gOxiA=苏繁=SuFan Blog

微软推出 Microsoft Intune Suite

        近期微软 Intune 推出了 Microsoft Intune Suite，经过了学习和研究，了解到它是一个授权类型的解决方案捆绑包，将任务关键型的 Endpoint 管理和安全解决方案统一到一起，从而简化客户的 Endpoint 管理体验，改善其安全状况，并通过卓越的用户体验将人员置于中心位置。微软安全和M365与Intune Suite深度集成可为 IT 和安全团队提供数据科学和 AI 以提高自动化程度，帮助他们在解决终结点管理和其他安全挑战仿麦呢简单快速地从被动转变为主动。

        那什么是 Microsoft Intune Suite 呢？！

        简单理解，他将 Intune 一些额外的功能或支持特性做了一个打包，包含内容如下：

• Microsoft Intune Remote Help
• Microsoft Intune Endpoint Privilege Management
• Microsoft Tunnel for Mobile Application Management
• Microsoft Intune advanced endpoint analytics
• Microsoft Intune management and protection of specialty devices

        看起来它更像是 Intune Plan 的增强版，下图我们可以看到他们之间的区别。

        所以如果您的组织正需要完善和增强 Intune 管控设备的能力和体验，则建议首选 Microsoft Intune Suite，但请注意它首先需要具有 Intune Plan 1，这一 Intune 核心功能包含在 Microsoft 365 E3、E5、F1、和 F3 订阅，以及 Enterprise Mobility + Security E3 和 E5 订阅；商业高级版计划中。若要购买或使用 Intune Suite 可以通过 Microsoft 365 Admin Center 或 Microsoft Intune Admin Center

更多有价值的参考资料请移步如下链接：

https://www.microsoft.com/en-sg/security/business/Microsoft-Intune?rtc=1#products

https://learn.microsoft.com/zh-cn/mem/intune/fundamentals/intune-add-ons#available-add-ons

https://www.youtube.com/watch?v=nEa5AFBCRbI

        最后，要深入了解 Intune Suite 的总体价值，建议要分步学习和了解其包含的功能和特性。

HOWTO: 在 Intune 中使用 Microsoft Store App(New) 添加应用

        早先 gOxiA 曾分享过一篇日志，介绍了如何使用 Intune 为 Windows PC 部署 Microsoft Store 应用，但当时该模式并不支持强制部署，需要用户通过 Company Portal 选择安装。对于那些希望将应用商店里的应用强行部署到客户端设备上的场景，在过去会通过 Microsoft Store for Business，但管理 Intune 的朋友应该也获悉了 Microsoft Store for Business 将于2023年第一季度停用的消息，似乎只能提前下载到那些支持 Offline 部署的 UWP 应用才能满足需求。

        但现在，微软在 Intune 中提供了一个新的添加应用的类型 - Microsoft Store App(new)，与之前的 Microsoft Store App 相比，新的 Microsoft Store 应用功能进行了重要改进：

• 可以直接在 Intune 内浏览和搜索来自 Microsoft Store 的应用。（之前有一段时间，我们需要先访问 MSStore 的 Web 站点获取相关的 URL 才能进行添加）
• 可以为应用部署进行安装或卸载。
• 可以监视 MSStore App 的安装进度和结果
• 支持 MSStore 中的 Win32 应用，当前为预览版本。（那些缺少足够信息，或检测、安装和升级性不可靠的 Win32 App 将暂不受支持，具体可参考：https://techcommunity.microsoft.com/t5/intune-customer-success/troubleshooting-the-microsoft-store-and-microsoft-intune/ba-p/3750341）
• UWP 应用支持系统上下文和用户上下文。
• 部署模式支持“必需，可用于已注册的设备，和 卸载”。

        若要体验 Microsoft Store App(new) 添加应用，可参考如下步骤：

1. 访问 Microsoft Intune Admin Center （貌似又改名了？！！！），进入“应用”  - “所有应用”，选择“添加”，并确认使用“Microsoft Store 应用(新版)”。
   
2. 在“应用信息”界面，点击“搜索 Microsoft Store 应用(新)，然后在右侧出现的搜索栏中搜索要部署的应用，例如：Remote Desktop”。
   
   
   如果搜索的应用包含 Win32 版本，并且符合 Intune 部署需求，则会显示供我们选择。
   
3. 之后，所必须的应用信息会自动填写到“应用信息”界面对应的文本框中，这极大提升了 Intune App 部署人员的体验，简化了添加流程。
   
4. “分配”应用界面中，我们可以根据需要为“组、所有用户、所有设备”分配，也可以供已注册的设备（组或所有用户）选择安装，或执行卸载。在配置分配后，还可以配置最终用户通知，立刻开始安装或指定的日期和时间，还可以为那些安装应用后需要重启的情况指定重启宽限期。
   
5. 最后，确认信息和配置无误后便可创建添加应用。

   

参考文档：

https://learn.microsoft.com/zh-cn/mem/intune/apps/store-apps-microsoft

TPM 和 Windows 功能

        Windows 11 的发布快速推动了 TPM 的普及率，从早期的 TPM 1.x 到 现在的 TPM 2.0 经历了很长的一段时间，在过去只有特殊应用场景的电脑设备才会被管理员启用 TPM 实施某些安全保护，但现在 TPM 已经作为一个必须启用的安全组件，包含在我们的 Modern Device 中。对于设备的最终用户，TPM 貌似并不直接与用户交互，但它却至关重要，例如 BitLocker 硬盘加密，Windows Hello 生物验证都需要用到 TPM，并且很多关键的安全功能也都会使用到 TPM，不论是 Windows 家庭版、专业版还是企业版也都可应用 TPM，下面让我们具体了解一下 Windows 哪些功能需要 TPM 支持。

• 度量启动，需要 TPM，支持1.2和2.0，并依赖 UEFI 安全启动，微软建议使用 TPM 2.0，因为支持较新的加密算法。
• BitLocker，非必须 TPM，支持1.2和2.0，虽然 TPM 不是必须的，但微软建议基于 TPM 2.0 实施 BitLocker，因为性能更好，更安全可靠。
• 设备自动加密，需要 TPM，支持2.0，OEM 或 组织 IT 可以借助自动加密技术，预先配置 BitLocker，当条件满足时就会立刻启用 BitLokcer，无需等待或单独配置。
• Windows Defender System Guard（DRTM），需要 TPM，支持2.0。
• Credential Guard，非必须 TPM，支持1.2和2.0，与 DRTM 集成，利用 TPM 2.0 可为 Credential Guard 提供增强的安全性。
• 设备运行状况证明（Device Health Attestation），必须 TPM，支持1.2和2.0，微软建议使用 TPM 2.0，因为支持较新的加密算法。TPM 1.2 仅支持正在启用的 SHA-1。
• Windows Hello/Hello Business，非必须 TPM，支持1.2和2.0，AAD虽然加入了两个版本的支持，但需要带有键控哈希消息身份验证代码（Keyed-hash message authentication code - HMAC）和认可密钥（Endorsement Key - EK）证书来支持密钥证明。微软建议使用 TPM 2.0 获得更高性能和安全性。Windows Hello 作为 FIDO 平台验证器时将利用 TPM 2.0 进行密钥存储。
• TPM 平台加密提供程序密钥存储提供程序，需要 TPM，支持1.2和2.0。
• 虚拟智能卡，需要 TPM，支持1.2和2.0。
• 证书存储，非必须 TPM，支持1.2和2.0，仅当证书存储在 TPM 中时才需要 TPM。
• Windows Autopilot，非必须 TPM，支持2.0，当使用自部署模式和预配部署模式（过去称之为 白手套模式）需要 TPM。
• SecureBIO，需要 TPM，支持2.0。

        注意：TPM 2.0 在 BIOS 的旧版和 CSM 模式中不受支持，具有 TPM 2.0 的设备必须将其 BIOS 模式配置为 UEFI，并且必须禁用旧版和兼容性支持模块（CSM）选项。为了增强安全性，还应启用安全启动（Secure Boot）。