第一章：MD-101考试概览与备考策略
考试目标与认证路径
MD-101（Managing Modern Desktops）是微软现代桌面管理认证的核心考试，旨在验证考生在Windows设备部署、配置、安全策略及更新管理方面的实际能力。该认证适用于希望成为Microsoft 365 Certified: Modern Desktop Administrator Associate的专业人员。考试重点涵盖使用Microsoft Intune进行设备管理、Azure AD集成、应用部署以及合规性策略的实施。
核心知识领域分布
- 部署Windows（约25%）：包括镜像创建、Autopilot配置和操作系统升级
- 管理设备与数据（约30%）：涉及Intune策略、BitLocker、信息保护等
- 应用程序管理（约20%）：MSI/Win32应用部署、Store for Business、应用保护策略
- 监控与维护（约25%）：Windows Update for Business、健康服务、遥测数据解读
高效备考建议
- 搭建实验环境：使用Azure免费账户或Hyper-V部署Windows 10/11虚拟机，并注册Microsoft Endpoint Manager中心
- 动手实践Intune配置：
# 示例：通过PowerShell注册设备到Intune（需配合公司门户）
dsregcmd /status
# 检查设备是否已加入Azure AD并符合合规状态
# 此命令用于诊断设备注册状态，是排查问题的关键步骤
| 资源类型 | 推荐来源 | 使用建议 |
|---|
| 官方学习路径 | Microsoft Learn | 完成模块“Deploy and manage devices with Intune” |
| 模拟题库 | MeasureUp | 每套题限时完成，分析错误选项原理 |
| 社区支持 | Microsoft Tech Community | 参与讨论组“Endpoint Management”获取实战经验 |
graph TD
A[准备考试] --> B[学习官方文档]
A --> C[搭建实验环境]
B --> D[掌握Intune策略]
C --> D
D --> E[练习应用部署]
D --> F[配置合规策略]
E --> G[参加模拟测试]
F --> G
G --> H[报名正式考试]
第二章：设备管理与部署（Modern Desktop Deployment）
2.1 理解Windows Autopilot的部署流程与常见陷阱
部署流程核心阶段
Windows Autopilot 部署分为设备注册、配置策略分配和最终用户设置三个主要阶段。设备序列号需提前导入 Microsoft Intune，确保设备身份可识别。
常见配置陷阱
- 未启用Azure AD Join权限导致设备无法注册
- 网络策略阻止了Autopilot所需的端点通信
- 硬件哈希不匹配引发设备识别失败
关键PowerShell验证脚本
Get-WindowsAutopilotInfo -OutputFile "C:\Autopilot\DeviceInfo.csv"
# 参数说明：-OutputFile 指定导出路径，用于上传至Intune
# 逻辑分析：该命令提取设备硬件哈希、序列号及制造商信息，是注册前的必要准备步骤
2.2 镜像管理与动态预配包的实战配置
在容器化部署中，镜像管理是保障服务一致性的核心环节。通过动态预配包机制，可实现环境依赖的自动化注入。
镜像版本控制策略
采用语义化版本命名（如
v1.2.0），结合CI/CD流水线自动构建并推送到私有Registry。推荐使用不可变镜像原则，确保部署可追溯。
动态预配包配置示例
provision:
packages:
- name: nginx
version: "1.24"
config_template: /templates/nginx.conf.tpl
env_inject:
- ENV_NAME: production
上述配置定义了Nginx服务的安装版本与模板路径，
config_template支持变量渲染，
env_inject用于注入运行时环境变量，提升部署灵活性。
关键参数说明
- packages：声明需预装的软件包及其版本；
- config_template：指向配置模板文件，支持Go template语法；
- env_inject：动态注入环境变量，适配多环境部署需求。
2.3 零接触部署场景中的策略冲突分析
在零接触部署（Zero-Touch Deployment, ZTD）中，自动化策略的叠加可能引发配置冲突。当多个策略同时作用于同一设备时，优先级定义不清将导致不可预测的行为。
常见冲突类型
- 配置覆盖：网络设备接收到来自不同服务的IP地址分配指令
- 安全策略抵触：一个策略启用SSH，另一个策略禁用所有远程访问
- 时间序列错乱：初始化脚本执行顺序与依赖服务就绪状态不匹配
策略优先级示例代码
policy:
- name: base-network
priority: 100
action: deny-all-ssh
- name: devops-access
priority: 200
action: allow-ssh-from-cidr
上述YAML定义中，优先级数值越高，执行顺序越靠后且覆盖低优先级策略。当设备同时匹配两个策略时，
devops-access 将生效，确保运维访问权限不被基础策略阻断。
决策矩阵表
| 策略A | 策略B | 冲突结果 | 解决建议 |
|---|
| 启用DHCP | 静态IP配置 | 网络不可达 | 统一寻址管理源 |
| 开启防火墙 | 开放所有端口 | 安全策略失效 | 明确默认拒绝原则 |
2.4 操作系统升级路径规划与兼容性验证
在进行操作系统升级前，必须制定清晰的升级路径并验证系统兼容性，以降低生产环境中的运行风险。
升级路径设计原则
应遵循“测试环境→预发布环境→生产环境”的分阶段推进策略。优先在非关键节点上验证升级流程的稳定性。
依赖兼容性检查
使用工具扫描核心应用与系统库的依赖关系，确保新版本内核、glibc、Python 等基础组件与现有服务兼容。
# 检查系统依赖库版本
ldd --version
python3 --version
uname -r
上述命令用于获取当前系统的动态链接库、Python 和内核版本，是评估兼容性的基础数据。
硬件与驱动支持矩阵
| 设备类型 | 当前OS | 目标OS | 驱动支持 |
|---|
| RAID卡 | CentOS 7.9 | Rocky Linux 8.6 | ✓ |
| 网卡 | CentOS 7.9 | Rocky Linux 8.6 | ✗（需更新固件） |
2.5 部署过程中Intune与Configuration Manager集成要点
共存模式配置
在混合管理环境中，Intune与Configuration Manager需通过共存模式（Co-management）实现无缝集成。该模式允许Windows 10/11设备同时受两者管理，关键在于工作负载的合理划分。
数据同步机制
使用Azure Active Directory作为桥梁，确保设备元数据在Intune与ConfigMgr间同步。需启用自动注册功能，并配置PKI证书用于身份验证。
<configuration>
<coManageWorkloads>
<policy value="true" />
<update value="false" />
</coManageWorkloads>
</configuration>
上述配置表示将策略管理移交Intune，而更新管理仍由Configuration Manager负责，便于逐步迁移。
工作负载分配建议
- 移动设备管理 → Intune
- 传统应用部署 → Configuration Manager
- 合规性策略 → 统一由Intune处理
第三章：设备配置与策略管理（Modern Desktop Management）
3.1 组策略向现代策略迁移的关键挑战
在将传统组策略（GPO）迁移到现代策略管理框架（如Intune、Microsoft Endpoint Manager）过程中，组织面临多重技术与管理层面的挑战。
策略兼容性与功能映射
许多传统GPO设置在云端策略中缺乏直接等价项。例如，登录脚本需重构为PowerShell脚本并依赖设备合规性策略触发：
# 示例：替代GPO登录脚本
if ((Get-LocalGroupMember -Group "Administrators") -match "Domain Admins") {
Start-Service "WaaS"
}
该脚本需通过Intune的“设备配置策略”部署，并依赖定期同步机制生效。
网络与客户端延迟影响
- 云策略依赖周期性同步（默认90分钟），无法实现GPO的实时应用
- 带宽限制可能导致策略延迟下发至远程办公设备
| 维度 | GPO | 现代策略 |
|---|
| 作用域 | 基于OU的层级结构 | 基于标签/用户的动态分组 |
| 更新频率 | 每90秒轮询 | 最长可达数小时 |
3.2 使用Intune配置个人设备与企业设备的差异实践
在Microsoft Intune中，企业设备与个人设备的配置策略需根据所有权模型进行差异化设计。企业设备通常允许完全托管，可执行深度合规性检查和强制策略应用。
策略作用域划分
通过设备类型标签区分应用范围：
- 企业设备：启用设备加密、应用白名单、远程擦除
- 个人设备（BYOD）：限制数据隔离策略，仅管控企业应用数据
配置示例：条件访问策略
{
"displayName": "Require Compliance for Corporate Devices",
"conditions": {
"devices": {
"deviceFilter": {
"rule": "device.deviceOwnership -eq \"Corporate\""
}
}
},
"grantControls": {
"operator": "OR",
"builtInControls": ["compliantDevice"]
}
}
该策略确保仅企业拥有的设备需满足合规性要求方可访问资源，
deviceOwnership 属性值为
Corporate 时触发完整管控。
3.3 策略优先级、继承与冲突解决机制深度解析
在复杂的系统策略管理中，策略的优先级设定是确保行为一致性的核心。高优先级策略将覆盖低优先级规则，形成明确的执行顺序。
策略继承模型
子策略可继承父策略的基本规则，并允许局部扩展。这种层级结构减少了重复配置，提升了维护效率。
冲突解决机制
当多个策略作用于同一资源时，系统依据以下原则解决冲突：
- 显式优先级字段（priority: int）决定顺序
- 命名空间隔离策略避免越界影响
- 最后写入获胜（Last Write Wins）作为兜底策略
strategy:
name: rate-limit
priority: 100
inheritFrom: global-base
conflictResolution: override
上述配置表示该限流策略优先级为100，继承自全局基础策略，并在冲突时主动覆盖其他同名规则。参数
priority 越大，优先级越高；
conflictResolution 支持 override、merge、deny 三种模式。
第四章：设备安全与合规性管理（Device Compliance and Security）
4.1 合规策略配置与非合规设备自动响应机制
在现代终端安全管理中，合规策略的精准配置是保障企业IT环境安全的基石。通过定义设备安全基线，如操作系统版本、防病毒状态和磁盘加密要求，系统可自动评估接入设备的合规性。
策略配置示例
{
"policyName": "DeviceComplianceBaseline",
"osVersionMin": "10.0.19045",
"antivirusEnabled": true,
"diskEncryptionEnabled": true,
"nonCompliantAction": "block_access"
}
上述JSON定义了基本合规策略，其中
nonCompliantAction字段指定对非合规设备采取阻断访问的响应动作。
自动响应流程
- 设备接入时触发合规检查
- 策略引擎比对设备状态与基线要求
- 若不合规，执行预设响应动作（如隔离、告警或修复引导）
该机制显著提升了安全策略的执行效率与响应速度。
4.2 BitLocker与Windows Defender策略在真实环境中的应用
在企业级安全防护中，BitLocker与Windows Defender的协同配置至关重要。通过组策略统一部署，可实现终端数据全盘加密与实时威胁防护。
策略部署流程
- 启用BitLocker驱动器加密，保护静态数据
- 配置Windows Defender防病毒策略，阻断恶意软件
- 通过MDM或GPO集中管理策略分发
PowerShell策略配置示例
# 启用BitLocker并保存恢复密钥到AD
Manage-bde -On C: -UsedSpaceOnly -RecoveryPasswordProtector
Set-MpPreference -RealTimeProtectionEnabled $true -ScanScheduleDay 1
上述命令首先对C盘启用BitLocker加密，仅加密已用空间以提升效率，并将恢复密码保护器写入Active Directory；随后开启Defender实时防护并设置每周扫描计划，确保系统持续受控。
4.3 基于条件访问的设备健康检查联动设计
在现代零信任安全架构中，设备健康状态是决定访问权限的关键因素之一。通过将设备健康检查结果与条件访问策略联动，可实现动态、细粒度的访问控制。
策略触发机制
当用户尝试访问企业资源时，系统首先评估设备是否符合预定义的健康标准，如操作系统版本、磁盘加密状态、防病毒软件运行情况等。
- 设备健康合规 → 允许访问并记录日志
- 设备健康异常 → 拒绝访问或引导至修复流程
集成示例：Intune 与 Azure AD 联动配置
{
"conditions": {
"deviceStates": {
"deviceHealth": {
"requireCompliantDevice": true
}
}
},
"accessControls": {
"grantControls": [
"block",
"mfa"
]
}
}
上述策略表示仅允许合规设备访问资源，若设备未注册或不符合健康策略，则强制阻断访问。参数
requireCompliantDevice 启用后，Azure AD 将查询 Intune 中的设备合规状态进行实时判定。
数据同步机制
设备健康状态通过MDM（如Microsoft Intune）定期上报至身份平台，确保条件访问决策基于最新设备信息。
4.4 安全基准设置与攻击面减少策略实战
在系统部署初期，实施安全基线配置是降低初始风险的关键步骤。通过标准化操作系统、中间件和应用的配置参数，可有效封堵常见漏洞入口。
最小化服务暴露
关闭非必要端口和服务，仅保留业务所需通信路径。例如，在 Linux 系统中可通过防火墙限制 SSH 访问源 IP：
# 限制 SSH 仅允许运维网段访问
sudo ufw allow from 192.168.10.0/24 to any port 22
sudo ufw enable
该命令启用防火墙并限定 SSH 服务的访问范围，显著减少暴力破解风险。
权限收敛与加固
采用最小权限原则，避免使用 root 运行应用进程。通过用户隔离和文件权限控制，限制横向移动能力。
| 配置项 | 推荐值 | 说明 |
|---|
| SELinux | Enforcing | 强制执行安全策略，限制进程越权行为 |
| coredump | 禁用 | 防止敏感内存信息泄露 |
第五章：错题趋势总结与高分通过建议
常见错误类型分析
- 概念混淆：如将 TCP 与 UDP 的可靠性机制混为一谈
- 命令误用：在 Linux 环境中错误使用
iptables 规则导致防火墙配置失效 - 忽略边界条件：编写脚本时未处理空输入，引发运行时异常
高频失分场景还原
# 典型错误：未正确重定向标准错误输出
rsync -av /source/ user@remote:/dest > log.txt
# 正确做法：同时捕获 stdout 和 stderr
rsync -av /source/ user@remote:/dest >> log.txt 2>&1
实战提分策略
| 备考阶段 | 核心动作 | 推荐工具 |
|---|
| 第一周 | 梳理知识图谱 | MindNode、XMind |
| 第二至三周 | 专项刷题 + 错题归类 | Anki、Notion |
| 考前五天 | 模拟真实环境限时测试 | Docker 沙箱环境 |
自动化错题追踪方案
使用 Python 脚本解析历年真题错题记录，生成可视化趋势图：
import pandas as pd
from matplotlib import pyplot as plt
df = pd.read_csv("mistakes.csv")
trend = df.groupby(['exam_date', 'topic']).size().unstack()
trend.plot(kind='line', title='Monthly Error Distribution')
plt.savefig("trend.png")
扫一扫
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
