KomuraSoft LLC
Связаться с нами
Меню

От Group Policy к Intune — руководство по миграции управления устройствами для малого и среднего бизнеса

· · Intune, Group Policy, MDM, Microsoft Entra ID, Управление устройствами, Малый и средний бизнес, Информационные системы, Windows

«Окно поддержки сервера истекло, поэтому планируем замену. Но мы потеряли уверенность, что стоит покупать ещё один сервер AD и крутить домен и Group Policy ещё один цикл (пять лет).» «Group Policy, которую мы решили в офисе, никогда не применяется к ноутбукам, используемым для удалённой работы. Если она применяется только когда они подключаются к VPN, можно ли вообще сказать, что мы ими управляем?» — За последние несколько лет такие консультации от заказчиков малого и среднего бизнеса устойчиво участились.

Фон — смена того, как люди работают. Локальные Active Directory (AD) и Group Policy (GPO) — механизм, который исходит из того, что «ПК в корпоративной LAN и всегда может достичь контроллера домена». Теперь, когда выносные ПК и удалённая работа — норма, сломалось именно это допущение. Поверх этого WSUS — долгое время умолчание для управления обновлениями — был объявлен устаревшим в сентябре 2024 года,1 и центр тяжести управления устройствами Microsoft сместился на Entra ID плюс Intune (MDM).

Сломанное допущение и смещение центра тяжестиAD и GPO исходят из того, что ПК в корпоративной LAN и всегда может достичь контроллера домена, но выносные ПК и удалённая работа как норма сломали это допущение, и с объявлением WSUS устаревшим центр тяжести управления сместился на Entra ID и IntuneЛокальные AD и GPOДопущение: DC всегда достижимВыносные ПК и удалённая работа как нормаСломалось именно допущениеWSUS объявлен устаревшимЦентр тяжести смещается на Entra ID+Intune

Рис. 1: Допущение AD+GPO «ПК в корпоративной LAN» сломалось со сменой способов работы, и центр тяжести управления сместился на Entra ID+Intune.

При этом миграция — не всё или ничего. ПК, управляемые Entra join плюс Intune, и ПК, которые domain-joined AD плюс GPO, могут сосуществовать в одной компании,2 и поэтапная миграция возможна: оставить AD для файлового сервера и переключить новые ПК на управление Intune. Рассчитанная на ИТ-сотрудников и владельцев малого и среднего бизнеса, эта статья собирает — опираясь на первичные источники вроде Microsoft Learn по состоянию на август 2026 — различия в том, как работают GPO и MDM, предварительные конфигурации, лицензирование, как инвентаризировать текущие GPO, сценарий поэтапной миграции и ловушки.

1. Сначала вывод

  • GPO применяется, когда ПК подключён к сети домена; Intune (MDM) синхронизируется через интернет. Проблема «настройки никогда не доходят до домашнего ПК» структурно не возникает у MDM. Рабочая синхронизация — примерно каждые 8 часов, и при смене политики также идёт синхронизация по уведомлению.3
  • Миграция — не всё или ничего; поэтапная миграция, исходящая из сосуществования, — реалистичный ответ. Сама Microsoft рекомендует делать Entra-join новых ПК, а существующие domain-joined ПК оставлять как hybrid join и заменять по циклу обновления оборудования.2
  • Intune можно подписать отдельно, но для малого и среднего бизнеса реалистичный путь — использовать Intune Plan 1, входящий в Microsoft 365 Business Premium (по состоянию на август 2026). Состав планов продолжает меняться, поэтому всегда подтверждайте первичные источники до подписания.45
  • Чтобы инвентаризировать текущие GPO, используйте встроенный в Intune Group Policy analytics. Импортируйте XML-экспорт GPO, и каждая настройка классифицируется по тому, можно ли её мигрировать; настройки, у которых есть соответствие, можно преобразовать в политику Settings catalog.6
  • У основных работ эпохи GPO почти у всех есть соответствие в Intune. Administrative Templates отображаются на Settings catalog,7 WSUS — на Windows Update for Business, ключи восстановления BitLocker — на хранение в Entra ID,8 пароли локального администратора — на Windows LAPS,9 а развёртывание приложений — на Win32 apps (.intunewin)10 и Microsoft Store apps (на базе winget).11
  • Классические вещи, которые не переезжают как есть, — сценарии входа, сопоставления дисков и развёртывание принтеров. Их заменяют развёртыванием сценариев PowerShell,12 Remediations (раньше Proactive remediations),13 превращением работы в приложение или «остановкой этой практики».
  • Не разворачивайте одну и ту же настройку и из GPO, и из MDM. По умолчанию GPO выигрывает конфликт. Установка MDMWinsOverGP в 1 даёт победу MDM, но применяется только к настройкам Policy CSP.14
  • Domain-joined машины и Entra-joined машины могут сосуществовать, и Entra-joined машина может обращаться к локальному файловому серверу. Немедленный вывод AD не является условием миграции.2

Одним предложением: вопрос «стоит ли заменить сервер AD ещё на один цикл» следует переформулировать как «чем в ближайшие пять лет мы будем управлять ПК, которые стоят вне офиса», и решать на этой основе.

Переформулировка вопроса, который вы должны решатьВопрос, заменять ли сервер AD ещё на один цикл, следует переформулировать как вопрос, чем вы будете управлять внеофисными ПК ближайшие пять летПереформулироватьЗаменить сервер AD ещё на один цикл?Ближайшие 5 лет чем управлять внеофисными ПК?

Рис. 2: Переформулируйте вопрос замены сервера как «чем в ближайшие пять лет мы будем управлять ПК, которые стоят вне офиса», и решайте на этой основе.

2. Чем GPO и MDM различаются — сравнение механизмов применения

Сначала сравните оба на одном поле. Сам механизм GPO (порядок применения LSDOU, как подтверждать через gpupdate/gpresult) подробно разобран в «Практическое руководство по Group Policy (GPO)», поэтому здесь сужаемся до различий, которые важны для решения о миграции.

Аспект Group Policy (GPO) Intune (MDM)
Откуда берётся политика Внутренний контроллер домена Служба Intune в интернете
Когда применяется При запуске и входе плюс периодическое обновление (по умолчанию примерно каждые 90 минут плюс случайное смещение) В рабочем состоянии синхронизация примерно каждые 8 часов плюс уведомление при смене политики и ручная синхронизация из центра администрирования или с устройства3
Достижимость внеофисных ПК Только когда ПК может подключиться к контроллеру домена (на практике зависит от VPN) Где угодно, пока ПК в интернете
Как задаются цели Связи OU плюс фильтры безопасности плюс фильтры WMI Группы пользователей/устройств Entra ID плюс фильтры назначения
Чем на деле является настройка Записи реестра (Administrative Templates) и другие Записи в CSP (configuration service providers), которые публикует Windows
Умолчание при конфликте GPO-против-GPO разрешается порядком LSDOU Когда GPO и MDM конфликтуют, по умолчанию побеждает GPO14
Требуемая инфраструктура Домен AD (купить, построить, сопровождать и заменять серверы) Подписка (без серверов)

Самые важные строки для решения о миграции — первая и третья. То, что GPO не достигает домашнего ПК, — не ошибка: проектное допущение «ПК стоит там, где может достичь контроллера домена» больше не совпадает с тем, как люди работают сегодня. Можно держать GPO живой, навязав always-on VPN каждому сотруднику, но это также выбор взять на себя сопровождение отдельного куска инфраструктуры: платформы VPN.

Выбор между удержанием GPO живой и миграцией на MDMТо, что GPO не достигает домашнего ПК, потому что проектное допущение больше не совпадает с тем, как люди работают сегодня, и путь навязать always-on VPN, чтобы держать GPO живой, — выбор взять на себя сопровождение отдельного куска инфраструктуры, платформы VPNДержать живой через always-on VPNМигрировать на MDMПроектное допущение больше не совпадает с тем, как люди работаютКак ответить?Продолжить GPOУправлять через интернетБерёте на себя сопровождение другой инфраструктуры

Рис. 3: Путь держать GPO живой через always-on VPN — также выбор взять на себя сопровождение отдельного куска инфраструктуры: платформы VPN.

С другой стороны, интервал синхронизации MDM (около 8 часов) грубее периодического обновления GPO (около 90 минут), и ощущение «развернул — сразу применилось» не переносится. Когда назначаете или меняете политику, устройству отправляется уведомление и оно синхронизируется относительно быстро,3 но средства управления, требующие немедленности (аварийная блокировка и подобные), нужно проектировать вокруг интервала синхронизации.

Как GPO и MDM применяют политикуGPO применяется только когда ПК может подключиться к внутреннему контроллеру домена, поэтому домашний ПК зависит от VPN; Intune синхронизируется через интернет примерно каждые 8 часов и также синхронизируется по уведомлению при смене политики, поэтому достигает ПК где бы он ни былДаНетВнутренний ПККонтроллер доменаЗапуск и входплюс периодическое обновлениеДомашний ПКДостигает DC по VPN?Политика никогда не приходитПК где бы он ни былСлужба IntuneСинхронизация примерно каждые 8 чСмена по уведомлению

Рис. 4: GPO применяется только когда ПК может достичь контроллера домена; Intune синхронизируется через интернет независимо от расположения.

3. Сортировка предпосылок — три формы: Domain Join, Hybrid Join и Entra Join

Есть три формы «как Windows-ПК присоединяется к компании», и какой вы выберете, определяет, какими инструментами управления можно пользоваться.2

Форма Очерк Инструменты управления, которыми можно пользоваться Примечания
Только domain join AD Традиционная форма. Присоединяется только к локальному AD GPO Обновления политики не приходят вне офиса
Microsoft Entra hybrid join Domain join AD плюс регистрация в Entra ID GPO+Intune (можно сочетать) Первый вход и подобное требуют прямой видимости контроллера домена2
Microsoft Entra join Присоединяется только к Entra ID. Не присоединяется к AD Intune Облачно-нативный. Проверка подлинности и управление завершаются даже вне офиса

Hybrid join — форма для «дать уже domain-joined ПК облачную идентичность», и она позволяет начать пользоваться Intune и Conditional Access, сохраняя существующие активы. Microsoft, однако, рекомендует не делать hybrid join конечной целью и делать Entra-join новых и заменяемых ПК.2

Здесь нужно принять одно ограничение. Поддерживаемого Microsoft способа конвертировать уже domain-joined ПК (включая hybrid join) в Entra join нет; требуется сброс Windows (wipe). Поэтому Microsoft также рекомендует переходить на Entra join в момент обновления оборудования или переустановки ОС.2

Три формы присоединения и пути миграцииПК только с domain join AD можно зарегистрировать также в Entra ID и сделать hybrid join, но способа конвертировать его напрямую в Entra join нет и требуется wipe, поэтому рекомендуется делать Entra-join новых и заменяемых ПКТакже зарегистрировать в Entra IDНет прямого пути конверсииРекомендуетсяТолько domain join AD （GPO）hybrid join （GPO и Intune）Требуется wipe （сброс）Entra join （Intune）Новые и заменяемые ПК

Рис. 5: Поддерживаемого способа конвертировать уже domain-joined машину в Entra join нет; устоявшийся шаблон — переключать с новых и заменяемых ПК.

Из сказанного реалистичную цель для малого или среднего бизнеса можно сформулировать так.

  1. Управлять новыми и заменяемыми ПК через Entra join плюс Intune
  2. Оставить существующие domain-joined ПК как есть и дать им естественно замениться по циклу обновления оборудования
  3. Оставить AD пока для оставшихся ролей вроде проверки подлинности файлового сервера и поэтапно опустошать содержимое GPO
Конфигурация сосуществования во время поэтапной миграцииEntra-joined машины и domain-joined машины могут сосуществовать в одной корпоративной среде; первые управляются Intune, вторые — GPO, а AD оставляют для оставшихся ролей и поэтапно опустошают только содержимое GPOТа же корпоративная средаEntra-joined машиныDomain-joined машиныУправляются IntuneУправляются GPOПоэтапно опустошать содержимоеОставить AD для оставшихся ролей

Рис. 6: Entra-joined машины и domain-joined машины могут сосуществовать в одной корпоративной среде, а AD пока оставляют для оставшихся ролей.

Entra-joined машины и domain-joined машины могут сосуществовать в одной среде, и Entra-joined машина может обращаться к внутренним активам вроде локального файлового сервера.2 Однако у этого единого входа два предварительных условия. (1) Пользователь — гибридная идентичность, синхронизированная из локального AD через Entra Connect (или Cloud Sync) (пользователь, который существует только в облаке, не может получить учётные данные Kerberos/NTLM AD), и (2) у ПК есть сетевая достижимость контроллера домена (извне офиса требуется VPN или подобное).15 В плане миграции сначала подтвердите, что нет пользователей или сценариев использования, которые проваливают эти два пункта.

Предпосылки SSO с Entra-joined машины к локальным активамЧтобы обратиться к локальному файловому серверу с Entra-joined машины, должны быть выполнены два предварительных условия: гибридная идентичность, синхронизированная через Entra Connect или подобное, и достижимость контроллера доменаДаНетДаНетEntra-joined машинаГибридная идентичность?Может достичь DC?Не может получить учётные данные ADSSO к файловому серверуИзвне офиса требуется VPN или подобное

Рис. 7: SSO с Entra-joined машины к локальным активам имеет два предварительных условия: гибридная идентичность и достижимость контроллера домена.

4. Лицензирование и стоимость — какие планы включают Intune (по состоянию на август 2026)

Базовая лицензия Intune — Microsoft Intune Plan 1, предлагаемая и как отдельная подписка, и в составе различных планов Microsoft 365.4

Для малого и среднего бизнеса важно то, что Microsoft 365 Business Premium до 300 пользователей включает Intune Plan 1.5 Business Premium также включает Microsoft Entra ID P1 и Microsoft Defender for Business, поэтому описанную ниже конфигурацию политики соответствия плюс Conditional Access можно завершить внутри этого плана. Business Standard/Basic, напротив, Intune не включают. Когда вы шагаете от договора только почта-и-Office к управлению устройствами, стоимость повышения до Business Premium — фактическая стоимость введения Intune.

Как планы МСБ связаны с IntuneBusiness Premium до 300 пользователей включает Intune Plan 1, Entra ID P1 и Defender for Business и завершает до Conditional Access, но Business Standard/Basic не включают IntuneBusiness PremiumДо 300 пользователейIntune Plan 1Entra ID P1Defender for BusinessЗавершает до Conditional AccessBusiness Standard/BasicНе включает Intune

Рис. 8: Business Premium включает Intune Plan 1 и Entra ID P1; Business Standard/Basic не включают Intune.

Есть две оговорки.

  • Состав планов часто меняется. Даже в 2026 году идут изменения, которые перераспределяют функции Intune Suite в более высокие планы Microsoft 365 (E3/E5 и подобные), и пересмотры того, что входит в комплект, продолжаются.4 Трактуйте этот раздел по состоянию на август 2026 и до подписания всегда подтверждайте последнюю информацию на страницах лицензирования и цен Microsoft.
  • Некоторые функции, которые можно открыть из интерфейса Intune, требуют отдельной лицензии. Типичный пример — Remediations, описанные ниже: требуется лицензия класса Windows Enterprise E3/E5 (входит в Microsoft 365 E3/E5 и подобные) и в пределах Business Premium она недоступна.13

Сравнение стоимости — не «стоимость подписки Intune» против «нуля». На стороне GPO вы уже платите за замену оборудования сервера AD, лицензии Windows Server и CAL, стоимость сборки, пять лет сопровождения, резервное копирование и реагирование на инциденты. Правильное сравнение — поставить смету замены сервера рядом с пятью годами Business Premium, а затем учесть разницу возможностей «доходит ли управление до внеофисных ПК».

Правильный способ думать о сравнении стоимостиНа стороне GPO тоже возникают затраты вроде замены сервера AD, лицензий и пяти лет сопровождения, поэтому поставьте смету замены сервера рядом с пятью годами Business Premium и затем решите с учётом разницы возможностей, доходит ли управление до внеофисных ПКСтоимость продолжения GPOЗамена сервера, лицензии, CALСборка, сопровождение, резервСтоимость миграции на IntuneПять лет Business PremiumПоставить пятилетнюю разницу рядомУчесть, доходит ли управление до внеофисных ПК

Рис. 9: Поставьте смету замены сервера рядом с пятью годами Business Premium и решите с учётом разницы возможностей управлять внеофисными ПК.

5. Как делать в Intune то, что раньше делали через GPO

Для каждой из основных работ операций GPO соответствие Intune показано в таблице сопоставления.

Как это делалось через GPO Соответствие Intune
Настройки реестра через Administrative Templates (ADMX) Settings catalog — тысячи настроек Windows, включая те, что приходят из ADMX, настраиваются через CSP7
Неявное допущение «доверяй, потому что domain-joined» Политика соответствия плюс Conditional Access — разрешать доступ к корпоративным данным только с соответствующих устройств16
Управление обновлениями через WSUS Windows Update for Business (кольца обновления и подобные) — WSUS объявлен устаревшим в сентябре 20241
Хранение ключей восстановления BitLocker в AD Политика BitLocker плюс хранение ключей восстановления в Entra ID — тихое включение, ротация ключей и самостоятельное получение пользователем все покрыты8
Управление паролями локального администратора (LAPS) Политика Windows LAPS — автоматическая ротация паролей и хранение в Entra ID/AD. Доступна с Intune Plan 1 плюс Entra ID Free9
Развёртывание ПО (развёртывание MSI или вручную) Win32 apps (.intunewin) — преобразуйте установщик инструментом и разверните. Требуется тихая установка; 30 ГБ на приложение10. Приложения из Store используют Microsoft Store apps (new), разворачиваемые через механизм winget (Windows Package Manager)11
Сценарии входа и сценарии запуска Platform scripts (выполняют PowerShell в момент назначения)12, Remediations (выполняют пару сценариев detect-plus-remediate по расписанию)13

Несколько замечаний.

  • Settings catalog — экран, который соответствует «облачному изданию редактора GPO», и сама Microsoft позиционирует его как «естественное место миграции, когда хотите настраивать так же детально, как локальную GPO». Он включает политики с поддержкой ADMX (MDM-издание настроек, определённых в ADMX), и есть также функция (preview) импорта сторонних ADMX.7
  • Политика соответствия плюс Conditional Access — идея, которой у GPO не было. Вы определяете условия соответствия вроде «BitLocker включён, ОС актуальна, Defender работает» и можете блокировать доступ к Microsoft 365 с устройств, которые им не соответствуют. Conditional Access — функция Entra ID P1 и входит в Business Premium.16
  • Remediations переименованы из Proactive remediations. Это механизм, который периодически выполняет пару detect-сценарий плюс remediate-сценарий, и он может заменить род операций GPO, которые «что-то чинят при каждом входе», но, как отмечено, требует лицензию класса Windows Enterprise E3/E5.13 В пределах Business Premium реалистичная замена — сочетать platform scripts (выполняются, когда меняется сценарий или назначение, и повторяются при сбое)12 с правилами обнаружения Win32-приложений.
  • Подробный выбор управления обновлениями (решение между WUfB, Autopatch и продолжением WSUS) разобран в «Управление Windows Update после объявления WSUS устаревшим», а проектирование BitLocker и LAPS — в «Практическое руководство по BitLocker» и «Практическое руководство по Windows LAPS» соответственно.
Поток политики соответствия и Conditional AccessПолитика соответствия только судит состояние соответствия устройства условиям соответствия; только когда политика Conditional Access требует соответствующее устройство, соответствующие устройства разрешаются, а несоответствующие блокируютсяСоответствуетНе соответствуетОпределить условия соответствияBitLocker включён, ОС актуальна и подобныеСудить состояние соответствия устройстваConditional Access требует соответствиеДоступ к Microsoft 365 разрешёнДоступ заблокирован

Рис. 10: Судить состояние соответствия — работа политики соответствия; блокировать — работа Conditional Access. Только в сочетании блокировка действует.

6. Инвентаризация текущих GPO — сортировка через Group Policy Analytics

Первая настоящая работа плана миграции — инвентаризация текущих GPO. У Intune есть выделенная функция Group Policy analytics, которая может классифицировать по каждой настройке «может ли MDM это заменить», не заставляя вас читать GPO вручную.6

Шаги такие.6

  1. Откройте Group Policy Management Console (GPMC.msc) на контроллере домена или подобном, щёлкните правой кнопкой целевую GPO → Save Report и экспортируйте как XML-файл (4 МБ или меньше на файл)
  2. В центре администрирования Intune перейдите в Devices → Group Policy analytics и импортируйте XML (множественный выбор разрешён)
  3. После автоматического анализа каждая GPO показывает процент поддержки MDM (доля настроек, у которых есть эквивалент в Intune)
  4. В отчёте Group policy migration readiness подтвердите классификацию по настройке: Ready for migration / Not supported / Deprecated
  5. Настройки Ready for migration можно преобразовать как есть в политику Settings catalog и развернуть
Поток инвентаризации через Group Policy analyticsЭкспортируйте GPO как XML из GPMC и импортируйте в Intune; отображаются процент поддержки MDM и готовность к миграции по настройке, и настройки Ready for migration можно преобразовать в политику Settings catalogЭкспортировать GPO как XML из GPMCИмпортировать в IntuneОтображается процент поддержки MDMОтчёт о готовности к миграцииReady for migrationNot supportedDeprecatedПреобразовать в политику Settings catalog

Рис. 11: От XML-экспорта через импорт, классификацию по настройке и преобразование в Settings catalog — вот поток Group Policy analytics.

В японских средах есть важная оговорка. Анализ настроек не-ADMX в Group Policy analytics только на английском; импорт GPO, содержащей настройки на языке, отличном от английского, может сделать процент поддержки MDM неточным.6 Трактуйте процент поддержки как грубое справочное значение и выносите окончательное суждение по списку по настройке.

Оговорка при анализе японской GPOАнализ настроек не-ADMX в Group Policy analytics только на английском, поэтому GPO, содержащая японские настройки, может сделать процент поддержки MDM неточным; трактуйте процент как грубую справку и выносите окончательное суждение по списку по настройкеGPO, содержащая японские настройкиАнализ не-ADMX только на английскомПроцент поддержки может быть неточнымТрактовать процент как грубую справкуОкончательное суждение по списку по настройке

Рис. 12: В японской GPO процент поддержки MDM может быть неточным, поэтому окончательное суждение выносите по списку по настройке.

На практике разделите результаты классификации на три кучи.

  1. Настройки, которые выбросить — настройки эпохи Internet Explorer, настройки для выведенных систем, настройки, причину которых никто не может объяснить. Самая большая отдача инвентаризации на деле в том, что эту кучу можно выбросить. У GPO, которая крутится десять лет, накопилось изрядное количество наследия.
  2. Настройки, которые перенести в Intune — те среди Ready for migration, которые ещё понадобятся. Преобразуйте их в Settings catalog и проверьте пилотной группой.
  3. Настройки, для которых проектируете замену — те среди Not supported, которые ещё понадобятся. Типичные примеры и направления замены такие.
Типичные примеры, которые нельзя заменить Направление замены
Сопоставления дисков через сценарий входа Мигрировать общие ресурсы в OneDrive/SharePoint или сопоставить через platform script12
Массовое развёртывание принтеров Universal Print, средство развёртывания поставщика принтера или развёртывание сценарием
Перенаправление папок Заменить OneDrive Known Folder Move (KFM)
Сложная работа установки и настройки Превратить в Win32-приложение и развернуть с правилом обнаружения10
Три кучи результатов инвентаризацииРезультаты инвентаризации обрабатываются как три кучи: настройки, которые выбросить, настройки, которые перенести в Intune и проверить, и настройки, у которых нет соответствия и для которых проектируете заменуРезультаты классификацииНастройки, которые выброситьПеренести или заменить?Перенести в IntuneСпроектировать заменуУтилизировать наследиеSettings catalogзатем проверитьСценарий или сделать приложение

Рис. 13: Разделите результаты инвентаризации на три кучи «выбросить», «перенести в Intune» и «спроектировать замену».

7. Сценарий поэтапной миграции — пять этапов и критерии выхода

Разделите целое на пять этапов и поставьте критерий выхода на каждый. Заранее решить «когда можно сказать, что это сделано» — приём, который не даёт миграции ИТ одного человека застрять.

Этап Что делаете Критерий выхода
(1) Пилот Сделать Entra-join и Intune-enrol нескольких новых ПК и использовать их в реальной работе Пилотные пользователи пользовались ими месяц без срыва работы (общие ресурсы, печать, линейные системы). Можно подтвердить ключи восстановления BitLocker и пароли LAPS в Entra ID
(2) Базовая политика Воспроизвести базовый уровень безопасности (блокировка экрана, Defender, BitLocker, кольца обновления) в Intune Каждая пилотная машина «Compliant» по политике соответствия. Соответствующие настройки GPO опознаны и записаны в список мигрированных
(3) Развёртывание приложений Зарегистрировать стандартные приложения как Win32 apps / Store apps Совершенно новый ПК становится пригодным для работы одной автоматизацией Intune (ручные шаги исчезают из runbook подготовки)
(4) Обращение с существующими ПК В принципе заменять по циклу обновления оборудования. Wipe и Entra-join только тех машин, которые хотите сдвинуть вперёд Число машин, управляемых GPO, падает каждый квартал, и дата полного вывода назначена
(5) Сжатие роли AD Опустошить GPO и задокументировать оставшиеся роли AD. Если они не нужны, рассмотреть вывод самого AD «Настройки, развёрнутые через GPO» — ноль. Существует схема конфигурации после вывода или сжатия AD
Пятиэтапный сценарий миграцииПродвигайтесь этапами от пилота через базовую политику, развёртывание приложений, замену существующих ПК по циклу обновления оборудования и сжатие роли AD и в конце доведите настройки, развёрнутые через GPO, до нуля（1） Пилот（2） Базовая политика（3） Развёртывание приложений（4） Естественная замена существующих ПК（5） Сжатие роли ADНастройки, развёрнутые через GPO, равны нулю

Рис. 14: Продвигайте миграцию в пять этапов от пилота через сжатие роли AD и заранее решите критерий выхода каждого этапа.

Ключевые пункты каждого этапа.

  • (1) Пилот начинается с ПК, который вы и так собирались купить, — следующий ПК нового сотрудника, замена break/fix и подобные. Начало с новой машины даёт преимущество нулевых дополнительных вложений, и если провалится, можно сделать wipe и начать заново. Когда число вырастет, рассмотрите Windows Autopilot, чтобы автоматизировать от OOBE (начальная настройка) через Entra join плюс регистрацию Intune.2
  • В (2) Базовой политике не целитесь воспроизвести каждую настройку GPO. Сначала сузьте до пяти: обновление, шифрование, Defender, блокировка экрана и LAPS, и визуализируйте состояние соответствия политикой соответствия. Включение «только соответствующие устройства» в Conditional Access идёт после того, как в пилоте подтверждено отсутствие ложных срабатываний.16
  • (3) Развёртывание приложений непрерывно с автоматизацией подготовки. Если уже есть процедура на базе winget («Автоматизация подготовки ПК через winget + PowerShell»), этот актив можно почти как есть переиспользовать как Store app (new) или обёртку Win32-приложения.11
  • (4) Существующие ПК, как сказано в главе 3, не имеют пути конверсии в Entra join, поэтому принцип — естественная замена. Организации, у которых ещё есть план замены Windows 10 («Практические варианты после окончания поддержки Windows 10»), могут избежать двойной работы, продвигая ту замену одновременно с (4).
  • В (5) Сжатии роли AD опустошение GPO не обязательно означает, что AD сразу не нужен. Если остаются проверка подлинности файлового сервера, LDAP-запросы из унаследованных приложений и подобные, AD продолжается в сжатой форме как «сервер проверки подлинности». Инвентаризировать это и поставить сроки — работа этого этапа.
Что делать с AD после того, как GPO пустаДаже после того как GPO пуста, если остаются проверка подлинности файлового сервера или LDAP-запросы из унаследованных приложений, AD продолжается в сжатой форме как сервер проверки подлинности, и инвентаризация оставшихся ролей и постановка сроков — работа финального этапаПроверка подлинности файлового сервераУнаследованные LDAP-запросыНет оставшихся ролейGPO пустаКакие оставшиеся роли есть?Продолжить в сжатой форме как сервер проверки подлинностиРассмотреть вывод самого ADДовести инвентаризацию и постановку сроков

Рис. 15: Даже после того как GPO пуста, если оставшиеся роли существуют, AD продолжается в сжатой форме как сервер проверки подлинности.

8. Ловушки

8.1. Двойное применение GPO и MDM — по умолчанию побеждает GPO

В период миграции и GPO, и Intune будут разворачивать настройки на один и тот же ПК (hybrid-joined машину). Здесь когда одна и та же настройка конфликтует, по умолчанию побеждает Group Policy. Установка MDMWinsOverGP Policy CSP в 1 даёт победу настройке стороны MDM и блокирует соответствующую настройку GPO, но этот механизм применяется только к настройкам под Policy CSP и не применяется к настройкам, определённым в других CSP вроде Defender CSP. Сама Microsoft указывает, что если настроить настройку, которая не под MDMWinsOverGP, и из GPO, и из MDM, вы входите в состояние конфликта и нет гарантии, какая победит.14

Приоритет, когда GPO и MDM конфликтуютЕсли развернуть одну и ту же настройку и из GPO, и из MDM, по умолчанию побеждает GPO; установка MDMWinsOverGP в 1 даёт победу MDM только для настроек под Policy CSP, а для настроек в других CSP нет гарантии, какая победитНетДаДаНетРазвернуть одну и ту же настройку и из GPO, и из MDMMDMWinsOverGP=1?GPO побеждает （умолчание）Настройка под Policy CSP?MDM побеждаетНет гарантии, какая победитПринцип — не разворачивать из обоих

Рис. 16: По умолчанию побеждает GPO, и MDMWinsOverGP применяется только под Policy CSP. Принцип — избегать двойного развёртывания.

Практический принцип прост. Не опирайтесь на управление приоритетом; не разворачивайте одну и ту же настройку из обоих. Для настройки, которую вы перенесли в Intune, верните соответствующую конфигурацию стороны GPO в «Not configured» или вовсе отвяжите GPO. Список мигрированных главы 6 — также реестр для этого.

8.2. Зависимость от локальных активов — сетевые диски и принтеры

Многие места, где миграция застревает, — не функции Intune, а связность с локальными активами. Сам доступ с Entra-joined машины к локальному файловому серверу возможен,2 но если сопоставления дисков и развёртывание принтеров зависели от сценария входа GPO, это средство развёртывания исчезает первым. Во время пилота решите, свернуть ли миграцию общих ресурсов в OneDrive/SharePoint или замену Universal Print в этап (3), или пока мостить развёртыванием сценарием.12

Замена развёртываний, зависящих от локальных активовЕсли сопоставления дисков и развёртывание принтеров зависят от сценария входа GPO, это средство развёртывания исчезает первым при миграции, поэтому во время пилота решите, отвечать ли миграцией общих ресурсов в OneDrive или SharePoint, заменой Universal Print или пока развёртыванием сценариемЗависимость от сценария входаСредство развёртывания исчезает при миграцииМигрировать в OneDrive/SharePointЗаменить Universal Print или подобнымМостить развёртыванием сценариемРешить подход во время пилота

Рис. 17: Развёртывания, зависящие от сценария входа, теряют средство первыми при миграции, поэтому замену решайте во время пилота.

8.3. Перепроектирование подготовки — Autopilot не «обязателен»

Иногда будут советовать вводить Windows Autopilot комплектом с миграцией Intune, но при масштабе закупок от нескольких до десятка машин в год вход рабочей учётной записью на OOBE и ручной Entra-join реального вреда не делают. Autopilot начинает окупаться, когда число закупок растёт и необслуживаемая настройка из коробки имеет ценность, или когда можно использовать регистрацию устройств на стороне реселлера. Добавить его после того, как (2) и (3) на месте, нормально; это не предпосылка миграции.

Решение о введении AutopilotПри масштабе закупок от нескольких до десятка машин в год ручной Entra-join на OOBE реального вреда не делает; добавьте Autopilot позже, когда число закупок выросло и необслуживаемая настройка имеет ценностьНесколько–десятокКогда число вырастетКаков годовой масштаб закупок?Ручной Entra join на OOBEНеобслуживаемый AutopilotДобавить после того, как （2） и （3） на месте

Рис. 18: Пока масштаб закупок мал, ручного Entra join достаточно; Autopilot можно добавить позже.

8.4. Заблуждение «не годится, пока всё не в Intune»

Последнее — не техническая проблема, а проблема допущения. Сосуществование Entra-joined машин и domain-joined машин — официально поддерживаемая конфигурация,2 и «AD ещё есть = миграция провалилась» неверно. Компании, которые годы работают с несколькими настройками, всё ещё оставленными в GPO, не редкость, и даже тогда велика ценность состояния «каждый новый ПК облачно управляем, и контроль работает и вне офиса». Предпочитайте маленькие обратимые продвижения красоте полной миграции.

Ценность параллельной работы без настаивания на полной миграцииТо, что AD остаётся, не есть провалившаяся миграция; даже если годы работать параллельно с настройками ещё в GPO, велика ценность состояния, в котором каждый новый ПК облачно управляем и контроль работает вне офисаНетAD остаётся значит миграция провалилась?Годы работать параллельно с GPO ещё тамНовые ПК под контролем даже вне офисаПредпочитать маленькие продвижения

Рис. 19: Даже работая параллельно с AD ещё там, состояние, в котором каждый новый ПК облачно управляем, имеет большую ценность.

9. Реалистичный ответ для ИТ одного человека

Наконец, сводка операционного проектирования в компании, где ответственный — один человек (или роль побочная).

  • Сузьте пункты управления с самого начала. Если пытаться занести каждую настройку эпохи GPO, вы выдохнетесь на одной инвентаризации. Начните с пяти главы 7 (2) (обновление, шифрование, Defender, блокировка экрана, LAPS) и сделайте это «проектом вычитания», который добавляет настройку только когда возникает нужда. Settings catalog предлагает тысячи настроек,7 но вы не обязаны ими пользоваться.
  • Решите один стандартный образ ПК. Держите только один стандарт: «ПК в этой компании — этот набор политик и этот набор приложений». Исключения отделов можно выразить группами и фильтрами, но чем больше растут исключения, тем меньше один человек успевает.
  • Просите внешнего партнёра о проектировании и изготовлении шаблонов; повседневные операции держите внутри. Аутсорсинг миграции Intune, который легко проваливается, — случай, когда сборку перекидывают через стену и оказываются в состоянии «никто не понимает, что значат экраны администрирования». Просите снаружи начальное проектирование, шаблонирование политик и резонатор для решений миграции и сделайте целью состояние, в котором вы сами изо дня в день можете добавить ПК и подкрутить политику. Иначе говоря, следует выбирать партнёра, который передаст до этого.
  • Меняйте по одному. Делайте смены политик по одной и двигайтесь дальше только после подтверждения результата в отчётах Intune (состояние применения политики и сбои назначения). Синхронизация MDM идёт циклом около 8 часов,3 и большинство «не применилось» — вопрос времени, а не неисправность.
Операционный цикл смены политикиДелайте смены политик по одной и переходите к следующей смене только после подтверждения состояния применения в отчётах Intune. Большинство случаев неприменения разрешается ожиданием цикла синхронизации примерно 8 часовСделать только одну смену политикиПодтвердить состояние применения в отчётахЕсли проблем нет, к следующей сменеБольшинство неприменения — ожидание синхронизации

Рис. 20: Делайте смены политик по одной и двигайтесь дальше только после подтверждения результата в отчётах.

10. Итог

  • GPO — механизм, который исходит из достижимости контроллера домена, и структурно не достигает внеофисных ПК. Intune (MDM) синхронизируется через интернет, поэтому решает эту проблему в корне.
  • Миграция — не всё или ничего. Entra-joined машины и domain-joined машины могут сосуществовать, и поэтапная миграция, переключающая новые ПК на Entra join плюс Intune, — реалистичный ответ для малого и среднего бизнеса. Пути конверсии существующих машин нет, поэтому замена по циклу обновления оборудования — устоявшийся шаблон.
  • Для малого и среднего бизнеса начать Intune с Microsoft 365 Business Premium (Intune Plan 1 плюс Entra ID P1) реалистично. Состав планов, однако, продолжает меняться, и некоторые функции вроде Remediations требуют более высокую лицензию, поэтому не принимайте эту статью августа 2026 за евангелие; подтверждайте первичные источники.
  • Инвентаризацию текущих GPO можно автоматизировать через Group Policy analytics. Преобразуйте настройки Ready for migration в Settings catalog и замените сценарии входа и развёртывание принтеров, у которых нет соответствия, развёртыванием сценарием, превращением работы в приложение или остановкой практики. Заметьте, что в японской GPO процент поддержки может быть неточным.
  • Продвигайте миграцию в пять этапов «пилот → базовая политика → развёртывание приложений → естественная замена существующих ПК → сжатие роли AD» и сначала решите критерий выхода каждого этапа.
  • Конфликт двойного применения по умолчанию выигрывает GPO. MDMWinsOverGP — механизм только Policy CSP, поэтому принцип — «не разворачивать одну и ту же настройку из обоих».
  • Когда приходит смета замены сервера — лучшее время рассмотреть эту миграцию. Прежде чем «ещё один цикл AD», подумайте, где будут использоваться ПК ближайших пяти лет.

Похожие статьи

Смежные области консультирования

KomuraSoft LLC занимается проектированием поэтапной миграции из среды AD+GPO в Entra ID+Intune (инвентаризация текущих GPO, политика воспроизведения настроек, пилотный план), сравнительным ревью замены сервера против перехода в облако и консультациями, которые переиспользуют существующие линейные приложения и активы подготовки. Начать с совместного рассмотрения «стоит ли покупать ещё один сервер AD» нормально.

Справочные ссылки

  1. Microsoft Learn, Features removed or no longer developed in Windows Server. О том, что WSUS объявлен устаревшим и разработка новых функций закончилась; и о том, что использование в производстве остаётся поддерживаемым после объявления устаревшим, а обновления безопасности и качества продолжаются согласно жизненному циклу продукта. ↩ ↩2

  2. Microsoft Learn, Microsoft Entra joined vs. Hybrid Microsoft Entra joined in cloud-native endpoints. О разнице между Entra join и hybrid join; о том, что hybrid-joined машина требует сетевую связность (прямую видимость) с контроллером домена; о том, что Entra join рекомендуется для новых и сброшенных ПК, а hybrid join не является долгосрочной целью; о том, что пути конверсии из hybrid join в Entra join без сброса нет, поэтому следует мигрировать при обновлении оборудования и подобных возможностях; о том, что обе формы могут сосуществовать в одной среде; о том, что Entra-joined машина может обращаться к локальным активам; и о том, что Autopilot — основной путь введения Entra join. ↩ ↩2 ↩3 ↩4 ↩5 ↩6 ↩7 ↩8 ↩9 ↩10 ↩11

  3. Microsoft Learn, Common questions, answers, and scenarios with policies and profiles in Microsoft Intune. О том, что периодическая синхронизация устройств, зарегистрированных в Intune, примерно каждые 8 часов; о том, что синхронизация чаще сразу после новой регистрации; о том, что уведомление о синхронизации отправляется онлайн-устройствам, когда политика назначается или меняется; и о возможности синхронизировать вручную из центра администрирования или с устройства. ↩ ↩2 ↩3 ↩4

  4. Microsoft Learn, Microsoft Intune licensing. О том, что Intune предлагается в трёх планах Plan 1 / Plan 2 / Intune Suite; о том, что многие организации получают Intune через комплект Microsoft 365 (E3/E5 и подобные); о том, что лицензия требуется на каждого пользователя/устройство, которое получает пользу от службы Intune; и о подтверждении последних содержимого планов и цен на официальных страницах планов и цен. ↩ ↩2 ↩3

  5. Microsoft Learn, Device management and application management in Microsoft 365 Business Premium. О том, что Microsoft 365 Business Premium включает Microsoft Intune Plan 1; и о стратегии управления устройствами Business Premium использовать MDM для устройств компании и MDM или MAM для лично принадлежащих устройств (BYOD). ↩ ↩2

  6. Microsoft Learn, Import and analyze your on-premises GPOs using Group Policy analytics in Microsoft Intune. О процедуре экспорта GPO из GPMC как XML-отчёта (4 МБ или меньше на файл), импорта в Intune и анализа; об отображении процента поддержки MDM; о классификации Ready for migration / Not supported / Deprecated в отчёте о готовности к миграции; о возможности мигрировать импортированную GPO в политику Settings catalog; и о том, что настройки не-ADMX только на английском, поэтому язык, отличный от английского, может сделать процент поддержки MDM неточным. ↩ ↩2 ↩3 ↩4

  7. Microsoft Learn, Use the Intune settings catalog to configure settings. О том, что Settings catalog — механизм, который перечисляет настраиваемые настройки; о том, что Windows предлагает тысячи настроек, включая Administrative Templates (ADMX), генерируемые напрямую из CSP; о том, что он позиционируется как естественное место миграции, когда хотите настраивать так же детально, как локальную GPO; и о процедуре создания, назначения и отчётности по политике. ↩ ↩2 ↩3 ↩4

  8. Microsoft Learn, Encrypt Windows devices with BitLocker using Intune. О тихом включении через политику BitLocker Intune; об автоматическом резервном копировании ключа восстановления в Microsoft Entra ID; о просмотре ключа восстановления из центра администрирования и журналов аудита; о ротации ключа восстановления; и о самостоятельном получении пользователем через Company Portal и подобные. ↩ ↩2

  9. Microsoft Learn, Microsoft Intune support for Windows LAPS. О настройке Windows LAPS политикой защиты учётных записей Intune так, чтобы можно было принуждать требования пароля локального администратора, автоматически ротировать и резервировать в Entra ID или локальный AD; о требованиях лицензии Intune Plan 1 и Microsoft Entra ID Free; и о том, что это помогает сдерживать атаки вроде Pass-the-Hash. ↩ ↩2

  10. Microsoft Learn, Win32 app management in Microsoft Intune. Об управлении Win32-приложениями, которое преобразует установщики MSI/EXE/сценариев в формат .intunewin через Microsoft Win32 Content Prep Tool и разворачивает их; о пределе размера приложения 30 ГБ на приложение; о том, что требуется тихая установка; и о распространении через Delivery Optimization. ↩ ↩2 ↩3

  11. Microsoft Learn, Add Microsoft Store apps to Microsoft Intune. О том, что Microsoft Store apps (new) Intune после вывода Microsoft Store for Business — механизм развёртывания приложений Store, который использует Windows Package Manager (winget); о возможности искать и назначать приложения Store UWP и Win32; и о связи с политиками, которые управляют автоматическими обновлениями через Store и доступом к Store. ↩ ↩2 ↩3

  12. Microsoft Learn, Use PowerShell scripts on Windows devices in Intune. О развёртывании сценариев PowerShell через Intune Management Extension; о том, что сценарий может выполняться в учётных данных пользователя или в системном контексте; о том, что он выполняется один раз после назначения и перезапускается, когда меняются сценарий или политика; о том, что при сбое повторяется до трёх раз; и о том, что Entra-joined (зарегистрированное) устройство — предпосылка. ↩ ↩2 ↩3 ↩4 ↩5

  13. Microsoft Learn, Remediations. О том, что Proactive Remediations переименованы в Remediations; о возможности развернуть пакет сценариев из пары detect-сценарий плюс remediate-сценарий и автоматически устранять проблемы; о том, что сценарии по умолчанию перезапускаются каждые 24 часа; и о том, что использование требует лицензию Windows Enterprise E3/E5 (входит в Microsoft 365 F3/E3/E5), Windows Education A3/A5 или Windows VDA. ↩ ↩2 ↩3 ↩4

  14. Microsoft Learn, Policy CSP - ControlPolicyConflict. О том, что MDMWinsOverGP по умолчанию 0; о том, что установка в 1 блокирует эквивалентную Group Policy и даёт приоритет политике MDM; о том, что область ограничена политиками внутри Policy CSP и не применяется к другим CSP вроде Defender CSP; и о том, что настройка настройки, которая не под MDMWinsOverGP, и из GPO, и из MDM даёт состояние конфликта без гарантии, какая победит. ↩ ↩2 ↩3

  15. Microsoft Learn, How SSO to on-premises resources works on Microsoft Entra joined devices. О том, что предпосылки SSO с Entra-joined машины к локальным активам включают связь прямой видимости с контроллером домена (извне офиса требуется VPN или подобное) и синхронизацию атрибутов пользователя вроде имени учётной записи SAM и имени домена через Entra Connect или Cloud Sync; и о потоке получения билета Kerberos/NTLM. ↩

  16. Microsoft Learn, Learn about Conditional Access and Intune. О сочетании политики соответствия Intune с Conditional Access так, чтобы только соответствующие устройства допускались к почте и корпоративным ресурсам; о том, что Conditional Access — функция, входящая в лицензии Microsoft Entra ID P1/P2; и о методах управления на базе устройства и приложения. ↩ ↩2 ↩3

Похожие статьи

Недавние статьи с теми же тегами помогут подробнее изучить близкие темы.

Приложения, которые ломаются после выхода из сна — как работают события питания Windows и как строить бизнес-приложения, которые это переживают

Открыли ноутбук — и соединения бизнес-приложения мертвы: причина в проекте, который не учитывал сон. Статья разбирает поток уведомлений W...

Читать статью

Глубины виртуализации Windows (часть 3) — виртуальные машины, которые загружаются за секунды: почему WSL2, Windows Sandbox и контейнеры такие лёгкие

Почему WSL2 и Windows Sandbox стартуют за секунды и ощущаются такими лёгкими? Статья разбирает механизмы — от динамического базового обра...

Читать статью

Связанные темы

Эти страницы показывают тему статьи в более широком контексте услуг и решений.

Услуги по этой теме

Статья напрямую связана со следующими услугами.

Частые вопросы

Вопросы, которые часто возникают при консультациях по теме статьи.

Если мигрировать с GPO на Intune, можно ли воспроизвести каждую настройку Group Policy, которой мы пользуемся сегодня?
Воспроизвести все нельзя. Settings catalog Intune содержит тысячи настроек Windows, включая те, что приходят из ADMX, и большинство настроек безопасности и ограничений можно перенести, но некоторые вещи — сопоставления дисков через сценарии входа, массовое развёртывание принтеров — не имеют соответствующей настройки MDM. Если импортировать XML-экспорт текущих GPO в Group Policy analytics Intune, каждая настройка классифицируется как Ready for migration, Not supported или Deprecated. Для настроек, у которых нет соответствия, их закрывают развёртыванием сценария PowerShell, превращением работы в приложение или просто остановкой этой настройки.
Какая лицензия нужна, чтобы пользоваться Intune?
База — Microsoft Intune Plan 1. Её можно подписать отдельно, но в малом и среднем бизнесе обычно пользуются ею как частью Microsoft 365 Business Premium (до 300 пользователей). Business Premium также включает Entra ID P1, поэтому можно дойти до сочетания политик соответствия с Conditional Access. Некоторые функции, например Remediations, отдельно требуют лицензию класса Windows Enterprise E3/E5. Состав планов часто меняется, поэтому подтверждайте последние подробности на официальных страницах лицензирования Microsoft до подписания (эта статья — по состоянию на август 2026).
Нужно ли сразу выводить сервер AD из эксплуатации?
Нет. ПК, управляемые Entra join плюс Intune, и ПК, управляемые domain join AD плюс GPO, могут сосуществовать в одной корпоративной сети. Поэтапная миграция — оставить AD для проверки подлинности файлового сервера и существующих линейных систем и делать Entra-join только новых ПК — реалистична. Наоборот, поддерживаемого способа «конвертировать» уже domain-joined ПК в Entra join нет; требуется wipe (сброс), поэтому устоявшийся шаблон — заменять существующие машины по циклу обновления оборудования. Достаточно рассматривать вывод AD после того, как GPO опустеют и вы инвентаризируете оставшиеся роли.
Почему Group Policy не применяется к ПК, используемым для удалённой работы?
Потому что GPO забирается и применяется, когда ПК может достичь контроллера домена. ПК вне офиса может получить последнюю политику только когда может достичь контроллера домена по VPN или подобному, а домашний ПК, который не использует VPN, по сути никогда её не получает. Intune (MDM) синхронизирует политику через интернет, поэтому ПК можно управлять где бы он ни был; проблема управления внеофисными ПК решается структурой MDM. Помимо периодической синхронизации примерно каждые 8 часов, при смене политики также идёт синхронизация по уведомлению.
Если развернуть одну и ту же настройку и из GPO, и из Intune, какая победит?
По умолчанию конфликтующую настройку выигрывает Group Policy. Установка политики MDMWinsOverGP в 1 даёт победу стороне MDM (Intune), но этот механизм применяется только к настройкам под Policy CSP; он не применяется к настройкам, определённым в других CSP вроде Defender CSP. Опора на управление приоритетом делает поведение труднопредсказуемым, поэтому на практике принцип — «не разворачивать одну и ту же настройку из обоих каналов», и как только настройка переехала в Intune, удалите её из исходной GPO, чтобы избежать двойного управления.

Об авторе

Страница с профилем автора статьи.

Го Комура

Представитель KomuraSoft LLC

Специализируется на разработке программного обеспечения для Windows, техническом консалтинге и расследовании сбоев, особенно в проектах с унаследованными системами и трудно воспроизводимыми ошибками.

Связаться с нами

Публичные ссылки

ORCID GitHub LinkedIn X COM_BLAS COM_BigDecimal
Вернуться в блог