Zarządzanie Urządzeniami Mobilnymi z Microsoft Intune

Czy wiesz, że aż 52% urządzeń firmowych zostaje zgłoszonych jako zgubione lub skradzione w miejscu pracy? To ogromne zagrożenie dla bezpieczeństwa danych firmowych! W naszej praktyce wielokrotnie spotykaliśmy się z sytuacjami, gdy firmy nie były przygotowane na takie zdarzenia, a skutki potrafiły być katastrofalne.

Microsoft Intune pojawił się jako odpowiedź na te problemy. To chmurowa usługa, która na przestrzeni lat ewoluowała z prostego systemu zarządzania urządzeniami mobilnymi (MDM) do kompleksowego rozwiązania Unified Endpoint Management (UEM). Co to oznacza dla administratorów IT? Przede wszystkim ogromną oszczędność czasu!

Dzięki Microsoft Intune możemy zarządzać praktycznie wszystkimi systemami operacyjnymi - Android, iOS, Linux, macOS i Windows. Kiedy urządzenie zostaje zgubione, możemy zdalnie usunąć dane firmowe bez wpływu na dane osobiste. To rozwiązuje wiele problemów związanych z urządzeniami typu BYOD, które spotykamy u naszych klientów.

Integracja z Azure Active Directory daje nam dodatkową warstwę ochrony - kontrolę dostępu użytkowników do zasobów organizacji w oparciu o zgodność urządzenia z polityką bezpieczeństwa.

W tym poradniku przeprowadzimy Was przez kluczowe aspekty wdrożenia Microsoft Intune. Omówimy różnice między systemami zarządzania, pokażemy proces rejestracji urządzeń, zajmiemy się zarządzaniem aplikacjami i przeanalizujemy integrację z innymi usługami Microsoft. Nie ma problemów nie do rozwiązania - przekonacie się o tym sami!

Różnice między MDM, MAM, EMM i UEM w kontekście Intune

W świecie zarządzania urządzeniami mobilnymi panuje spory chaos terminologiczny. MDM, MAM, EMM, UEM... Widzimy, jak te pojęcia wprowadzają zamieszanie, a przecież każde z nich oznacza coś innego!  

MDM (Mobile Device Management) – fundament zarządzania mobilnego

MDM to podstawa zarządzania urządzeniami mobilnymi. W naszej pracy z klientami zawsze zaczynamy od wdrożenia tej funkcjonalności. To podejście koncentruje się na całym urządzeniu, dając administratorom możliwość zdalnego konfigurowania i zabezpieczania firmowych smartfonów i tabletów.

Kiedy wdrażamy MDM w Intune, dajemy administratorom możliwość:

· Zdalnego konfigurowania ustawień Wi-Fi, VPN i poczty email

· Wymuszania silnych haseł i blokad ekranu

· Szyfrowania danych na urządzeniu

· Zdalnego blokowania lub czyszczenia urządzenia w przypadku zgubienia

Jak to działa w praktyce? Agent Intune instalowany na urządzeniu komunikuje się z chmurą i egzekwuje polityki. Administrator definiuje zasady w konsoli, a agent wdraża je na urządzeniu.

MAM (Mobile Application Management) – ochrona na poziomie aplikacji

MAM to zupełnie inne podejście niż MDM. W naszych projektach często spotykamy się z sytuacjami, gdy firma nie może lub nie chce zarządzać całym urządzeniem. Tu z pomocą przychodzi MAM, który koncentruje się na ochronie danych w aplikacjach, a nie całym urządzeniu.

To rozwiązanie sprawdza się szczególnie dobrze w scenariuszach BYOD, gdzie pracownicy używają prywatnych urządzeń do pracy. Dzięki MAM możemy:

· Kontrolować, jak aplikacje firmowe komunikują się z innymi aplikacjami

· Wymagać kodu PIN do dostępu do firmowych aplikacji

· Blokować kopiowanie danych firmowych do aplikacji osobistych

· Selektywnie usuwać dane firmowe bez wpływu na dane osobiste

Pracując z klientami zauważyliśmy, że Intune oferuje tu dwa scenariusze: "Intune MDM + MAM" dla urządzeń zarejestrowanych oraz "MAM bez rejestracji" dla urządzeń osobistych.

EMM i UEM – kompleksowe zarządzanie punktami końcowymi

W trakcie naszych wdrożeń obserwowaliśmy, jak EMM wyewoluowało z MDM, dodając funkcje MAM i inne możliwości zarządzania mobilnością. EMM to podejście całościowe, łączące:

· Zarządzanie urządzeniami (MDM)

· Zarządzanie aplikacjami (MAM)

· Zarządzanie tożsamością (IAM)

· Zarządzanie treścią (MCM)

UEM idzie jeszcze dalej - pozwala zarządzać wszystkimi punktami końcowymi z jednej konsoli. Komputery, urządzenia mobilne, IoT - wszystko w jednym miejscu!

Microsoft Intune przeszedł długą drogę od prostego MDM do pełnoprawnej platformy UEM, oferując:

W naszych projektach wdrożeniowych łączymy Intune z Microsoft Entra ID (dawniej Azure AD), Azure Information Protection i Configuration Manager. Ta integracja tworzy spójny ekosystem, który doskonale wspiera model bezpieczeństwa Zero Trust.

Przejście od prostego MDM do UEM przynosi firmom wymierne korzyści - wszystkie urządzenia można zarządzać z jednego panelu. Nie trzeba już przełączać się między narzędziami! Reakcja na incydenty jest szybsza, a egzekwowanie zasad w całej organizacji prostsze.

Proces rejestracji i konfiguracji urządzeń w Microsoft Intune

Rejestracja urządzeń to pierwszy krok w budowaniu bezpiecznego środowiska mobilnego. W naszej pracy z klientami widzieliśmy, jak często ten etap bywa lekceważony, a przecież to właśnie wtedy Microsoft Intune instaluje certyfikat MDM na urządzeniu, umożliwiając całą dalszą komunikację.

Rejestracja urządzeń z systemem Windows, Android i iOS

Każda platforma ma swoją specyfikę rejestracji, choć cel zawsze jest ten sam - zapewnić bezpieczny dostęp do zasobów firmowych. Podczas wdrożeń zauważyliśmy, że odpowiedni dobór metody rejestracji znacząco wpływa na poziom akceptacji użytkowników.

Dla urządzeń Windows mamy kilka sprawdzonych metod:

· Dołączenie do Microsoft Entra ID z automatyczną rejestracją - świetnie sprawdza się w środowiskach firmowych

· Rejestracja przez aplikację Intune Company Portal - idealna dla scenariuszy BYOD

· Rejestracja przez logowanie do Microsoft 365 - najprostsza dla mniej technicznych użytkowników

W przypadku urządzeń Android wielokrotnie zalecaliśmy rozwiązania Android Enterprise:

· Profil służbowy na urządzeniach osobistych - tworzy wyraźny podział między danymi służbowymi i prywatnymi

· Pełne zarządzanie urządzeniem - gdy urządzenie jest wyłącznie służbowe

· Urządzenia dedykowane - sprawdza się w kioskach i urządzeniach jednozadaniowych

· Rejestracja Zero-touch - oszczędza mnóstwo czasu przy masowych wdrożeniach!

Dla iOS/iPadOS nasi klienci najczęściej wybierają:

· Automatyczną rejestrację urządzeń - przy zakupie nowych urządzeń przez organizację

· Apple Configurator - gdy trzeba masowo zarejestrować posiadane już urządzenia

· Rejestrację użytkownika - w przypadku urządzeń prywatnych

Pamiętajmy, że niezależnie od platformy, zawsze możemy tworzyć profile rejestracji dostosowane do potrzeb różnych grup użytkowników.

Automatyczna konfiguracja z Windows Autopilot

O co chodzi z Windows Autopilot? To technologia, która dosłownie zrewolucjonizowała sposób wdrażania nowych urządzeń Windows. Zamiast tracić czas na tworzenie i wgrywanie niestandardowych obrazów, wykorzystujemy wersję systemu preinstalowaną przez producenta.

Aby skonfigurować Windows Autopilot w Intune, musimy wykonać kilka prostych kroków:

1. Utworzyć grupę urządzeń w Microsoft Entra ID

2. Stworzyć profil wdrażania Windows Autopilot

3. Wybrać odpowiedni tryb wdrażania

4. Określić ustawienia OOBE

5. Przypisać profil do utworzonej grupy urządzeń

Windows Autopilot oferuje trzy główne scenariusze, które sprawdziły się w naszych wdrożeniach:

· Self-deploying mode - idealny dla kiosków i urządzeń współdzielonych

· User-driven mode - sprawdza się dla standardowych urządzeń z przypisanym użytkownikiem

· Pre-provisioning - oszczędza czas IT przy przygotowaniu urządzeń

Szybko zauważyliśmy, że włączenie strony statusu rejestracji (ESP) znacząco poprawia doświadczenie użytkownika - widzi on postęp instalacji zamiast zastanawiać się, czy coś się w ogóle dzieje.

Zarządzanie urządzeniami BYOD i firmowymi

Często spotykamy się z pytaniem: jak pogodzić bezpieczeństwo firmowe z prywatnością użytkowników? Microsoft Intune odpowiada na tę potrzebę, oferując różne podejścia w zależności od własności urządzenia.

Urządzenia firmowe dają nam pełną kontrolę:

· Możemy narzucić bardziej rygorystyczne ustawienia haseł

· Mamy dostęp do pełnego zarządzania konfiguracją

· Możemy wdrażać kioski i rozwiązania wieloużytkownikowe

Z kolei urządzenia osobiste (BYOD) wymagają delikatniejszego podejścia:

· Często stosujemy MAM bez rejestracji urządzenia

· Tworzymy oddzielne profile służbowe na Androidzie lub partycje na iOS

· Ograniczamy uprawnienia administratora dla zachowania prywatności

Funkcja kategoryzacji urządzeń w Intune znacząco usprawnia nam zarządzanie dużymi flotami. Dodatkowo, Device Enrollment Manager pozwala jednej osobie zarejestrować nawet 1000 urządzeń - bezcenne przy masowych wdrożeniach!

W kontekście BYOD zawsze zalecamy naszym klientom łączenie polityk zgodności z dostępem warunkowym. Dzięki temu urządzenie niespełniające wymogów bezpieczeństwa po prostu nie uzyska dostępu do zasobów firmowych.

Zarządzanie aplikacjami i politykami bezpieczeństwa

Skuteczne zarządzanie aplikacjami to podstawa nowoczesnej ochrony danych firmowych. W naszej codziennej pracy z klientami widzimy, jak często właśnie tutaj pojawiają się luki w zabezpieczeniach. Microsoft Intune oferuje zestaw mechanizmów, które pomogły nam rozwiązać większość tych problemów.

Tworzenie i przypisywanie zasad ochrony aplikacji

Pracując z klientami z sektora finansowego, przekonaliśmy się, jak istotne są zasady ochrony aplikacji (App Protection Policies). W przeciwieństwie do tradycyjnych metod zarządzania całymi urządzeniami, zasady te działają precyzyjnie na poziomie aplikacji, co sprawdza się doskonale w środowiskach BYOD.

Co możemy osiągnąć dzięki tym zasadom? Przede wszystkim:

· Blokowanie kopiowania firmowych danych do aplikacji osobistych

· Wymuszenie szyfrowania danych w aplikacjach

· Wymaganie PIN-u lub odcisku palca do otwarcia aplikacji służbowych

· Selektywne czyszczenie danych firmowych, gdy pracownik odchodzi z firmy

Microsoft wprowadził trzypoziomowy model ochrony, który z powodzeniem wdrażaliśmy u naszych klientów:

· Poziom 1 (podstawowy): PIN, szyfrowanie i selektywne czyszczenie

· Poziom 2 (rozszerzony): dodatkowe mechanizmy zapobiegania wyciekom i minimalne wymagania systemu

· Poziom 3 (zaawansowany): pełna ochrona z zaawansowanymi funkcjami bezpieczeństwa

Który poziom wybrać? To zależy od wrażliwości danych, jakie przetwarzasz! Dla większości naszych klientów poziom 2 okazał się optymalnym kompromisem między bezpieczeństwem a wygodą użytkowników.

Zarządzanie aplikacjami Win32 i Microsoft 365

Wdrażanie aplikacji Win32 było zawsze wyzwaniem dla administratorów IT. Pamiętamy czasy, gdy każdy komputer wymagał ręcznej instalacji! Dzięki Intune i narzędziu Microsoft Win32 Content Prep Tool proces ten stał się znacznie prostszy.

W przypadku Microsoft 365 możemy:

· Wybrać dokładnie te aplikacje Office, których potrzebują użytkownicy

· Określić architekturę (32-bitowa lub 64-bitowa)

· Skonfigurować kanał aktualizacji i wersję

· Automatycznie akceptować umowy licencyjne

· Usunąć starsze wersje MSI Office przed instalacją nowej

Z naszego doświadczenia wynika, że konfiguracja polityk aplikacji to ogromna oszczędność czasu. Jeden z naszych klientów, który zarządzał flotą 500 komputerów, zaoszczędził dzięki temu ponad 120 godzin pracy zespołu IT rocznie!

Zasady dostępu warunkowego i MFA

Czy zdarzyło Ci się, że ktoś uzyskał nieautoryzowany dostęp do firmowych danych? Nam tak - i nie był to przyjemny widok! Właśnie dlatego łączymy dostęp warunkowy (Conditional Access) z Intune dla zapewnienia dodatkowej warstwy ochrony.

Taka integracja daje nam możliwość:

· Sprawdzenia zgodności urządzenia z politykami przed dopuszczeniem go do zasobów organizacji

· Ograniczenia dostępu do aplikacji firmowych tylko do zarządzanych urządzeń

· Wymuszenia MFA podczas rejestracji urządzeń w Intune

· Natychmiastowego blokowania dostępu dla urządzeń niezgodnych z politykami bezpieczeństwa

Warto pamiętać o elastyczności - MFA można skonfigurować jako warunek dostępu, ale również wyłączyć podczas automatycznej rejestracji urządzeń. Wszystko zależy od specyfiki organizacji i jej potrzeb.

Nie ma jednego rozwiązania pasującego do wszystkich! Zawsze dostosowujemy konfigurację do konkretnych wymagań klienta i charakteru jego działalności.

Integracja z usługami Microsoft i partnerami zewnętrznymi

W naszej codziennej pracy z Microsoft Intune przekonaliśmy się, że prawdziwa moc tego rozwiązania ujawnia się dopiero w integracji z innymi usługami. To właśnie połączenie różnych komponentów tworzy ekosystem, który naprawdę rozwiązuje problemy bezpieczeństwa i zarządzania.

Azure Active Directory i Microsoft Defender

Fundamentem każdego skutecznego wdrożenia Intune jest integracja z Azure Active Directory (obecnie Microsoft Entra ID). Pracując z naszymi klientami, zawsze zaczynamy właśnie od tego elementu. Dlaczego? Ponieważ to właśnie ta integracja umożliwia wykorzystanie tożsamości użytkowników jako podstawy kontroli dostępu do zasobów.

W praktyce widzieliśmy, jak polityki dostępu warunkowego ratowały firmy przed wyciekiem danych. System sprawdza nie tylko "kim jesteś", ale również "czy Twoje urządzenie spełnia wymagania bezpieczeństwa".  

Kiedy dodajemy do tego Microsoft Defender for Endpoint, otrzymujemy dodatkową warstwę ochrony. Po wykryciu zagrożenia Defender automatycznie informuje Intune, który klasyfikuje urządzenie jako niezgodne. Co to oznacza? Natychmiastowe zablokowanie dostępu do zasobów firmowych!

Integracja z Configuration Manager i Microsoft Tunnel

Wiele organizacji obawia się migracji do chmury. "Co z naszymi inwestycjami w Configuration Manager?" - pytają klienci. Na szczęście Microsoft pomyślał o tym problemie! Intune może działać równolegle z Configuration Manager w modelu współzarządzania.

Ta kombinacja daje firmom elastyczność w przenoszeniu obciążeń zarządzania do chmury we własnym tempie. W jednym z naszych wdrożeń przenieśliśmy zarządzanie urządzeniami mobilnymi do Intune, pozostawiając zarządzanie stacjami roboczymi w Configuration Manager. Pozwoliło to klientowi zachować istniejące procesy i skrypty, jednocześnie korzystając z zalet rozwiązania chmurowego.

Microsoft Tunnel to z kolei rozwiązanie, które zaskakuje naszych klientów swoją prostotą! Działa w kontenerze na Linuxie i umożliwia dostęp do zasobów lokalnych z urządzeń mobilnych. W przeciwieństwie do tradycyjnych rozwiązań VPN, nie wymaga skomplikowanej konfiguracji infrastruktury.

Obsługa aplikacji z Google Play i Apple Business Manager

Zarządzanie aplikacjami na różnych platformach zawsze stanowiło wyzwanie. Na szczęście integracja Intune z Google Play i Apple Business Manager znacząco upraszcza ten proces.

Po połączeniu konta Intune z Managed Google Play, otrzymujemy dostęp do wszystkich aplikacji bezpośrednio z konsoli administracyjnej. Już po nawiązaniu połączenia, cztery podstawowe aplikacje pojawiają się automatycznie: Microsoft Intune, Microsoft Authenticator, Intune Company Portal i Managed Home Screen. To oszczędza czas i eliminuje błędy konfiguracji.

Z kolei integracja z Apple Business Manager daje nam pełną kontrolę nad licencjami aplikacji. Po synchronizacji tokenu VPP, Intune automatycznie śledzi wykorzystanie licencji.

Pamiętajmy - w świecie zarządzania urządzeniami mobilnymi integracja to klucz do sukcesu. Każde połączenie eliminuje kolejną lukę w bezpieczeństwie i upraszcza zarządzanie. Nie ma problemów nie do rozwiązania, trzeba tylko znać właściwe narzędzia i umieć je ze sobą połączyć!

Licencjonowanie, wymagania systemowe i czas wdrożenia

Wdrożenie Microsoft Intune to nie tylko kwestia techniczna, ale również finansowa. W naszej praktyce często spotykamy się z sytuacją, gdy klienci nie do końca rozumieją strukturę licencjonowania i planują budżet nieadekwatny do swoich potrzeb.

Jak nie zgubić się w gąszczu licencji?

Microsoft oferuje kilka opcji licencjonowania Intune, które potrafią początkowo wprowadzić zamieszanie. Podstawowe plany to:

Intune Plan 1 - podstawowy pakiet kosztujący 32,93 PLN/użytkownik/miesiąc

Intune Plan 2 - dodatek do Plan 1 z zaawansowanymi funkcjami za 16,47 PLN/użytkownik/miesiąc

Intune Suite - pełny zestaw funkcji za 41,17 PLN/użytkownik/miesiąc

W naszych wdrożeniach najczęściej wykorzystujemy licencje Intune zawarte w pakietach Microsoft 365. Dlaczego? Ponieważ większość organizacji i tak korzysta z Microsoft 365 E3/E5, Enterprise Mobility + Security czy Microsoft 365 Business Premium.

Uwaga! Dla urządzeń typu kiosk Microsoft udostępnia licencje typu "device-only", ale mają one istotne ograniczenia - brak wsparcia dla polityk ochrony aplikacji czy dostępu warunkowego. Przekonaliśmy się o tym przy jednym z wdrożeń, gdy klient chciał zaoszczędzić na licencjach, a finalnie i tak musiał dokupić pełne licencje użytkowników.

Jakie systemy obsługuje Intune?

W praktyce Intune sprawdza się jako uniwersalne narzędzie do zarządzania różnorodnymi środowiskami. Wspiera systemy:

· Windows: wersje 10/11 w praktycznie wszystkich edycjach

· iOS/iPadOS: najlepiej działa z wersją 16.x lub nowszą

· Android: 10.0 lub nowszy dla pełnej funkcjonalności

· macOS: 13.x lub nowszy

· Linux: Ubuntu Desktop 22.04/20.04 LTS i RedHat Enterprise Linux 8/9

Panel administracyjny Intune działa w popularnych przeglądarkach - Edge, Safari, Chrome i Firefox.

Ile czasu zajmie wdrożenie?

To pytanie słyszymy najczęściej! Odpowiedź nie jest prosta, ale możemy podzielić się naszymi obserwacjami.

Nowo zarejestrowane urządzenia synchronizują się z Intune początkowo co 3 minuty (przez pierwsze 15 minut), następnie co 15 minut przez 2 godziny. Później Windows przechodzi na standardowy 8-godzinny cykl synchronizacji. To ważne przy planowaniu wdrożeń - nie spodziewajcie się, że wszystkie polityki zostaną zastosowane natychmiast!

Przy instalacji aplikacji Win32 warto zwrócić uwagę na limit czasu. Domyślnie to 60 minut, ale można go wydłużyć nawet do 1440 minut (cały dzień). W jednym z naszych projektów instalacja specjalistycznego oprogramowania przekraczała domyślny limit, co powodowało niepowodzenia wdrożeń. Szybka zmiana tego parametru rozwiązała problem.

Pamiętajcie też, że synchronizację można wymusić ręcznie z portalu Intune - to przydatna opcja podczas testów. Jeśli zainstalowany jest Intune Management Extension, synchronizacja następuje co godzinę, co znacząco przyspiesza wdrażanie aplikacji i polityk.

Z naszego doświadczenia wynika, że pełne wdrożenie Intune w średniej organizacji zajmuje od 2 do 4 tygodni, ale korzyści z centralizacji zarządzania odczuwalne są niemal natychmiast!

Podsumowanie i przyszłość zarządzania urządzeniami mobilnymi

Microsoft Intune naprawdę sprawdza się jako rozwiązanie współczesnych problemów bezpieczeństwa w środowiskach korporacyjnych. W ciągu lat obserwowaliśmy, jak ewoluował z prostego narzędzia MDM do kompleksowego rozwiązania UEM, oferując ochronę danych na wszystkich typach urządzeń końcowych. Funkcje ochrony urządzeń, aplikacji i danych tworzą spójny ekosystem bezpieczeństwa - coś, co nasi klienci szczególnie doceniają.

Elastyczność wdrożenia Intune to jego ogromna zaleta! Administratorzy mogą wybierać różne metody rejestracji urządzeń zależnie od platformy i potrzeb. Wielokrotnie przekonaliśmy się, jak Windows Autopilot upraszcza konfigurację nowych urządzeń, a polityki ochrony aplikacji zabezpieczają dane nawet na niezarządzanych urządzeniach.

Co sprawia, że Intune wyróżnia się na tle konkurencji? Przede wszystkim integracja z Microsoft Entra ID, Microsoft Defender i Configuration Manager. Ta kombinacja tworzy kompletny system bezpieczeństwa. Dodatkowo, współpraca z Google Play i Apple Business Manager pozwala na efektywne zarządzanie aplikacjami na różnych platformach.

Należy jednak pamiętać, że wdrożenie Intune wymaga starannego planowania. Nasi klienci muszą dokładnie przeanalizować model licencjonowania, wymagania systemowe i czas potrzebny na wdrożenie. Zauważyliśmy, że zarządzanie urządzeniami mobilnymi stało się kluczowym elementem strategii IT, zwłaszcza wobec rosnących zagrożeń bezpieczeństwa i popularności pracy zdalnej.

Współczesne firmy stoją przed prostym wyborem - albo wdrożą skuteczne narzędzia zarządzania punktami końcowymi, albo narażą się na ryzyko wycieku danych. Microsoft Intune rozwiązuje ten problem, jednocześnie ułatwiając pracę działom IT.

Patrząc w przyszłość, spodziewamy się jeszcze większej automatyzacji i integracji z rozwiązaniami AI. Microsoft regularnie dodaje nowe funkcje do Intune, dostosowując produkt do zmieniających się potrzeb klientów i nowych zagrożeń.

Wdrożenie Microsoft Intune to nie jednorazowy projekt, lecz długoterminowa inwestycja w bezpieczeństwo i produktywność. Z naszego doświadczenia wynika, że przy odpowiednim planowaniu, testowaniu i dostosowaniu do specyficznych potrzeb biznesowych, Intune znacząco zmniejsza obciążenie zespołów IT, zapewniając jednocześnie wysoki poziom bezpieczeństwa.