为 windows 10 移动版做准备

·         Azure AD 配置

目前，Azure AD 加入仅支持自我预配，这意味着在设备的初始设置期间必须使用设备的用户凭据。 如果移动运营商以你的名义准备设备，将影响你是否可以将设备加入到 Azure AD。 许多 IT 管理员可能希望先为其员工设置设备，但 Azure AD 加入体验已针对最终用户进行了优化，包括用于自动 MDM 注册的选项。

默认情况下，Azure AD 设置为允许设备加入并允许用户在组织拥有的设备或个人设备上使用其企业凭据。 博客文章 Windows 10 设备上的 Azure AD 加入提供了有关你可以在何处查看 Azure AD 设置的详细信息。 你可以将 Azure AD 配置为不允许任何人加入、允许组织中的所有人加入，或者你可以选择允许加入的特定 Azure AD 组。

·         设备设置

运行 windows 10 移动版的设备仅可以加入 Azure AD 在 OOBE 期间。 移动运营商的新设备在接收时即处于此状态下。 升级到 windows 10 移动版的 Windows Phone 8.1 设备需要重置才能返回到 OOBE 设备设置。

·         移动设备管理

管理已加入 Azure AD 的设备时需要 MDM 服务。 你可以使用 MDM 将设置、应用程序以及 VPN、WLAN 等使用的证书推送到设备。将已加入 Azure AD 的设备设置为自动注册到 MDM 中时需要 Azure AD Premium 或企业移动性套件 (EMS) 许可证。 了解有关设置 Azure AD 租户以便进行 MDM 自动注册的详细信息。

·         Windows Hello

创建 Windows Hello (PIN) 默认情况下需要在 windows 10 移动版上，并且无法禁用。 使用 MDM 中的控件（如 Intune），可以控制 Windows Hello 策略。 因为设备已使用组织凭据加入，因此该设备必须具有 PIN 才能解锁设备。 指纹或虹膜之类的生物识别可以用于身份验证。 创建 Windows Hello 需要用户执行多重身份验证，因为 PIN 是一个强身份验证凭据。 了解有关适用于 Azure AD 的 Windows Hello 的详细信息。

·         条件访问

条件访问策略也是适用于 windows 10 移动版。 多重身份验证和设备合规性策略可以应用于用户或资源，并且要求用户或设备满足这些要求才允许访问资源。 支持传统域加入的策略（如域加入）仅适用于台式电脑。 当使用运营商的 IP 地址时，依赖 IP 范围的策略难以在手机上强制执行，除非用户已连接到企业 WLAN 或 VPN。

·         已知问题

o    适用于设备备份和还原以及用于将照片同步到 OneDrive 的应用仅使用 Microsoft 帐户作为主帐户，这些应用不会在加入了 Azure AD 的设备上运行。

o    查找我的手机将根据你向设备添加 Microsoft 帐户的方式来运行，例如，Cortana 应用程序会以一种可以使查找我的手机运行的方式使用你的 Microsoft 帐户进行登录。 Cortana 和 OneNote 均使用 Azure AD 帐户，但必须先使用 Microsoft 帐户对其进行设置。

o    OneNote 要求用户使用 Microsoft 帐户进行登录，但还将提供使用 Azure AD 帐户访问“笔记本”的权限。

o    如果你的组织配置为与 Azure AD 联合，联合身份验证代理需要是 Active Directory 联合身份验证服务 (ADFS)，或者像 ADFS 一样支持 WS-Trust 终结点的第三方。