#intune

Intune to usługa Microsoftu do zarządzania firmowymi urządzeniami z poziomu chmury. Pozwala wymusić ustawienia na komputerze i telefonie, przypilnować aktualizacji, zainstalować oprogramowanie i usunąć dane służbowe ze sprzętu, do którego nie ma się fizycznego dostępu.

Na czym polega zarządzanie urządzeniem

Punktem wyjścia jest rejestracja urządzenia. Sprzęt zgłasza się do usługi, dostaje w niej tożsamość i od tej pory sam pyta, czy są dla niego nowe polecenia.

Kierunek tej rozmowy jest najważniejszą rzeczą do zrozumienia. To nie usługa łączy się z komputerem, tylko komputer regularnie odpytuje usługę. Działa to jak skrzynka pocztowa: firma zostawia w niej listy z poleceniami, a urządzenie zagląda tam co jakiś czas, gdziekolwiek jest, o ile ma internet. Dlatego laptop w delegacji dostaje nowe ustawienie tak samo jak komputer w biurze, a wyłączony sprzęt odbierze je przy najbliższym uruchomieniu, nie natychmiast.

Polecenia mają dwie postacie. Zasady opisują, jak urządzenie ma być skonfigurowane: szyfrowanie dysku, długość kodu blokady, termin instalacji aktualizacji, zakaz zapisu na pamięci przenośne. Reguły zgodności opisują natomiast, jaki stan urządzenia firma uznaje za bezpieczny, i to z nich bierze się najciekawszy mechanizm: sprzęt niespełniający reguł może stracić dostęp do firmowej poczty i plików, choć nadal działa.

Skąd Intune wie, że to nowy komputer

Osobną funkcją jest przygotowanie sprzętu prosto od dostawcy. Numer seryjny nowego komputera zostaje wcześniej zapisany po stronie firmy, więc urządzenie rozpoznaje się przy pierwszym uruchomieniu i samo pobiera konfigurację, zanim ktokolwiek się na nim zaloguje.

Skutek jest praktyczny: laptop może pojechać kurierem wprost do domu pracownika i po włączeniu doprowadzić się do firmowego stanu bez wizyty w biurze i bez obrazu systemu przygotowanego ręcznie.

Intune a zasady grupy

Zasady grupy w Active Directory robią pozornie to samo, czyli narzucają ustawienia. Różnica leży w zasięgu i w warunku działania.

Zasady grupy działają wewnątrz firmowej sieci, na maszynach należących do domeny, i wymagają kontaktu z kontrolerem domeny. Komputer, który przez pół roku nie był w biurze ani na firmowym połączeniu zdalnym, przez pół roku nie dostał żadnej zmiany.

Intune nie ma tego warunku, bo urządzenie łączy się z usługą przez internet. Za tę niezależność płaci się inaczej: zestaw ustawień jest inny niż w zasadach grupy i nie każde ustawienie znane z domeny ma tu swój odpowiednik.

Prywatne urządzenia

Osobny przypadek to telefon należący do pracownika, na którym ma być firmowa poczta. Da się wtedy wydzielić część służbową i objąć zarządzaniem wyłącznie ją, zostawiając resztę urządzenia poza zasięgiem firmy.

Rozdział ten nie dzieje się sam. Wymaga świadomej decyzji przy konfiguracji, bo pełne zarządzanie urządzeniem daje możliwość wyczyszczenia go w całości, razem ze zdjęciami właściciela. Różnica między usunięciem danych służbowych a wyczyszczeniem telefonu jest tu różnicą między procedurą a sporem.

Na co uważać

Zacząć trzeba od kolejności wdrażania. Reguła zgodności włączona od razu dla wszystkich odetnie od poczty każdego, kto nie zdążył spełnić wymagań, czyli zwykle sporą część firmy w poniedziałek rano. Reguły wprowadza się w trybie obserwacji, sprawdza raport, a dopiero potem włącza blokowanie.

Druga to licencje. Zarządzanie urządzeniami nie mieści się w najtańszych planach usług Microsoftu i bywa dokupywane osobno, więc koszt tej funkcji trzeba policzyć przed obietnicą złożoną zarządowi.

Trzecia to sprzęt, który do usługi nigdy nie trafił. Zarządzanie obejmuje wyłącznie urządzenia zarejestrowane, więc prywatny laptop używany do pracy poza jakąkolwiek rejestracją jest poza zasięgiem wszystkich zasad, a jednocześnie wewnątrz firmowych danych.

Kiedy Intune nie jest odpowiedzią

Firma pracująca w całości na stacjonarnych komputerach w jednym biurze, z działającą domeną, nie zyska na przeniesieniu zarządzania do chmury tyle, ile kosztuje ta zmiana. Usługa nie zastąpi też inwentaryzacji sprzętu ani systemu zgłoszeń: pokazuje stan urządzeń, które zna, i nic poza tym. Przy flocie maszyn produkcyjnych i urządzeń specjalistycznych trzeba osobno sprawdzić, czy w ogóle da się je objąć zarządzaniem, bo lista wspieranych systemów jest skończona.