使用 Intune 和 Windows Autopilot 部署Microsoft Entra混合联接的设备

• 已成功配置Microsoft Entra混合联接设备。 请务必使用 Get-MgDevice cmdlet 验证设备注册。
• 如果基于域和 OU 的筛选配置为 Microsoft Entra Connect 的一部分，请确保同步范围中包含适用于 Windows Autopilot 设备的默认组织单位 (OU) 或容器。

要注册的设备必须遵循以下要求:

• 使用当前支持的 Windows 版本。
• 有权访问遵循 Windows Autopilot 网络要求的 Internet。
• 有权访问 Active Directory 域控制器。
• 成功对要加入的域的域控制器执行 ping作。
• 如果使用代理，则必须启用和配置 Web 代理自动发现协议 (WPAD) 代理设置选项。
• 体验全新体验(OOBE)。
• 使用 OOBE 中Microsoft Entra ID支持的授权类型。

尽管不是必需的，但为 Active Directory Federated Services (ADFS) 配置Microsoft Entra混合联接可以在部署期间更快地完成 Windows Autopilot Microsoft Entra注册过程。 不支持使用密码和使用 ADFS 的联合客户需要按照Active Directory 联合身份验证服务 prompt=login 参数支持一文中的步骤正确配置身份验证体验。

• Active Directory 的Intune连接器（也称为脱机域加入 (ODJ) 连接器）必须安装在运行 Windows Server 2016 或更高版本且版本 .NET Framework为 4.7.2 或更高版本的计算机上。

• 托管 Intune 连接器 for Active Directory 的服务器必须有权访问 Internet 和 Active Directory。

  注意

  适用于 Active Directory 服务器的 Intune 连接器需要对域控制器进行标准域客户端访问，其中包括与 Active Directory 通信所需的 RPC 端口要求。 有关详细信息，请参阅以下文章：

  • Windows 服务概述和网络端口
  • 如何为 Active Directory 域和信任配置防火墙
  • 混合标识所需的端口和协议

• 若要提高规模和可用性，可以在一个域中安装多个连接器。 每个连接器必须能够在它支持的域中创建计算机对象。

• 安装 Intune 连接器 for Active Directory 的管理员必须是安装 active Directory Intune 连接器的服务器上的本地管理员。

• 对于更新的 Intune 连接器 for Active Directory，需要使用具有以下域权限的帐户进行安装：

  • 必需 - 在托管服务帐户容器中创建 msDs-ManagedServiceAccount 对象

  • 可选 - 修改 Active Directory 中 OU 中的权限 - 如果安装适用于 Active Directory 的更新Intune连接器的管理员没有此权限，则具有这些权限的管理员需要执行其他配置步骤。 有关详细信息，请参阅本文中的 增加组织单位 (OU) 中的计算机帐户限制 部分。

    这些权限允许安装 Intune Connector for Active Directory 正确创建托管服务帐户 (MSA) ，并为 MSA 要向其添加计算机的 OU 正确设置权限。

• 适用于 Active Directory 的Intune连接器需要与 Intune 相同的终结点。

开始之前

• 在安装之前，请确保满足 Active Directory 服务器要求的所有Intune连接器。

• Microsoft建议 (不需要) 安装和配置 active Directory Intune 连接器的管理员具有 active Directory 要求Intune连接器中列出的域权限。 这些权限允许 Intune Connector for Active Directory 安装程序和配置过程在创建计算机对象的计算机容器或 OU 上设置托管服务帐户 (MSA) 的权限。

  如果管理员缺少这些权限，则具有适当权限的另一个管理员必须在 组织单位 (OU) 提高计算机帐户限制 。

关闭 Internet Explorer 增强的安全配置

从版本 6.2504.2001.8 开始，更新的 active Directory Intune 连接器切换到使用基于 Microsoft Edge 构建的 WebView2，而不是基于 Microsoft Internet Explorer 构建的 WebBrowser。 此更改意味着不再需要关闭 Windows Server 中的 Internet Explorer 增强安全配置设置。 请确保安装 6.2504.2001.8 或更高版本的 Intune 连接器 Active Directory，以避免 Internet Explorer 增强安全配置设置出现问题。

下载适用于 Active Directory 的 Intune 连接器

1. 在安装了 Intune 连接器 for Active Directory 的服务器上，登录到 Microsoft Intune 管理中心。

2. 在 “主页 ”屏幕中，选择左侧窗格中的“ 设备 ”。

3. 在 设备中 |“概述 ”屏幕的“ 按平台”下，选择“ Windows”。

4. 在 Windows 中 |Windows 设备 屏幕的“ 设备载入”下，选择“ 注册”。

5. 在 Windows 中 |Windows 注册屏幕的“Windows Autopilot”下，选择“Intune Active Directory 连接器”。

6. 在“适用于 Active Directory 的Intune连接器”屏幕中，选择“添加”。

7. 在打开的“添加连接器”窗口中，在“为 Active Directory 配置Intune连接器”下，选择“下载 Active Directory 的本地Intune连接器”。 该链接下载名为 的文件 ODJConnectorBootstrapper.exe。

在服务器上安装适用于 Active Directory 的 Intune 连接器

1. 使用具有本地管理员权限的帐户登录到安装了 Intune 连接器 for Active Directory 的服务器。

2. 如果安装了以前的旧版 Intune 连接器 for Active Directory，请先卸载它，然后再安装更新的 Intune Active Directory 连接器。 有关详细信息，请参阅卸载适用于 Active Directory 的 Intune 连接器。

   重要

   卸载旧版 Intune 连接器 for Active Directory 时，请确保在卸载过程中运行旧版 Intune Connector for Active Directory 安装程序。 如果旧版 Intune Connector for Active Directory 安装程序在运行时提示卸载它，请选择卸载它。 此步骤可确保完全卸载以前的旧版 Intune Active Directory 连接器。 可以从 Active Directory Intune Connector for Active Directory 下载旧版 Intune 连接器安装程序。

   提示

   在只有单个Intune连接器的域中，Microsoft建议先在另一台服务器上安装更新的 Intune 连接器。 应在另一台服务器上安装更新的 Intune Connector for Active Directory，然后再在当前服务器上卸载旧Intune Active Directory 连接器。 在当前服务器上更新 Intune 连接器 for Active Directory 时，首先安装用于 Active Directory 的 Intune 连接器可避免停机。

3. 打开ODJConnectorBootstrapper.exe下载的文件，以启动 Intune Connector for Active Directory 安装程序安装。

4. 单步执行适用于 Active Directory 安装程序的 Intune 连接器安装。

5. 安装结束时，选中“启动 active Directory Intune连接器”复选框。

   注意

   如果Intune连接器 for Active Directory 安装程序安装意外关闭，但未选中“启动Intune Active Directory 连接器”复选框，则可以通过选择“Intune连接器 for Active> Directory”来重新打开 active Directory Intune连接器配置Intune“开始”菜单中的 Active Directory 连接器。

登录到适用于 Active Directory 的 Intune 连接器

1. 在“Intune连接器 for Active Directory”窗口中的“注册”选项卡下，选择“登录”。

2. 在“登录”选项卡下，使用Intune管理员角色的Microsoft Entra ID凭据登录。 必须为用户帐户分配 Intune 许可证。 登录过程可能需要几分钟才能完成。

   注意

   用于注册 Active Directory Intune连接器的帐户只是安装时的临时要求。 注册服务器后，不会使用帐户。

3. 登录过程完成后：

   1. 此时会显示“active Directory Intune连接器已成功注册”确认窗口。 选择 “确定” 关闭窗口。
   2. 名为 “的<托管服务帐户>出现MSA_name“已成功设置 确认窗口。 MSA 的名称的格式msaODJ##########为 5 个随机字符。 指定已创建的 MSA 的名称，然后选择“ 确定 ”以关闭窗口。 稍后可能需要 MSA 的名称才能将 MSA 配置为允许在 OU 中创建计算机对象。

4. “注册”选项卡显示 Active Directory 连接器已注册Intune。 “ 登录 ”按钮灰显，并且已启用 “配置托管服务帐户 ”。

5. 关闭“Active Directory Intune连接器”窗口。

验证 Active Directory 的Intune连接器是否处于活动状态

进行身份验证后，Intune连接器 for Active Directory 完成安装。 安装完成后，请按照以下步骤在 Intune 中验证它是否处于活动状态：

1. 如果管理中心仍处于打开状态，请转到Microsoft Intune管理中心。 如果仍显示 “添加连接器 ”窗口，请将其关闭。

   如果Microsoft Intune管理中心尚未打开：

   1. 登录到 Microsoft Intune 管理中心。

   2. 在 “主页 ”屏幕中，选择左侧窗格中的“ 设备 ”。

   3. 在 设备中 |“概述 ”屏幕的“ 按平台”下，选择“ Windows”。

   4. 在 Windows 中 |Windows 设备 屏幕的“ 设备载入”下，选择“ 注册”。

   5. 在 Windows 中 |Windows 注册屏幕的“Windows Autopilot”下，选择“Intune Active Directory 连接器”。

2. 在 Active Directory 的“Intune连接器”页中：

   • 确认服务器显示在“连接器名称”下，并在“状态”下显示为“活动”
   • 对于 Active Directory 的更新Intune连接器，请确保版本大于或等于 6.2501.2000.5。

   如果未显示服务器，请选择“刷新”或导航离开页面，然后导航回到“Intune Active Directory 连接器”页。

安装 Intune 连接器 for Active Directory 后，它将开始在“应用程序和服务日志>MicrosoftIntuneODJConnectorService”路径下的事件查看器>>中日志记录。 在此路径下，可以找到管理员和作日志。

将 MSA 配置为允许在 OU 中创建对象 (可选)

默认情况下，MSA 仅有权在计算机容器中创建 计算机 对象。 MSA 无权在组织单位 (OU) 中创建计算机对象。 若要允许 MSA 在 OU 中创建对象，需要将 OU 添加到ODJConnectorEnrollmentWizard.exe.config安装 active Directory Intune 连接器的目录中的 ODJConnectorEnrollmentWizard XML 文件中，通常C:\Program Files\Microsoft Intune\ODJConnector\为 。

若要将 MSA 配置为允许在 OU 中创建对象，请执行以下步骤：

1. 在安装了 Intune 连接器 for Active Directory 的服务器上，导航到ODJConnectorEnrollmentWizard安装了 Intune Active Directory 连接器的目录（通常C:\Program Files\Microsoft Intune\ODJConnector\为 ）。

2. 在 ODJConnectorEnrollmentWizard 目录中，在文本编辑器（例如记事本）中打开现有 ODJConnectorEnrollmentWizard.exe.config XML 文件。

3. add key在 XML 文件的 元素中ODJConnectorEnrollmentWizard.exe.config：

   • 在 value=旁边，添加 MSA 应有权访问的任何所需 OU，以在中创建计算机对象。
   • OU 名称需要采用 LDAP 可分辨名称 格式，如果适用，则需要进行转义。
   • 使用分号 (;) 分隔每个 OU 来支持多个 OU。
   • 请确保将引号 (“) 保留在 value=旁边。 所有 OU 值都需要在一对引号内。
   • 不要更改键元素 OrganizationalUnitsUsedForOfflineDomainJoin的名称。

   以下示例是具有多个 OU 的示例 XML 条目，采用 LDAP 可分辨名称格式：

     <appSettings>
   
       <!-- Semicolon separated list of OUs that will be used for Hybrid Autopilot, using LDAP distinguished name format.
           The ODJ Connector will only have permission to create computer objects in these OUs.
           The value here should be the same as the value in the Hybrid Autopilot configuration profile in the Azure portal - https://learn.microsoft.com/en-us/mem/intune/configuration/domain-join-configure
   
           Usage example (NOTE: PLEASE ENSURE THAT THE DISTINGUISHED NAME IS ESCAPED PROPERLY):
           Domain contains the following OUs:
             - OU=HybridDevices,DC=contoso,DC=com
             - OU=HybridDevices2,OU=IntermediateOU,OU=TopLevelOU,DC=contoso,DC=com
   
           Value: "OU=HybridDevices,DC=contoso,DC=com;OU=HybridDevices2,OU=IntermediateOU,OU=TopLevelOU,DC=contoso,DC=com" -->
   
       <add key="OrganizationalUnitsUsedForOfflineDomainJoin" value="OU=SubOU,OU=TopLevelOU,DC=contoso,DC=com;OU=Mine,DC=contoso,DC=com" />
     </appSettings>
   

   提示

   在此示例中，将 旁边的 value= 示例红色文本替换为 LDAP 可分辨名称格式的组织 OU。 如示例中所示，请确保所有 OU 条目都位于引号 (“) 内，并且每个 OU 都用分号 (;) 分隔。

4. 添加所有所需的 OU 后，保存 ODJConnectorEnrollmentWizard.exe.config XML 文件。

5. 作为具有修改 OU 权限的适当权限的管理员，请从“开始”菜单导航到“Intune Active Directory> 连接器Intune Active Directory 连接器”，打开 Active Directory Intune连接器。

   重要

   如果安装和配置 Intune 连接器 for Active Directory 的管理员没有修改 OU 权限的权限，则部分/步骤需要在组织单位中增加计算机帐户限制后跟有权限修改 OU 权限的管理员。

6. 在“Intune连接器 active Directory”窗口中的“注册”选项卡下，选择“配置托管服务帐户”。

7. 此时会显示 名为“<MSA_name>”的托管服务帐户已成功设置确认 窗口。 选择 “确定” 关闭窗口。

使用自定义托管服务帐户 (可选)

（可选）可以将连接器配置为使用自己的托管服务帐户，而不是连接器自动设置的 MSA。

MSA 要求

本部分介绍 MSA 要求。

• 提供的帐户必须是 Active Directory 中具有以下对象类别之一的服务帐户：

  • CN=ms-DS-Group-Managed-Service-Account,CN=Schema,CN=Configuration,DC=contoso,DC=com

  • CN=ms-DS-Managed-Service-Account,CN=Schema,CN=Configuration,DC=contoso,DC=com

• 服务帐户的配置值需要采用以下格式： <msaAccountName@domain>

• 服务帐户需要与 ODJ 连接器的服务器位于同一域中。

• 需要在托管 ODJ 连接器的服务器上安装服务帐户。 有关详细信息，请参阅 Install-ADServiceAccount。

  • 如果使用 sMSA，则帐户只能链接到一台计算机。
  • 如果使用 gMSA，则安装 gMSA 的服务器需要有权访问密码。

• 服务帐户需要具有本地 登录即服务 权限，可以直接或通过组成员身份设置。 有关详细信息，请参阅 启用服务登录。

• 需要为服务帐户手动授予权限，以便为混合 Autopilot 流创建计算机对象。 有关详细信息，请参阅 提高组织单位中的计算机帐户限制 (OU) 。

如何设置

更新 ODJConnectorEnrollmentWizard.exe.config。 其默认位置为 C:\Program Files\Microsoft Intune\ODJConnector\ODJConnectorEnrollmentWizard。

1. 在文件的 appSettings 部分中 ，添加以下行： <add key="TenantConfiguredManagedServiceAccount" value="{accountname}" />
2. 登录到连接器。

禁用 OU 更新

使用自己的 MSA 将禁止连接器进行任何 OU 更新，而不考虑在 OrganizationUnitsUsedForOfflineDomainJoin 中进行任何配置。 若要防止错误，请通过更新 ODJConnectorEnrollmentWizard.exe.config禁用 OU 更新。 其默认位置为 C:\Program Files\Microsoft Intune\ODJConnector\ODJConnectorEnrollmentWizard。

1. 在文件的 appSettings 部分中 ，添加以下行： <add key="DisableOUUpdates" value="true" />
2. 登录到连接器。

在开始安装之前，请确保满足 Active Directory 服务器要求的所有Intune连接器。

禁用 Internet Explorer“增强的安全配置”

默认情况下，Windows Server 已打开 Internet Explorer 增强的安全配置。 Internet Explorer 增强型安全配置可能会导致登录到 active Directory Intune 连接器时出现问题。 由于 Internet Explorer 已弃用，并且在大多数情况下（甚至未安装在Windows Server上），因此Microsoft建议关闭 Internet Explorer 增强型安全配置。 若要关闭 Internet Explorer 增强的安全配置，请执行以下作：

1. 使用具有本地管理员权限和域管理员权限的帐户登录到安装了 Intune 连接器 for Active Directory 的服务器。 需要域管理员权限，以便 Intune Connector for Active Directory 安装程序能够正确创建 MSA。

2. 打开服务器管理器。

3. 在服务器管理器的左窗格中，选择“本地服务器”。

4. 在服务器管理器的右侧“属性”窗格中，选择“IE 增强的安全配置”旁边的“打开”或“关闭”链接。

5. 在“Internet Explorer 增强的安全配置”窗口中，选择“管理员：”下的“关闭”，然后选择“确定”。

在服务器上安装适用于 Active Directory 的旧Intune连接器

1. 打开以前下载ODJConnectorBootstrapper.exe的文件以启动 Intune Connector for Active Directory 安装程序安装。

   注意

   如果已安装适用于 Active Directory 的旧版Intune连接器，请转到“开始”菜单>Intune连接器 for Active Directory>Intune连接器“，然后继续登录到 Active Directory 的旧版Intune连接器。

2. 在“Intune连接器 active Directory 安装程序”窗口中，选择“我同意许可条款和条件”，然后选择“安装”。

   注意

   如果需要除默认 C：\Program Files\Microsoft Intune\ODJConnector 以外的安装位置，请选择“选项”并指定所需的安装位置。

3. 安装完成后，在“Intune连接器 active Directory 安装程序安装程序”窗口中选择“立即配置”。

   注意

   如果意外选择了“关闭”或意外关闭了“适用于 Active Directory 的Intune连接器安装程序”窗口，则可以通过从“开始”菜单中选择“activeDirectory Intune连接器>Intune Active Directory 连接器”来访问 Active Directory 的Intune连接器配置。

登录到旧版Intune连接器

1. 在“Intune连接器 for Active Directory”窗口中的“注册”选项卡下，选择“登录”。

2. 在“登录”选项卡下，使用Intune管理员角色的凭据登录。 必须为用户帐户分配 Intune 许可证。 登录过程可能需要几分钟才能完成。

   注意

   用于注册 Active Directory Intune连接器的帐户只是安装时的临时要求。 注册服务器后，不会使用帐户。

3. 登录过程完成后，将显示“已成功注册 Active Directory Intune连接器”确认窗口。 选择 “确定” 关闭窗口。

4. “注册”选项卡显示 Active Directory 连接器已注册Intune，并且“登录”按钮灰显。

5. 关闭“Active Directory Intune连接器”窗口。

验证 Active Directory 的旧Intune连接器是否处于活动状态

进行身份验证后，Intune连接器 for Active Directory 完成安装。 安装完成后，请按照以下步骤在 Intune 中验证它是否处于活动状态：

1. 如果管理中心仍处于打开状态，请转到Microsoft Intune管理中心。 如果仍显示 “添加连接器 ”窗口，请将其关闭。

   如果Microsoft Intune管理中心尚未打开：

   1. 登录到 Microsoft Intune 管理中心。

   2. 在 “主页 ”屏幕中，选择左侧窗格中的“ 设备 ”。

   3. 在 设备中 |“概述 ”屏幕的“ 按平台”下，选择“ Windows”。

   4. 在 Windows 中 |Windows 设备 屏幕的“ 设备载入”下，选择“ 注册”。

   5. 在 Windows 中 |Windows 注册屏幕的“Windows Autopilot”下，选择“Intune Active Directory 连接器”。

2. 在“Intune连接器 for Active Directory”页中，确认服务器显示在“连接器名称”下，并在“状态”下显示为“活动”。 如果未显示服务器，请选择“刷新”或导航离开页面，然后导航回到“Intune Active Directory 连接器”页。

安装 Intune 连接器 for Active Directory 后，它将开始在“应用程序和服务日志>MicrosoftIntuneODJConnectorService”路径下的事件查看器>>中日志记录。 在此路径下，可以找到管理员和作日志。

Intune连接器 for Active Directory 的目的是将计算机加入域并将其添加到 OU。 因此，用于 Active Directory Intune连接器的托管服务帐户需要有权在计算机加入到本地域的 OU 中创建计算机帐户。

使用 Active Directory 中的默认权限时，Active Directory Intune连接器的域加入最初可能无需对 Active Directory 中的 OU 进行任何权限修改即可正常工作。 但是，在 MSA 尝试将 10 台计算机加入本地域后，它将停止工作，因为默认情况下，Active Directory 仅允许任何单个帐户将最多 10 台计算机加入本地域。

以下用户不受 10 个计算机域加入限制的限制：

• 管理员或域管理员组中的用户：为了遵守最低特权原则模型，Microsoft不建议将 MSA 设置为管理员或域管理员。
• 对组织单位具有委派权限的用户 (OU) 和容器在 Active Directory 中创建计算机帐户：建议使用此方法，因为它遵循最低特权原则模型。

若要修复此限制，MSA 需要在本地域中将计算机加入到的组织单位 (OU) 中创建计算机帐户 权限。 只要满足以下条件之一，Active Directory Intune连接器会将 MSA 的权限设置为 OU：

• 安装 Intune 连接器 for Active Directory 的管理员具有设置 OU 权限所需的权限。
• 配置 active Directory Intune 连接器的管理员具有设置 OU 权限所需的权限。

如果安装或配置 active Directory Intune连接器的管理员没有设置 OU 权限所需的权限，则需要执行以下步骤：

1. 使用一个帐户登录到有权访问 Active Directory 用户和计算机 控制台的计算机，该帐户是设置 OU 权限的必要权限。

2. 通过运行 DSA.msc 打开Active Directory 用户和计算机控制台。

3. 展开所需的域，导航到计算机在 Windows Autopilot 期间加入的组织单位 (OU) 。

   注意

   稍后在 配置和分配域加入配置文件 步骤中，将指定计算机在 Windows Autopilot 部署期间加入的 OU。

4. 右键单击 OU 并选择 “属性”。

   注意

   如果计算机正在加入默认 的“计算机” 容器而不是 OU，请右键单击“ 计算机 ”容器，然后选择“ 委托控制”。

5. 在打开的“OU 属性” 窗口中，选择“ 安全性 ”选项卡。

6. 在“ 安全性 ”选项卡中，选择“ 高级”。

7. 在 “高级安全设置” 窗口中，选择“ 添加”。

8. 在 “权限输入” 窗口的 “主体”旁边，选择“ 选择主体” 链接。

9. 在 “选择用户、计算机、服务帐户或组 ”窗口中，选择“ 对象类型...” 按钮。

10. 在“对象类型”窗口中，选择“服务帐户检查”框，然后选择“确定”。

11. 在“选择用户、计算机、服务帐户或组”窗口中，在“输入要选择的对象名称”下，输入用于 Active Directory Intune 连接器的 MSA 的名称。

    提示

    MSA 是在安装 active Directory Intune连接器步骤/节期间创建的，其名称格式msaODJ##########为 5 个随机字符。 如果 MSA 名称未知，请按照以下步骤查找 MSA 名称：

    1. 在运行 Intune 连接器 for Active Directory 的服务器上，右键单击“开始”菜单，然后选择“计算机管理”。
    2. 在 “计算机管理 ”窗口中，展开“ 服务和应用程序” ，然后选择“ 服务”。
    3. 在结果窗格中，找到名称Intune ODJConnector for Active Service 的服务。 MSA 的名称列在 “登录为 ”列中。

12. 选择“ 检查名称” 以验证 MSA 名称条目。 验证条目后，选择“ 确定”。

13. 在 “权限条目 ”窗口中，选择“ 应用于： ”下拉菜单，然后选择“ 仅此对象”。

14. 在“权限”下，取消选择所有项，然后仅选中“检查创建计算机对象”框。

15. 选择 “确定” 以关闭 “权限输入” 窗口。

16. 在 “高级安全设置” 窗口中，选择“ 应用 ”或“ 确定” 以应用更改。

Intune连接器 for Active Directory 的目的是将计算机加入域并将其添加到 OU。 因此，运行 Intune 连接器 for Active Directory 的服务器需要有权在 OU 中创建计算机加入本地域的计算机帐户。

使用 Active Directory 中的默认权限时，Active Directory Intune连接器的域加入最初可能无需对 Active Directory 中的 OU 进行任何权限修改即可正常工作。 但是，在运行 Intune 连接器 for Active Directory 的服务器尝试将 10 台计算机加入本地域后，它将停止工作，因为默认情况下，Active Directory 仅允许任何一个帐户将最多 10 台计算机加入本地域。

以下用户不受 10 个计算机域加入限制的限制：

• 管理员或域管理员组中的用户 - 为了遵守最低特权原则模型，Microsoft不建议将运行 active Directory Intune 连接器的计算机帐户设置为管理员或域管理员。
• 对组织单位具有委派权限的用户 (OU) 和容器在 Active Directory 中创建计算机帐户 - 建议使用此方法，因为它遵循最低特权原则模型。

若要修复此限制，运行适用于 Active Directory 的 Intune 连接器的服务器需要在本地域中将计算机加入到的组织单位 (OU) 中创建计算机帐户权限：

若要在 Windows Autopilot 期间提高计算机要加入的组织单位 (OU) 的计算机帐户限制，请在有权访问 Active Directory 用户和计算机 控制台的计算机上执行以下步骤：

1. 通过运行 DSA.msc 打开Active Directory 用户和计算机控制台。

2. 展开所需的域，导航到计算机在 Windows Autopilot 期间加入的组织单位 (OU) 。

   注意

   稍后在 配置和分配域加入配置文件 步骤中，将指定计算机在 Windows Autopilot 部署期间加入的 OU。

3. 右键单击 OU，然后选择“ 委托控件”。

   注意

   如果计算机正在加入默认 的“计算机” 容器而不是 OU，请右键单击“ 计算机 ”容器，然后选择“ 委托控制”。

4. 在“控件委派向导”的“欢迎使用控件委派向导”窗口中，选择“下一步”。

5. 在 “用户或组” 窗口中的 “所选用户和组”下，选择“ 添加”。

6. 在 “选择此对象类型”旁边： 在 “选择用户、计算机或组” 窗口中，选择“ 对象类型”。

7. 在“对象类型”窗口中，选择“计算机检查”框，然后选择“确定”。 此窗口中的其他项可以保留为默认值。

8. 在“选择用户、计算机或组”窗口中的“输入要选择的对象名称”框下，输入安装 Active Directory Intune连接器（安装 active Directory Intune连接器）步骤期间安装了适用于 Active Directory 的计算机的名称。

9. 选择“ 检查名称” 以验证条目。 验证条目后，选择“ 确定”。

10. 在 “用户或组” 窗口中，验证“ 所选用户和组：”下是否显示正确的计算机，然后选择“ 下一步”。

11. 在 “要委托的任务” 窗口中，选择“ 创建要委派的自定义任务”，然后选择“ 下一步”。

12. 在 “Active Directory 对象类型 ”窗口中：

    1. 在 文件夹中选择“仅以下对象”。

    2. 在“ 仅文件夹中的以下对象”下，选择“ 计算机对象”。

    3. 选中“ 在此文件夹中创建所选对象 ”复选框。

    4. 选择 下一步。

13. 在“权限”窗口中的“权限：”下，选择“完全控制检查”框，然后选择“下一步”。

    注意

    选择“完全控制检查”框后，将自动选择“权限：”下的所有其他选项。 自动选择复选框是正常和预期的。 在自动选择任何检查框后，不要取消选择这些框。

14. 在 “完成控件委派向导” 窗口中，选择“ 完成”。

1. 登录到托管 Intune 连接器 for Active Directory 的计算机。

2. 右键单击“ 开始 ”菜单，然后选择 “设置>应用>”“已安装应用”。

   或

   选择以下 “应用 > 已安装应用” 快捷方式：

   打开已安装应用 > 的应用

3. 在“已安装应用的应用>”窗口中，找到适用于 Active Directory 的Intune连接器。

4. 在“active Directory Intune连接器”旁边，选择“...”>卸载，然后选择“卸载”按钮。

5. Active Directory 的Intune连接器将继续卸载。

6. 在某些情况下，在重新运行适用于 Active Directory 的原始Intune连接器安装程序ODJConnectorBootstrapper.exe之前，可能无法完全卸载适用于 Active Directory 的Intune连接器。 若要验证 Active Directory Intune 连接器是否已完全卸载，请ODJConnectorBootstrapper.exe再次运行安装程序。 如果提示 “卸载”，请选择卸载它。 否则，请 ODJConnectorBootstrapper.exe 关闭安装程序。

   注意

   可以从适用于 Active Directory 的 Intune 连接器下载用于 Active Directory 的旧版 Intune 连接器安装程序，并且只能用于卸载。 对于新安装，请使用适用于 Active Directory 的更新Intune连接器。

1. 登录到托管 Intune 连接器 for Active Directory 的计算机。

2. 右键单击“ 开始 ”菜单，然后选择 “设置>应用”。

   或

   选择以下 应用 快捷方式：

   打开应用

3. 在“应用 & 功能”下，找到并选择“Intune Active Directory 连接器”。

4. 在“active Directory Intune连接器”下，选择“卸载”按钮，然后再次选择“卸载”按钮。

5. Active Directory 的Intune连接器将继续卸载。

6. 在某些情况下，在重新运行适用于 Active Directory 的原始Intune连接器安装程序ODJConnectorBootstrapper.exe之前，可能无法完全卸载适用于 Active Directory 的Intune连接器。 若要验证 Active Directory Intune 连接器是否已完全卸载，请ODJConnectorBootstrapper.exe再次运行安装程序。 如果提示 “卸载”，请选择卸载它。 否则，请 ODJConnectorBootstrapper.exe 关闭安装程序。

   注意

   可以从适用于 Active Directory 的 Intune 连接器下载用于 Active Directory 的旧版 Intune 连接器安装程序，并且只能用于卸载。 对于新安装，请使用适用于 Active Directory 的更新Intune连接器。

1. 登录到托管 Intune 连接器 for Active Directory 的计算机。

2. 右键单击“ 开始 ”菜单，然后选择 “设置>系统>应用 & 功能”。

   或

   选择以下 应用 快捷方式：

   打开应用

3. 在“应用 & 功能”下，找到并选择“Intune Active Directory 连接器”。

4. 在“active Directory Intune连接器”下，选择“卸载”按钮，然后再次选择“卸载”按钮。

5. Active Directory 的Intune连接器将继续卸载。

6. 在某些情况下，在重新运行适用于 Active Directory 的原始Intune连接器安装程序ODJConnectorBootstrapper.exe之前，可能无法完全卸载适用于 Active Directory 的Intune连接器。 若要验证 Active Directory Intune 连接器是否已完全卸载，请ODJConnectorBootstrapper.exe再次运行安装程序。 如果提示 “卸载”，请选择卸载它。 否则，请 ODJConnectorBootstrapper.exe 关闭安装程序。

   注意

   可以从适用于 Active Directory 的 Intune 连接器下载用于 Active Directory 的旧版 Intune 连接器安装程序，并且只能用于卸载。 对于新安装，请使用适用于 Active Directory 的更新Intune连接器。