Обновление Microsoft Intune за февраль: одобрение и DDM

Введение: почему это важно

Обходные решения в управлении устройствами часто начинаются как удобство — но незаметно повышают риски. Дублирующиеся политики, слишком широкие развёртывания обновлений ПО и неотслеживаемые изменения увеличивают поверхность атаки и подрывают практики Zero Trust, такие как принцип наименьших привилегий и строгий контроль изменений. Улучшения Intune в этом месяце нацелены на сокращение этих разрывов за счёт согласований, более качественной аналитики по парку и более точного таргетинга политик Apple.

Что нового в Intune (февраль)

1) Согласование несколькими администраторами расширено на политики соответствия и конфигурации

Intune теперь поддерживает дополнительные варианты согласования несколькими администраторами для:

• Политик конфигурации устройств, созданных через Settings catalog
• Политик соответствия устройств требованиям

При включённом согласовании несколькими администраторами создание, изменение или удаление этих критически важных политик требует одобрения второго администратора до вступления изменений в силу. Это дополняет согласования, уже доступные для других областей с высоким влиянием (приложения, скрипты, действия с устройствами вроде wipe/retire/delete, роли RBAC и категории устройств).

Почему это важно: это добавляет практическое управление, предотвращая случайные или несанкционированные изменения политик — особенно ценно в средах, где дрейф конфигурации может быстро привести к несоответствию требованиям.

2) Advanced Analytics: более информативные результаты Multiple Device Query (MDQ)

Advanced Analytics теперь включает улучшения удобства и точности MDQ:

• Сведения об операторах теперь отображаются в результатах запроса, включая типы join (например, leftanti и rightsemi), чтобы точнее выявлять «отсутствующие» условия по устройствам.
• Кликабельный синтаксис join в результатах MDQ для более быстрого перехода к сведениям об устройствах.
• Улучшенные сообщения об ошибках.
• Упрощённые join: администраторы теперь могут объединять результаты по полю Device без пользовательского синтаксиса Device.

Почему это важно: более высокая точность запросов помогает администраторам находить пробелы в соответствия требованиям, отсутствующие конфигурации или когорты устройств в масштабе — что критично для решений Zero Trust, зависящих от точных данных об инвентаризации и состоянии.

3) Политики Apple DDM теперь поддерживают фильтры назначений

Ранее политики Declarative Device Management (DDM) не могли использовать фильтры назначений, что ограничивало гибкость таргетинга (например, при разделении корпоративных и личных устройств). Теперь Intune поддерживает фильтры назначений для политик на базе DDM, выравнивая этот опыт с традиционными политиками на базе MDM.

Примеры:

• Назначайте обновления ПО только устройствам на iOS 17+ с помощью фильтра по версии ОС.
• Назначайте политики устройствам ADE supervised, исключая личные устройства, с помощью фильтра по названию профиля регистрации.

Почему это важно: по мере расширения Apple DDM на iOS, iPadOS, macOS, visionOS и tvOS администраторам нужен единый, точный таргетинг, чтобы избегать чрезмерно широких развёртываний.

Влияние на IT-администраторов и конечных пользователей

• Администраторы получают более строгий контроль изменений для политик с высоким влиянием, улучшенную диагностику и анализ парка благодаря доработкам MDQ, а также меньшую потребность в дублирующих политиках или «массовых» назначениях обновлений.
• Конечные пользователи выигрывают за счёт меньшего числа непреднамеренных изменений политик и более корректного таргетинга обновлений (особенно в сценариях BYOD).

Действия / Следующие шаги

• Оцените, следует ли включить согласование несколькими администраторами для политик соответствия требованиям и политик конфигурации Settings catalog в вашем тенанте.
• Обновите внутренние рекомендации по управлению изменениями, включив новый процесс согласования, и проверьте, что сроки хранения журналов аудита соответствуют требованиям управления.
• Если вы используете Apple DDM, пересмотрите стратегию назначений и внедрите фильтры, чтобы лучше разделять опыт для корпоративных и личных устройств.
• В средах с интенсивной аналитикой перепроверьте MDQ-запросы и используйте улучшенные join и видимость операторов, чтобы повысить точность отчётности по парку.