微软发布基于 Windows 系统映像的 Microsoft Defender 更新
微软发布基于 Windows 系统映像的 Microsoft Defender 更新
在企业 IT 交付新安装的 Windows PC 的前几个小时可能会导致系统易受工具，这是因为操作系统安装映像可能未安装最新的系统更新，或包含过时了的反恶意软件。对于系统更新企业 IT 可以定期下载离线的系统更新包解决，而对于 Defender 早先可以通过下载“Defender 安全智能更新包”在部署阶段进行动态更新。而现在微软发布了基于 Windows 系统映像的 Microsoft Defender 更新工具，可以方便企业 IT 定期为操作系统安装映像提供 Defender 更新服务，最大程度地减少新部署中的此保护缺口。
该工具可为 WIM 和 VHD 文件格式的系统映像执行反恶意软件更新包的安装任务，且只支持如下系统版本：
- Windows 10（企业版、专业版和家庭版）
- Windows Server 2019
- Windows Server 2016
在执行安装更新后，反恶意软件客户端、反恶意软件引擎和签名版本将会更新到以下版本（本文：20201016）：
- 平台版本：4.18.2009.7
- 引擎版本：1.1.17500.4
- 签名版本：1.325.353.0
程序包当前版本：1.1.2010.2（20201016），大小约为 110MB，要运行该工具的先决条件如下：
- 必须运行64位 Windows 10 或更高本本的操作系统环境，且包括 PowerShell 5.1 或更高版本。
- 必须安装 Microsoft PowerShell.Security 和 DISM 模式。
- 必须使用管理员权限再设备上启动 PowerShell。
应用更新
PS C:\> DefenderUpdateWinImage.ps1 - WorkingDirectory<path> -Action AddUpdate - ImagePath <path_to_Os_Image> -Package <path_to_package>
移除更新
PS C:\> DefenderUpdateWinImage.ps1 - WorkingDirectory<path> -Action RemoveUpdate - ImagePath <path_to_Os_Image>
显示当前更新信息
PS C:\> DefenderUpdateWinImage.ps1 - WorkingDirectory<path> -Action ShowUpdate - ImagePath <path_to_Os_Image>
注意：
请勿使用该工具更新实时映像，因为它可能会损坏在虚拟机内部运行的 Windows 安装。
WorkingDirectory 请指定为一个临时工作目录。
[Intune] 使用 Get-WindowsAutopilotInfo 直接向 Windows Autopilot 注册设备
使用 Get-WindowsAutopilotInfo 直接向 Windows Autopilot 注册设备
如果你还记得这篇文章“HOWTO: 收集 DeviceID 用于测试 Windows Autopilot”，应该不会对 Get-WindowsAutopilotInfo 感到陌生。利用 Get-WindowsAutopilotInfo 可以收集设备的 DeviceID，然后参考“HOWTO: 将收集的 Windows Autopilot DeviceID 添加到 Intune”注册到 Windows Autopilot 执行部署。
将 DeviceID 添加到 Intune 的步骤还是比较繁琐的，现在 Get-WindowsAutopilotInfo 可以直接注册设备，这极大简化了测试过程。
让我们重温一下 Get-WindowsAutopilotInfo 的获取步骤：
1. 在 PowerShell 命令提示符下执行如下命令行，以安装 Get-WindowsAutopilotInfo。
备注：使用“-RequiredVersion X.X”可以指定要安装的版本，如果之前已经安装了旧版，请务必使用 –force 参数，更详细的参数介绍可参考官方文档“Install-Script”。
2. 为了能够执行该脚本，需要修改本地的安全策略。
Get-WindowsAutopilotInfo 准备完毕后，可以事先创建一个设备组并匹配到 Windows Autopilot 配置文件，本例中 gOxiA 创建了一个特定厂商设备的动态组，如下图所示，有关设备组的创建可参考“HOWTO: 在 Intune 中为 Windows Autopilot 部署创建设备组”。
现在我们可以执行以下命令行，来获取 DeviceID 并注册到 Windows Autopilot，也可同时分配到指定组，并等待配置文件分配。
HOWTO: 从 Microsoft Store for Business 删除应用
HOWTO: 从 Microsoft Store for Business 删除应用
如果您正在评估，甚至已经开始使用 Intune 来部署和管理 Windows 终端，会发现 Intune 部署应用的流程非常简单，尤其是通过 Microsoft Store for Business（MSfB） 部署 UWP 应用更加便捷。如果您还没有激活 MSfB 可以即可访问 Microsoft Endpoint Manager 管理中心，在“租户管理”中导航到“连接器和令牌”，之后就能看到“适用于企业的 Microsoft Store”，可以将其启用，并点击“打开企业应用商店”激活该服务，并与 Intune 绑定，成功后会看到如下图所示的界面。
点击“打开企业应用商店”可以访问 MSfB，或者也可以通过这个网址“https://businessstore.microsoft.com/”访问，通过“同步”按钮可以手动将 MSfB 购买的应用与 Intune 同步，否则需要等待15分钟。（PS：有关 MSfB 的性能指标可参考：https://docs.microsoft.com/zh-cn/microsoft-store/manage-private-store-settings）
在 MSfB 中企业 IT 人员可以获取免费或购买收费的应用程序，这些应用程序通常会提供 Online 或 Offline 的授权，前者我们可以通过 Microsoft Store 或 Company Portal 来分发，后者则可以下载 UWP 应用包实现侧加载。在获取到应用后，如果计划通过 Company Portal 分发以及强制部署，那么可以通过 Endpoint Manager 管理中心按需分配这些应用给特定用户和设备。此外您可以会注意到在 MSfB 管理界面中，也提供了分配应用的方法，这里的配置将作用到 Microsoft Store 中的专用商店。
到这里，gOxiA 大致描述了添加应用的过程，而本文的主题是从 Microsoft Store for Business 删除应用，在删除时我们会有以下几种场景。
第一种场景，我们希望从 Microsoft Store 下的专用商店中删除这些应用，避免用户自行从那里安装应用。这个场景下我们参考前面的截图，在“Private store availability”中将其改为“No one”。
第二种场景，即 IT 因为测试而获取了一些应用，现在希望从 MSfB 中整体清除它们，也就是从 Products & services 列表中清理掉。此时会发现我们根本找不到删除按钮。此时其实是一种概念的转换，我们实际上要清楚的是这份应用的购买订单，所以应当从“Order history”中退订，具体参考下图。
这样我们的列表就会显得干净许多，一些并不适用的应用也不再碍眼。对于Microsoft Account 类型的消费用户，目前还没有找到清理的办法，在我的列表中还能看到很多上古时代 Windows Phone 的应用。
