HOWTO: 使用 Intune 远程重启设备
HOWTO: 使用 Intune 远程重启设备
我们继续 Intune 的相关知识学习，开始前也可通过以下链接回顾之前的内容。
"HOWTO: 为现有设备添加 Windows Autopilot 配置支持"
“HOWTO: 收集 DeviceID 用于测试 Windows Autopilot”
"HOWTO: 将收集的 Windows Autopilot DeviceID 添加到 Intune"
"HOWTO: 在 Intune 中为 Windows Autopilot 部署创建设备组"
"HOWTO: 在 Intune 中创建 Windows Autopilot 配置文件"
"HOWTO: 使用 Intune 部署 Microsoft Edge"
今天 gOxiA 将介绍如何通过 Intune 远程重启设备。当组织的设备已经开始通过 Intune 管理，那么你会在设备概述中看到可管理的操作选项，如下图所示。
在顶部的选项中我们能看到支持的管理功能，其中“重启”功能很容易理解，当发起重启后客户端设备将会收到从 Intune 发来的重启指令，如果当前用户为锁定状态，那么当再次解锁登录到系统后会收到注销登录的提示，倒计时为2分钟，如下图所示。
如果当前用户为已登录状态，也会收到提示，如下图所示，大概3分钟后会收到如上一截图一样的通知，开始2分钟倒计时，之后强制重启。
如果当前设备未有用户登录，当发起重启后，设备并不会立刻重启，当用户再次登录系统，才会收到注销通知，如果点击关闭则会等待3分钟出现2分钟倒计时，最后强制重启。
但是……但是……重点提示来了！
如果当前设备未有用户登录，或为锁定状态，那么在发起重启指令5分钟后，便会执行强制重启。
以上这些测试结果与 Docs 上的介绍有所出入，在当前文档中介绍发出重启指令后设备端不会收到重启通知，且可能会导致当前工作内容丢失。也许正因为涉及数据的原因，重启机制才发生了变更，并未如文档描述的那样执行。
不过现在这个重启功能其实也失去了它的真正意义，因为在某些特定场景下确实需要管理员立刻！马上！强制重启客户端设备。PS：或许这里的重启应该换个名字叫“紧急重启”！
最后，再与大家分享的是由 Intune 发起重启指令后，是可以通过 shutdown /a 来取消重启的。
Windows Autopilot 网络要求
Windows Autopilot 网络要求
在一些网络访问限制性更强的企业环境下，要确保 Windows Autopilot 能够正常的部署，需要为其创建网络访问白名单。由于 Windows Autopilot 依赖相关的 Internet 服务有很多，必须逐个对这些服务进行评估和配置，才能确保 Autopilot 正常工作。以下是 gOxiA 整理的主要服务相关信息：
- Windows Autopilot 部署服务，即 Windows Autopilot Deployment Service，当 Windows 10 设备网络连接就绪后将会连接到该服务。https://ztd.dds.microsoft.com https://cs.dds.microsoft.com
- Windows 激活：
https://go.microsoft.com/
http://go.microsoft.com/
https://login.live.com
https://activation.sls.microsoft.com/
http://crl.microsoft.com/pki/crl/products/MicProSecSerCA_2007-12-04.crl
https://validation.sls.microsoft.com/
https://activation-v2.sls.microsoft.com/
https://validation-v2.sls.microsoft.com/
https://displaycatalog.mp.microsoft.com/
https://licensing.mp.microsoft.com/
https://purchase.mp.microsoft.com/
https://displaycatalog.md.mp.microsoft.com/
https://licensing.md.mp.microsoft.com/
https://purchase.md.mp.microsoft.com/
- Azure Active Directory，由于涉及到身份验证所以必不可少的包含 AAD，具体可参考 https://docs.microsoft.com/zh-cn/office365/enterprise/office-365-ip-web-service
- Intune，在通过身份验证后，AAD 将在 Intune MDM 服务中出发设备注册，所以还要解决 Intune 的网络需求，具体可参考 https://docs.microsoft.com/zh-cn/intune/fundamentals/intune-endpoints
- 在 Autopilot 配置过程中，Windows 可以获取最新的更新补丁，为此建议确保 Windows Update 访问可用，但它不是必须的，因为在 Windows 更新无法访问时，Autopilot 仍将继续。
http://windowsupdate.microsoft.com
http://*.windowsupdate.microsoft.com
https://*.windowsupdate.microsoft.com
http://*.update.microsoft.com
https://*.update.microsoft.com
http://*.windowsupdate.com
http://download.windowsupdate.com
https://download.microsoft.com
http://*.download.windowsupdate.com
http://wustat.windows.com
http://ntservicepack.microsoft.com
- 在 Autopilot 部署过程中，会触发 Windows 更新， Store 应用和更新，Office更新和 Intune Win32 应用数据的下载，此过程将联系传递优化服务以启用对等共享内容，以便只有少数设备需要从 Internet 下载数据。如果传递优化服务不可访问，Autopilot 将继续从云中进行优化传递下载。除HTTP/HTTPS端口外，建议允许 TCP/IP 的 7680 和 3544 端口入站流量。
*.do.dsp.mp.microsoft.com
*.dl.delivery.mp.microsoft.com
*.emdl.ws.microsoft.com
- 时间同步也是 Autopilot 成功部署的关键因素之一，当 Windows 设备启动时，将会与网络时间服务器同步，以确保设备时间准确。为此，我们需要确保 time.windows.com 的 UDP 端口 123 能够访问。
- 域名服务（DNS）就不必过多介绍了，省略……
- 如果您在通过 Windows Analytics 收集部署信息，需确保 诊断数据 有效。具体可参考 https://docs.microsoft.com/zh-cn/windows/privacy/configure-windows-diagnostic-data-in-your-organization#manage-enterprise-diagnostic-data-level
- Windows 必须能够判断出设备可以访问 Internet，请确保能够通过 HTTP 访问 www.msftconnecttest.com，即 网络连接状态指示器（NCSI）
- Windows 推送通知服务（WNS），如果无法访问该服务，将不能接收来自应用和服务的通知，该服务不会阻止 Autopilot 部署，若要允许访问请配置通过 HTTPS 访问 *.wns.windows.com。
- 如果要部署 Store 应用，需确保能够访问如下 URL
login.live.com
login.windows.net
account.live.com
clientconfig.passport.net
windowsphone.com
* .wns.windows.com
* .microsoft.com
* .s-microsoft.com
www.msftncsi.com（Windows 10版本1607之前）
www.msftconnecttest.com/connecttest.txt（ 从Windows 10版本1607开始替换www.msftncsi.com）
- 如果您需要部署 Office 365 ，请参考 Office 365 URL 和 IP 地址范围
- 由于一些服务还需要检查证书吊销列表来确定服务中使用的证书，所以还需要参考 Office 365 URL 和 IP 地址范围，以及Office 365 证书链 继续访问配置。
- 如果在应用 Autopilot Self-Deploying Mode 或 Autopilot White Glove，还需确保能够访问如下 URL，这是因为带有 TPM 的设备在首次使用时需要从制造商哪里检索证书。
Intel- https://ekop.intel.com/ekcertservice
Qualcomm- https://ekcert.spserv.microsoft.com/EKCertificate/GetEKCertificate/v1
AMD- https://ftpm.amd.com/pki/aia
Infineon- https://pki.infineon.com
参考文档：
HOWTO: 为现有设备添加 Windows Autopilot 配置支持
HOWTO: 为现有设备添加 Windows Autopilot 配置支持
回顾：
“HOWTO: 收集 DeviceID 用于测试 Windows Autopilot”
"HOWTO: 将收集的 Windows Autopilot DeviceID 添加到 Intune"
"HOWTO: 在 Intune 中为 Windows Autopilot 部署创建设备组"
"HOWTO: 在 Intune 中创建 Windows Autopilot 配置文件"
"HOWTO: 使用 Intune 部署 Microsoft Edge"
Windows Autopilot 为组织提供了一种将原始的未接触过的 Windows 10 设备直接交付给最终用户的方法。在 Windows 10 1809或更高版本上提供了适用于现有设备的 Windows Autopilot。使用这个功能我们可以为那些从 Windows 7 升级而来的 Windows 10 设备提供 用户驱动模式（User Driven Mode）的 Windows Autopilot 支持。
其流程就是从 Intune 中获取 Windows Autopilot 的配置文件，并预先将该配置文件部署到这些设备上，在进入 Windows 10 OOBE 阶段会自动加载 Windows Autopilot 配置文件从而启动对应的部署过程。
首先，我们要在一台 Windows 设备上安装相应的 PowerShell 模块，它们是 AzureAD 以及 WindowsAutopilotIntune 模块，请以管理员权限打开 PowerShell，并执行以下命令：
以上模块安装完毕后，导入 WindowsAutoPilotIntune 模块，即：
然后执行“connect-msgraph”连接并进行身份验证。
如果登录成功，则会看到当前的账户和对应的 TenantID。
使用“get-autopilotprofile”可以获取到已经创建过的 Windows Autopilot 配置文件。
要使用这些配置文件，需要将其转换为 JSON 格式，为此执行命令：
之后会看到转换后的格式呢容，将 {} 段落间的内容全部复制，然后打开记事本程序，将内容粘贴进去，在保存时务必使用“ANSI”编码，且文件名必须是“autopilotconfigurationfile.json”。
如果想简便也可以执行使用 PowerShell 实现转换并保存为 JSON 文件，参考如下：
当获取到要使用的 Windows Autopilot 的配置文件（AutoPilotConfigurationFile.json）后，将其部署到目标设备的指定目录下，当进入 OOBE 阶段时便会应用该目录下的 Windows Autopilot 配置文件。
注意：如果现有设备已经注册到 Windows Autopilot，则分配的配置文件优先，仅当在线配置文件超时时，“适用于现有设备的 Windows Autopilot”配置文件才适用。
参考文档：
https://docs.microsoft.com/en-us/configmgr/osd/deploy-use/windows-autopilot-for-existing-devices
https://docs.microsoft.com/en-us/windows/deployment/windows-autopilot/existing-devices
