Microsoft Intune - co to jest i jak zarządzać firmowymi urządzeniami?

Laptop handlowca zostawiony w pociągu, telefon z firmową pocztą, który pracownik zabrał po odejściu, komputer bez aktualizacji od pół roku. Każda z tych sytuacji to realne ryzyko dla danych firmy, a im więcej osób pracuje zdalnie, tym trudniej je kontrolować ręcznie. Microsoft Intune pozwala zarządzać wszystkimi urządzeniami z jednej konsoli w chmurze, niezależnie od tego, gdzie znajduje się pracownik.

Czym jest Microsoft Intune?

Microsoft Intune to chmurowa usługa do zarządzania urządzeniami i aplikacjami. Należy do grupy rozwiązań określanych jako UEM (Unified Endpoint Management), które łączą zarządzanie urządzeniami mobilnymi (MDM) i zarządzanie aplikacjami (MAM).

Intune obsługuje komputery z systemami Windows i macOS, telefony i tablety z iOS, iPadOS i Androidem, a także wybrane urządzenia z Linuxem. Działa w chmurze Microsoft, więc nie wymaga serwerów w firmie ani połączenia VPN. Urządzenie pobiera ustawienia i aplikacje wszędzie tam, gdzie ma dostęp do internetu.

Intune jest ściśle zintegrowany z Microsoft Entra ID (zarządzanie tożsamością), Microsoft Defender (ochrona urządzeń) i Microsoft 365. Dzięki temu informacja o stanie urządzenia, np. czy jest zaszyfrowane i aktualne, może decydować o tym, czy użytkownik dostanie dostęp do poczty i plików.

Do czego służy Intune w firmie?

Konfiguracja i zabezpieczanie urządzeń

Intune pozwala centralnie wdrożyć ustawienia na wszystkich urządzeniach, zamiast konfigurować każde z osobna. W praktyce oznacza to m.in.:

• szyfrowanie dysków (BitLocker w Windows, FileVault w macOS),
• wymuszenie blokady ekranu i wymagań dotyczących PIN-u lub hasła,
• włączenie zapory i ochrony antywirusowej,
• ograniczenie uprawnień administratora lokalnego,
• konfigurację sieci Wi-Fi, VPN i certyfikatów,
• blokadę nośników USB lub wybranych funkcji systemu.

Zasady zgodności

Zasady zgodności (compliance policies) określają minimalne wymagania, które urządzenie musi spełniać, np. aktualna wersja systemu, włączone szyfrowanie, brak jailbreaka na telefonie czy niski poziom ryzyka wskazany przez Defendera. Urządzenie, które ich nie spełnia, jest oznaczane jako niezgodne.

Prawdziwą siłę zasady zgodności pokazują w połączeniu z dostępem warunkowym w Entra ID. Można wtedy ustalić, że poczta, Teams i SharePoint są dostępne tylko z urządzeń zgodnych z polityką. Jeśli laptop przestanie otrzymywać aktualizacje, użytkownik straci dostęp do danych, dopóki problem nie zostanie rozwiązany. To jeden z filarów podejścia Zero Trust.

Aktualizacje systemu

Intune zarządza aktualizacjami Windows, macOS i systemów mobilnych. Pozwala tworzyć pierścienie wdrożeniowe, czyli najpierw instalować aktualizacje na kilku komputerach testowych, a dopiero po kilku dniach na pozostałych. Administrator widzi w raportach, które urządzenia są nieaktualne.

Dystrybucja aplikacji

Aplikacje, takie jak pakiet Microsoft 365, przeglądarka, klient VPN czy specjalistyczne oprogramowanie, można instalować zdalnie i automatycznie aktualizować. Użytkownik może też samodzielnie instalować zatwierdzone aplikacje z Portalu firmy (Company Portal), bez uprawnień administratora.

Ochrona aplikacji na urządzeniach prywatnych

Jeśli pracownicy korzystają z poczty i Teams na prywatnych telefonach, firma nie musi przejmować kontroli nad całym urządzeniem. Zasady ochrony aplikacji (App Protection Policies) działają na poziomie aplikacji: blokują kopiowanie danych firmowych do prywatnych aplikacji, wymagają PIN-u przy otwieraniu aplikacji służbowej i pozwalają zdalnie usunąć wyłącznie dane firmowe. Zdjęcia i prywatne wiadomości pracownika pozostają nietknięte.

Zdalne działania na urządzeniach

Z konsoli Intune administrator może zdalnie zablokować urządzenie, zresetować PIN, zainicjować ponowne uruchomienie, wyczyścić dane firmowe lub całe urządzenie. To kluczowe przy zgubieniu sprzętu i odejściu pracownika.

Raporty i inwentaryzacja

Intune zbiera informacje o sprzęcie, systemie i zainstalowanych aplikacjach. Firma wie, ile ma urządzeń, kto z nich korzysta, które są nieaktualne i gdzie brakuje szyfrowania. Analityka urządzeń końcowych (Endpoint analytics) pokazuje też problemy z wydajnością i czasem uruchamiania komputerów.

Jak urządzenia trafiają do Intune?

Sposób rejestracji zależy od tego, czy urządzenie jest firmowe, czy prywatne, i z jakiego systemu korzysta.

Szczególnie dużą zmianę przynosi Windows Autopilot. Dział IT nie musi już przygotowywać każdego laptopa ręcznie. Dostawca rejestruje urządzenie w firmowym środowisku, pracownik po rozpakowaniu loguje się kontem służbowym, a Intune instaluje aplikacje, ustawienia i zabezpieczenia.

Jakie licencje Intune są dostępne?

Intune jest dostępny jako osobna licencja lub jako część pakietów Microsoft.

• Intune Plan 1 - podstawowa licencja, która obejmuje zarządzanie urządzeniami i aplikacjami, zasady zgodności i analitykę urządzeń. Wystarcza do typowego zarządzania komputerami i telefonami w firmie. Jest częścią m.in. Microsoft 365 Business Premium, Microsoft 365 E3 i E5, planów F1 i F3 oraz pakietów Enterprise Mobility + Security.
• Intune Plan 2 - dodatek do Planu 1, który rozszerza możliwości m.in. o zarządzanie urządzeniami specjalistycznymi i współdzielonymi oraz Microsoft Tunnel dla aplikacji mobilnych.
• Intune Suite - pakiet dodatków zaawansowanych, w tym Remote Help (zdalna pomoc dla użytkowników), Endpoint Privilege Management (kontrolowane podnoszenie uprawnień), Advanced Analytics, Enterprise Application Management i Microsoft Cloud PKI.

Od lipca 2026 roku Microsoft włączył część tych dodatków do planów Enterprise. Microsoft 365 E3 zawiera teraz m.in. Intune Plan 2, Remote Help i Advanced Analytics, a E5 obejmuje wszystkie składniki Intune Suite. W planie Business Premium zakres Intune się nie zmienił.

Plany Microsoft 365 Business Basic i Business Standard nie zawierają Intune. Mają tylko podstawowe funkcje zarządzania urządzeniami mobilnymi, które nie obejmują pełnego zarządzania komputerami. Różnice między planami opisaliśmy w artykule Microsoft 365 Business Premium - kiedy naprawdę się opłaca.

Intune a zarządzanie lokalne - czy warto przejść do chmury?

Wiele firm zarządza komputerami za pomocą zasad grupy (GPO) w lokalnej usłudze Active Directory lub Configuration Managera. To rozwiązania, które działają dobrze, dopóki komputery są w biurze i w sieci firmowej. Przy pracy zdalnej pojawiają się problemy: zasady nie docierają do laptopów poza siecią, aktualizacje wymagają VPN, a przygotowanie nowego komputera wymaga fizycznego kontaktu z działem IT.

Intune rozwiązuje te ograniczenia, bo urządzenie komunikuje się z chmurą bezpośrednio przez internet. Przejście nie musi być rewolucją. W praktyce stosuje się model przejściowy:

1. Komputery są dołączone jednocześnie do lokalnej domeny i Entra ID.
2. Wybrane obszary zarządzania, np. aktualizacje czy zasady zgodności, przechodzą do Intune.
3. Nowe urządzenia są wdrażane już przez Autopilot, wyłącznie w chmurze.
4. Z czasem zależność od lokalnej infrastruktury maleje lub znika.

Jeśli firma ma serwery, które muszą pozostać lokalnie, warto rozważyć połączenie ich z chmurą, np. w modelu opisanym na stronie budowa środowiska IT w oparciu o Azure Arc.

Jak przygotować wdrożenie Intune w firmie?

Krok 1. Inwentaryzacja urządzeń i potrzeb

Spisz, jakie urządzenia są w firmie, które są firmowe, a które prywatne, z jakich systemów korzystają pracownicy i jakie aplikacje są potrzebne w poszczególnych działach.

Krok 2. Przygotowanie tożsamości

Intune opiera się na kontach w Microsoft Entra ID. Konta użytkowników powinny być uporządkowane, zabezpieczone uwierzytelnianiem wieloskładnikowym i przypisane do grup odpowiadających działom lub rolom. W tym obszarze pomagamy w ramach usługi wdrożenie Microsoft Entra ID.

Krok 3. Ustalenie zasad dla urządzeń prywatnych

Zdecyduj, czy pracownicy mogą korzystać z prywatnych telefonów i komputerów, a jeśli tak, na jakich warunkach. Zasady warto spisać w regulaminie, żeby pracownik wiedział, co firma widzi i może zrobić na jego urządzeniu, a czego nie.

Krok 4. Projekt zasad konfiguracji i zgodności

Przygotuj zestaw zasad dla każdej platformy: szyfrowanie, aktualizacje, ochrona, aplikacje. Dobrym punktem wyjścia są gotowe zestawy zabezpieczeń (security baselines) przygotowane przez Microsoft, dopasowane do potrzeb firmy.

Krok 5. Pilotaż

Zacznij od małej grupy, np. działu IT i kilku osób z różnych działów. Pilotaż pokazuje, czy zasady nie blokują codziennej pracy, zanim obejmą całą firmę.

Krok 6. Wdrożenie etapami i dostęp warunkowy

Rozszerzaj zarządzanie na kolejne grupy. Dostęp warunkowy oparty na zgodności urządzeń włączaj na końcu, gdy większość sprzętu jest już zarejestrowana. W przeciwnym razie część pracowników straci dostęp do poczty.

Krok 7. Utrzymanie

Intune nie jest projektem jednorazowym. Trzeba monitorować zgodność urządzeń, reagować na alerty, aktualizować zasady i wdrażać nowe funkcje, które Microsoft regularnie dodaje.

Jakie są najczęstsze błędy przy wdrażaniu Intune?

• Licencja bez wdrożenia. Firma ma Business Premium, ale Intune nie jest skonfigurowany, więc urządzenia pozostają niezarządzane.
• Włączenie dostępu warunkowego za wcześnie. Użytkownicy z niezarejestrowanymi urządzeniami tracą dostęp do pracy.
• Zbyt restrykcyjne zasady na urządzeniach prywatnych. Pracownicy omijają ograniczenia, korzystając z prywatnej poczty i komunikatorów, co prowadzi do shadow IT.
• Brak pierścieni aktualizacji. Aktualizacja z błędem trafia od razu na wszystkie komputery.
• Konflikt zasad grupy i Intune. Te same ustawienia zarządzane z dwóch miejsc dają nieprzewidywalne efekty.
• Brak procedur dla odchodzących pracowników. Urządzenie zostaje w Intune, a dane firmowe na telefonie, mimo że konto zostało wyłączone.

Intune a bezpieczeństwo i zgodność z przepisami

Zarządzanie urządzeniami jest jednym z podstawowych środków technicznych wymaganych przez standardy bezpieczeństwa. Szyfrowanie dysków, aktualne oprogramowanie i możliwość zdalnego usunięcia danych pomagają spełnić wymagania RODO, normy ISO 27001 i ustawy o krajowym systemie cyberbezpieczeństwa. Raporty z Intune są też wygodnym dowodem dla audytora i ubezpieczyciela.

W połączeniu z Microsoft Defender for Business lub Defender for Endpoint Intune pozwala nie tylko konfigurować urządzenia, ale też reagować na zagrożenia, np. automatycznie odciąć od danych komputer, na którym wykryto atak. Pełny przegląd ustawień ochrony środowiska Microsoft znajdziesz w artykule jak zabezpieczyć Microsoft 365 w firmie.

Jak możemy pomóc?

W Lemon Pro wdrażamy Intune zarówno w firmach zaczynających od zera, jak i w organizacjach przechodzących z lokalnej domeny do zarządzania w chmurze. Projektujemy zasady, rejestrujemy urządzenia, konfigurujemy Autopilot i dostęp warunkowy, a potem utrzymujemy środowisko w ramach opieki informatycznej. Kompleksowe zabezpieczenie środowiska Microsoft realizujemy w ramach usługi bezpieczeństwo w Microsoft 365.

FAQ - najczęstsze pytania o Microsoft Intune

Co to jest Microsoft Intune?

Microsoft Intune to chmurowa usługa do zarządzania urządzeniami i aplikacjami w firmie. Pozwala centralnie konfigurować i zabezpieczać komputery z Windows i macOS oraz telefony z iOS i Androidem, instalować aplikacje, zarządzać aktualizacjami i zdalnie usuwać dane firmowe.

Czy Intune jest w Microsoft 365?

Intune Plan 1 jest częścią m.in. Microsoft 365 Business Premium, E3, E5 oraz planów F1 i F3. Plany Business Basic i Business Standard go nie zawierają. W takim przypadku Intune można kupić jako osobną licencję.

Czy Intune zarządza prywatnymi telefonami pracowników?

Tak, ale nie musi przejmować kontroli nad całym urządzeniem. Na prywatnych telefonach najczęściej stosuje się zasady ochrony aplikacji lub profil służbowy w Androidzie. Firma chroni wtedy tylko dane służbowe i może je usunąć bez wpływu na prywatne zdjęcia czy wiadomości.

Czym jest Windows Autopilot?

Windows Autopilot to usługa, która automatycznie konfiguruje nowe komputery z Windows. Laptop może trafić od dostawcy prosto do pracownika, a po zalogowaniu kontem służbowym sam pobiera ustawienia, aplikacje i zabezpieczenia z Intune.

Czy Intune zastępuje zasady grupy (GPO)?

W wielu firmach tak, szczególnie przy pracy zdalnej. Intune obsługuje większość ustawień dostępnych w zasadach grupy i działa bez połączenia z siecią firmową. Przejście zwykle odbywa się etapami, w modelu hybrydowym.

Czy Intune działa na komputerach Mac?

Tak. Intune zarządza komputerami z macOS, w tym konfiguracją, szyfrowaniem FileVault, aktualizacjami i instalacją aplikacji. Firmowe Maki można rejestrować automatycznie przez Apple Business Manager.

Do zapamiętania

Microsoft Intune pozwala zarządzać wszystkimi urządzeniami w firmie z jednego miejsca, bez względu na to, gdzie pracują ich użytkownicy. Szyfrowanie, aktualizacje, aplikacje i zdalne usuwanie danych przestają zależeć od ręcznej pracy administratora, a stan urządzenia może decydować o dostępie do firmowych danych. Jeśli chcesz uporządkować zarządzanie sprzętem w swojej firmie, skontaktuj się z nami.