Trưởng phòng Kinh doanh để quên laptop trên grab/taxi. Máy dùng Windows 11 Pro, tài khoản local có mật khẩu 123456, ổ cứng không mã hóa. Trong máy có file báo giá năm nay, danh sách 400 khách hàng kèm số điện thoại, và Outlook đang đồng bộ hộp thư. Công ty không biết máy đó còn kết nối được vào Microsoft 365 hay không, và không có cách nào xóa dữ liệu từ xa.
Business Premium có Intune Plan 1 và quyền nâng cấp Windows Pro lên Windows Business. Như vậy là đủ để mã hóa BitLocker kèm lưu khóa khôi phục lên Entra ID, xoay vòng mật khẩu admin local bằng Windows LAPS, áp security baseline của Microsoft, và quan trọng nhất là đánh dấu máy compliant để Conditional Access (CA005 ở bài trước) chỉ cho máy đạt chuẩn truy cập dữ liệu.
Bài này mình sẽ hướng dẫn bạn enroll máy Windows hiện có vào Intune, tạo compliance policy, áp BitLocker, Windows LAPS và security baseline, rồi bật CA005 sau khi đã chắc mọi máy đều compliant.
Kiến trúc tổng quan
Bước 1: Bật MDM auto-enrollment và cho phép Entra join
Mục đích là mỗi máy Entra join sẽ tự động vào Intune, không cần cài agent.
- Intune admin center (intune.microsoft.com) → Devices → Enrollment → Windows → Automatic Enrollment
- MDM user scope: Some → nhóm
Intune-Users(bắt đầu bằng phòng IT), sau đó chuyển All - Entra admin center → Devices → Device settings: Users may join devices to Microsoft Entra: Selected hoặc All; Maximum number of devices per user:
5 - Bật Require Multifactor Authentication to register or join devices
Bước 2: Enroll máy hiện có
Mục đích là đưa các máy đang dùng tài khoản local vào quản lý mà không cài lại Windows.
Với máy đang dùng tài khoản local (trường hợp phổ biến nhất ở SMB):
- Sao lưu dữ liệu của user (OneDrive Known Folder Move ở bước 6 giúp việc này)
- Settings → Accounts → Access work or school → Connect → Join this device to Microsoft Entra ID
- Đăng nhập bằng tài khoản
ten@khongkho.com→ hoàn tất → khởi động lại - Đăng nhập Windows bằng tài khoản Microsoft 365
Với máy mới: dùng Windows Autopilot (bài 13 trong series).
Intune → Devices → Windows hiện máy với Ownership: Corporate, Managed by: Intune.
Từ thực tế: Entra join tạo profile Windows mới. User sẽ thấy desktop trống, mất file trên Desktop và Documents của profile local cũ. Làm từng máy, có IT ngồi cạnh, chuyển dữ liệu lên OneDrive trước. Một máy mất khoảng 30-45 phút tính cả chuyển dữ liệu; lên kế hoạch 4-5 máy mỗi buổi chiều.
Bước 3: Tạo compliance policy cho Windows
Mục đích là định nghĩa “máy đạt chuẩn” mà Conditional Access sẽ kiểm tra.
- Intune → Devices → Compliance → Create policy → Windows 10 and later
- Tên
COMP-Windows-Baseline - Device Health: Require BitLocker: Require; Require Secure Boot: Require; Require code integrity: Require
- Device Properties: Minimum OS version:
10.0.19045(Windows 10 22H2) - System Security: Firewall: Require; Antivirus: Require; Antispyware: Require; Microsoft Defender Antimalware: Require; Real-time protection: Require
- Microsoft Defender for Endpoint: Require the device to be at or under the machine risk score: Medium (có hiệu lực sau bài 5)
- Actions for noncompliance: Mark device noncompliant:
1ngày (grace period); thêm Send email to end user ngay lập tức - Assignments: nhóm
Intune-Users
Và thiết lập toàn cục:
- Devices → Compliance → Compliance settings
- Mark devices with no compliance policy assigned as: Not compliant
Lưu ý: Mục “Require BitLocker” chỉ báo compliant sau khi máy khởi động lại với BitLocker đã bật và Device Health Attestation đã chạy. Máy vừa bật BitLocker có thể báo Not compliant tới khi khởi động lại.
Bước 4: bật BitLocker và lưu khóa khôi phục lên Entra ID
Mục đích là laptop mất thì dữ liệu không đọc được, và IT vẫn mở được máy khi user quên PIN.
- Intune → Endpoint security → Disk encryption → Create policy → Windows → BitLocker
- Tên
ES-BitLocker-OS-Drive - BitLocker: Require Device Encryption: Enabled; Allow Warning For Other Disk Encryption: Disabled; Allow Standard User Encryption: Enabled (để mã hóa im lặng với user không phải admin)
- Operating System Drives: Enforce drive encryption type: Full encryption hoặc Used space only; Configure recovery → Save BitLocker recovery information to Microsoft Entra ID: True; Do not enable BitLocker until recovery information is stored: True
- Choose drive encryption method: XTS-AES 256-bit cho ổ hệ điều hành
- Gán nhóm
Intune-Users
Lưu ý: Bật BitLocker trên máy đang có dữ liệu là thao tác an toàn nhưng chậm: mã hóa ổ 512 GB có thể chạy 1-3 giờ ở nền. Gán cho nhóm thử 3-5 máy trước, chạy 3 ngày, rồi mới mở rộng.
Bước 5: bật Windows LAPS
Mục đích là mỗi máy có mật khẩu admin local riêng, tự xoay vòng, lưu trong Entra ID. Kẻ tấn công lấy được mật khẩu admin của một máy không dùng được cho máy khác.
- Entra admin center → Devices → Device settings → Enable Microsoft Entra Local Administrator Password Solution (LAPS): Yes
- Intune → Endpoint security → Account protection → Create policy → Windows → Local admin password solution (Windows LAPS)
- Tên
ES-LAPS - Backup Directory: Backup the password to Microsoft Entra ID only
- Password Age Days:
30; Password Complexity: Large letters + small letters + numbers + special characters; Password Length:16 - Post Authentication Actions: Reset password and logoff; Post Authentication Reset Delay:
8giờ - Gán nhóm
Intune-Users
Bước 6: Security baseline cho Windows
Mục đích là áp khoảng vài trăm thiết lập bảo mật mà Microsoft khuyến nghị, thay vì tự cấu hình từng mục.
- Intune → Endpoint security → Security baselines → Security Baseline for Windows 10 and later → Create profile
- Tên
SB-Windows-Thu-nghiem, giữ giá trị mặc định - Bổ sung mục OneDrive Known Folder Move qua Devices → Configuration → Settings catalog (silently move Desktop, Documents, Pictures) – giúp mất máy không mất dữ liệu
- Gán chỉ nhóm thử nghiệm
Intune-Pilot(3-5 máy của IT và một người mỗi phòng) - Chạy 7 ngày, ghi nhận lỗi ứng dụng, rồi mới gán cho
Intune-Users
Từ thực tế: Ở SMB Việt Nam, thứ hay “gãy” nhất sau khi áp baseline là USB token chữ ký số và phần mềm kế toán cài trên máy chủ nội bộ dùng SMB cũ. Đó là lý do bắt buộc có người phòng kế toán trong nhóm pilot. Nếu một thiết lập gây lỗi, tạo exception trong profile, đừng gỡ cả baseline.
Bước 7: bật CA005 yêu cầu thiết bị compliant
Mục đích là đóng vòng: chỉ máy đạt compliance mới truy cập Microsoft 365 trên Windows và macOS.
- Kiểm tra trong Intune → Reports → Device compliance: mọi máy Windows của nhân viên Compliant
- Xem sign-in log 7 ngày của CA005 (đang report-only từ bài trước): ai sẽ bị chặn
- Xử lý các máy còn lại: enroll, bật BitLocker, hoặc cấp ngoại lệ tạm thời qua nhóm loại trừ có hạn
- Conditional Access → CA005 → Enable policy: On
Lỗi thường gặp
| Lỗi | Nguyên nhân | Cách sửa |
|---|---|---|
| Máy không hiện trong Intune sau Entra join | User không thuộc MDM user scope | Thêm user vào Intune-Users, unjoin rồi join lại |
| Compliance báo BitLocker Not compliant dù đã mã hóa | Chưa khởi động lại để Health Attestation chạy | Khởi động lại, Sync, chờ 1 giờ |
| Không thấy recovery key trên Entra | Mã hóa trước khi có policy | Chạy BackupToAAD-BitLockerKeyProtector trên máy hoặc re-trigger qua Intune |
| User bị chặn ngay sau khi bật CA005 | Máy “In grace period” hết hạn hoặc chưa enroll | Kiểm tra lại script ở bước 7 trước khi bật |
| Máy Windows Home không enroll được | Home không hỗ trợ Entra join | Nâng cấp lên Windows Business (quyền có trong Business Premium) |
Tổng kết
| Thành phần | Đã làm |
|---|---|
| Enrollment | MDM auto-enrollment, Entra join máy hiện có |
| Compliance | COMP-Windows-Baseline, máy không có policy = Not compliant |
| BitLocker | Mã hóa im lặng, key lưu trên Entra ID |
| LAPS | Mật khẩu admin local 16 ký tự, xoay 30 ngày |
| Baseline | Pilot 7 ngày trước khi mở rộng, OneDrive Known Folder Move |
| Conditional Access | CA005 chuyển từ report-only sang On |
Tài liệu tham khảo
- Set up automatic enrollment for Windows devices
- Device compliance policies in Microsoft Intune
- Encrypt Windows devices with BitLocker in Intune
- Windows LAPS policy in Intune
- Use security baselines to configure Windows devices in Intune
Máy Windows ở công ty bạn đang dùng tài khoản local hay đã Entra join? Chia sẻ cách bạn chuyển đổi trong comment nhé.