Wdrażanie urządzeń przyłączonych hybrydowo Microsoft Entra przy użyciu Intune i rozwiązania Windows Autopilot

Przed rozpoczęciem instalacji upewnij się, że zostały spełnione wszystkie wymagania serwera łącznika Intune.

Wyłączanie konfiguracji rozszerzonych zabezpieczeń programu Internet Explorer

Domyślnie Windows Server włączono rozszerzoną konfigurację zabezpieczeń programu Internet Explorer. Konfiguracja zwiększonych zabezpieczeń programu Internet Explorer może powodować problemy z logowaniem się do łącznika Intune dla usługi Active Directory. Ponieważ program Internet Explorer jest przestarzały i w większości wystąpień nie jest nawet zainstalowany na Windows Server, firma Microsoft zaleca wyłączenie konfiguracji zwiększonych zabezpieczeń programu Internet Explorer. Aby wyłączyć konfigurację rozszerzonych zabezpieczeń programu Internet Explorer:

1. Zaloguj się na serwerze, na którym jest instalowany łącznik Intune dla usługi Active Directory przy użyciu konta z uprawnieniami administratora lokalnego.

2. Otwórz Menedżer serwera.

3. W lewym okienku Menedżer serwera wybierz pozycję Serwer lokalny.

4. W okienku WŁAŚCIWOŚCI po prawej stronie Menedżer serwera wybierz link Wł. lub Wył. obok pozycji Konfiguracja zwiększonych zabezpieczeń programu IE.

5. W oknie Konfiguracja rozszerzonych zabezpieczeń programu Internet Explorer wybierz pozycję Wyłączone w obszarze Administratorzy:, a następnie wybierz przycisk OK.

Pobieranie łącznika Intune dla usługi Active Directory

1. Na serwerze, na którym jest instalowany łącznik Intune dla usługi Active Directory, zaloguj się do centrum administracyjnego Microsoft Intune.

2. Na ekranie głównym wybierz pozycję Urządzenia w okienku po lewej stronie.

3. Na urządzeniach | Ekran przeglądu w obszarze Według platformy wybierz pozycję Windows.

4. W systemie Windows | Ekran urządzeń z systemem Windows w obszarze Dołączanie urządzenia wybierz pozycję Rejestracja.

5. W systemie Windows | Ekran rejestracji systemu Windows w obszarze Windows Autopilot wybierz pozycję łącznik Intune dla usługi Active Directory.

6. Na ekranie łącznika Intune dla usługi Active Directory wybierz pozycję Dodaj.

7. W otwieranym oknie Dodawanie łącznika w obszarze Konfigurowanie łącznika Intune dla usługi Active Directory wybierz pozycję Pobierz lokalny łącznik Intune dla usługi Active Directory. Link pobiera plik o nazwie ODJConnectorBootstrapper.exe.

Instalowanie łącznika Intune dla usługi Active Directory na serwerze

1. Zaloguj się na serwerze, na którym jest instalowany łącznik Intune dla usługi Active Directory przy użyciu konta z uprawnieniami administratora lokalnego.

2. Jeśli zainstalowano poprzedni starszy łącznik Intune dla usługi Active Directory, odinstaluj go najpierw przed zainstalowaniem zaktualizowanego łącznika Intune dla usługi Active Directory. Aby uzyskać więcej informacji, zobacz Odinstalowywanie łącznika Intune dla usługi Active Directory.

   Ważna

   Podczas odinstalowywania poprzedniego starszego łącznika Intune Connector dla usługi Active Directory upewnij się, że w ramach procesu odinstalowywania uruchom starszą wersję łącznika Intune Connector dla instalatora usługi Active Directory. Jeśli starszy łącznik Intune dla instalatora usługi Active Directory wyświetli monit o odinstalowanie go po jego uruchomieniu, wybierz opcję odinstalowania. Ten krok gwarantuje, że poprzedni starszy łącznik Intune dla usługi Active Directory zostanie całkowicie odinstalowany. Starszą wersję łącznika Intune dla instalatora usługi Active Directory można pobrać z łącznika Intune dla usługi Active Directory.

   Porada

   W domenach z tylko jednym łącznikiem Intune dla usługi Active Directory firma Microsoft zaleca najpierw zainstalowanie zaktualizowanego łącznika Intune dla usługi Active Directory na innym serwerze. Przed odinstalowaniem starszego łącznika Intune connector dla usługi Active Directory na bieżącym serwerze należy zainstalować zaktualizowany łącznik Intune dla usługi Active Directory. Zainstalowanie łącznika Intune dla usługi Active Directory na innym serwerze pozwala uniknąć przestojów, gdy łącznik Intune dla usługi Active Directory jest aktualizowany na bieżącym serwerze.

3. Otwórz pobrany ODJConnectorBootstrapper.exe plik, aby uruchomić łącznik Intune dla instalacji usługi Active Directory.

4. Wykonaj kroki instalacji łącznika Intune dla instalatora usługi Active Directory.

5. Na końcu instalacji zaznacz pole wyboru Uruchom łącznik Intune dla usługi Active Directory.

   Uwaga

   Jeśli program Intune Connector dla instalacji usługi Active Directory zostanie przypadkowo zamknięty bez zaznaczenia pola wyboru Uruchom łącznik Intune dla usługi Active Directory, konfigurację łącznika Intune dla usługi Active Directory można ponownie otworzyć, wybierając opcję łącznika Intune dla usługi Active Directory>Intune Łącznik usługi Active Directory z menu Start.

Zaloguj się do łącznika Intune dla usługi Active Directory

1. W oknie łącznika Intune dla usługi Active Directory na karcie Rejestracja wybierz pozycję Zaloguj.

2. Na karcie Logowanie zaloguj się przy użyciu Tożsamość Microsoft Entra poświadczeń roli administratora Intune. Konto użytkownika musi mieć przypisaną licencję Intune. Proces logowania może potrwać kilka minut.

   Uwaga

   Konto używane do rejestrowania łącznika Intune dla usługi Active Directory jest tylko tymczasowym wymaganiem w momencie instalacji. Konto nie jest używane w przyszłości po zarejestrowaniu serwera.

3. Po zakończeniu procesu logowania:

   1. Zostanie wyświetlone okno potwierdzenia Łącznik Intune dla usługi Active Directory pomyślnie zarejestrowane. Wybierz przycisk OK , aby zamknąć okno.
   2. Zostanie wyświetlone okno potwierdzenia zarządzanego konta usługi o nazwie "<MSA_name>". Nazwa msa jest w formacie msaODJ##### , w którym ##### jest pięć losowych znaków. Zanotuj nazwę utworzonego konta msa, a następnie wybierz przycisk OK , aby zamknąć okno. Nazwa msa może być potrzebna później, aby skonfigurować msa, aby umożliwić tworzenie obiektów komputera w jednostkach organizacyjnych.

4. Karta Rejestracja pokazuje, Intune łącznik usługi Active Directory jest zarejestrowany. Przycisk Zaloguj jest wyszarzony i włączono konfigurowanie zarządzanego konta usługi .

5. Zamknij okno łącznika Intune dla usługi Active Directory.

Sprawdź, czy łącznik Intune dla usługi Active Directory jest aktywny

Po uwierzytelnieniu łącznik Intune dla usługi Active Directory zakończy instalację. Po zakończeniu instalacji sprawdź, czy jest aktywny w Intune, wykonując następujące kroki:

1. Przejdź do centrum administracyjnego Microsoft Intune, jeśli jest ono nadal otwarte. Jeśli okno Dodawanie łącznika jest nadal wyświetlane, zamknij je.

   Jeśli centrum administracyjne Microsoft Intune nie jest nadal otwarte:

   1. Zaloguj się do centrum administracyjnego usługi Microsoft Intune.

   2. Na ekranie głównym wybierz pozycję Urządzenia w okienku po lewej stronie.

   3. Na urządzeniach | Ekran przeglądu w obszarze Według platformy wybierz pozycję Windows.

   4. W systemie Windows | Ekran urządzeń z systemem Windows w obszarze Dołączanie urządzenia wybierz pozycję Rejestracja.

   5. W systemie Windows | Ekran rejestracji systemu Windows w obszarze Windows Autopilot wybierz pozycję łącznik Intune dla usługi Active Directory.

2. Na stronie łącznika Intune dla usługi Active Directory:

   • Upewnij się, że serwer jest wyświetlany w obszarze Nazwa łącznika i jest wyświetlany jako Aktywny w obszarze Stan
   • W przypadku zaktualizowanego łącznika Intune dla usługi Active Directory upewnij się, że wersja jest większa lub równa 6.2501.2000.5.

   Jeśli serwer nie jest wyświetlany, wybierz pozycję Odśwież lub przejdź z dala od strony, a następnie przejdź z powrotem do strony łącznika Intune dla usługi Active Directory.

Po zainstalowaniu łącznika Intune dla usługi Active Directory rozpocznie on rejestrowanie w Podgląd zdarzeń w obszarze ścieżki Dzienniki> aplikacji i usługMicrosoft>Intune>ODJConnectorService. W tej ścieżce można znaleźć dzienniki Administracja i operacyjne.

Skonfiguruj usługę MSA tak, aby zezwalała na tworzenie obiektów w jednostkach organizacyjnych (opcjonalnie)

Domyślnie administratorzy msa mają dostęp tylko do tworzenia obiektów komputera w kontenerze Komputery . Administratorzy msa nie mają dostępu do tworzenia obiektów komputerów w jednostkach organizacyjnych ( jednostek organizacyjnych). Aby umożliwić usłudze MSA tworzenie obiektów w jednostkach organizacyjnych, jednostki organizacyjne muszą zostać dodane do ODJConnectorEnrollmentWizard.exe.config pliku XML znajdującego się w katalogu, w ODJConnectorEnrollmentWizard którym zainstalowano łącznik Intune dla usługi Active Directory, zwykle C:\Program Files\Microsoft Intune\ODJConnector\.

Aby skonfigurować usługę MSA tak, aby zezwalała na tworzenie obiektów w jednostkach organizacyjnych, wykonaj następujące kroki:

1. Na serwerze, na którym zainstalowano łącznik Intune dla usługi Active Directory, przejdź do ODJConnectorEnrollmentWizard katalogu, w którym zainstalowano łącznik Intune dla usługi Active Directory, zwykle C:\Program Files\Microsoft Intune\ODJConnector\.

2. ODJConnectorEnrollmentWizard W katalogu otwórz ODJConnectorEnrollmentWizard.exe.config plik XML w edytorze tekstów, na przykład Notatnik.

3. ODJConnectorEnrollmentWizard.exe.config W pliku XML dodaj dowolne żądane jednostki organizacyjne, do których usługa MSA powinna mieć dostęp do tworzenia obiektów komputera. Nazwa jednostki organizacyjnej powinna być nazwą wyróżniającą, a jeśli ma zastosowanie, musi zostać pominięta. Poniższy przykład to przykładowy wpis XML z nazwą wyróżniającą jednostki organizacyjnej:

     <appSettings>
   
       <!-- Semicolon separated list of OUs that will be used for Hybrid Autopilot, using LDAP distinguished name format.
           The ODJ Connector will only have permission to create computer objects in these OUs.
           The value here should be the same as the value in the Hybrid Autopilot configuration profile in the Azure portal - https://learn.microsoft.com/en-us/mem/intune/configuration/domain-join-configure
   
           Usage example (NOTE: PLEASE ENSURE THAT THE DISTINGUISHED NAME IS ESCAPED PROPERLY):
           Domain contains the following OUs:
             - OU=HybridDevices,DC=contoso,DC=com
             - OU=HybridDevices2,OU=IntermediateOU,OU=TopLevelOU,DC=contoso,DC=com
   
           Value: "OU=HybridDevices,DC=contoso,DC=com;OU=HybridDevices2,OU=IntermediateOU,OU=TopLevelOU,DC=contoso,DC=com" -->
   
       <add key="OrganizationalUnitsUsedForOfflineDomainJoin" value="OU=SubOU,OU=TopLevelOU,DC=contoso,DC=com;OU=Mine,DC=contoso,DC=com" />
     </appSettings>
   

4. Po dodaniu wszystkich żądanych jednostek organizacyjnych zapisz ODJConnectorEnrollmentWizard.exe.config plik XML.

5. Jako administrator, który ma odpowiednie uprawnienia do modyfikowania uprawnień jednostki organizacyjnej, otwórz łącznik Intune dla usługi Active Directory, przechodząc do łącznika Intune dla usługi Active Directory>Intune Connector for Active Directory z menu Start.

   Ważna

   Jeśli administrator instalujący i konfigurujący łącznik Intune dla usługi Active Directory nie ma uprawnień do modyfikowania uprawnień jednostki organizacyjnej, w sekcji/krokach Zwiększanie limitu konta komputera w jednostce organizacyjnej musi być zamiast tego administrator, który ma uprawnienia do modyfikowania uprawnień jednostki organizacyjnej.

6. Na karcie Rejestracja w oknie łącznika Intune dla usługi Active Directory wybierz pozycję Konfiguruj zarządzane konto usługi.

7. Zostanie wyświetlone okno potwierdzenia zarządzanego konta usługi o nazwie "<MSA_name>". Wybierz przycisk OK , aby zamknąć okno.

Przed rozpoczęciem instalacji upewnij się, że zostały spełnione wszystkie wymagania serwera łącznika Intune.

Wyłączanie konfiguracji rozszerzonych zabezpieczeń programu Internet Explorer

Domyślnie Windows Server włączono rozszerzoną konfigurację zabezpieczeń programu Internet Explorer. Konfiguracja zwiększonych zabezpieczeń programu Internet Explorer może powodować problemy z logowaniem się do łącznika Intune dla usługi Active Directory. Ponieważ program Internet Explorer jest przestarzały i w większości wystąpień nie jest nawet zainstalowany na Windows Server, firma Microsoft zaleca wyłączenie konfiguracji zwiększonych zabezpieczeń programu Internet Explorer. Aby wyłączyć konfigurację rozszerzonych zabezpieczeń programu Internet Explorer:

1. Zaloguj się na serwerze, na którym jest instalowany łącznik Intune dla usługi Active Directory przy użyciu konta z uprawnieniami administratora lokalnego i praw administratora domeny. Uprawnienia administratora domeny są wymagane, aby łącznik Intune dla instalatora usługi Active Directory mógł prawidłowo utworzyć msa.

2. Otwórz Menedżer serwera.

3. W lewym okienku Menedżer serwera wybierz pozycję Serwer lokalny.

4. W okienku WŁAŚCIWOŚCI po prawej stronie Menedżer serwera wybierz link Wł. lub Wył. obok pozycji Konfiguracja zwiększonych zabezpieczeń programu IE.

5. W oknie Konfiguracja rozszerzonych zabezpieczeń programu Internet Explorer wybierz pozycję Wyłączone w obszarze Administratorzy:, a następnie wybierz przycisk OK.

Instalowanie starszego łącznika Intune dla usługi Active Directory na serwerze

1. Otwórz wcześniej pobrany ODJConnectorBootstrapper.exe plik, aby uruchomić łącznik Intune dla instalacji usługi Active Directory.

   Uwaga

   Jeśli starszy łącznik Intune dla usługi Active Directory jest już zainstalowany, przejdź do menu >StartIntune Connector for Active Directory>Intune Connector for Active Directory, a następnie przejdź do pozycji Zaloguj się do starszej wersji łącznika Intune dla usługi Active Directory.

2. W oknie instalatora instalatora Intune Connector for Active Directory wybierz pozycję Wyrażam zgodę na warunki i postanowienia licencyjne, a następnie wybierz pozycję Zainstaluj.

   Uwaga

   Jeśli lokalizacja instalacji inna niż domyślna C:\Program Files\Microsoft Intune\ODJConnector jest pożądana, wybierz pozycję Opcje i określ żądaną lokalizację instalacji.

3. Po zakończeniu instalacji wybierz pozycję Konfiguruj teraz w oknie instalatora instalatora Intune Connector dla usługi Active Directory.

   Uwaga

   W przypadku przypadkowego wybrania opcji Zamknij lub przypadkowego zamknięcia okna instalatora instalatora Intune Connector dla usługi Active Directory można uzyskać dostęp do łącznika Intune dla usługi Active Directory, wybierając pozycję łącznik Intune dla usługi Active Directory>Intune Connector dla usługi Active Directory z menu Start.

Zaloguj się do starszego łącznika Intune

1. W oknie łącznika Intune dla usługi Active Directory na karcie Rejestracja wybierz pozycję Zaloguj.

2. Na karcie Logowanie zaloguj się przy użyciu poświadczeń roli administratora Intune. Konto użytkownika musi mieć przypisaną licencję Intune. Proces logowania może potrwać kilka minut.

   Uwaga

   Konto używane do rejestrowania łącznika Intune dla usługi Active Directory jest tylko tymczasowym wymaganiem w momencie instalacji. Konto nie jest używane w przyszłości po zarejestrowaniu serwera.

3. Po zakończeniu procesu logowania zostanie wyświetlone okno potwierdzenia Łącznik Intune dla usługi Active Directory pomyślnie zarejestrowany. Wybierz przycisk OK , aby zamknąć okno.

4. Karta Rejestracja pokazuje, Intune Łącznik usługi Active Directory jest zarejestrowany, a przycisk Logowania jest wyszarzone.

5. Zamknij okno łącznika Intune dla usługi Active Directory.

Sprawdź, czy starszy łącznik Intune dla usługi Active Directory jest aktywny

Po uwierzytelnieniu łącznik Intune dla usługi Active Directory zakończy instalację. Po zakończeniu instalacji sprawdź, czy jest aktywny w Intune, wykonując następujące kroki:

1. Przejdź do centrum administracyjnego Microsoft Intune, jeśli jest ono nadal otwarte. Jeśli okno Dodawanie łącznika jest nadal wyświetlane, zamknij je.

   Jeśli centrum administracyjne Microsoft Intune nie jest nadal otwarte:

   1. Zaloguj się do centrum administracyjnego usługi Microsoft Intune.

   2. Na ekranie głównym wybierz pozycję Urządzenia w okienku po lewej stronie.

   3. Na urządzeniach | Ekran przeglądu w obszarze Według platformy wybierz pozycję Windows.

   4. W systemie Windows | Ekran urządzeń z systemem Windows w obszarze Dołączanie urządzenia wybierz pozycję Rejestracja.

   5. W systemie Windows | Ekran rejestracji systemu Windows w obszarze Windows Autopilot wybierz pozycję łącznik Intune dla usługi Active Directory.

2. Na stronie łącznika Intune dla usługi Active Directory upewnij się, że serwer jest wyświetlany w obszarze Nazwa łącznika i jest wyświetlany jako Aktywny w obszarze Stan. Jeśli serwer nie jest wyświetlany, wybierz pozycję Odśwież lub przejdź z dala od strony, a następnie przejdź z powrotem do strony łącznika Intune dla usługi Active Directory.

Po zainstalowaniu łącznika Intune dla usługi Active Directory rozpocznie on rejestrowanie w Podgląd zdarzeń w obszarze ścieżki Dzienniki> aplikacji i usługMicrosoft>Intune>ODJConnectorService. W tej ścieżce można znaleźć dzienniki Administracja i operacyjne.

Celem łącznika Intune dla usługi Active Directory jest dołączenie komputerów do domeny i dodanie ich do jednostki organizacyjnej. Z tego powodu konto usługi zarządzanej (MSA) używane dla łącznika Intune dla usługi Active Directory musi mieć uprawnienia do tworzenia kont komputerów w jednostce organizacyjnej, do której komputery są przyłączone do domeny lokalnej.

W przypadku uprawnień domyślnych w usłudze Active Directory sprzężenia domeny przez łącznik Intune dla usługi Active Directory mogą początkowo działać bez żadnych modyfikacji uprawnień do jednostki organizacyjnej w usłudze Active Directory. Jednak po próbie dołączenia ponad 10 komputerów do domeny lokalnej usługa MSA przestanie działać, ponieważ domyślnie usługa Active Directory zezwala na dołączanie maksymalnie 10 komputerów do domeny lokalnej przez dowolne pojedyncze konto.

Ograniczenie 10 przyłączeń do domeny komputera nie ogranicza następujących użytkowników:

• Użytkownicy w grupach Administratorzy lub Administratorzy domeny: Aby zapewnić zgodność z modelem zasad najniższych uprawnień, firma Microsoft nie zaleca, aby administrator lub administrator domeny zarządzane było.
• Użytkownicy z uprawnieniami delegowanymi do jednostki organizacyjnej (OU) i kontenerów w usłudze Active Directory do tworzenia kont komputerów: Ta metoda jest zalecana, ponieważ jest zgodna z modelem zasad najniższych uprawnień.

Aby rozwiązać ten problem, administrator konta musi mieć uprawnienie Utwórz konta komputera w jednostce organizacyjnej (OU), do której komputery są przyłączone w domenie lokalnej. Łącznik Intune dla usługi Active Directory ustawia uprawnienia dla msa na jednostki organizacyjne, o ile spełniony jest jeden z następujących warunków:

• Administrator instalujący łącznik Intune dla usługi Active Directory ma uprawnienia niezbędne do ustawiania uprawnień dla jednostek organizacyjnych.
• Administrator konfigurujący łącznik Intune dla usługi Active Directory ma uprawnienia niezbędne do ustawiania uprawnień dla jednostek organizacyjnych.

Jeśli administrator instalujący lub konfigurujący łącznik Intune dla usługi Active Directory nie ma uprawnień niezbędnych do ustawiania uprawnień dla jednostek organizacyjnych, należy wykonać następujące kroki:

1. Zaloguj się do komputera z dostępem do konsoli Użytkownicy i komputery usługi Active Directory przy użyciu konta, które jest niezbędne do ustawienia uprawnień dla jednostek organizacyjnych.

2. Otwórz konsolę Użytkownicy i komputery usługi Active Directory, uruchamiając plik DSA.msc.

3. Rozwiń żądaną domenę i przejdź do jednostki organizacyjnej (OU), do którą komputery dołączają podczas rozwiązania Windows Autopilot.

   Uwaga

   Jednostka organizacyjna dołączana przez komputery podczas wdrażania rozwiązania Windows Autopilot jest określona później podczas kroku Konfigurowanie i przypisywanie profilu przyłączania do domeny .

4. Kliknij prawym przyciskiem myszy jednostkę organizacyjną i wybierz pozycję Właściwości.

   Uwaga

   Jeśli komputery dołączają do domyślnego kontenera Komputery zamiast jednostki organizacyjnej, kliknij prawym przyciskiem myszy kontener Komputery i wybierz pozycję Deleguj kontrolę.

5. W oknach Właściwości jednostki organizacyjnej, które zostanie otwarte, wybierz kartę Zabezpieczenia .

6. Na karcie Zabezpieczenia wybierz pozycję Zaawansowane.

7. W oknie Zaawansowane ustawienia zabezpieczeń wybierz pozycję Dodaj.

8. W oknach Wpis uprawnień obok pozycji Jednostka wybierz link Wybierz podmiot zabezpieczeń .

9. W oknie Wybieranie użytkownika, komputera, konta usługi lub grupy wybierz przycisk Typy obiektów...

10. W oknie Typy obiektów zaznacz pole wyboru Konta usług , a następnie wybierz przycisk OK.

11. W oknie Wybieranie użytkownika, komputera, konta usługi lub grupy w obszarze Wprowadź nazwę obiektu do wybrania wprowadź nazwę msa używaną dla łącznika Intune dla usługi Active Directory.

    Porada

    Msa została utworzona podczas instalowania łącznika Intune dla usługi Active Directory krok/sekcja i ma format nazwy, msaODJ##### gdzie ##### jest pięć losowych znaków. Jeśli nazwa msa nie jest znana, wykonaj następujące kroki, aby znaleźć nazwę msa:

    1. Na serwerze z uruchomionym łącznikiem Intune dla usługi Active Directory kliknij prawym przyciskiem myszy menu Start, a następnie wybierz pozycję Zarządzanie komputerem.
    2. W oknie Zarządzanie komputerem rozwiń węzeł Usługi i aplikacje , a następnie wybierz pozycję Usługi.
    3. W okienku wyników znajdź usługę o nazwie Intune ODJConnector dla usługi Active Service. Nazwa msa jest wymieniona w logowanie jako kolumny.

12. Wybierz pozycję Sprawdź nazwy , aby zweryfikować wpis nazwy msa. Po zweryfikowaniu wpisu wybierz przycisk OK.

13. W oknach Wpis uprawnień wybierz menu rozwijane Zastosuj do: , a następnie wybierz pozycję Tylko ten obiekt.

14. W obszarze Uprawnienia usuń zaznaczenie wszystkich elementów, a następnie zaznacz pole wyboru Utwórz obiekty komputera .

15. Wybierz przycisk OK , aby zamknąć okno Wpis uprawnień .

16. W oknie Zaawansowane ustawienia zabezpieczeń wybierz pozycję Zastosuj lub OK , aby zastosować zmiany.

Celem łącznika Intune dla usługi Active Directory jest dołączenie komputerów do domeny i dodanie ich do jednostki organizacyjnej. Z tego powodu serwer z uruchomionym łącznikiem Intune dla usługi Active Directory musi mieć uprawnienia do tworzenia kont komputerów w jednostce organizacyjnej, do której komputery są przyłączone do domeny lokalnej.

W przypadku uprawnień domyślnych w usłudze Active Directory sprzężenia domeny przez łącznik Intune dla usługi Active Directory mogą początkowo działać bez żadnych modyfikacji uprawnień do jednostki organizacyjnej w usłudze Active Directory. Jednak po tym, jak serwer z uruchomionym łącznikiem Intune dla usługi Active Directory podejmie próbę dołączenia ponad 10 komputerów do domeny lokalnej, przestanie działać, ponieważ domyślnie usługa Active Directory zezwala na dołączanie maksymalnie 10 komputerów do domeny lokalnej przez dowolne pojedyncze konto.

Ograniczenie 10 przyłączeń do domeny komputera nie ogranicza następujących użytkowników:

• Użytkownicy w grupach Administratorzy lub Administratorzy domeny — w celu zachowania zgodności z modelem zasad najniższych uprawnień firma Microsoft nie zaleca, aby konto komputera z uruchomionym łącznikiem Intune Connector dla usługi Active Directory było administratorem lub administratorem domeny.
• Użytkownicy z uprawnieniami delegowanymi do jednostki organizacyjnej (OU) i kontenerów w usłudze Active Directory do tworzenia kont komputerów — ta metoda jest zalecana, ponieważ jest zgodna z modelem zasad najniższych uprawnień.

Aby rozwiązać ten problem, serwer z uruchomionym łącznikiem Intune dla usługi Active Directory musi mieć uprawnienie Tworzenie kont komputerów w jednostce organizacyjnej (OU), do której komputery są przyłączone w domenie lokalnej:

Aby zwiększyć limit konta komputera w jednostce organizacyjnej (OU), do których komputery dołączają podczas rozwiązania Windows Autopilot, wykonaj następujące kroki na komputerze z dostępem do konsoli Użytkownicy i komputery usługi Active Directory:

1. Otwórz konsolę Użytkownicy i komputery usługi Active Directory, uruchamiając plik DSA.msc.

2. Rozwiń żądaną domenę i przejdź do jednostki organizacyjnej (OU), do którą komputery dołączają podczas rozwiązania Windows Autopilot.

   Uwaga

   Jednostka organizacyjna dołączana przez komputery podczas wdrażania rozwiązania Windows Autopilot jest określona później podczas kroku Konfigurowanie i przypisywanie profilu przyłączania do domeny .

3. Kliknij prawym przyciskiem myszy jednostkę organizacyjną i wybierz pozycję Deleguj kontrolkę.

   Uwaga

   Jeśli komputery dołączają do domyślnego kontenera Komputery zamiast jednostki organizacyjnej, kliknij prawym przyciskiem myszy kontener Komputery i wybierz pozycję Deleguj kontrolę.

4. W oknie Kreator delegowania kontrolek Kreatoradelegowania kontrolek wybierz pozycję Dalej.

5. W oknie Użytkownicy lub grupy w obszarze Wybrani użytkownicy i grupy wybierz pozycję Dodaj.

6. Obok pozycji Wybierz ten typ obiektu: w oknie Wybieranie użytkowników, komputerów lub grup wybierz pozycję Typy obiektów.

7. W oknie Typy obiektów zaznacz pole wyboru Komputery , a następnie wybierz przycisk OK. Pozostałe elementy w tym oknie można pozostawić domyślnie.

8. W oknie Wybieranie użytkowników, komputerów lub grup w polu Wprowadź nazwy obiektów do wybrania wprowadź nazwę komputera, na którym zainstalowano łącznik Intune dla usługi Active Directory podczas kroku Instalowanie łącznika Intune.

9. Wybierz pozycję Sprawdź nazwy , aby zweryfikować wpis. Po zweryfikowaniu wpisu wybierz przycisk OK.

10. W oknie Użytkownicy lub grupy sprawdź, czy prawidłowy komputer jest wyświetlany w obszarze Wybrani użytkownicy i grupy:, a następnie wybierz przycisk Dalej.

11. W oknie Zadania do delegowania wybierz pozycję Utwórz zadanie niestandardowe do delegowania, a następnie wybierz pozycję Dalej.

12. W oknie Typ obiektu usługi Active Directory :

    1. Wybierz w folderze tylko następujące obiekty.

    2. W obszarze Tylko następujące obiekty w folderze wybierz pozycję Obiekty komputera.

    3. Zaznacz pole wyboru Utwórz zaznaczone obiekty w tym folderze .

    4. Wybierz pozycję Dalej.

13. W oknie Uprawnienia w obszarze Uprawnienia:zaznacz pole wyboru Pełna kontrola , a następnie wybierz pozycję Dalej.

    Uwaga

    Po zaznaczeniu pola wyboru Pełna kontrola wszystkie inne opcje w obszarze Uprawnienia: są wybierane automatycznie. Automatyczne zaznaczenie pól wyboru jest normalne i oczekiwane. Nie usuwaj zaznaczenia żadnego z pól wyboru po ich automatycznym zaznaczeniu.

14. W oknie Kończenie delegowania Kreatora sterowania wybierz pozycję Zakończ.