶入口網站與 Microsoft Intune 管理主控台的完整存取權。 我們建議您先使用帳戶入口網站建立至少一個額外的租用戶系統管理員帳戶來協助委派工作，並確保您在忘記密碼時不會無法存取 Microsoft Intune 服務系統管理員帳戶。

   驗證步驟：

   • 將使用者帳戶新增到帳戶入口網站中的 Microsoft Intune 群組之後，請確定使用者帳戶出現在 Microsoft Intune 管理主控台的 All Users 群組中。

   • 登出管理主控台，然後確定您可以使用新指派的服務系統管理員認證重新登入。

4. 建立群組來組合管理使用者與裝置。 在 Microsoft Intune 中，群組是用來協助您管理使用者、行動裝置、電腦和軟體部署。Microsoft Intune 使用兩種類型的群組，而您可以在 Microsoft Intune 系統管理員主控台中建立這些群組：

   • 使用者群組。 「使用者群組」是用來讓使用者與目標行動裝置安全性原則可以使用授權的軟體。

   • 裝置群組。 「裝置群組」是用來部署軟體與更新，並設定「Microsoft Intune 代理程式」設定與「Windows 防火牆設定」原則。

   驗證步驟： 建立新的群組時，您應該會看到它們顯示在 Microsoft Intune 管理主控台。

5. 設定行動裝置和電腦原則。Microsoft Intune 的原則可以讓您進行設定以協助保護行動裝置、部署電腦更新、防範惡意程式、維護防火牆設定，以及強化使用者體驗。

   您可以設定及部署 Microsoft Intune 原則至群組，以管理 電腦上的 Microsoft Intune 用戶端與行動裝置 原則型設定。 新增並部署新的原則之後，您套用原則之群組中的所有使用者或裝置，都會繼承該設定以做為其基準原則。 您可以隨時從 [原則] 工作區檢閱並視需要編輯這些原則的詳細資料。

   驗證步驟： 新增原則時，您應該會看到它們顯示在 Microsoft Intune 管理主控台。

6. 在電腦上安裝 Microsoft Intune 用戶端。Microsoft Intune 用戶端是用來管理電腦 ，而且可以安裝在任何網域中已加入網域的電腦上與未加入網域的電腦上。 將 Microsoft Intune 安裝在支援的電腦作業系統上之後，Microsoft Intune 用戶端可提供應用程式管理、Endpoint Protection、硬體與軟體清查、遠端控制 (透過遠端協助要求)、軟體更新與合規設定報告。

   您可以在沒有內部部署基礎結構的情況下，使用下列其中一種方式在 Microsoft Intune 中註冊電腦：

   • 您可以手動部署 Microsoft Intune 用戶端軟體。 在此部署類型中，系統管理員必須下載 Microsoft Intune 用戶端軟體並手動將它安裝在每部電腦上。 若要下載 Microsoft Intune 用戶端軟體，請開啟 Microsoft Intune 管理主控台，然後在 [用戶端軟體下載] 區域中下載用戶端軟體套件。 用戶端軟體安裝之後，Microsoft Intune 會自動視需要安裝額外的軟體來管理電腦。

   • 使用者可以自行註冊其每一部電腦 (透過 Microsoft Intune 公司入口網站)。 每部已註冊的電腦接著會自動連結到用於安裝 Microsoft Intune 用戶端軟體的使用者帳戶。

   • 您可以在部署作業系統時部署 Microsoft Intune 用戶端軟體。

   在電腦上安裝 Microsoft Intune 用戶端時，預設會安裝 Microsoft Intune Endpoint Protection。 Endpoint Protection 有助於加強您組織中電腦的安全性，方式是提供即時保護以防範潛在威脅、將惡意軟體定義維持在最新狀態，以及自動執行排定的掃描。 為了提高安全性，您也可以在受管理的電腦上使用 Microsoft Intune 原則來管理 Windows 防火牆設定。

   驗證步驟：  

   • 確定您可以在 Windows 桌面底部工作列中看到 Microsoft Intune 用戶端圖示，而且按一下該圖示時會顯示 [技術支援] 與 [公司入口網站] 選項。

     • [技術支援] 選項應該會開啟「Microsoft Intune 中心」。 在該處，您可以看到技術支援連絡資訊和其他選項，例如檢查可用的應用程式或軟體更新，以及使用 Endpoint Protection 掃描電腦中是否有惡意程式碼。

     • [公司入口網站] 選項應該會開啟網頁瀏覽器，並顯示 Microsoft Intune [登入] 頁面。 登入公司或學校帳戶之後，您應該會看到您的公司入口網站具下列選項：連絡 IT、新增裝置以及取得適用於裝置的所有應用程式。

7. 準備行動裝置管理。 註冊行動裝置之前，您必須準備 Microsoft Intune 服務，方式是在 [系統管理] 工作區的 [行動裝置管理] 頁面上選取適當的行動裝置管理授權單位設定。 行動裝置管理授權單位設定會決定您是使用 Microsoft Intune 或 System Center Configuration Manager 含 Microsoft Intune 整合來管理行動裝置。 在此解決方案中，會在不使用 System Center Configuration Manager 整合的情況下使用 Microsoft Intune，因此您應該設定為 Microsoft Intune。

   重要

   請仔細考慮您只要使用 Microsoft Intune 或要使用 System Center Configuration Manager 含 Microsoft Intune 整合來管理行動裝置。 將行動裝置管理授權單位設定為其中一個選項之後，就無法變更。

   除了設定行動裝置管理授權單位之外，可能需要針對您公司中使用的裝置執行其他工作以準備管理行動裝置。 例如， Windows RT 與 Windows Phone 裝置在註冊程序中需要存取註冊伺服器，而且您需要 Apple Push Notification Service (APN) 憑證才能管理 iOS 裝置。

   驗證步驟： 在繼續之前，請先確定行動裝置管理授權單位已設定為 Microsoft Intune，而且您已經完成為了支援您打算支援之行動裝置類型所需的任何其他工作。

8. 註冊行動裝置。 您不需要在支援的行動裝置上安裝 Microsoft Intune 用戶端軟體。 相反地，它們是使用公司入口網站或公司應用程式 Windows Phone 設定在 Microsoft Intune 服務中註冊。

   在 Microsoft Intune 中註冊行動裝置之後，裝置管理功能可供應用程式管理、受管理應用程式的硬體與軟體清查，以及合規設定報告等功能使用。 您可以保護公司資料，方式是將安全性原則部署到使用者群組以協助保護公司資料，以及在行動裝置遺失、遭竊或淘汰時使用 Microsoft Intune 遠端抹除功能來刪除行動裝置上儲存的公司資料。

   驗證步驟：  

   • 確定「公司入口網站」應用程式已在行動裝置上成功安裝。 如果尚未安裝，您需要以手動方式散發。

   • 使用公司或學校帳戶登入之後，您應該會看到已可用的所有應用程式連結與已連結的裝置 (與您用來登入的使用者帳戶關聯)。

9. 部署應用程式到行動裝置與電腦。 您可以使用 Microsoft Intune 來執行兩種類型的軟體安裝：必要的安裝：此功能會將軟體自動安裝或推送到受管理的電腦；可用的安裝：此功能會將軟體或軟體的連結部署到 Microsoft Intune 公司入口網站，讓使用者可以選擇是否要將軟體安裝在其電腦或行動裝置上。

   • 在使用 Microsoft Intune 來部署軟體之前，您應該確定您有適當的授權可發行、散發及使用軟體。 [授權] 工作區可讓您針對透過 Microsoft 大量授權合約購買的軟體與透過其他方式購買的 Microsoft 或非 Microsoft 軟體新增及管理授權合約資訊。 然後，您可以建立授權報告，其中顯示整個公司的授權使用狀況資訊，讓您可以隨時掌握授權使用活動。

   • 使用者必須連結到其電腦，您才能使用 Microsoft Intune 來為其部署軟體。 不過，如果使用者沒有自動連結到電腦，您可以使用管理主控台來連結它們。 您可以將一位使用者連結到多部電腦，但每一部電腦只能連結到一位使用者。 在註冊期間，行動裝置使用者會自動連結到其裝置，而且使用者也會自動連結到他們使用公司入口網站新增到 Microsoft Intune 的任何電腦。

   • 確定授權符合規定且使用者已連結到裝置之後，您可以從 Microsoft Intune 管理主控台中的 [軟體] 工作區啟動「Microsoft Intune 軟體發行者」，以發行並部署軟體到行動裝置與電腦。 使用軟體發行者部署已發佈的應用程式有兩種方式：外部連結和軟體安裝程式套件。

     • 外部連結： 若要使用外部連結，您只需要提供線上應用程式市集中應用程式網址的連結。 接著，系統會在公司入口網站中將您提供的連結提供給使用者。 此連結可讓使用者從線上應用程式市集取得軟體，或將其重新導向到在裝置網頁瀏覽器上執行的網頁型應用程式。

     • 軟體安裝程式： 您也可以使用「Microsoft Intune 軟體發行者」直接將已簽署的應用程式套件上傳到 Microsoft Intune 服務，讓使用者從公司入口網站存取。 您可以使用軟體發行者來發行下列類型的安裝程式：Windows 安裝程式 (.exe 與 .msi 檔案)、Android 應用程式套件 (.apk 檔案類型)、iOS 應用程式套件 (.ipa 檔案類型)、Windows Phone 應用程式套件 (.xap 檔案類型) 與 Windows 應用程式套件 (.appx 檔案類型)。

       提示

       若要在試用評估期間簡化將軟體部署到 Windows Phone 8 裝置的程序，您可以使用 Windows Phone 8 的 Microsoft Intune 試用版管理支援工具，此支援工具提供必要的註冊權杖與範例應用程式供您在試用評估期間部署。 範例「公司入口網站」應用程式只能搭配試用帳戶使用，但您可以透過下載 Windows Phone 8 逐步解說指南，以取得有關在實際執行環境中部署應用程式到 Windows Phone 8 裝置的其他說明。

   驗證步驟： 確定當您使用與軟體部署關聯的使用者帳戶登入時，可以從公司入口網站取得已發行的應用程式。

10. 管理軟體更新核准。 您可以從 Microsoft Intune 管理主控台的 [更新] 工作區核准及部署 Microsoft 與非 Microsoft 更新到 Microsoft Intune 用戶端。 若要更明確地管理個別更新的核准，您可以使用 [更新] 工作區中每個更新的 [核准] 或 [拒絕] 選項。 您也可以使用 Microsoft Intune 自動核准規則來自動核准更新。

    驗證步驟： 核准新的更新之後，您應該會在管理主控台的 [更新] 工作區中看到它們的核准欄顯示 [是]。

11. 設定警示與通知。Microsoft Intune 警示是用來監視系統和軟體效能，或通知系統管理員需要採取動作。 您可以從 [警示] 工作區或設定服務將警示直接傳送到特定服務系統管理員電子郵件地址，來設定及監視。

    驗證步驟： 當警示產生時，您應該會看到它們顯示在 Microsoft Intune 管理主控台的 [警示] 工作區中。 如果已設定通知規則，指定的警示接收者應該會收到警示通知。

12. 建立報告以檢閱組織資料。Microsoft Intune 報告提供有關受管理之行動裝置與電腦的軟體更新、偵測到的軟體、電腦清查、行動裝置清查、授權購買與授權安裝報告的狀態資訊。

    報告可提供各種問題的解答，例如有多少部電腦安裝了特定的應用程式或更新、使用中電腦硬體和行動裝置的資訊，甚至軟體授權購買和使用活動。Microsoft Intune 提供了一組可以直接使用的內建報告範本，或者您可以根據 Microsoft Intune 工作負載內的檢視建立自訂報告。

    驗證步驟： 確定當您在 Microsoft Intune 管理主控台的 [報告] 工作區中檢視報告時，傳回的是您預期的資訊。 如果您建立新的報告，它應該會出現在您在其上建立報告之 [報告] 頁面的 [載入] 清單中。

僅限雲端實作完成。 完成實作步驟之後，將符合此解決方案中所列的所有目標，如下所示：

• 您可以從雲端式 Microsoft Intune 管理主控台有效地管理行動裝置與電腦，以設定安全性與合規設定、軟體與硬體清查，以及軟體部署。

• Microsoft Intune 用戶端電腦會由 Microsoft Intune Endpoint Protection 保護，使其免於惡意程式碼感染與垃圾軟體安裝。

• Microsoft Intune 遠端抹除功能可以在行動裝置遺失、遭竊或淘汰時抹除其上儲存的公司資料，以保護公司資料。

• 員工可以存取公司入口網站來提供自助功能，例如註冊自己的裝置、存取應用程式，以及連絡 IT。

• 因為這是僅限雲端的管理解決方案，而不需要內部部署硬體，因此可將伺服器與站台系統角色管理的需求降到最低。

您需要額外的逐步評估資訊嗎？ 如果需要，您應該檢閱 Microsoft Intune 文件庫中的 Microsoft Intune 評估指南。 該指南旨在提供設定新 Microsoft Intune 評估環境的逐步指示，以協助您評估 Microsoft Intune 的主要功能。

購買 Microsoft Intune 訂閱。 在評估 Microsoft Intune 之後，您應該準備好從 Microsoft Intune 免費試用版移轉到購買訂閱，讓它可以繼續為您的組織提供行動裝置與電腦管理服務。

您可以輕鬆地在帳戶入口網站的 [系統管理] 頁面上，將免費的試用版訂閱轉換為付費的完整版訂閱。 完整版訂閱可讓您繼續使用 Microsoft Intune 服務，而不會發生任何資料中斷或遺失的情況。 或者，您可以讓您初始試用版 Microsoft Intune 訂閱過期，以便您可以開始新的試用版訂閱並將其設定為符合您的生產環境需求，並準備購買 Microsoft Intune 完整版訂閱。

取得 Microsoft Intune 的技術協助。 您可以檢閱 Microsoft Intune 知識庫以了解已知問題。 此外，您可以連絡 Microsoft Intune 支援，以取得非技術問題 (例如帳務或訂閱問題) 或 Microsoft Intune 雲端式服務技術問題的電話支援與電子郵件支援。

另請參閱