Condividi tramite

Controlli di conformità post-registrazione del dispositivo

  • Articolo

Importante

Le informazioni contenute in questo articolo o sezione si applicano solo se si dispone di licenze Windows Enterprise E3+ o F3 (incluse nelle licenze di Microsoft 365 F3, E3 o E5) e sono state attivate le funzionalità di Windows Autopatch.

L'attivazione delle funzionalità è facoltativa e non comporta costi aggiuntivi se si dispone di licenze Enterprise E3 o E5 Windows 10/11 (incluse in licenze Microsoft 365 F3, E3 o E5).

Per altre informazioni, vedere Licenze e diritti. Se si sceglie di non eseguire l'attivazione delle funzionalità, è comunque possibile usare il servizio Disassociazione automatica di Windows per le funzionalità incluse nelle licenze Business Premium e A3+.

Uno degli aspetti più costosi del processo di gestione degli aggiornamenti software è assicurarsi che i dispositivi siano sempre integri per ricevere e segnalare gli aggiornamenti software per ogni ciclo di rilascio degli aggiornamenti software.

È importante disporre di un modo per misurare, rilevare e correggere rapidamente i problemi relativi ai processi di gestione delle modifiche in corso; consente di attenuare volumi elevati di ticket helpdesk, ridurre i costi e migliorare i risultati complessivi della gestione degli aggiornamenti.

Windows Autopatch fornisce informazioni proattive sulla preparazione dei dispositivi che sono e non sono pronti per essere completamente gestiti dal servizio. Gli amministratori IT possono rilevare e correggere facilmente i problemi relativi ai dispositivi che impediscono loro di raggiungere gli obiettivi del report di conformità alla gestione degli aggiornamenti.

Scenari di preparazione dei dispositivi

L'idoneità dei dispositivi in Windows Autopatch è suddivisa in due scenari diversi:

Scenario Descrizione
Controlli dei prerequisiti Garantisce che i dispositivi seguano i requisiti basati su software prima di essere registrati con il servizio.
Controlli di conformità post-registrazione del dispositivo Fornisce il monitoraggio continuo dell'integrità dei dispositivi registrati.

Gli amministratori IT possono rilevare e correggere facilmente le mancate corrispondenze di configurazione negli ambienti o i problemi che impediscono ai dispositivi di disporre di uno o più carichi di lavoro di aggiornamento software completamente gestiti dal servizio di aggiornamento automatico di Windows. I carichi di lavoro software includono:

  • Aggiornamenti qualitativi di Windows
  • Aggiornamenti delle funzionalità
  • Microsoft Office
  • Microsoft Teams
  • Microsoft Edge

Le mancate corrispondenze di configurazione possono lasciare i dispositivi in uno stato vulnerabile, non conformi ed esposti a minacce per la sicurezza.

Controlli di idoneità dei dispositivi disponibili per ogni scenario

Idoneità del dispositivo necessaria (controlli dei prerequisiti) prima della registrazione del dispositivo (basata su Intune API Graph) Controlli di idoneità per la registrazione post-dispositivo necessari (basati sull'estensione Desktop gestito da Cloud Microsoft e su Windows Autopatch Client Broker)
  • Sistema operativo Windows (build, architettura ed edizione)
  • Gestito da Intune o co-gestione ConfigMgr
  • ConfigMgr carichi di lavoro di co-gestione
  • Ultima comunicazione con Intune
  • Dispositivi personali o non Windows
  • Sistema operativo Windows (build, architettura ed edizione)
  • Aggiornamenti di Windows & conflitto di criteri di Office Criteri di gruppo Object (GPO) rispetto Intune gestione dei dispositivi mobili (MDM)
  • Associare gli endpoint di rete (Microsoft Defender, Microsoft Teams, Microsoft Edge, Microsoft Office)
  • Connettività Internet

Lo stato di ogni controllo di idoneità post-registrazione del dispositivo è visualizzato nel pannello Dispositivi di Windows Autopatch nella scheda Non registrato . È possibile eseguire le azioni appropriate nei dispositivi che non sono pronti per essere completamente gestiti dal servizio Disassociazioni automatiche di Windows.

Pannello Dispositivi: schede registrate e non registrate

Gli aggiornamenti software vengono distribuiti per proteggere l'ambiente, ma queste distribuzioni raggiungono solo dispositivi integri e attivi. I dispositivi non integri o non pronti influiscono sulla conformità complessiva degli aggiornamenti software.

Capire l'integrità dei dispositivi può essere difficile e dirompente per l'utente finale quando gli amministratori IT non possono:

  • Ottenere dati proattivi inviati dal dispositivo al servizio o
  • Rilevare e correggere i problemi in modo proattivo

Windows Autopatch include gli stati di preparazione dei dispositivi all'interno del report Dispositivi. Ogni stato fornisce agli amministratori IT informazioni di monitoraggio su quali dispositivi potrebbero avere potenziali problemi di integrità dei dispositivi.

TAB Descrizione
Registrato
  • Pronto
    • Superato i controlli dei prerequisiti
    • Registrato con Windows Autopatch
    • Nessun avviso attivo destinato al dispositivo
  • Non pronto
    • Dispositivi che non hanno superato uno o più controlli di conformità post-registrazione del dispositivo
    • Dispositivi che non hanno comunicato con il servizio Microsoft Intune negli ultimi 28 giorni
Non registrato
  • Prerequisito non riuscito
    • I dispositivi con stato Prerequisito non riuscito non hanno superato uno o più controlli dei prerequisiti durante il processo di registrazione del dispositivo.
  • Escluso
    • I dispositivi con stato Escluso vengono rimossi dal servizio Disassoc automatica di Windows

Dettagli sui controlli di idoneità post-registrazione del dispositivo

Un dispositivo integro o attivo in Windows Autopatch è:

  • Online
  • Invio attivo dei dati
  • Supera tutti i controlli di idoneità per la registrazione post-dispositivo

I controlli di idoneità post-registrazione del dispositivo sono basati sull'estensione Desktop gestito da Microsoft Cloud. Viene installato subito dopo la registrazione dei dispositivi con Windows Autopatch. Microsoft Cloud Managed Desktop Extension e Windows Autopatch Client Broker hanno il plug-in Device Readiness Check. Il plug-in Device Readiness Check è responsabile dell'esecuzione dei controlli di idoneità e della segnalazione dei risultati al servizio. Microsoft Cloud Managed Desktop Extension e Windows Autopatch Client Broker sono sottocomponenti del servizio di creazione automatica automatica di Windows.

In Windows Autopatch viene eseguito l'elenco seguente dei controlli di idoneità post-registrazione del dispositivo:

Segno di spunta Descrizione
Build, architettura ed edizione del sistema operativo Windows Verifica se i dispositivi supportano windows 1809+ build (10.0.17763), architettura a 64 bit e SKU Pro o Enterprise.
Criteri di Windows Update gestiti tramite Microsoft Intune Verifica se i dispositivi dispongono di criteri di Windows Aggiornamenti gestiti tramite Microsoft Intune (MDM).
Criteri di aggiornamento di Windows gestiti tramite Criteri di gruppo Object (GPO) Verifica se i dispositivi dispongono di criteri di aggiornamento di Windows gestiti tramite l'oggetto Criteri di gruppo. Windows Autopatch non supporta i criteri di aggiornamento di Windows gestiti tramite oggetti Criteri di gruppo. Windows Update deve essere gestito tramite Microsoft Intune.
Criteri di aggiornamento di Microsoft Office gestiti tramite Criteri di gruppo Object (GPO) Verifica se i dispositivi hanno criteri di aggiornamento di Microsoft Office gestiti tramite oggetto Criteri di gruppo. Windows Autopatch non supporta i criteri di aggiornamento di Microsoft Office gestiti tramite oggetti Criteri di gruppo. Gli aggiornamenti di Office devono essere gestiti tramite Microsoft Intune o un altro metodo di gestione dei criteri di Microsoft Office in cui i bit di aggiornamento di Office vengono scaricati direttamente dalla rete CDN (Office Content Delivery Network).
Endpoint di rete di Windows Autopatch È disponibile un set di endpoint di rete che i servizi Di windows Autopatch devono essere in grado di raggiungere per i vari aspetti del servizio Di supporto automatico di Windows.
Endpoint di rete di Microsoft Teams È disponibile un set di endpoint di rete che i dispositivi con Microsoft Teams devono essere in grado di raggiungere per la gestione degli aggiornamenti software.
Endpoint di rete Microsoft Edge È disponibile un set di endpoint di rete che i dispositivi con Microsoft Edge devono essere in grado di raggiungere per la gestione degli aggiornamenti software.
Connettività Internet Verifica se un dispositivo ha connettività Internet per comunicare con i servizi cloud Microsoft. Windows Autopatch usa la classe PingReply. Windows Autopatch tenta di effettuare il ping di almeno tre URL pubblici di Microsoft due volte ciascuno, per verificare che i risultati del ping non provengano dalla cache del dispositivo.

Flusso di lavoro dei controlli di idoneità dopo la registrazione del dispositivo

Vedere il diagramma seguente per il flusso di lavoro dei controlli di conformità post-registrazione del dispositivo:

Controlli di conformità post-registrazione del dispositivo

Passaggio Descrizione
Passaggi da 1 a 7 Per altre informazioni, vedere il diagramma panoramica della registrazione del dispositivo.
Passaggio 8: Eseguire controlli di conformità
  1. Dopo aver registrato correttamente i dispositivi con Windows Autopatch, i dispositivi vengono aggiunti alla scheda Pronto .
  2. Gli agenti Microsoft Cloud Managed Desktop Extension e Windows Autopatch Client Broker eseguono controlli di idoneità sui dispositivi nella scheda Pronto ogni 24 ore.
Passaggio 9: Verificare lo stato di conformità
  1. L'estensione Desktop gestito da Microsoft Cloud e il servizio Client Broker di Windows Autopatch valutano i risultati di preparazione raccolti dal relativo agente.
  2. I risultati dell'idoneità vengono inviati dal componente del servizio Microsoft Cloud Managed Desktop Extension e Windows Autopatch Client Broker al componente Device Readiness all'interno del servizio di Windows Autopatch.
Passaggio 10: Aggiungere dispositivi a Non pronto Quando i dispositivi non superano uno o più controlli di idoneità, anche se sono registrati con Windows Autopatch, vengono aggiunti alla scheda Non pronti in modo che gli amministratori IT possano correggere i dispositivi in base alle raccomandazioni di Windows Autopatch.
Passaggio 11: L'amministratore IT capisce qual è il problema e corregge L'amministratore IT controlla e corregge i problemi nel pannello Dispositivi (scheda Non pronto ). La visualizzazione dei dispositivi nella scheda Pronto può richiedere fino a 24 ore.

Domande frequenti

Domanda Risposta
Con quale frequenza vengono eseguiti i controlli di idoneità dopo la registrazione del dispositivo?
  • Gli agenti Microsoft Cloud Managed Desktop Extension e Windows Autopatch Client Broker raccolgono gli stati di preparazione dei dispositivi durante l'esecuzione (una volta al giorno).
  • Una volta che l'agente raccoglie i risultati per i controlli di idoneità post-registrazione del dispositivo, genera risultati di preparazione nel dispositivo in %programdata%\Microsoft\CMDExtension\Plugins\DeviceReadinessPlugin\Logs\DRCResults.json.log.
  • I risultati dell'idoneità vengono inviati all'estensione Desktop gestito da Cloud Microsoft e al servizio Client Broker di Windows Autopatch .
  • L'estensione Desktop gestito da Microsoft Cloud e il componente del servizio Client Broker di Windows Autopatch inviano i risultati di preparazione al componente Preparazione del dispositivo. I risultati vengono visualizzati nel pannello Dispositivi di creazione automatica di Windows (scheda Non pronti ).
Cosa aspettarsi quando uno o più controlli hanno esito negativo? I dispositivi vengono inviati automaticamente alla scheda Pronto dopo la registrazione con Windows Autopatch. Quando i dispositivi non soddisfano uno o più controlli di idoneità post-registrazione del dispositivo, i dispositivi vengono spostati nella scheda Non pronti . Gli amministratori IT possono ottenere informazioni su questi dispositivi e intraprendere le azioni appropriate per correggerli. Windows Autopatch fornisce informazioni sull'errore e su come correggere potenzialmente i dispositivi.

Dopo la correzione dei dispositivi, la visualizzazione nella scheda Pronto può richiedere fino a 24 ore.

Risorse aggiuntive