[Tips] 使用 MDM CSP TenantLockdown 策略将设备锁定到租户
使用 MDM CSP TenantLockdown 策略将设备锁定到租户
在 MDM CSP 中包含一个租户锁定的策略，即 TenantLockdown。从官方介绍可了解到 TenantLockdown 可以将设备锁定到租户，从而确保在发生意外或故意重置或擦除设备后，设备仍绑定到租户上。它的实现原理和逻辑还是比较容易理解的，借助 TenantLockdown 提供的 RequireNetworkInOOBE 策略，在值为 True 时，当设备在首次登录或重置后通过 OOBE 时，用户需要联网才能继续，而不是像过去那样有跳过的选项。这将强制用户在 OOBE 阶段进行联网，只要联网设备便会从 Internet 获取到注册状态，当设备之前是注册在 Autopilot 中时，后面的用户登录界面就会强制用户使用 M365 账号登录，从而在一定程度上保护了设备。
./Vendor/MSFT
TenantLockdown
----RequireNetworkInOOBE，布尔值：True 或 False
参考文档：https://learn.microsoft.com/en-us/windows/client-management/mdm/tenantlockdown-csp
有些网友可能会考虑到一些问题，例如不通过重置当前 Windows 实例，而是重新安装一遍 Windows，根据目前的测试 Windows 较新版本已经开始强制联网才能继续通过 OOBE；此外，TenantLockdown 还会向UEFI 中写入配置变量。对于企业中的普通用户来说，还是能够增加设备重用或非授权再用的难度，但要完全杜绝恐怕在管理技术上还有一段路要走。
另外，早先 Intune 的 Windows 限制测试中包含了“要求用户在设备安装期间连接到网络”的策略，但那时是可以通过断网手段来规避的，但随着策略逻辑的完善，对企业终端设备的管理会更加严谨可靠。
HOWTO: 使用 Intune 强制开启 Windows Defender 防篡改保护
HOWTO: 使用 Intune 强制开启 Windows Defender 防篡改保护
Windows Defender 中的防篡改保护（Tamper Protection）有助于防止恶意应用更改其重要的防病毒设置，包括“实时保护”和“云提供的保护”。如果当时前是管理员登录，则仍可以在“病毒和威胁保护”设置中关闭“篡改保护”，但其他程序仍无法更改这个设置。
篡改保护并不影响第三方防病毒应用的工作方式，也不影响这些应用注册 Windows 安全中心的方式。默认情况下篡改保护处于打开状态。
作为企业 IT 管理员或安全管理员，当然希望能够强制开启篡改保护，且禁止修改其设置。如果当前组织已经在使用现代管理模式，如 Intune！则可以通过 Endpoint Manager Center 进行策略的下发。为此，访问 Endpoint Manager Center，定位至“终结点安全性 - 防病毒 - AV 策略”，并创建该策略，选择“Windows 10、Windows 11 和 Windows Server (预览版)”平台，配置文件选择“Windows Security Experience”，跟随向导创建策略名称等信息，并在配置中打开“TamperProtection(设备)”。
注意，在 Intune 中管理篡改保护的要求如下：
- 必须分配适当的 权限 ，例如全局管理员、安全管理员或安全操作。
- 组织使用Intune来管理设备。 需要 (Intune许可证;Intune包含在 Microsoft 365 E3/E5、企业移动性 + 安全性 E3/E5、Microsoft 365 商业高级版、Microsoft 365 F1/F3、Microsoft 365 政府版 G3/G5 和相应的教育许可证中。)
- Windows 设备必须运行Windows 10版本 1709 或更高版本或Windows 11。 (有关版本的详细信息，请参阅 Windows 版本信息。)
- 必须将 Windows 安全性与 安全智能 更新到版本 1.287.60.0 (或更高版本) 结合使用。
- 你的设备必须使用反恶意软件平台版本 4.18.1906.3 (或更高版本) 和反恶意软件引擎版本 1.1.15500.X (或更高版本) 。 (管理Microsoft Defender防病毒更新并应用 baselines。)
- Intune和 Defender for Endpoint 租户必须共享同一Microsoft Entra (Azure Active Directory) 基础结构。
- 设备必须载入到 Defender for Endpoint。
当下发防篡改保护策略后，本机管理员将无法更改相关的设置，也无法关闭篡改防护。
具有计算机管理权限的账户在使用 PowerShell 命令 Set-MPPreference -DisableTamperProtection $true 强行关闭时将会报错。
参考资料：
HOWTO: 使用 Intune CSP 为 Windows 11 OOBE 跳过设备选择隐私设置
HOWTO: 为 Windows 11 OOBE 跳过设备选择隐私设置
前面 gOxiA 分享了如何使用 PPKG 跳过 Windows OOBE 过程，但是细心的网友会发现在登录桌面完成首次动画后会显示“为你的设备选择隐私设置”的界面，并且无法跳过。对于企业自动化部署场景来说，这一步会造成一些影响。那么我们该如何跳过设备选择隐私设置呢？！
在 Windows 10 的时候我们可以通过配置 PrivacyConsentStatus 键值来略过隐私设置，它位于 HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\OOBE，类型为 DWORD，设置为 1 时将跳过隐私设置，但为 2 时则会重新显示隐私设置。
但是这个键值在 Windows 11 上失去了作用，取而代之的是 DisablePrivacyExperience，它位于 HKLM\SOFTWARE\Policies\Microsoft\Windows\OOBE，类型依旧是 DWORD，值为 1 时则禁用隐私设置。
如果当前组织仍在使用传统的 GPO 实施测试，则可以通过“计算机配置 - 管理模板 - Windows 组件 - OOBE”，找到“在用户登录时不启动隐私设置体验”进行配置。
如果当前基于动态部署方式，则可以考虑在 PPKG 中添加“ProvisioningCommands”，然后使用“DeviceContext”下的“CommandLine”执行注册表修改命令。
对于使用现代部署模式，如 Intune，则可以下发 CSP 策略。
Scope：Device and User
Editions：除了Home以外
OS：1809及以上版本
User：./User/Vendor/MSFT/Policy/Config/Privacy/DisablePrivacyExperience
Device：./Device/Vendor/MSFT/Policy/Config/Privacy/DisablePrivacyExperience
Format：Int
Value：1
从 CSP 的版本使用情况来看，对于 Windows 10 使用 DisablePrivacyExperience 也是适用的。
参考文档：https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp-privacy
