HOWTO: 通过 Intune 为客户端配置以无提示方式登录 OneDrive
HOWTO: 通过 Intune 为客户端配置以无提示方式登录 OneDrive
如果企业客户端已经通过 Intune 来管理有一段时间，可能会注意到当用户完成 Autopilot，登录系统会发现 OneDrive 并没有自动配置，处于未登录状态，客户如果启动 OneDrive 会出现配置向导，需要完成账户登录验证等一系列的配置。早先有热心的 ITer 分享了一些经验，例如通过修改注册表或使用脚本来实现自动配置。随着微软不断完善 Intune 中的配置文件，现在终于原生支持配置 OneDrive 了！
如果你正打算为客户端实现以无提示方式登录 OneDrive，那么今天这篇分享将揭晓答案。在 Intune 设备配置文件中微软已经在“模板 - 管理模板”中添加了对“OneDrive”的支持。
在“计算机配置 - OneDrive”下，请启用“让客户使用 Windows 凭据以无提示方式登录 OneDrive 同步应用”，并根据需要启用“使用 OneDrive文件随选”，这个功能在启用后会仅以联机模式运行，可以避免将所有 OneDrive 文件同步回本地所引发的一些连锁问题。
相信随着 Intune 的不断完善，可令 ITer 更轻松快速的将基于本地管理的客户端切换至云端。如果你希望了解 GPO 在 Intune 下的支持情况，可以参考这篇文档 https://goxia.maytide.net/read.php/2003.htm，其中有提及如何利用 Intune 的 “组策略分析”功能来确认 Intune 当前对 GPO的支持情况和进度。如果你在关注 Intune 的发展或功能更新，推荐收藏并定期浏览 “Intune 新增功能”。
HOWTO：解决基于 Intune 管理的 Bitlocker 无法创建恢复密码和密钥
HOWTO：解决基于 Intune 管理的 Bitlocker 无法创建恢复密码和密钥
通过 Intune 我们可以在 Endpoint Manager 管理中心的“终结点安全性”下对客户端的“磁盘加密”进行管理。目前支持固定驱动器、可移动驱动器、OS 驱动器，以及基本设置的管理配置。
但不当的配置也会对客户端的正常部署造成困扰，正如本例所要分享的，IT人员希望借助“磁盘加密”策略实现客户端自动化静默启用 Bitlocker，但结果并不如人意。你可以看到如下图所示，设备在经历 Autopilot 配置进入系统桌面后，系统栏弹出磁盘加密的需求提示，当点击这个通知会弹出“是否已准备好开始加密？”的向导。
根据提示，确认没有安装和使用第三方的加密软件，但执行结果却失败了！提示“无法创建恢复密码和恢复密钥……”。此时，我们可以通过“事件查看器”，在“应用程序和服务日志 - Microsoft - Windows - Bitlocker-API - Management”下找到线索，可从下方截图中看到 ID 4103 的记录，Error Message 为“组策略设置不允许创建恢复密码”！！！既然是组策略的问题，且客户端是基于 Intune 管理的，那就要回到 Endpoint Manager 管理中心来排查。
检查磁盘加密策略，在“Bitlocker - OS 驱动器设置”下找到“系统驱动器恢复” - “恢复密码创建”，确认该配置为“允许”。
这是一个典型的配置问题，为避免不必要的错误发生，我们还是需要预先阅读各选项的详细说明，了解其设计意图和使用条件。
HOWTO: 通过 Intune 解决 BitLocker 启用 PIN 支持时的 0x803100B5 问题
HOWTO: 通过 Intune 解决 BitLocker 启用 PIN 支持时的 0x803100B5 问题
早先 gOxiA 分享了"HOWTO: 解决 BitLocker 启用 PIN 时的 0x803100B5 问题"，如果你所在的组织已经开始基于 Intune 实施现代管理，并希望借助 Intune 下发策略来为客户端 BitLocker 启用 PIN 支持，那么暂时可能会有些小问题，你会发现找遍所有配置文件类型都没有提供“启用 BitLocker 身份验证需要在平板电脑上预启动键盘输入”（Enable use of Bitlocker auth requiring preboot keyboard - OSEnablePrebootInputProtectorsOnSlates）这个配置选项，不论是现有的配置文件模板，还是管理模板，即使是可自定义的 CSP。
借助 Intune 提供的“组策略分析”功能，可以了解 Intune 当前对组织在应用的 GPO 的支持情况和进度，如下图所示，可确认 Intune 目前尚未提供 OSEnablePrebootInputProtectorsOnSlates 的支持。
解决方案
既然现有配置策略没有提供 OSEnablePrebootInputProtectorsOnSlates 的支持，那就只能使用下发 PowerShell 脚本实现。我们知道 GPO 配置对应相关注册表键值，我们只需要借助 PowerShell 向注册表写入键值即可，以下脚本可作为参考：
PowerShell 脚本文件准备完毕后便可转向 Intune 管理后台 Microsoft Endpoint Manager admin center，在“设备”下找到“脚本”即可添加。
需要注意的是因为注册表键值位于 HKLM 下，所以无需启用“使用已登录的凭据运行此脚本”，后面跟随向导完成即可，至此 BitLocker 启用 PIN 支持的 Intune 策略添加完毕，当我们使用 Intune 进行策略下发时如果没有可用的配置文件或 CSP，则需要借助 PowerShell 以脚本方式变通实现。
