Microsoft MD-102: 遠端管理與監視 — 學習指南

By Laurynas Brazys · 5 August 2026 · #microsoft #md-102 #certification #exam-prep #study-guide

屬於 Microsoft Endpoint Administrator Associate MD-102 — 學習指南. 使用經過驗證的解答練習： Microsoft 考試中心, 或參加限時模擬考試： ExamRoll.io.

總覽

Microsoft Intune 中的遠端管理與監控主要圍繞三大支柱：精確的裝置控制、深度的可觀察性，以及高效率的支援。管理員必須了解遠端動作如何影響使用者資料與註冊、如何從 Endpoint analytics 與 Intune 報告中取得可行的洞見，以及如何使用 Remote Help、診斷和稽核記錄來快速地對佈建與合規性問題進行疑難排解。透過 Intune 交付的 PowerShell 指令碼實現自動化，構成一套完整的操作工具組。

遠端裝置控制：淘汰、抹除、同步、重新啟動和遠端鎖定；以及資料生命週期

遠端動作是從 Intune 系統管理中心針對個別裝置（或大量）執行，並透過平台推播通道（Windows 的 WNS、iOS/iPadOS 的 APNs、Android 的 FCM）傳遞。如果裝置離線，動作會排入佇列，直到下次簽入為止。

淘汰 (Retire) (選擇性抹除)：移除公司足跡，同時保留個人資料。它會將裝置從 Intune 取消註冊、移除 MDM 管理設定檔、刪除受控應用程式資料、撤銷受控憑證和 Wi-Fi/VPN 設定檔，並移除部署為「必要」的 LOB/Win32 應用程式。作業系統和使用者安裝的應用程式會保持不變。若要在不將裝置恢復原廠設定的情況下移除公司資料，「淘汰」是正確的選擇。
抹除 (Wipe) (完整抹除/恢復原廠設定)：將裝置還原至原廠狀態，移除所有使用者和公司資料。這適用於遺失/遭竊的公司裝置、重新利用或報廢。特定平台的選項可以改變在 Windows 上的行為（例如，在某些情況下保留佈建套件或保留註冊狀態/使用者帳戶的選項），但預設情況下，「抹除」是一個會將裝置從 Intune 中移除並刪除所有本機資料的恢復原廠設定動作。
同步 (Sync)：觸發裝置立即簽入，以擷取原則、應用程式和合規性更新，並加速待處理的動作。如果裝置離線，命令將在下一個連線視窗收到。
重新啟動 (Restart)：在支援的平台（例如 Windows 10/11）上啟動一個會通知使用者的重新啟動。Windows 會提供一個簡短的倒數計時，允許優雅地重新開機以完成需要重新啟動的軟體安裝或原則變更。
遠端鎖定 (Remote lock)：立即鎖定裝置螢幕，需要目前的密碼/密碼才能解鎖。當裝置無人看管或可能面臨風險但尚未確認遺失時，這個功能很有用。（在 iOS/iPadOS 上，重設密碼是另一個獨立的動作。）

選擇性抹除 vs 完整抹除：

選擇性抹除 (淘汰, Retire) 會保留個人資料和 OEM 應用程式，僅移除公司內容、管理設定檔和受控應用程式資料。
完整抹除 (抹除, Wipe) 會將裝置恢復原廠設定，清除所有資料和設定。對於公司擁有的裝置，這是最安全的重設路徑。
刪除裝置記錄：從 Intune 刪除受控裝置會將其從租用戶的資產清單中移除。對於已註冊 MDM 的裝置，如果該裝置稍後簽入，其效果等同於「淘汰」，即移除公司資料但保留個人資料（這與長時間離線的裝置重新出現時，需要移除 Intune 佈建內容的需求一致）。刪除動作也會立即清理管理員的資產清單檢視。

當您希望在保留使用者資料的同時移除公司資料時，請使用「淘汰」或「刪除」；當端點必須重設為原廠狀態時，請使用「抹除」。

Remote Help、可稽核性與診斷

Remote Help 提供安全、合規的遠端協助，與 Intune 緊密整合，並需要 Remote Help 授權（包含在 Intune Suite 中或作為附加元件提供）。它支援 Windows 10/11 和 Android Enterprise。工作階段透過 HTTPS 進行代理，由 Microsoft Entra ID 進行管制，並強制執行角色型存取控制 (RBAC)，因此您可以界定誰可以協助哪些裝置。

主要面向：

角色分離與 RBAC：定義誰可以請求協助以及誰可以提供協助。將協助者範圍限定在特定裝置群組，並限制其權限提升的權限。與 Conditional Access 整合，可讓您要求裝置必須合規並使用 MFA。
安全性與使用者同意：即時 (just-in-time) 的安全 PIN 碼和使用者同意機制保護了終端使用者。雙方都能看到經過驗證的協助者身分。工作階段活動是可稽核的。
管理員權限提升：在 Windows 上，當原則允許時，協助者可以請求權限提升以執行管理員任務，從而縮短處理需特殊權限動作的時間。
記錄與監督：Remote Help 會產生工作階段記錄，可在 Intune 報告中查看，以支援合規性與調查需求。

大規模診斷：

收集診斷資料 (遠端動作)：對於 Windows 10/11，Intune 可以遠端收集裝置診斷資料（IME 記錄、事件記錄、登錄檔匯出、MDM 診斷及其他成品）到一個 ZIP 檔案中，該檔案可在裝置窗格上取得。這可以在不依賴使用者參與的情況下加速分類問題。
稽核記錄：租用戶管理稽核記錄會擷取誰、在何時、對哪個物件做了什麼（例如，應用程式指派變更、原則編輯、遠端動作）。在入口網站中的保留期通常為 30 天；若要延長保留期並進行分析，請使用 Azure Monitor 診斷設定將資料串流至 Log Analytics、Event Hub 或 Storage。

分析與報告：端點分析與 Intune 報告

端點分析提供前瞻性的洞見，以改善使用者體驗並減少支援電話。

啟動效能：測量開機和登入時間，為每個裝置型號和作業系統組建產生啟動分數。它會突顯原則或驅動程式變更後效能的退化情況，並建議針對性的補救措施。
應用程式可靠性：呈現普遍的 Win32 和 Microsoft 365 Apps 處理程序中應用程式掛起/崩潰的情況。它能識別有問題的版本和異常裝置，以指導修補或設定變更。
隨處工作 (WfA) 分數：評估裝置在核心維度上對現代遠端工作的準備情況，例如雲端身分識別 (Entra ID)、雲端管理 (Intune MDM)、Windows 版本時效性、更新狀態和佈建準備情況。分數會附帶優先建議以彌補差距。
先決條件：在 Intune 中啟用「端點分析」。已在 Intune 中註冊（或透過 Configuration Manager 租用戶附加進行共同管理）的 Windows 10/11 Pro/Enterprise 裝置，會透過該功能所需的 Intune 管理擴充功能和作業系統遙測通道自動提供訊號。洞見接近即時，但已針對趨勢分析進行最佳化。

Intune 報告提供營運和合規性的可視性：

裝置合規性：檢視每個裝置和每個原則的狀態及原因（例如：密碼不合規、BitLocker 關閉、偵測到越獄）。使用篩選器尋找不合規的裝置、匯出至 CSV，並觸發補救或淘汰動作。
應用程式安裝狀態：監控每個指派的必要和可用應用程式，狀態包括「已安裝」、「失敗」、「不適用」和「進行中」。相依性鏈和取代關係會被反映出來，從而能夠驗證先決條件應用程式是否已安裝（例如，確保 App1 在 App2 之前安裝）。
設定設定檔狀態：檢閱「成功」、「錯誤」、「衝突」、「不適用」和「擱置中」等狀態。每個設定的狀態能精確指出哪個 OMA-URI 或範本設定失敗，從而加速根本原因分析（衝突、作業系統組建不支援 CSP 或範圍標籤不符）。

Windows Autopilot 部署監控與疑難排解

Windows Autopilot 簡化了佈建流程，並要求準確的裝置註冊、正確的設定檔指派、授權和網路準備就緒。

部署狀態與 ESP：「註冊狀態頁面」(ESP) 會顯示裝置和帳戶的設定進度，並在安裝完必要的應用程式/設定檔之前封鎖桌面。設定 ESP 以便在失敗時收集部署日誌，並允許在 OOBE 期間收集日誌。這讓支援工程師無需本機管理員存取權限即可收集 Autopilot 和 MDM 的診斷資訊。
註冊失敗的常見原因：
- 裝置未註冊或未指派：確保硬體雜湊已匯入，且裝置是正確動態群組的成員（例如，使用帶有 ZTDID 的 devicePhysicalIds）。確認已指派並指定 Autopilot 設定檔。
- 授權和註冊限制：驗證使用者和租用戶擁有 Intune 授權，且註冊限制允許該平台和加入類型。
- 網路/代理伺服器問題：為 Autopilot、Intune MDM 和內容傳遞開啟必要的端點和連接埠。透明代理伺服器和 SSL 檢查可能會中斷 OOBE 流程。
- 原則/應用程式逾時：大型 Win32 應用程式或設定不當的相依性可能會超過 ESP 逾時時間。調整 ESP 的封鎖行為和順序，並使用 Win32 相依性規則來確保先決條件的安裝。
疑難排解工具組：
- 在 OOBE 期間的 Autopilot 診斷頁面（由 ESP 啟用時），用於查看步驟級別的失敗和事件連結。
- MDMDiagReport 和 IME 日誌，用於原則的接收和 Win32 應用程式的處理（例如，

undefined

和

undefined

）。

Intune 裝置窗格，用於即時查看設定檔和應用程式指派的狀態及失敗代碼。

在 Intune 中使用 PowerShell 指令碼進行自動化

在 Intune 中的 PowerShell 指令碼是由 Intune Management Extension (IME) 在 Windows 10/11 上執行，並支援 Azure AD joined、Hybrid Azure AD joined 以及 MDM 註冊的裝置。僅 Azure AD registered 的裝置不支援指令碼部署。

主要行為與設定：

目標設定與執行環境：將指令碼指派給裝置或使用者。根據需求在系統或使用者內容中執行（系統內容用於機器組態，使用者內容用於設定檔層級的操作）。
64 位元主機：選擇在 x64 裝置上以 64 位元 PowerShell 執行，以避免 WOW64 重新導向問題；否則指令碼將在 32 位元主機中執行。
登入使用者的認證：設定為「是」時，指令碼會在互動式使用者下執行，以進行個別使用者的設定。設定為「否」時，則在 LocalSystem 下執行。
簽章強制執行：您可以強制執行簽章檢查，要求使用已簽署的指令碼；否則，IME 會以允許未簽署內容的執行原則來叫用指令碼。
執行頻率與重試：指令碼可以執行一次或在每次回報時執行（請謹慎使用）。IME 會重試暫時性的失敗；請撰寫可安全重複執行且使用清晰結束代碼和記錄的冪等指令碼。
大小與內容：指令碼大小有限（保持在數百 KB 以下）。避免互動式提示和使用者介面；指令碼以非互動方式執行。使用健全的記錄功能將資訊寫入檔案和 Windows 事件記錄檔以支援診斷。
最佳實務：使用偵測邏輯以防止不必要的變更，驗證先決條件（作業系統組建、應用程式是否存在），對於需要偵測規則和相依性的複雜安裝程式，建議優先使用 Win32 應用程式封裝。

實際問題情境

Adobe 需要為 6,000 台由混合型辦公員工使用的 Windows 11 筆記型電腦改善遠端支援和可靠性，減少新進員工 Autopilot 註冊失敗的狀況，並確保能從遺失且離線的裝置上快速移除公司資料。

啟用 Endpoint analytics 並建立基準

行動：在 Intune 中開啟 Endpoint analytics，並將其指派給所有 Windows 裝置。依型號和地區檢視「啟動效能」、「應用程式可靠性」和「隨處辦公」分數。
原因：這能揭露系統性問題（登入緩慢、應用程式崩潰、作業系統版本落差），並提供按優先順序排列的建議，從而實現數據驅動的修復，而非臨時性的支援。

透過 RBAC 和條件式存取實作 Remote Help

行動：將 Remote Help 授權指派給支援工程師，使用 Intune RBAC 將其範圍限定於區域性裝置群組，並在原則中啟用權限提升。透過條件式存取強制執行 MFA 和符合規範的裝置存取。
原因：Remote Help 縮短了問題解決時間，安全地支援需要管理員權限提升的任務，並產生可稽核且與 Entra ID 身分綁定的會話記錄。

使用正確的遠端動作強化資料生命週期

行動：當員工離職或裝置重新利用時，標準化使用 Retire 進行選擇性抹除；對於遺失/遭竊的公司裝置，使用 Wipe。對於長期離線的資產，使用 Delete 立即移除清查物件，同時確保若裝置之後回報時，公司資料仍會被移除。
原因：這能在適當時機保留使用者資料，確保公司資料被清除，並保持裝置清查的準確性。

使用 ESP 診斷監控並修復 Autopilot 失敗

行動：設定 Enrollment Status Page (ESP) 封鎖使用者操作，直到必要應用程式安裝完成，並允許在失敗時收集記錄。驗證動態群組規則（使用 ZTDID）、設定檔指派和網路出口。利用 Win32 相依性來拆分大型應用程式承載，並調整 ESP 逾時設定。
原因：ESP 的可見性加上診斷功能，可減少在 OOBE 階段發生沒有任何輸出的失敗，而適當的應用程式相依性設計可防止逾時，並確保確定性的佈建。

使用 Intune PowerShell 指令碼部署修復

行動：使用裝置內容的 PowerShell 指令碼（64 位元主機）來修復由 Endpoint analytics 發現的特定錯誤設定（例如，停用有問題的啟動項目、修復基於登錄檔的原則漂移）。撰寫具備健全記錄和單次執行設定的冪等指令碼。
原因：指令碼提供快速、針對性的修復，無需等待完整的應用程式封裝週期，而在系統內容中執行可確保機器層級的設定可靠地套用。