Intune: Gerir Dispositivos Windows em PME sem Servidor

O Microsoft Intune é a solução de gestão de dispositivos (MDM) incluída no Microsoft 365 Business Premium e E3/E5. Permite gerir PCs Windows, Macs, iPhones e Androids a partir de um portal web — sem precisar de servidor físico, sem Active Directory on-premises, sem VPN para gestão. Para PME que querem controlo sobre os dispositivos da organização sem a complexidade de uma infra tradicional, o Intune é a resposta.

Este artigo cobre os cenários mais comuns em PME: como enrolar dispositivos Windows, como configurar políticas básicas de segurança (BitLocker, senha de ecrã, restrições de aplicações) e como usar o Intune em conjunto com Entra ID sem substituir uma infra AD existente.

1. O que o Intune faz — capacidades essenciais para PME

2. Modelos de adesão — AD Join, Entra Join e Hybrid

3. Enrolar dispositivos Windows no Intune

Método A — Entra ID Join durante o setup inicial do Windows (OOBE)

Ideal para PCs novos — o utilizador associa o PC à organização durante o primeiro arranque:

1. No ecrã “Configurar para uma organização” do Windows Setup, introduzir o email corporativo ([email protected])
2. Autenticar com as credenciais M365 (password + MFA)
3. O Windows associa-se ao Entra ID e enrola automaticamente no Intune (se o MDM auto-enrolment estiver activado)
4. Após alguns minutos, as políticas do Intune começam a aplicar-se automaticamente

Método B — Enrolment de PC já em uso (sem formatar)

1. No PC: Definições Windows → Contas → Aceder a profiss. ou escola → Ligar
2. Clicar em “Aderir a este dispositivo ao Azure Active Directory” (para Entra Join) ou “Adicionar uma conta profissional ou escolar” (para registo MDM sem join)
3. Introduzir email corporativo e autenticar
4. O enrolment Intune ocorre automaticamente nos minutos seguintes

Activar MDM auto-enrolment no portal Intune

Caminho: intune.microsoft.com → Devices → Enrollment → Windows → Automatic Enrollment

1. MDM user scope: seleccionar All (todos os utilizadores) ou Some (grupo específico)
2. MAM user scope: configurar se queres gerir aplicações em dispositivos pessoais (BYOD)
3. Guardar — o auto-enrolment fica activo imediatamente

4. Políticas de compliance — requisitos mínimos de segurança

Uma política de compliance define os requisitos que um dispositivo tem de cumprir para ser considerado “em conformidade”. Em conjunto com o Conditional Access do Entra ID, dispositivos não conformes podem ter o acesso ao Microsoft 365 bloqueado.

Caminho: intune.microsoft.com → Devices → Compliance policies → Create policy → Windows 10 and later

5. Configurar BitLocker via Intune

O BitLocker via Intune cifra o disco automaticamente e guarda a chave de recuperação no portal Intune/Entra ID — nunca se perde a chave numa folha de papel. Em caso de falha de autenticação, o helpdesk consegue aceder à chave em segundos.

Caminho: intune.microsoft.com → Endpoint security → Disk encryption → Create policy → Windows 10 and later → BitLocker

Como obter a chave de recuperação BitLocker de um utilizador:

Caminho: intune.microsoft.com → Devices → [nome do dispositivo] → Recovery keys

A chave de 48 dígitos aparece imediatamente. O helpdesk pode fornecer ao utilizador sem precisar de deslocação física ao PC.

6. Políticas de configuração — restrições e definições

Caminho: intune.microsoft.com → Devices → Configuration → Create → New policy → Windows 10 and later

7. Windows Autopilot — provisioning zero-touch

O Windows Autopilot permite enviar um PC novo directamente do fornecedor para o utilizador final — sem o IT precisar de o tocar. O utilizador liga o PC, introduz o email e password corporativos, e o Windows configura-se automaticamente com todas as políticas e aplicações definidas no Intune.

1. Registar o hardware ID do PC no Intune (obtido com o fabricante/revendedor ou extraído com PowerShell)
2. Criar um perfil Autopilot: intune.microsoft.com → Devices → Enrollment → Windows Autopilot → Deployment Profiles
3. Configurar: User-driven, Entra ID Join, nome do dispositivo, OOBE simplificado
4. Atribuir o perfil ao dispositivo ou grupo de dispositivos
5. Enviar o PC ao utilizador — no primeiro arranque entra em modo Autopilot e configura-se automaticamente

# Extrair hardware ID para registo Autopilot (executar no PC a registar)
Install-Script -Name Get-WindowsAutopilotInfo -Force
Get-WindowsAutopilotInfo -OutputFile C:\temp\AutopilotHWID.csv

# O ficheiro CSV pode ser importado directamente em:
# intune.microsoft.com → Devices → Enrollment → Windows Autopilot → Devices → Import

8. Acções remotas — wipe, lock, reset password

Caminho: intune.microsoft.com → Devices → All devices → [dispositivo] → …

9. Intune em PME sem Active Directory on-premises

A dúvida mais comum em PME: “Precisamos de servidor para usar o Intune?” A resposta é não. O Intune funciona completamente sem Active Directory on-premises. Em vez disso, usa o Entra ID (cloud) como directório. Para PME que estão a começar ou que querem eliminar o servidor de AD, este é o caminho recomendado.