如何阻止 Windows Home 设备注册 Intune
Intune 注册的一个常见问题是，一旦启用用户注册，默认情况下就无法阻止用户将任何设备注册到您的环境中。您当然可以使用条件访问来阻止未经授权或不合规的设备访问资源，但这并不能阻止它们首先注册。
在本教程中，我将向您展示如何使用设备筛选器来阻止 Windows Home 设备和其他 Windows 版本注册到 Intune。
先决条件
要完成本教程中的任务，您需要将 Intune 管理员角色分配给您的管理员用户。您还可以创建自定义角色分配来限制管理员用户可以执行的任务，请参阅：如何创建自定义 Intune 角色分配。
您还应该确保所有用户都分配有 Intune 许可证，以下许可证 SKU 包括 Microsoft Intune：
- 微软365 E5
- 微软 365 E3
- 企业移动性 + 安全性 E5
- 企业移动性 + 安全性 E3
- Microsoft 365 商业高级版
- 微软 365 F1
- 微软 365 F3
- Microsoft 365 政府 G5
- Microsoft 365 政府 G3
- Intune 教育版
创建目标 Windows Home 的设备过滤器
设备筛选器是适用于 Intune 中的设备的一个或一组规则。他们可以是分配策略、应用程序和配置文件以根据特定属性动态定位设备的用户。根据创建策略时应用的逻辑，您可以根据过滤器包含或排除设备，其中有各种受支持的平台和属性。
支持的平台
创建设备过滤器时支持以下平台：
- Windows 10 及更高版本
- iOS/iPadOS
- Andrion 设备管理员
- 苹果系统
- 安卓企业版
支持设备属性
创建设备过滤器时，您可以定位多种受支持的属性，其中包括：
- 设备名称（deviceName）
- 制造商（制造商）
- 型号（模型）
- 设备类别（deviceCategory）
- 操作系统版本（osVersion）
- 所有权（设备所有权）
- 注册配置文件名称 (enrollmentProfileName)
- 操作系统SKU（operatingSystemSKU）
创建面向 Windows Home 的设备筛选器
让我们逐步了解如何创建针对 Windows Home 设备的设备筛选器。
1. 首先登录 Microsoft Intune，网址为 https://endpoint.microsoft.com/ 或 https://intune.microsoft.com/
2. 从左侧菜单中选择租户管理。
3. 选择过滤器。
4. 单击创建启动新过滤器创建向导。
5. 首先为过滤器输入一个有意义的名称并选择平台类型 Windows 10 及更高版本，然后单击“下一步”。
6. 在规则选项卡上，选择以下选项：
- 属性：操作系统SKU
- 运算符： 包含
- 价值：核心
这将创建以下规则语法，以定位操作系统 SKU 包含单词 Core（相当于 Home）的所有设备。 （device.operatingSystemSKU - 包含“核心”）
如果您不确定设备的具体 SKU，可以运行以下命令使用 PowerShell 输出 ID：
Get-WmiObject -Class Win32_OperatingSystem |select operatingsystemSKU您的输出将类似于以下内容，并为您提供一个数值：
获得操作系统的值后，请使用下表查找您正在运行的 Windows 版本以及规则中包含的支持值。
- BusinessN
Windows 10/11 专业版 N (49)
- CloudEdition
-
云版 (Windows 11 SE (203)
- CloudEditionN
云版N (Windows 11 SE N (202)
- Core
Windows 10/11 家庭版 (10/111)
- CoreCountrySpecific
Windows 10/11 家庭版中国 (99)
- CoreN
Windows 10/11 家庭版 N (98)
- CoreSingleLanguage
Windows 10/11 家庭单语言 (100)
- Education
Windows 10/11 教育版 (121)
- EducationN
Windows 10/11 教育版 (122)
- Enterprise
Windows 10/11 企业版 (4)
- EnterpriseEval
Windows 10/11 企业评估 (72)
- EnterpriseG
Windows 10/11 企业版 G (171)
- EnterpriseGN
Windows 10/11 企业版 GN (172)
- EnterpriseN
Windows 10/11 企业版 N (27)
- EnterpriseNEval
Windows 10/11 企业版 N 评估 (84)
- EnterpriseS
Windows 10 企业版 LTSC (125)
- EnterpriseSEval
Windows 10 企业 LTSC 评估 (129)
- EnterpriseSN
Windows 10 企业版 LTSC N (162)
- Holographic
Windows 10 全息 (136)
- IoTUAP
Windows 10 物联网核心版 (123)
- IoTUAPCommercial
Windows 10 IoT 核心商业版 (131)
- IoTEnterprise
Windows 10/11 物联网企业版 (188)
- PPIPro
Windows 10 TeamOS (119)
- Professional
Windows 10/11 专业版 (48)
- ProfessionalEducation
Windows 10/11 专业教育 (164)
- ProfessionalEducationN
Windows 10/11 专业教育 N (165)
- ProfessionalWorkstation
适用于工作站的 Windows 10/11 专业版 (161)
- ProfessionalN
适用于 N 工作站的 Windows 10/11 专业版 (162)
- ProfessionalSingleLanguage
Windows 10/11 专业单语言 (138)
- ServerRdsh
Windows 10/11 企业版多会话 (175)
7. 完成规则后，单击下一步，然后在最后一页上单击创建。
创建设备注册平台限制
现在我们已经创建了设备过滤器，我们需要创建一些设备注册限制并应用一些逻辑。这些限制背后的想法是，如果设备与第一个配置文件的分配不匹配，它们将应用于第二个配置文件。第一个配置文件将允许注册，第二个配置文件（或大多数情况下的默认配置）将阻止注册。
1. 首先登录 Microsoft Intune 并选择设备，然后选择注册设备平台限制。
2. 打开Windows 限制选项卡并选择创建限制。
3. 输入有意义的名称，然后单击下一步。
4. 在平台设置页面上，将MDM和个人拥有的设备选项均设置为允许，然后单击下一步。 b>
5. 如果您使用 RBAC 控制管理员对资源的访问权限，请在“范围标记”页面上定义所需的任何范围标记，然后单击下一步。
6. 单击分配选项卡上的添加所有用户。
7. 单击下一步，然后单击创建。这将创建策略，但是我们现在需要编辑策略并应用过滤器。
8. 点击您创建的新政策，然后点击分配旁边的属性和编辑。
7. 在右侧组标题下的所有用户旁边，选择编辑过滤器。
8. 此步骤的想法是排除已过滤的设备，但是，行为列表中缺少排除选项。为了解决这个问题，我们可以使用 Microsoft Graph 浏览器工具来公开并应用所需的设置。
点击在分配中包含过滤的设备并选择您创建的过滤器，然后点击下一步和查看+保存。
9. 在您单击最终保存按钮之前，我们将打开您的网页开发人员工具来窃取 Microsoft Graph 请求 URL 和请求正文。右键单击该页面并单击检查。
10. 一旦开发者工具打开，它将如下图所示。选择网络选项卡。
11. 当开发者工具打开时，在注册配置文件限制向导的最后步骤中点击保存。
12. 在网络选项卡上，您现在将看到名称标题下出现一些网络请求。从列表中选择分配，然后单击标头并复制请求 URL。将其保存在某处以便稍后使用。
13. 现在选择负载选项卡，然后右键单击并复制请求负载，如下所示，并将其保存在某处以供下一步使用。< /跨度>
14. 现在，在新的浏览器选项卡中，打开 Microsoft Graph Explorer 工具，网址为 https://developer.microsoft.com/en-us/graph/graph-explorer。
15. 单击配置文件图标并以 Microsoft 365 租户管理员身份登录。
16. 将请求标头复制并粘贴到请求网址文本框中，并将方法更改为POST。
17. 现在单击修改权限选项卡并同意所有列出的权限。
18. 现在选择请求正文选项卡并粘贴我们之前复制的请求负载。
19. 将请求正文中的设备过滤器类型从包含更改为排除。您的请求现在如下所示。
19. 单击右上角的立即运行，您应该会看到成功但空的响应。
20. 如果您现在返回到 Intune 门户中新注册限制配置文件的属性，则筛选模式现在将显示为排除。
设置默认策略以阻止个人设备
创建自定义策略后，默认情况下，当 Windows Home 设备由于排除筛选器而跳过新策略时，它们将遵循默认策略。
这意味着为了确保它们被阻止，我们需要阻止个人设备通过默认策略注册。
1. 在注册设备平台限制页面中，选择默认优先级策略旁边的所有用户。
2. 选择平台设置旁边的属性，然后选择编辑。
3. 确保个人注册设置为阻止。然后点击查看 + 保存，然后点击保存。
最终用户体验
从用户的角度来看，当他们打开设置并尝试注册或尝试使用公司门户应用程序手动注册时，他们将被阻止。
一旦他们输入公司登录详细信息，设备将被评估，并且他们将收到以下错误：
