本站域名：http://goxia.maytide.net or http://sufan.maytide.net
移动设备请访问：http://goxia.maytide.net/m转载文章，请务必保留出处与作者信息，未经许可严禁用于商业用途！
HOWTO: 使用 Intune 部署 Microsoft Edge
HOWTO: 使用 Intune 部署 Microsoft Edge
Microsoft Edge Beta 已经发布一段事件，除了微软以外，很多企业也都开始对这个全新的微软浏览器进行评估，如果您的企业正好在使用 Intune，并打算部署基于 Chromium 的 Microsoft Edge，那就不要错过 gOxiA 今天的分享。
Microsoft Edge 默认是基于云安装的，如果要在企业内部部署，则需要先获取到脱机安装包，为此我们可以访问如下网址下载适用于 Windows 的 64 位 MSI 安装包，此外还提供了 32 位 以及 macOS 的脱机安装包。
https://www.microsoftedgeinsider.com/zh-cn/enterprise
拿到 MSI 安装包后，便可以通过 Intune 进行部署，在“客户端应用 - 应用”下“添加”新应用。
在“应用类型”中选择“业务线应用”。
然后通过“应用包文件”选取刚才下载的 Microsoft Edge 的 MSI 安装包。
在“应用信息”配置中，输入必填的信息然后“确定”，待 MSI 安装包上传完毕后才能进行后续的配置，例如：分配应用。
分配应用则是指定该应用适用于哪些组，这里 gOxiA 将分配类型改为“必需”安装，并分配给了所有用户和设备。
接下来就等待同步生效了，当设备获取到 Intune 下发的应用时便会自动静默安装，如果用户安装有 Intune 的公司门户，也可以由此处选择安装。
参考资料：https://docs.microsoft.com/en-us/intune/apps/apps-win32-app-management
Microsoft Intune 公开预览 DFCI
Microsoft Intune 公开预览 DFCI
微软最近在 Microsoft Intune 上公开发布了 DFCI 预览，即提供了对 Device Firmware Configuration Interface（DFCI - 设备固件配置接口）的支持，也就是说企业 IT 人员可以通过 Intune 来管理设备的 UEFI（BIOS） 配置，既然能配置 UEFI 也就意味着可以设置设备端口的开启或关闭，例如 USB 端口，摄像头等等。
在过去如果我们要为用户设备配置 UEFI 必须接触到设备，或者使用厂商提供的脚本或工具，在为一些驻外的用户进行配置时多半还是要购买当地的上门服务进行设置，成本较高。
而现在通过 Intune 的价值则体现为零接触自动化为用户设备配置 UEFI，由于脱离了系统层，即使用户重装系统也仍会保留配置，使 DFCI 管理不会被覆盖。
DFCI 目前支持管理 Windows 10 RS5（1809）及以上版本的系统，设备制造商还必须在固件上提供 DHCI 的支持，目前已知微软最新发布的 Surface 均支持 DFCI，这些型号包含了：Surface Pro X，Surface Pro 7 以及 Surface Latop 3。
此外还有一些限制，设备必须由 CSP或 OEM 注册到 Windows Autopilot，如果您参考 gOxiA 之前发布的“HOWTO: 将收集的 Windows Autopilot DeviceID 添加到 Intune”来注册设备可能不受支持，因为 gOxiA 尚未拿到新款 Surface 暂无法进行验证。
DFCI 目前还处于预览版阶段，如果您在 Intune 的配置文件没有找到“设备固件配置接口”，那么还需要等待一段时间，DFCI 功能可能还没有在当前 Intune 所在区域生效。此外，DFCI 目前提供的可用配置也是有限的，具体如下：
- 允许本地用户更改UEFI设置
- CPU 和 IO 虚拟化
- 相机
- 麦克风和扬声器
- 无线电（蓝牙、Wi-Fi 和 NFC）
- 通过外部媒体（USB 和 SD）启动
- 通过网络适配器启动
长期从事企业 IT 桌面标准化管理的 ITer 会留意到，在上述的配置中缺少对端口的颗粒化配置管理，例如带有前后置摄像头的设备无法单独进行配置，也没有对多 USB 端口的单一配置支持，而无线电方面也仅仅是统一关闭或开启 Wi-Fi，蓝牙 和 NFC，也不支持单一配置，但这些需求却都是在企业实际环境中切切实实存在的，相信微软在微软会不断改进和完善 DFCI。
有关更加详细的资讯可参考 Microsoft Docs：https://docs.microsoft.com/zh-cn/intune/configuration/device-firmware-configuration-interface-windows/?WT.mc_id=M365-MVP-4000544
[Edge] 微软公布 Microsoft Edge 新消息
微软公布 Microsoft Edge 新消息
美当地时间11月5日，Microsoft Edge Insider 向用户公布了两则新的信息，受到了广泛关注。第一个则是 Microsoft Edge 发布了新的 Logo，新 Logo 增加了颜色过度，显得更加立体，给 gOxiA 的感觉像是一个新的生命。
第二个消息则是正式公布将在2020年的1月15日发布基于 Chromium 的 Microsoft Edge 正式版。目前已经发布了正式预览版，基于 version 79 的 Beta 版本。
从2019年4月公布 Edge Insider 以来，三个更新通道已经全部就绪，不论是你喜欢跟新的极客，或是开发人员，还是希望更稳定的测试用户都有不同的更新渠道，它们对应了 Can、Dev 和 Beta 。
而且 Edge 已经全面支持跨平台运行，从 PC 到 服务器除了 Windows 10 以外还提供了 Windows 8.1/7/Server 2008R2/Server 2021 R2/Server 2016及以上版本的支持；而且还提供了 macOS 版本；即使你是移动用户也可想用这份美味，它支持 iOS 和 Android。
此外，Microsoft Edge 还支持企业环境，提供了统一管理的特性，利用组策略可以为客户端设备提供统一定制化的配置。
如果您正在评估浏览器，不要错过 Microsoft Edge，即刻访问 http://www.microsoftedgeinsider.com，gOxiA 从发布以来一直在用的是 Can 渠道更新，即每日更新，还是相当稳定的。
Windows 处理器配置需求 - 201910更新含19H2
Windows 处理器配置需求 - 201910更新含19H2
微软近期更新了 Windows 处理器的最新需求列表，其中包含了 Windows 10 19H2（1909）的最新处理器需求，参考如下：
原文地址：Windows Processor Requirements
从支持列表看与1903并无差别，毕竟1909更新与前一版本并未太大区别。Windows 10 1909 将支持当前市面上最新的主流处理器，包括 ARM 架构的 Qualcomm Snapdragon 850 and 8cx 处理器。
此外，作为 IT 支持人员应当定期审阅该公告了解 Windows 各版本支持的 CPU，避免在交付的标准化映像版本与设备不兼容。举例来讲，当前企业在交付的 Windows 10 版本为 1607，那么该版本最高支持的 Intel 处理器仅为 Intel 7th，如果企业采购了基于 Intel 8th 的设备，那么就需要重新编制标准化映像，例如使用 Windows 10 1709，但由于 1709 的标准生命周期仅到 2019年4月9日，那么 IT 人员就需要考虑后续的迭代版本了，例如 1809 或 1903，但此时就需要额外验证企业内的业务应用或安全应用是否兼容最新版本的 Windows 。
欢迎大家与 gOxiA 探讨现代桌面管理经验，尤其是如果您对交付 Surface 设备有任何问题，请与 gOxiA 联系。
微软公布 Windows 7 Extended Security Updates
End of Life
微软公布 Windows 7 Extended Security Updates
Windows 7 的生命周期将于 2020年1月14日结束，Office 2010紧跟其后。在 Windows 7 生命周期结束后，系统仍能继续使用，但无法再从微软获得技术支持，安全更新以及软件更新。但在近日微软公布了一项付费服务 - Windows 7 Extended Security Updates，即 Windows 7 扩展安全更新，简称：ESU。
它面向各种规模的企业用户，不论是 Windows 7 专业版还是 Windows 7 企业版都可以通过云解决方案提供商（CSP）购买 ESU。Windows 7 ESU 将按设备销售，且每年价格都会有所上浮，可用时间直至 2023年1月。
以下是来自网文的 ESU 的价格参考：
Windows 7 企业版
- 第一年，25美金/台
- 第二年，50美金/台
- 第三年，100美金/台
Windows 7 专业版
- 第一年，50美金/台
- 第二年，100美金/台
- 第三年，200美金/台
另外需要注意的是如果你计划从第三年开始购买 ESU，那么还需要支付前两年的费用，也就是说你要支付175美金/台/企业版。
gOxiA 建议相关从业者应尽快推动 Windows 10 的升级工作。
HOWTO: 在 Intune 中创建 Windows Autopilot 配置文件
HOWTO: 在 Intune 中创建 Windows Autopilot 配置文件
回顾：
“HOWTO: 收集 DeviceID 用于测试 Windows Autopilot”
"HOWTO: 将收集的 Windows Autopilot DeviceID 添加到 Intune"
"HOWTO: 在 Intune 中为 Windows Autopilot 部署创建设备组"
在之前我们已经了解了如何在 Intune 中 为 Windows Autopilot 部署创建设备组，当基本工作完成后，我们也将进入 Windows Autopilot 配置主要环节 —— 创建和分配 Deployment Profiles，当这一步完成后，我们便可以通过 Windows 10 客户端来体验 Windows Autopilot。
首先，登录 Azure Portal，在 Intune 中找到 Device enrollment，进入后便能看到一系列的注册项，选择 Windows enrollment，就能看到位于"Windows Autopilot Deployment Program" 下方的 "Deployment Profiles"。
点击"Create profile"，开始创建 Windows Autopilot 的配置文件。
因为改版，配置文件的创建页面改为了引导式，对于用户来说虽然步骤显得繁琐，但更为清晰明了。首先我们需要输入配置文件的名称，本例命名为 UserDriven。
目前 Windows Autopilot 提供了两种部署模式：User Driven（用户驱动）和 Self-Deploying（自助部署），简单理解后者的自动化程度更高，将会自动跳过"工作或家庭使用选项"，"OEM注册和OneDrive配置"，以及"OOBE 中的用户身份验证"，此外还可自动配置语言及键盘等设置。但是自助部署的需求也更高，从目前最新的文档看需要 Windows 10 的 1903，之前 gOxiA 在实际测试时发现 1809 对一些设备的 TPM 设备证明存在支持问题，并得到了产品组的证实。所以如果你打算测试自助部署还需要了解更多的先决条件，本例我们将使用“用户驱动”模式。
在"User Driven"下我们可以隐藏软件许可条款，以及隐私设置等需要人工干预的界面，我们还可以指定登录到设备上的用户账户类型，例如将其分配为标准用户权限。
在当前更新版本中还提供了"Allow White Glove OOBE"的选项，允许 IT 人员在不使用用户账号配置和登录的情况下对设备进行 Windows Autopilot 预配。只需要在配置阶段按下 5次 Windows 键即可激活该功能选项。
此外，我们还可以配置设备名称模板，通过一系列变量生成有序的计算机名。
配置文件的选项设置完毕后，就需要将其分配给指定组，还记得我们在之前创建的组吗，参考下图找到并选择这个 UserDriven 组。
最后在 Review 界面可以对配置进行确认，无误后可点击“Create”确定创建。
Windows Autopilot 配置文件创建后便可在之前已经添加到 Intune 中的设备上，使用 1903 的 Windows 10 进行测试。
HOWTO: 在 Intune 中为 Windows Autopilot 部署创建设备组
HOWTO: 在 Intune 中为 Windows Autopilot 部署创建设备组
回顾：
“HOWTO: 收集 DeviceID 用于测试 Windows Autopilot”
"HOWTO: 将收集的 Windows Autopilot DeviceID 添加到 Intune"
如果之前跟随 gOxiA 完成了上面的学习和动手操作，可以继续跟随 gOxiA 完成今天的内容，否则建议您从头开始了解。今天的内容将会非常轻松，会了解如何在 Intune 中创建“设备组”，这部分虽然很轻松，但它也是重点之一，因为在实施 Autopilot 部署时配置文件只能分配给组。
我们可以创建两种类型的设备组，即：动态设备组 和 静态设备组，两者区别在于前者可通过定义规则自动将设备加入到组，或从组删除；而后者则需要由管理员进行分配。
要为 Windows Autopilot 创建设备组，可登录 Auzre门户，定位到“Intune”，会看到“Group”，如下图所示：
进入 “Group” 后在 “All groups” 下点击 “New group”。
在 “New Group” 中，会看到一些选项，带有 * 号的是必须填写的信息。其中“Group Type”表示组的类型，在预定义中包括了“Security” 和 “Office 365”。
- Security，它通常用于管理用户和设备的共享资源的访问权限，也可以为特定的策略创建安全组，这样一来我们就不用为每个成员单独设置权限。
- Office 365，主要是提供对共享邮箱，日历，文件以及SharePoint站点等的访问权限。
本例中，我们要为 Windows Autopilot 创建设备组，所以这里的类型应该是“Security”。“Group name”很好理解，这里命名为了“UserDriven”。“Membership type”便是我们前面提到的静态和动态的组类型，包含了“Assigned”、“Dynanmic User” 和 “Dynamic Device”，是的动态组除了支持设备外，也适用于账户。
当我们选择“Assigned”后，就可以手动添加账户或设备，这里我将添加之前导入的设备。
我们也可以使用动态组，利用一些规则自动将设备添加到组中，这样就不需要手动添加那么麻烦。动态成员规则非常强大，提供了多种属性，可利用各种运算符，根据属性的值，创建具有多个表达式的规则。
来看一个简单的例子“(device.accountEnabled -eq ture)”，还是很容易理解的，当设备账户启用状态是“真”时，那么便会设备便会自动加入到这个组，如果组中的设备账户启用状态为“假”时会将设备从组中删除。下图可看到当前动态设备组提供的可用属性。
有关动态组的详细规则，强烈推荐学习官方文档：https://docs.microsoft.com/zh-cn/azure/active-directory/users-groups-roles/groups-dynamic-membership/?WT.mc_id=WDIT-MVP-4000544，随着准备工作的就绪，我们离正式实施 Windows Autopilot 也越来越近！
HOWTO: 将收集的 Windows Autopilot DeviceID 添加到 Intune
HOWTO: 将收集的 Windows Autopilot DeviceID 添加到 Intune
在 6月份 gOxiA 分享了“HOWTO: 收集 DeviceID 用于测试 Windows Autopilot”，如果您已经学习了这篇日志，会发现收集硬件标识信息其实是非常简单的事情，但是需要注意它并不适用在生产环境，应仅用于评估和测试。
今天要分享的是如何将收集的 Windows Autopilot DeviceID 添加到 Intune 中，因为后续我们将实践 Windows Autopliot 的用户驱动模式和自部署模式，所以需要将 DeivceID 事先添加到 Intune 的设备列表中，为此我们需要执行下述的操作步骤：
1. 首先访问 Azure Portal，使用拥有权限的账号密码登录。
2. 在左侧的导航列表中点击“Dashboard”，搜索 Intune，可以将其收藏到导航列表中便于后续访问。
3. 进入 Microsoft Intune 后，点击“Device enrollment”
4. 在“Deive enrollment”下点击“Windows enrollment”，并选择“Windows Autopilot Deployment Program”下的“Devices”，它便是我们要导入 DeviceID 的位置。
5. 进入“Deives”后，点击“Import”来导入我们之前拿到的硬件标识信息文件，它是一个 CSV 格式的文件，在上传后 Intune 会进行校验，如果格式无误便可以导入。
DevicesID 的 CSV 格式应该遵循如下格式内容：
<Serial NUmber>,<Windows Product ID>,<Hardware Hash>,(optional <Group Tag>)
至此，DeviceID 便添加到了 Intune，在设备还没有注册到 Autopilot 上时设备使用序列号作为设备名称，我们可以在 “ Azure Active Driectory”中的“Devices - All devices”下找到它们。
虽然我们在 Intune 中添加了设备的硬件标识信息，但是该设备还未受当前 Intune 的管控，也就是如果我们开机进入 OOBE 阶段，仍可以进行自定义的配置，或者使用其他组织的账号绑定设备。
Intel 存储控制器驱动版本引发的 Windows 蓝屏故障 0xC0000098
Intel 存储控制器驱动版本引发的 Windows 蓝屏故障 0xC0000098
最近在评估一款 PC 设备，由于通过 WDS 部署评估映像，并使用了 DDP（Dynamic Driver Provisioning）注入驱动，发现在部署操作系统后第一次启动时会发生 0xC0000098 故障，提示由 iaStorAC.sys 文件引起。
iaStorAC.sys 文件很常见，是 Intel 存储控制器的驱动模块，经查隶属于 iaAHCIC.inf，随即排查 WDS 驱动库，发现包含两个版本的 iaAHCIC，分别是16.8.0.1000 和 15.2.0.1020。
其中 16.0.8.1000 包含的驱动模块为：iaStorAC.sys
而 15.2.0.1020 包含的驱动模块为：iaStorA.sys 和 iaStorF.sys
猜测 DDP 注入了当前匹配硬件的驱动后，发现还有该硬件的新版本驱动，并包含旧版以外的文件，所以也一同安装了这个新版驱动。在实际排错过程中 gOxiA 也发现系统同时加载了 iaStorA、iaStorF 和 iaStorAC，可预料 iaStorAC 与当前系统不兼容，所以引发 0xC0000098 故障，之后尝试禁用 iaStorAC 发现会导致系统蓝屏，看来要彻底解决只能卸载该驱动。
在脱机状态下，使用 DISM 维护映像，通过 get-drivers 参数获取该驱动分别对应 OEM2.inf 和 OEM16.inf，此时除了对比两个驱动的版本外，也可使用 get-driverinfo 来获取驱动程序的详细信息。当确认影响系统的驱动是 OEM16.inf 后，可通过 remove-driver 将该驱动从脱机系统中移除。
现在重新启动，系统会先执行短暂的初始化，之后便能正常引导系统完成后续的安装。
现在很多品牌机的驱动交付质量都已经大大不如从前，也可能驱动程序更加复杂，导致经常以标准化方式注入驱动后，发现系统出现故障，或驱动未能正常安装的情况，这对于桌面标准化交付来说确实是一个挑战，因为每一批设备可能都需要进行完整的评估和测试。
HOWTO: 使用 SetupDiag Tool 诊断 Windows 10 升级故障
HOWTO: 使用 SetupDiag Tool 诊断 Windows 10 升级故障
之前我们已经了解如何使用 Windows 10 安装程序 Setup.exe 执行升级验证，并学习了如何分析 Windows 10 安装日志，如果你无法专注于那些错误信息，那么不要气馁！微软为我们带来了 SetupDiag 工具，它是一个独立的诊断工具，可获取有关 Windows 10 升级失败原因的详细信息。（PS：微软真是太贴心了，记住这款诊断工具是免费的！）
SetupDiag 支持 Windows 7 SP1 to Windows 10；Windows 8.1 同 Windows 10；以及 Windows 10 to Windows 10。
SetupDiag 会检查 Windows 安装程序的相关日志，并识别出导致 Windows 10 安装或升级失败的关键日志信息。此外，SetupDiag 还支持离线模式，对于那些已经遭遇安装或升级失败的设备，我们也可以使用 SetupDiag 找出失败的根因。
SetupDiag 需要 .NET Framework 4.6，如果你在为满足需求的环境下执行，则会遇到错误提示，所以请先确保您的系统环境已经安装了 dotNET4，对于 Windows 7 是需要额外安装该组件的。
从微软官方下载：SetupDiag，可直接双击运行，但 gOxiA 建议你以管理员模式在 CMD 下手工执行，如下图所示：
SetupDiag 会从相关的目录下查找日志以进行自动化的诊断，如果找到匹配的信息，则会给出诊断结果，在本例中 SetupDiag 找到了“Processing rule: CompatScanOnly”，并给出了相关的建议和参考信息，最后还会生成名为 SetupDiagResults.log 的日志文件，以供我们事后参考。此外，还会生成一个 Logs.zip 的压缩包，其中包含了相关的日志文件。
如果要执行脱机诊断，需要收集相关的日志到一个文件下，并为 SetupDiag 附加命令参数，参考如下：
SetupDiag.exe /LogsPath:c:\setuplog
在 SetupLog 文件夹下应该包含相关的日志文件，你可以从以下位置复制。
\$Windows.~bt\sources\panther
\$Windows.~bt\sources\rollback
\Windows\panther
\Windows\Panther\NewOS
