Cómo actualizar el ámbito de usuario de Intune MDM mediante PowerShell

El ámbito de usuario de MDM especifica quién puede inscribir automáticamente sus dispositivos móviles y estaciones de trabajo en Microsoft Intune. A menudo, el primer paso para preparar su entorno para la administración de dispositivos de Intune es garantizar que el alcance del usuario de MDM esté configurado correctamente.

En este tutorial, le mostraré cómo puede usar PowerShell para informarle cómo está configurado el alcance del usuario de MDM y configurarlo automáticamente en Todos, si no hay usuarios asignados.

MDM frente a MAM

Si configura su política de inscripción de Microsoft Intune a través del Portal de Azure, hay 2 opciones, el alcance de usuario de MDM y el alcance de usuario de MAM, pero ¿cuál es la diferencia?

MDM es un acrónimo de Gestión de dispositivos móviles. El ámbito de usuario de MDM le permite configurar quién puede inscribir automáticamente sus dispositivos en Microsoft Intune cuando el dispositivo se une a Azure Active Directory.

MAM es un acrónimo de Gestión de Aplicaciones Móviles. El alcance del usuario de MAM le permite a su dispositivo inscribir automáticamente su dispositivo BYOD personal en la administración de aplicaciones.

La diferencia entre los 2 tipos de políticas es que con MDM usted administra todo el dispositivo, lo que significa que puede establecer restricciones en el dispositivo, instalar aplicaciones y hacer cumplir el cumplimiento. Mientras que con MAM, usted solo controla las aplicaciones comerciales en un dispositivo personal y aplica restricciones a las aplicaciones, como evitar que el usuario copie datos fuera de esa aplicación.

Requisitos previos

Para ejecutar los scripts de este tutorial, debe asegurarse de tener instalado el módulo Microsoft Graph PowerShell. Consulte mi guía sobre Cómo instalar el módulo Microsoft Graph PowerShell.

Permisos:

Debe asegurarse de tener asignados permisos de administrador global para realizar las tareas necesarias en este tutorial.

Suscripciones:

Se requiere una suscripción activa a Intune para permitirle unir sus dispositivos a la administración de Microsoft Intune.

Actualizar el alcance del usuario de MDM con PowerShell

El siguiente script verificará automáticamente si ha configurado su alcance de usuario de MDM y, si no está configurado, asignará automáticamente todos los usuarios en el alcance de usuario de MDM.

Import-Module Microsoft.Graph.Identity.SignIns

Select-MgProfile -Name beta

Connect-MgGraph -Scopes Policy.Read.All, Policy.ReadWrite.MobilityManagement

$uri = "https://graph.microsoft.com/beta/policies/mobileDeviceManagementPolicies/0000000a-0000-0000-c000-000000000000/?$select=appliesTo"
$mdmscope = $null
$mdmscope = Invoke-MgGraphRequest -Uri $uri -Method GET

Write-host "Checking MDM Scope settings" -BackgroundColor yellow -ForegroundColor black
sleep 2

If ($mdmscope.appliesTo -eq "none") {
    write-host "MDM scope not set" -backgroundcolor Red
    sleep 2
    write-host "Setting MDM scope to All" -backgroundcolor yellow -ForegroundColor Black
    sleep 2

    try {
        $uripatch = "https://graph.microsoft.com/beta/policies/mobileDeviceManagementPolicies/0000000a-0000-0000-c000-000000000000/?$select=appliesTo"
        $json = @'
        {
        "@odata.context": "https://graph.microsoft.com/beta/$metadata#mobilityManagementPolicies(appliesTo)/$entity",
        "appliesTo": "All"
        }
'@
       
        Invoke-MgGraphRequest -uri $uripatch -body $json -method PATCH -ContentType "Application/Json"
        write-Host "MDM scope is set to all" -ForegroundColor green
        sleep 2
        
        } catch {"Unable to set MDM scope"}
        

} elseif ($mdmscope.appliesTo -eq "selected") {

    $uri = "https://graph.microsoft.com/beta/policies/mobileDeviceManagementPolicies/" + $mdmscope.id + "/includedGroups"
    $PolicyGroups = Invoke-MgGraphRequest -uri $uri -method GET
    $IncludedGroup = $policyGroups.Values.DisplayName
    
    Write-Host "MDM scope is set to" $IncludedGroup -BackgroundColor Green -ForegroundColor Black
    sleep 2
} elseif ($mdmscope.appliesTo -eq "all") {
    write-Host "MDM scope is set to all" -ForegroundColor green
}

Todos mis scripts están disponibles en mi página de GitHub aquí.

Si desea obtener más información sobre cómo funciona este script, consulte mi publicación: Cómo usar Invoke-MgGraphRequest con PowerShell.