Cogerenciamento: integração entre Microsoft Configuration Manager e Intune

O Microsoft System Center Configuration Manager (SCCM) é uma ferramenta de gerenciamento de sistemas voltada principalmente a dispositivos Windows locais. Já o Intune tem uma arquitetura nativa da nuvem que simplifica o gerenciamento de ambientes híbridos e remotos com Windows, iOS, Android e macOS.

Combinar os dois equilibra os recursos de software local e na nuvem das duas soluções de gerenciamento de endpoints. Ao integrar o ConfigMgr ao Intune, os administradores ganham recursos de gerenciamento na nuvem e mantêm o controle local aprofundado para cargas de trabalho legadas e implantações complexas.

Este guia explica o cogerenciamento com o Microsoft Configuration Manager (ConfigMgr) e o Intune, que viabiliza uma abordagem híbrida e moderna no gerenciamento de dispositivos.

Quando vale a pena usar o cogerenciamento?

O cogerenciamento costuma aparecer em projetos de modernização de endpoints, quando a organização quer adotar o gerenciamento nativo da nuvem sem substituir de imediato a infraestrutura do Configuration Manager que já tem.

Entre os casos de uso mais comuns, estão:

• Dar suporte a equipes remotas e híbridas
• Migrar cargas de trabalho para o Intune aos poucos
• Manter fluxos legados de implantação de software
• Gerenciar dispositivos conectados pela internet
• Viabilizar acesso condicional e iniciativas de confiança zero
• Reduzir a dependência de endpoints conectados por VPN

Para muitas empresas, o cogerenciamento funciona como fase intermediária antes da migração completa para o gerenciamento de endpoints nativo da nuvem.

Configurar o cogerenciamento entre SCCM e Intune

No início, o SCCM atendia apenas ambientes locais, o que limitava a escalabilidade na nuvem. Com a integração de cogerenciamento com o Intune, as organizações conseguem conectar a infraestrutura local ao gerenciamento moderno baseado em nuvem.

O cogerenciamento permite gerenciar endpoints simultaneamente, usando os recursos locais aprofundados do SCCM e os recursos nativos da nuvem do Intune. Isso garante uma transição gradual para o gerenciamento moderno na nuvem, com ações remotas e acesso condicional, sem abandonar o ambiente SCCM existente.

📌 Pré-requisitos:

• SCCM Current Branch versão 1710 ou posterior
• Cloud Management Gateway é opcional, mas recomendado.
• Microsoft Entra ID (licença P1 ou P2)
• Registro automático no Windows Intune ativado
• Microsoft Entra Connect Sync configurado para sincronização de identidade híbrida
• Acesso de administrador ao Configuration Manager
• Licença do Intune e acesso ao centro de administração do Microsoft Intune
• Dispositivos com Windows 10/11 Pro, Enterprise ou Education

📌 Estratégias de implantação recomendadas:

Escolha um método	💻 Melhor para usuários individuais	💻💻💻 Melhor para empresas
Método de registro 1: ativar o cogerenciamento pelo Console do Configuration Manager (SCCM)		✓
Método de registro 2: registro automático via GPO para dispositivos com ingresso híbrido no Microsoft Entra		✓
Método de validação 1: diagnóstico por linha de comando com dsregcmd	✓
Método de validação 2: chaves do Registro para o status do cogerenciamento	✓
Método de validação 3: verificação do status de cogerenciamento e gerenciamento das cargas de trabalho pelo PowerShell	✓	✓

Método de registro 1: ativar o cogerenciamento pelo Console do Configuration Manager (SCCM)

📌 Caso de uso: os administradores podem registrar no Intune os clientes gerenciados pelo SCCM direto pelo console do Configuration Manager, sem precisar reinstalar a imagem nem refazer o registro.

⚠️ Aviso: teste o cogerenciamento em um grupo-piloto antes de integrar todos os dispositivos SCCM ao Intune. (Veja ⚠️ Pontos de atenção.)

📌 Pré-requisito: Configuration Manager, current branch 2111 ou posterior

1. Pressione Win + S, digite Configuration Manager, clique com o botão direito e selecione Executar como administrador.
2. Vá em Administração > Serviços de nuvem > Cloud Attach.
3. Clique com o botão direito em Cloud Attach e selecione Configurar Cloud Attach.
4. Abra a lista suspensa ao lado de Ambiente de nuvem e escolha a versão adequada:
   • AzurePublicCloud
   • AzureUSGovernmentCloud
   • AzureChinacCloud
   • 💡 O AzureChinaCloud não oferece suporte à análise de endpoints nem ao upload de dispositivos para o centro de administração do Microsoft Intune.
5. Clique em Entrar e autentique com uma conta do Microsoft Entra ID com permissões de Administrador Global ou Administrador do Intune.
6. Marque o botão de opção ao lado das configurações do Cloud Attach que correspondem à sua preferência de registro:
   • Usar configurações padrão (recomendado).
     • Registra automaticamente no Intune todos os dispositivos SCCM elegíveis.
     • Ativa a análise de endpoints nos dispositivos de destino.
     • Envia automaticamente todos os dispositivos para o centro de administração do Microsoft Endpoint Manager e também os dados do Microsoft Defender para Endpoint.
   • Personalizar configurações.
     • Permite ativar individualmente as opções das configurações padrão.
7. Se escolher Personalizar configurações, confirme o aviso Criar aplicativo AAD e siga estas etapas:
   1. Decida se vai enviar todos os dispositivos gerenciados pelo Microsoft Configuration Manager ou apenas uma coleção específica.
   2. Para ativar a configuração, marque a caixa de seleção ao lado de Análise de Endpoints, Controle de Acesso Baseado em Função e Microsoft Defender para Endpoint.
8. Selecione Avançar para chegar à etapa de Habilitação e escolha qual grupo de dispositivos será registrado automaticamente no Intune.
   • Todos: envia automaticamente todos os dispositivos elegíveis para o Intune.
   • Piloto: permite escolher uma coleção específica como grupo-piloto de testes.
   • Nenhum: desativa o cogerenciamento em todos os dispositivos.
9. Conclua as etapas do Assistente de Configuração do Cloud Attach clicando em Avançar até a guia Conclusão e depois em Fechar.

Método de registro 2: registro automático via GPO para dispositivos com ingresso híbrido no Microsoft Entra

📌 Caso de uso: administradores que cuidam de dispositivos locais gerenciados pelo SCCM e ingressados via Hybrid Azure AD podem registrá-los de forma centralizada por GPO.

📌 Pré-requisitos:

• No mínimo Windows 10 versão 1709 ou posterior
• Dispositivos do Configuration Manager com ingresso híbrido no Microsoft Entra
• Registro automático ativado no centro de administração do Microsoft Intune
• WinRM e comunicação remota do PowerShell (opcional para atualizar a Política de Grupo)

⚠️ Importante: uma GPO mal configurada para registro automático gera estados de ingresso parciais ou falhas no registro no Intune. (Veja ⚠️ Pontos de atenção.)

1. Abra o Console de Gerenciamento de Política de Grupo.
2. Clique com o botão direito em Objetos de Política de Grupo, clique em Novo e nomeie a GPO.
   • Por exemplo: Hybrid Azure AD Auto Enrollment
3. Clique com o botão direito na GPO recém-criada e selecione Editar.
4. Siga este caminho:

Configuração do Computador > Políticas > Modelos Administrativos > Componentes do Windows > MDM

5. Dê um duplo clique em Habilitar o registro automático do MDM usando credenciais padrão do Azure AD e defina a política como Ativado.
6. Abra o menu suspenso ao lado de Selecionar o Tipo de Credencial a Ser Usado e escolha Credencial do Usuário.
   • Clique em Aplicar e OK para aplicar a configuração da política e feche a janela.
7. Clique com o botão direito na UO de destino, selecione Vincular um GPO Existente…, clique na GPO de registro automático em Objetos de Política de Grupo e pressione OK.
8. Para aplicar a mudança, execute o script abaixo em um PowerShell com privilégios elevados:

Import-Module ActiveDirectory
Get-ADComputer -SearchBase "OU=Workstations,DC=yourdomain,DC=com" -Filter * | ForEach-Object {
Invoke-Command -ComputerName $_.Name -ScriptBlock { gpupdate /force } -ErrorAction SilentlyContinue
}

• • Troque “OU=Workstations,DC=yourdomain,DC=com” pelo Nome Distinto (DN) da sua UO de destino.

Método de validação 1: diagnóstico por linha de comando com dsregcmd

📌 Casos de uso: depois de registrar automaticamente um dispositivo no Intune via Hybrid Azure AD Join, os administradores podem usar o dsregcmd para conferir o status de cogerenciamento. Também serve como método de diagnóstico para registros parciais ou com falha no Intune.

📌 Pré-requisitos: dispositivo registrado em cogerenciamento.

1. Pressione Win + R, digite cmd e clique em OK.
2. Execute o comando a seguir:

dsregcmd.exe /status

3. Procure as saídas abaixo e confira o status de cada uma:

Configuração	O que ela significa	Qual deve ser o status
AzureADJoined	Confirma se o dispositivo está ingressado no Entra ID	YES
MDMUrl	Indica o registro MDM do dispositivo	Deve corresponder a alguma URL do Intune. Por exemplo: https://enrollment.manage.microsoft.com/enrollmentserver/discovery.svc
DeviceAuthStatus	Confirma se a autenticação do dispositivo com o Entra ID foi bem-sucedida	SUCCESS

• • Qualquer divergência nessas configurações pode derrubar a ponte de cogerenciamento.

Método de validação 2: consultar chaves do Registro para ver o status do cogerenciamento

📌 Casos de uso: depois de registrar um dispositivo SCCM no Intune, dá para verificar o status de cogerenciamento pelo Editor do Registro.

📌 Pré-requisitos:

• Dispositivo registrado em cogerenciamento.
• Windows 10, versão 1607 ou posterior.

💡 Observação: esta seção serve apenas para validar o registro MDM e o status de cogerenciamento do dispositivo pelo Registro. Alterar valores dentro do Registro pode causar instabilidade e quebrar funcionalidades do dispositivo.

1. Pressione Win + R, digite regedit e clique em OK.
2. Siga este caminho:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Enrollments

3. Expanda as subchaves GUID dentro de Enrollments e procure valores que indiquem o status do registro MDM.
   • DiscoveryServiceFullURL: contém a URL de registro no Intune.
   • UPN: especifica a identidade do Microsoft Entra usada no registro.
   • EnrollmentType: indica o registro MDM, normalmente definido como 6.
   • EnrollmentID: contém o ID exclusivo atribuído à sessão MDM.
4. Em seguida, vá até o caminho abaixo para conferir o status de cogerenciamento do dispositivo.

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\DeviceManageabilityCSP\CoManagement

5. Procure os seguintes valores DWORD (32 bits):
   • CoManagementEligible = 1: indica que o dispositivo é apto ao cogerenciamento.
   • CoManagementConfigured = 1: o cogerenciamento está ativo no dispositivo.

Método de validação 3: verificação do status de cogerenciamento e gerenciamento das cargas de trabalho pelo PowerShell

📌 Casos de uso: os administradores podem usar o PowerShell para validar o status de cogerenciamento e gerenciar as cargas de trabalho dos dispositivos.

📌 Pré-requisitos:

• Módulo do PowerShell do Configuration Manager
• Acesso ao Microsoft Graph Intune PowerShell SDK
• Dispositivo compatível com cogerenciamento

⚠️ Importante: no prompt do PowerShell, a entrada dos cmdlets e a sintaxe dos scripts precisam ser exatas. (Veja ⚠️ Pontos de atenção.)

1. Abra o Console do Configuration Manager.
2. Clique com o botão direito em qualquer ponto da área de navegação do console e selecione Conectar via Windows PowerShell.
3. Execute o cmdlet abaixo para verificar a configuração global de cogerenciamento de todo o ambiente SCCM:

Get-CMCoManagementConfiguration

• • Esse cmdlet mostra se o cogerenciamento está configurado, quais cargas de trabalho o Intune gerencia e qual método de registro foi usado.
  • Também dá para usar cmdlets para configurar o cogerenciamento no SCCM.
    • Por exemplo, este comando faz o piloto do cogerenciamento em um grupo de teste:

Set-CMCoManagementPolicy -PolicyName "CoMgmtPolicy01" -AutoEnroll $true -PilotCollectionName "CoMgmtPilot" -Workloads "CompliancePolicy","WindowsUpdate"

4. Para verificar os dispositivos registrados no Intune, abra um prompt do PowerShell com privilégios elevados e execute os comandos a seguir separadamente:
   • Para instalar os módulos do PowerShell necessários:

Install-Module Microsoft.Graph.Intune

• • • Pule esta etapa se o módulo já estiver instalado.
  • Depois da instalação, conecte-se ao Graph com o comando:

Connect-MSGraph

• • • Será solicitado o login com a conta de administrador.
  • Execute o cmdlet abaixo para ver seus dispositivos do Intune:

Get-IntuneManagedDevice

Boas práticas na transição das cargas de trabalho

Ao ativar o cogerenciamento, migre as cargas de trabalho aos poucos, em vez de passar todas as responsabilidades de gerenciamento para o Intune de uma vez.

Entre as boas práticas recomendadas, estão:

• Comece por coleções de dispositivos-piloto
• Migre uma carga de trabalho por vez
• Monitore conflitos de política durante a migração
• Valide os relatórios de conformidade antes de ampliar a implantação
• Deixe claro quem responde por cada carga de trabalho no ConfigMgr e no Intune
• Documente os procedimentos de reversão antes do lançamento em produção

Um lançamento em fases reduz a sobreposição de políticas e o risco de comportamento inconsistente nos endpoints.

⚠️ Pontos de atenção

Riscos	Possíveis consequências	Como reverter
Integrar todos os dispositivos SCCM ao Intune de uma vez.	Ativar o cogerenciamento nos dispositivos SCCM sem planejamento e sem migrar as cargas de trabalho aos poucos pode gerar conflitos de política e comportamento inconsistente.	Teste o cogerenciamento em grupos-piloto pequenos e de baixo risco para garantir comportamento consistente entre os dispositivos e transfira as cargas de trabalho para o Intune gradualmente.
GPOs mal configuradas.	Erros de configuração levam a estados de ingresso parciais ou com falha, o que quebra o processo de registro no cogerenciamento.	Confirme que os dispositivos SCCM que serão integrados ao Intune têm ingresso híbrido e valide a GPO antes de vinculá-la a uma UO.
Conflitos entre vários MDM.	Vários registros MDM podem se sobrepor, gerar conflitos e quebrar o cogerenciamento.	Remova os registros MDM existentes, defina quem responde por cada carga de trabalho entre SCCM e Intune e registre os dispositivos de novo pelas estratégias de cogerenciamento recomendadas.
Reverter do registro no Intune para um ambiente só com SCCM.	Ao voltar para um ambiente exclusivamente SCCM, o Intune pode deixar configurações residuais que interferem no comportamento do SCCM e no controle das cargas de trabalho.	Devolva ao SCCM (ConfigMgr) as cargas de trabalho atribuídas ao Intune e depois desative o dispositivo no Intune.
Erros de digitação em scripts e cmdlets do PowerShell.	Erros de digitação e de sintaxe no PowerShell geram falhas e configurações incorretas.	Revise a sintaxe antes de executar os scripts ou copie direto os scripts deste guia para evitar erros de digitação.

Cargas de trabalho mais comuns no cogerenciamento

O cogerenciamento da Microsoft permite migrar aos poucos cargas de trabalho específicas de endpoints do Configuration Manager para o Intune. Em vez de migrar tudo de uma vez, a organização move as cargas de forma incremental enquanto valida o comportamento das políticas e a conformidade dos dispositivos.

Entre as cargas de trabalho mais comuns no cogerenciamento, estão:

• Políticas de conformidade
• Políticas do Windows Update
• Proteção de endpoints
• Perfis de acesso a recursos
• Políticas de configuração de dispositivos
• Aplicativos do Office Click-to-Run
• Aplicativos cliente
• Gerenciamento do BitLocker

Muitas organizações começam pelas políticas de conformidade ou pelo Windows Update for Business antes de migrar cargas de trabalho mais avançadas.

Pontos importantes sobre o cogerenciamento de SCCM e Intune

Apesar de reunir os recursos do SCCM e do Intune, o cogerenciamento tem alguns fatores que afetam seu funcionamento. Os pontos a seguir tratam de limitações e restrições das plataformas que, em certas condições, reduzem a eficácia do cogerenciamento.

Limitações do Device Enrollment Manager (DEM)

O Device Enrollment Manager permite registrar dispositivos no Intune, mas não faz a avaliação de identidade do usuário exigida pelo gerenciamento híbrido. Para resolver isso, use o Microsoft Entra ID no registro automático e garanta a compatibilidade com o cogerenciamento.

O cogerenciamento vale só para dispositivos Windows

O Intune dá suporte a outros sistemas operacionais, como Linux e macOS, mas o SCCM é exclusivo do Windows, o que restringe o cogerenciamento a dispositivos Windows.

Solução de problemas no cogerenciamento de SCCM e Intune

Problema nº 1: o dispositivo não é registrado no Intune

O registro no Intune pode falhar por falta de licenças, GPOs vinculadas de forma incorreta ou ingresso malfeito no Hybrid Azure AD. Validar esses três requisitos ajuda a garantir a elegibilidade para o registro MDM automático.

Problema nº 2: políticas conflitantes entre SCCM e Intune

As políticas do SCCM e do Intune podem entrar em conflito quanto a quem responde por determinadas áreas de gerenciamento, como atualizações do Windows e políticas de conformidade. Sem coordenação, isso gera comportamento inconsistente ou falhas na aplicação das políticas.

No cogerenciamento, os controles deslizantes de carga de trabalho atribuem as tarefas de gerenciamento a uma autoridade, que neste caso é o Configuration Manager ou o Intune.

Os administradores podem ajustar esses controles em grupos-piloto para testar qual configuração funciona melhor antes do lançamento.

Problema nº 3: o Configuration Manager não aparece como cogerenciado

Se o cliente do Configuration Manager não reportar o status de cogerenciado, verifique o ComanagerHandler.log. Esse log confirma se a política de cogerenciamento foi aplicada, se o registro no Intune foi disparado e se houve erros durante o processo.

Para isso, vá até C:\Windows\CCM\Logs\CoManagementHandler.log e procure os logs relacionados ao cogerenciamento.

Problema nº 4: falha no ingresso híbrido no Microsoft Entra

Quando o ingresso híbrido no Microsoft Entra falha, os suspeitos de sempre são um Service Connection Point (SCP) ausente ou mal configurado e configurações incorretas no Microsoft Entra ID.

Dá para validar esses itens no PowerShell com os comandos abaixo:

1. Execute o comando a seguir para importar o módulo do AD:

Import-Module ActiveDirectory

2. Execute o comando a seguir para consultar o objeto SCP:

Get-ADObject -SearchBase "CN=Device Registration Configuration,CN=Services,CN=Configuration,DC=yourdomain,DC=com" `
-Filter * -Properties keywords

• • Substitua yourdomain e com pelos componentes do seu domínio.

3. Depois disso, você verá o nome do tenant do Microsoft Entra Connect Sync, o GUID e se o registro de dispositivos está ativado.
   • Se a propriedade keywords estiver vazia, talvez o SCP não tenha sido configurado durante a instalação do Azure AD Connect.
   • Como alternativa, execute de novo Microsoft Entra Connect Sync > Configurar opções de dispositivo e ative o Micrsoft Entras Hybrid join para a floresta correta.

Como NinjaOne apoia as cargas de trabalho em cogerenciamento

O cogerenciamento dá controle granular sobre as cargas de trabalho dos endpoints no ambiente local e remoto, e NinjaOne complementa essa configuração com os seguintes recursos:

Serviço NinjaOne	Definição	Como ajuda nas cargas de trabalho em cogerenciamento
Visibilidade multiplataforma	A visibilidade multiplataforma permite gerenciar endpoints com diferentes sistemas operacionais em um único software.	NinjaOne oferece monitoramento e gerenciamento de endpoints em um painel único para ambientes cogerenciados.
Gerenciamento de usuários do Active Directory	Normalmente, os administradores gerenciam o Active Directory por consoles ADUC ou cmdlets do PowerShell, o que fica repetitivo e ineficiente em grande escala.	Veja, gerencie e execute tarefas nos endpoints com integração ao Active Directory, simplificando o gerenciamento de contas de usuário em uma plataforma única.
Scripts	Não é obrigatório, mas usar scripts automatiza tarefas repetitivas, sobretudo em transições de cargas de trabalho em massa dentro de ambientes cogerenciados.	Os administradores podem usar NinjaOne para implantar remotamente scripts do PowerShell que auditam ou reportam o status de cogerenciamento, ajudando a confirmar a prontidão e a conformidade dos dispositivos.
Monitoramento proativo em tempo real e alertas automatizados	O monitoramento em tempo real e os alertas automatizados mantêm os administradores a par da integridade, do desempenho e da conformidade dos ativos de TI.	As equipes de TI podem criar alertas personalizados para quando um dispositivo sai de sincronia ou perde uma transferência de carga de trabalho, reduzindo possíveis períodos de inatividade.
Marcação por campos personalizados	A marcação por campos personalizados classifica os endpoints pelo método de gerenciamento: só SCCM, só Intune ou cogerenciado.	Com NinjaOne, os administradores criam campos personalizados para organizar dados de relatórios, auditorias e inventário.

Distribua as cargas de trabalho entre SCCM e Intune com o cogerenciamento

O cogerenciamento permite distribuir cargas de trabalho entre SCCM e Intune, com flexibilidade entre o gerenciamento local e o remoto. Ao ativá-lo, MSPs e equipes de TI migram aos poucos para cargas de trabalho modernas e nativas da nuvem sem abrir mão dos investimentos locais.

A integração entre SCCM e Intune pode ser feita pelo console do Configuration Manager ou por GPO, no caso de dispositivos com Azure Hybrid AD. Depois de ativar o cogerenciamento, confira o status pelo CMD, pelo Registro ou pelo PowerShell.

Temas relacionados:

• Intune vs. SCCM: uma comparação das soluções da Microsoft
• Como escolher a ferramenta certa de implantação de software: Intune vs. NinjaOne – a perspectiva de quem usa
• SCCM vs. WSUS: o que você precisa saber