मार्स आईएस में रिमोट एक्सेस सॉल्यूशंस

शुभ दिन,% उपयोगकर्ता नाम%!

किसी भी बड़ी कंपनी में (और न केवल एक बड़े में), लोग किसी भी समय और जितनी जल्दी हो सके कॉर्पोरेट जानकारी (कार्य मेल, कैलेंडर, आंतरिक संसाधन) तक पहुंचना चाहते हैं। इन एक्सेस को प्रदान करने और प्रबंधित करने के लिए मोबाइल डिवाइस प्रबंधन नामक अलग समाधान बनाया गया है।

ऐतिहासिक रूप से, हमने अपनी कंपनी में मोबाइल उपकरणों के प्रबंधन के लिए विभिन्न समाधानों का उपयोग किया है। पहले यह एक विशिष्ट निर्माता के अनुरूप एक समाधान था, फिर हमने एक अन्य उत्पाद पर स्विच किया जिसने हमें iOS और Android दोनों उपकरणों का समर्थन करने की अनुमति दी। इसके बाद, Microsoft से समाधान पर स्विच करने का निर्णय लिया गया।

माइक्रोसॉफ्ट इंटुएन

समाधान की कार्यक्षमता का विश्लेषण करने के समय, क्लाउड संस्करण ने सुविधाओं की काफी छोटी सूची प्रदान की, इसलिए इसे इंट्यून हाइब्रिड का उपयोग करने का निर्णय लिया गया।

एक इंट्यून हाइब्रिड क्या है?



यह अच्छा पुराना सिस्टम सेंटर कॉन्फ़िगरेशन प्रबंधक है, जिसे Microsoft Intune के साथ एकीकृत किया गया है। इस समाधान की अपनी विशेषताएं हैं:

• सभी मोबाइल डिवाइस प्रबंधन SCCM के माध्यम से होता है।
• सभी सुरक्षा नीतियां और कॉन्फ़िगरेशन SCCM के माध्यम से बनाई और प्रबंधित की जाती हैं।

मोबाइल उपकरणों का प्रबंधन कार्यस्थलों के प्रबंधन से अलग नहीं है। क्लाउड भाग का उपयोग केवल उपकरणों और SCCM के बीच संचार के लिए किया जाता है।

MS Intune पर स्विच करने के निर्णय के साथ, सभी उपयोगकर्ताओं को नए प्लेटफ़ॉर्म पर स्थानांतरित करना आवश्यक हो गया। दुर्भाग्य से, हमारे पास प्रवास करने के लिए केवल 5 महीने थे और दुनिया भर में 28,000 उपयोगकर्ता थे।

शुरुआत के लिए, माइग्रेशन के लिए सबसे कम विनाशकारी दृष्टिकोण का उपयोग किया गया था और उपयोगकर्ताओं को नई सेवा के साथ काम करने के लिए उपकरणों को फिर से कॉन्फ़िगर करने की सलाह दी गई थी।

इस दृष्टिकोण ने एक निश्चित समय पर काम करना बंद कर दिया, और उपयोगकर्ताओं को डिवाइस को कॉन्फ़िगर करने की क्षमता के समानांतर अवरोध के साथ पिछली सेवा से डिस्कनेक्ट करने के लिए मजबूर होना शुरू हुआ। इसने डेस्कटॉप सेवा पर कुछ कठिनाइयाँ और अतिरिक्त भार पैदा किया। मोबाइल उपकरणों की सेवा पर खुली घटनाओं का ग्राफ स्पष्ट रूप से सबसे सक्रिय प्रवास की अवधि को दर्शाता है।

सौभाग्य से, संक्रमण सफल रहा - समय पर और अप्रत्याशित समस्याओं के बिना।

Microsoft के साथ मंगल ग्रह पर जीवन कैसा है?

माइग्रेशन के दौरान, सभी समर्थन टीमों के लिए अनुकूलन करना काफी कठिन था, क्योंकि मोबाइल उपकरणों के प्रबंधन के लिए कार्यक्षमता SCCM की तुलना में बहुत व्यापक और अधिक सुविधाजनक थी। लेकिन कार्यक्षमता की कुछ राशि का त्याग करने के बाद, हमें सेवा की महत्वपूर्ण स्थिरता और सामान्य रूप से कम घटनाएं हुईं। तुलना के लिए, 28,000 उपयोगकर्ताओं के लिए पिछले समाधान के साथ, हमारे पास प्रति माह लगभग 700 घटनाएं थीं, लेकिन अब स्तर। 350 की घटनाओं पर रखा गया है।

नए SCCM रिलीज़ के साथ, Microsoft नई कार्यक्षमता जोड़ रहा है, और मुझे आशा है कि वे हाइब्रिड समाधान में निवेश करना जारी रखेंगे।

नया क्या है?

नए उत्पाद के लिए माइग्रेशन ने नए एक्सेस कंट्रोल फीचर्स भी दिए, क्योंकि इंट्यून एंटरप्राइज मोबिलिटी + सिक्योरिटी सर्विस का ही एक हिस्सा है। हमारे लिए सबसे महत्वपूर्ण और दिलचस्प विशेषताएं कंडिशनल एक्सेस और मोबाइल एप्लीकेशन मैनेजमेंट हैं ।

सशर्त पहुँच एक सेवा अभिगम नियंत्रण नीति है। मान लीजिए कि एक उपयोगकर्ता व्यक्तिगत फ़ोन से ऑनलाइन एक्सचेंज से जुड़ना चाहता है। एक्सेस नीति के लिए आवश्यक है कि EXO तक पहुँचने के लिए आपका डिवाइस Microsoft इन्ट्यून चल रहा हो। यदि यह उपयोगकर्ता आईओएस पर मानक मेल एप्लिकेशन के माध्यम से मेलबॉक्स को कॉन्फ़िगर करने का प्रयास करता है, तो उसे केवल एक संदेश दिखाई देगा: "व्यवस्थापक को Microsoft Intune के माध्यम से डिवाइस को नियंत्रित करने की आवश्यकता होती है।" इसी तरह, आप Azure AD में पंजीकृत किसी भी एप्लिकेशन तक पहुंच को नियंत्रित कर सकते हैं।

मोबाइल एप्लिकेशन प्रबंधन अनुप्रयोग के भीतर कॉर्पोरेट डेटा का प्रबंधन है। यह वह सेटिंग है जो यह निर्धारित करती है कि फोन की मेमोरी में काम करने वाले दस्तावेज़ों को सहेजना संभव है, उन्हें तृतीय-पक्ष एप्लिकेशन पर कॉपी करें, और इसी तरह।

ये दोनों फ़ंक्शन सुरक्षा सेटिंग्स के लचीले और दर्द रहित उपयोगकर्ता कॉन्फ़िगरेशन की अनुमति देते हैं।

स्टैंडअलोन में प्रवासन

Microsoft से, विशेष रूप से सह-प्रबंधन और ऑटोपायलट में नए समाधानों में रुचि रखने के बाद, हमने महसूस किया कि यह पूरी तरह से क्लाउड-आधारित समाधान (तथाकथित इनटू स्टैंडअलोन) पर स्विच करना आवश्यक था।

निर्णय के समय, Microsoft ने उपयोगकर्ताओं को SCCM से Intunelal के लिए माइग्रेट करने के चरण-दर-चरण निर्देश पहले ही प्रकाशित कर दिए थे:

• SCCM से कॉन्फ़िगरेशन निर्यात करें और उन्हें Intune में आयात करें।
• परीक्षण उपयोगकर्ताओं का प्रवासन।
• सभी उपयोगकर्ताओं का प्रवासन।
• SCMM से इंटुएन को एमडीएम प्राधिकरण स्विच करें।

निर्यात / आयात चरण में, Microsoft से स्वयं एक समाधान का उपयोग किया गया था । दुर्भाग्य से, आयात बहुत अच्छी तरह से नहीं हुआ था और न केवल विशिष्ट अनुप्रयोगों को SCCM से माइग्रेट किया गया था, बल्कि सभी तैनाती प्रकार, इन्ट्यून में अलग-अलग एप्लिकेशन बना रहे थे।

यह कुछ इस तरह देखा गया:



इसके अलावा, किसी कारण से, एप्लिकेशन संस्करण भी सही तरीके से आयात नहीं किया गया था और इस वजह से, सभी अनुप्रयोगों को मैन्युअल रूप से प्रकाशित करना आवश्यक था। इस विन्यास और नीतियों के साथ बिना किसी समस्या के प्रवास किया गया।

टेस्ट ग्रुप माइग्रेशन

प्रारंभ में, परीक्षण समूह में मेरे सहकर्मी और मेरे शामिल थे। हमें डर था कि उपयोगकर्ता यह नोटिस कर सकते हैं कि वे पलायन कर रहे हैं। इससे डेस्कटॉप सेवा पर कॉल की लहर भड़क सकती है। लेकिन परीक्षण से पता चला कि विन्यास और प्रकाशित अनुप्रयोगों में अंतर के अभाव में, उपयोगकर्ताओं को कुछ भी ध्यान नहीं है।

प्रवासन तंत्र क्या था? आवश्यक उपयोगकर्ता को SCCM संग्रह से हटा दिया गया था, जिसका उपयोग Intune सदस्यता सेटिंग्स में किया गया था। यह एक विशेष संग्रह के माध्यम से किया गया था, जो बदले में, सक्रिय निर्देशिका में एक समूह से जुड़ा हुआ था। तदनुसार, उपयोगकर्ता को स्थानांतरित करने के लिए, आपको बस उसे आवश्यक विज्ञापन समूह में जोड़ना होगा।

लेकिन अप्रत्याशित रूप से, माइग्रेट किए गए उपकरणों को प्रबंधित करने के लिए सर्विस डेस्क एक्सेस प्रदान करने में समस्याएं थीं। मैंने एक विशेष भूमिका बनाई, जिसमें केवल अपने कार्यों के लिए आवश्यक अधिकार थे। भूमिका को आवश्यक समूह को सौंपा गया था, लेकिन कुछ लोगों के लिए पहुँच प्रकट नहीं हुई थी। विश्लेषक लाइसेंस और उनके खातों की जाँच की गई, लेकिन सभी व्यर्थ। ग्राफ एपीआई के माध्यम से प्रभावी भूमिकाओं की जाँच से पता चला है कि एक भूमिका है, लेकिन उस व्यक्ति की अभी भी पहुंच नहीं है। एक लंबी जांच के बाद, Microsoft समर्थन के साथ मिलकर, यह पता चला कि विश्लेषकों के लिए लाइसेंस (Intune in EMS E3 या EMS E5) की आवश्यकता थी। और यह भी, विश्लेषकों, बदले में, Intune स्टैंडअलोन को स्थानांतरित करने की आवश्यकता है। आवश्यकता को प्रलेखित नहीं किया गया था और इसे हल करने में कुछ हफ़्ते लगे।

उसी समय, मैंने बिक्री प्रतिनिधियों के एक समूह को एक यूरोपीय देश से माइग्रेशन के लिए आकर्षित किया, जो अपने दैनिक कार्य में वीपीएन सेवा का सक्रिय रूप से उपयोग करते हैं और माइग्रेशन के चारों ओर स्वयं चलाते हैं, साथ ही साथ इनट्यून स्टैंडअलोन एनडीईएस के लिए सर्वर को अलग से कॉन्फ़िगर किया गया है । यह इस कदम पर था कि सभी उपयोगकर्ताओं की वापसी के साथ माइग्रेशन लगभग रद्द कर दिया गया था।

उपयोगकर्ता वीपीएन सेवा का उपयोग करने में सक्षम होने के लिए, उन्हें एक प्रोफ़ाइल के साथ दिया जाता है जो वीपीएन क्लाइंट को निर्दिष्ट एससीईपी प्रमाणपत्र का उपयोग करके कॉन्फ़िगर करता है, जो रूट सीए को संदर्भित करता है। तदनुसार, संचालन के लिए प्रमाण पत्र की एक जोड़ी मौजूद होनी चाहिए।
हमारे पास केवल एक प्रमाणपत्र (रूट सीए) था।

सबसे सरल बात यह मान लेना है कि समस्या NDES सर्वर में है। लेकिन इसने पूरी तरह से काम किया और प्रमाणपत्र के लिए अनुरोध भी नहीं किया। जब स्वयं उपकरणों से लॉग की जांच करते हैं, तो मैंने पाया कि डिवाइस को SCEP प्रमाणपत्र का अनुरोध करने के लिए आवश्यक सेटिंग्स भी नहीं मिलीं। Microsoft ने इस समस्या को Intune डेवलपर्स को दिया जिसने न केवल सभी प्रमाणपत्रों के महत्व की खोज की, बल्कि सभी प्रमाणपत्रों और सेटिंग्स को एक ही उपयोगकर्ता समूहों और उपकरणों तक पहुंचाने की आवश्यकता थी। हमारे मामले में, रूट CA को सभी उपकरणों पर वितरित किया गया था, और SCEP केवल कुछ उपकरणों के लिए।

और इसलिए, हमने एक लहर में 1000 से 4000 उपयोगकर्ताओं को बढ़ाने का प्रवास शुरू किया। इस प्रक्रिया में 4 सप्ताह का समय लगा। हम कुछ भी करने के लिए तैयार थे (हम सभी जानते हैं कि बहुत कम ही सब कुछ योजना के अनुसार होता है)। लेकिन डेस्कटॉप सेवा में कॉल में वृद्धि के बिना सब कुछ आसानी से चला गया।

आउटडेटेड डिवाइस

हमारे मानकों के अनुसार, हम मोबाइल ओएस के न्यूनतम संस्करणों के लिए प्रयास करते हैं:

IOS के लिए टी -1।
· Android के लिए T-2।

* टी इस समय नवीनतम संस्करण है।

कुछ हद तक, यह iOS पर लागू होता है, जैसा कि Apple ने लंबे समय से अपने उपकरणों का समर्थन किया है। यह Android उपकरणों के लिए अधिक सही है। उदाहरण के लिए, लोग अभी भी 4 साल से अधिक पुराने उपकरणों पर एंड्रॉइड 4.4.2 का उपयोग करते हैं।

इस मामले में, हम उपकरणों के प्रतिस्थापन के समय को निर्धारित करने के लिए स्थानीय आईटी टीम के साथ एक संवाद आयोजित कर रहे हैं, क्योंकि सुरक्षा और उन्हें अद्यतन करने में खर्च किए गए धन के बीच संतुलन खोजना आवश्यक है।

आगे क्या है?

निर्णय के परिवर्तन से आंतरिक परिवर्तन हुए हैं। उदाहरण के लिए, PowerShell में लिखे अप्रचलित उपकरणों से SCCM की सफाई के लिए स्क्रिप्ट थीं, जिनका उपयोग करना अब संभव नहीं है। अपने सभी नए समाधानों में, Microsoft ग्राफ़ API को बढ़ावा दे रहा है, जिसमें महारत हासिल होनी चाहिए।

रिपोर्टिंग हाल ही में SSRS के आधार पर बनाई गई है, अब हम Intune Data Warehouse के डेटा के साथ Power BI + oData फ़ीड का उपयोग करेंगे।

पहले मैंने कॉन्डिटोनल एक्सेस और मोबाइल एप्लिकेशन प्रबंधन का उल्लेख किया था। पहला समाधान पहले ही लागू हो चुका है, अब हम दूसरे पर काम कर रहे हैं। हम मोबाइल उपकरणों पर वीपीएन के प्रतिस्थापन के रूप में एज़्योर एप्लिकेशन प्रॉक्सी का भी परीक्षण कर रहे हैं। यदि यह दिलचस्प है, तो मैं नए लेखों में इसके बारे में बताऊंगा।