Microsoft Intune för företag i Stockholm

Licenser, Outlook, Teams och kontona som Intune bygger vidare på.

Windows, program och nätverksutrustning som hålls uppdaterade utan att störa arbetsdagen.

Cybersäkerhetslagen i praktiken, och var enhetshanteringen kommer in.

Vi sätter upp Microsoft Intune för företag i alla storlekar: nya datorer installeras automatiskt med Autopilot, alla enheter får lås och kryptering, jobbmejlen skyddas på privata mobiler och en borttappad telefon kan spärras. 1 280 kr/tim exkl. moms, mycket görs på distans.

Datorlistan finns i någons huvud

Vad gör Intune för ett litet företag?

De flesta småföretag vi träffar har vuxit fram dator för dator. Den första laptopen installerade grundaren, nästa fixade en kollega med intresse, och nu sitter tolv personer med tolv olika uppsättningar inställningar. När någon slutar finns det ingen knapp som tar tillbaka företagets data från telefonen. Microsoft Intune är Microsofts molntjänst för MDM, alltså central hantering av datorer och mobiler, och den ingår redan i många företags licens utan att någon har slagit på den. Lite som att ha betalat för ett larm som fortfarande står i kartongen i förrådet.

Arbetet börjar i er Microsoft 365-miljö: vilka licenser ni har, hur Entra ID är uppsatt och vilka enheter som redan är registrerade. Sedan bygger teknikern grundregler för Windows, iPhone och Mac, provar dem på en enda dator och rullar ut till resten i omgångar. Personalen märker oftast bara att Outlook och Teams dyker upp av sig själva på nya datorer. Ni får en kort skriftlig beskrivning av vad som styrs och varför, så att nästa person som öppnar Intune admin center förstår vad som är gjort. Ingenting skickas ut till alla på en gång.

• Prövas på en enhet först Varje regel testas på en dator innan den når resten av kontoret
• Privata mobiler skonas Med appskydd styrs bara jobbdata, personalens bilder och appar rörs inte
• Dokumenterat i klartext En kort beskrivning av varje regel, skriven för den som tar över

Vad är Intune, utan säljspråk

Intune är Microsofts molntjänst för att styra datorer, telefoner och surfplattor. Varje enhet registreras mot företagets Entra ID, och därefter hämtar den sina inställningar, appar och säkerhetskrav från molnet var den än befinner sig. Administrationen sker i Intune admin center på intune.microsoft.com, och inloggningen dit görs med ett administratörskonto i er Microsoft 365-miljö. Två begrepp är bra att hålla isär: MDM och MAM. MDM betyder att hela enheten hanteras, vilket passar företagsägda datorer och telefoner. MAM, som Microsoft kallar appskydd, betyder att bara jobbapparna omfattas, vilket passar privata mobiler. De flesta småföretag behöver båda.

Ordningen vi bygger i

Den som letar efter en guide för utrullning av Intune hittar Microsofts dokumentation, som är grundlig men skriven för organisationer med egen IT-avdelning. I ett kontor med femton personer fungerar en kortare väg bättre:

• Licenser och grupper först, så att reglerna kan riktas mot rätt personer.
• Efterlevnadsregler: vad en enhet måste uppfylla, till exempel kryptering, skärmlås och aktuell Windows-version.
• Konfigurationsprofiler för BitLocker, brandvägg, wifi och uppdateringsringar.
• Appar, med Microsoft 365-apparna först och branschprogrammen sist.
• Villkorlig åtkomst allra sist, när alla enheter bevisligen klarar kraven.

Den sista punkten är den som oftast går fel när någon gör det på egen hand. Slås villkorlig åtkomst på innan enheterna är registrerade stänger man ute halva kontoret från Outlook en måndag morgon.

Fel vi brukar hitta i befintliga miljöer

En stor del av uppdragen gäller ett Intune som någon redan börjat med. De vanligaste fynden, i ungefär den ordning de dyker upp: Apples push-certifikat har gått ut och samtliga iPhones har slutat ta emot inställningar. Det finns inget nödkonto utanför villkorlig åtkomst, så ingen kommer in om något låser sig. Gamla grupprinciper från en lokal server krockar med Intune på datorer som är anslutna till båda. BitLocker är påslaget men återställningsnycklarna har aldrig sparats centralt. Och alla anställda är globala administratörer, för att det var enklast när kontot skapades.

När en enskild dator inte får sina inställningar börjar felsökningen alltid på samma ställe: enhetens sida i admin center och tidpunkten för senaste kontakt. Har datorn inte hört av sig på en vecka är problemet registreringen, inte regeln. Då tvingas en synkronisering fram från datorn under Konton och Åtkomst till arbete eller skola, och om det inte räcker tas en diagnostikrapport ut som visar exakt vilken inställning som fastnade. Oftast handlar det om två regler som säger emot varandra, till exempel en gammal profil för uppdateringar som ligger kvar bredvid en ny.

Byte från ett annat MDM-system

Alla börjar inte från noll. En del företag har tidigare kört ett MDM-system från SOTI, Jamf eller någon annan leverantör och vill samla allt i Intune. En telefon eller dator kan bara hanteras av en tjänst i taget, så den gamla registreringen måste bort innan den nya kan ta över. Hoppar man över det steget visar iPhone eller Mac meddelandet ”Den nya MDM-nyttolasten matchar inte den gamla nyttolasten” när profilen ska installeras. Felet betyder helt enkelt att den gamla hanteringsprofilen sitter kvar. Telefoner som är låsta till det gamla systemet via automatisk registrering behöver ofta släppas där och sedan återställas. Därför tar teknikern bytet en grupp i taget, så att ingen står utan jobbmejl under övergången.

Apple, Android och privata telefoner

Intune för Apple-enheter kräver ett push-certifikat från Apple, kopplat till ett Apple-ID som företaget äger. Certifikatet förnyas varje år med samma Apple-ID, och byts det av misstag måste alla enheter registreras om. Apple Business Manager gör att iPhones och Mac som köpts via företaget hamnar i Intune redan vid uppstart. Med Intune för Apple och Microsoft 365 på plats loggar den anställde in på sin nya iPhone med jobbkontot, och Outlook och Teams installeras utan att någon behöver leta i App Store. Android hanteras via Android Enterprise, där en arbetsprofil håller isär jobbappar och privata appar på samma telefon. Kör företaget Google Workspace i stället för Microsoft 365 finns en enklare MDM från Google i administratörskonsolen, och då jämförs den med Intune innan något nytt köps in. Full MDM på en telefon passar när företaget äger den, till exempel en delad jourtelefon, eftersom hela enheten då kan låsas, uppdateras och raderas. För personalens egna telefoner räcker appskydd i de flesta fall.

Tre saker ni kan kontrollera själva

Logga in i administrationscentret för Microsoft 365 och se under fakturering vilka licenser ni har. Står det Business Premium har ni redan Intune. Öppna sedan Intune admin center och titta under Enheter hur många som faktiskt är registrerade jämfört med hur många datorer ni äger. Har ni iPhones i Intune, leta upp förfallodatumet för Apples push-certifikat under registrering för Apple och skriv in det i kalendern. Tre minuter, och ni vet mer än många IT-ansvariga.

Vad som styr tid och pris

Antalet enheter påverkar mindre än man tror. Det som tar tid är antalet plattformar, gamla datorer som måste återställas, en lokal server med grupprinciper som ska fasas ut och branschprogram som behöver paketeras innan Intune kan installera dem. Ett kontor med enbart nya Windows-datorer och Microsoft 365-apparna är det enklaste fallet. Ring när ni ska köpa in nya datorer, när någon med full administratörsbehörighet slutar eller när en dator med kunddata har försvunnit. Då lönar det sig att ha Intune på plats, och helst redan dagen innan.