Os GPOs são a base da administração do Windows, mas foram criados para infraestrutura local com ingresso no domínio. Já os perfis de configuração do Intune oferecem controle mais granular e suporte multiplataforma, dois pontos decisivos para escalabilidade e gerenciamento de endpoints eficiente.
Se quer integrar o Intune ao seu framework de gerenciamento de TI, este guia mostra como migrar dos GPOs locais para os perfis de configuração do Intune.
Etapas da transição de GPO para Intune
Comece revisando os itens a seguir, necessários para concluir a migração.
📌 Pré-requisitos:
- Endpoints com Windows 10/11 ingressados no Azure AD ou em ingresso híbrido
- Licenças do Microsoft Intune atribuídas
- Acesso administrativo ao Microsoft Endpoint Manager Admin Center
- PowerShell 5.1+ ou módulo do Microsoft Graph (Verifique a versão do seu PowerShell)
- Opcional: ative o Group Policy Analytics pela ferramenta de migração de Política de Grupo
💡 Observação: algumas etapas podem variar conforme os padrões ou configurações já presentes no sistema.
Este vídeo traz uma visão geral: Alternativas modernas ao GPO: migrando para perfis de configuração do Intune.
Etapa 1: audite os GPOs existentes e priorize a migração
Para se preparar e reduzir incompatibilidades, verifique se as políticas ativas têm suporte no Intune usando o Group Policy Analytics.
- No Microsoft Endpoint Manager Admin Center, acesse Dispositivos → Group Policy Analytics (versão prévia).
- Importe o backup do seu GPO (arquivo .xml).
- Confira o status de suporte (Com suporte, Sem suporte, Preterido).
- Pressione Win + R, digite gpmc.msc e clique em OK para abrir o Console de Gerenciamento de Política de Grupo (GPMC) → Fazer Backup de GPOs.
💡 Observação: identifique os GPOs ligados a configurações de segurança, políticas do BitLocker, configurações do Windows Update, controle de aplicativos e proteção de endpoint. Esses GPOs costumam ter equivalentes diretos no Intune, o que facilita a migração.
Etapa 2: crie os perfis de configuração do Intune equivalentes
Agora é hora de criar o perfil de configuração do Intune correspondente às políticas existentes.
- Acesse Dispositivos → Perfis de configuração → Criar perfil.
- Selecione a plataforma Windows 10 e posterior. Em seguida, escolha o tipo de perfil:
- Catálogo de configurações (recomendado)
- Modelos (para cenários específicos como BitLocker, Wi-Fi, VPN)
- OMA-URI personalizado (para configurações sem suporte)
- Mapeie as configurações dos GPOs legados para os equivalentes do catálogo ou, quando necessário, para entradas OMA-URI.
Etapa 3: valide e monitore a aplicação das políticas
Nesta fase, vale conferir o andamento e validar a aplicação da política do Intune.
1. Verifique a aplicação da política do Intune pelo PowerShell
- Use a Pesquisa 🔎 para abrir o Terminal → PowerShell → Executar como administrador.
- Confirme as configurações de política ativas com o comando Get-MDMPolicyResultantSetOfPolicy | Format-List .
Também é possível usar:
Get-ItemProperty -Path "HKLM:\SOFTWARE
\Microsoft\PolicyManager\current\device\Defender"
Isso retorna o valor específico do CSP (Configuration Service Provider).
2. Monitore a aplicação da política do Intune pelo Visualizador de Eventos
- Pressione Win + R, digite eventvwr e clique em OK para abrir o Visualizador de Eventos.
- Acesse Logs de Aplicativos e Serviços → Microsoft → Windows → DeviceManagement-Enterprise-Diagnostics-Provider → Admin.
Nesse log, aplique o filtro correspondente para identificar rapidamente o status de aplicação das políticas e eventos específicos. Também dá para pesquisar por ID de evento, como 813 ou 814, normalmente associados às políticas do Intune.
3. Force a aplicação da política do Intune pelo Prompt de Comando
Nesta etapa, o Prompt de Comando também serve para forçar a sincronização das políticas, se necessário.
- Pressione Win + R, digite cmd e clique em OK para abrir o Prompt de Comando.
- Depois, execute o comando a seguir:
dsregcmd /status start ms-device-enrollment:?mode=mdm
Forçar a aplicação da política costuma ser desnecessário, já que os dispositivos do Intune sincronizam automaticamente em intervalos definidos. Além disso, esses comandos geralmente exigem privilégios administrativos.
Etapa 4: use OMA-URI para configurações avançadas ou sem suporte
Para configurações que não aparecem no catálogo (por exemplo, políticas legadas ou avançadas), use perfis personalizados:
- Crie um perfil personalizado no Intune.
- Consulte a documentação de CSP para aplicar as políticas. Por exemplo, para desativar o Gerenciador de Tarefas:
- OMA-URI: ./Device/Vendor/MSFT/Policy/Config/TaskManager/AllowTaskManager
- Tipo de dados: Integer
- Valor: 0
Dá para validar isso conferindo o caminho correspondente no registro:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\PolicyManager\current\device\TaskManager.
Etapa 5: aplique linhas de base de segurança quando possível
As linhas de base de segurança ajudam a substituir configurações comuns de GPO, e o Intune já traz algumas integradas para Microsoft Defender, Windows 10/11 e Microsoft Edge. Para aplicar:
- Acesse Segurança do ponto de extremidade → Linhas de base de segurança.
- Escolha uma linha de base e atribua ao grupo adequado.
Essas etapas são recomendadas para complementar os perfis de configuração e substituir alguns GPOs de uso frequente.
Etapa 6: trate conflitos e precedência de políticas
Na questão da precedência, as políticas do Intune se sobrepõem aos GPOs em dispositivos ingressados no Azure AD.
- Em dispositivos ingressados no Azure AD, as políticas do Intune têm prioridade.
- Em dispositivos com ingresso híbrido, podem surgir conflitos quando GPO e Intune gerenciam a mesma configuração. Nesses casos, vale a “última gravação”.
Para evitar esse tipo de situação, não duplique configurações entre GPO e Intune. Use Relatórios do Intune → Segurança do ponto de extremidade → Status por configuração para identificar conflitos de forma proativa.
Etapa 7: desative os GPOs após a migração
Depois de migrar e validar as políticas, ou de confirmar que fluxos de trabalho e ativos funcionam como esperado no novo ambiente, comece a remover os GPOs.
- Desvincule os GPOs aos poucos no GPMC.
- Monitore os endpoints em busca de desvios de configuração.
- Garanta que todas as configurações sejam aplicadas via Intune ou scripts do PowerShell
- Mantenha os protocolos de backup e restauração de GPO.
NinjaOne ajuda numa migração tranquila para o Intune
Em ambientes de TI, estes serviços e recursos do NinjaOne ajudam na transição:
- Detectar configurações fora de conformidade ainda aplicadas por GPOs legados.
- Monitorar chaves de registro e confirmar a aplicação das políticas do Intune.
- Implantar scripts em PowerShell para aplicar configurações personalizadas.
- Marcar endpoints conforme o perfil de política (gerenciado por GPO ou pelo Intune).
- Enviar alertas em tempo real quando há desvio de configuração ou falha na aplicação.
Para equipes de TI e MSPs, NinjaOne funciona como central de controle para validar e reforçar migrações de políticas para a nuvem. E, em escala, NinjaOne pode ser uma alternativa direta ao Intune, oferecendo um conjunto amplo de serviços de gerenciamento de endpoints de nível empresarial no mesmo painel central.
⚠️ O que observar durante a migração para o Intune
Ficou faltando algo? Veja estes cenários e dicas para lidar com erros, evitar problemas no sistema e reforçar as políticas.
| Riscos | Possíveis consequências | Como reverter |
| Dispositivo não sincroniza | Perfil do Intune não é aplicado | Execute dsregcmd /status e verifique o registro no MDM |
| Ingresso híbrido com GPOs conflitantes | GPO ainda ativo | Use os Resultados de Política de Grupo (gpresult) para confirmar o status da política |
| Caminho de CSP inválido | Falha no OMA-URI | Compare com a documentação de CSP da Microsoft |
| Atraso no agendamento de sincronização | Aplicação atrasada | Dispare a sincronização manual no painel Acessar trabalho ou escola |
Ferramentas nativas como PowerShell, gpresult, Visualizador de Eventos e registro ajudam a isolar erros de implantação das políticas do Intune. Só garanta que tenha os privilégios de acesso e a familiaridade necessária com essas ferramentas para diagnosticar e resolver problemas com eficiência.
Boas práticas para a migração para o Intune
Migrar de GPOs para perfis de configuração do Intune é um grande avanço para o gerenciamento de endpoints. A aplicação de políticas fica mais robusta e as opções de personalização aumentam, o que se encaixa bem nos fluxos de trabalho modernos.
Dito isso, equipes de TI e MSPs que cuidam de ambientes em nuvem e híbridos podem, em algum momento, precisar de mais cobertura do que a solução proprietária da Microsoft oferece. Nesse caso, um RMM como NinjaOne entrega gerenciamento de endpoints escalável e flexível, capaz de complementar ou até substituir o Intune.
No fim das contas, trocar uma ferramenta por outra não resolve tudo em gerenciamento de endpoints. Na maioria das vezes, o que importa é montar um conjunto de ferramentas que atenda bem ao ambiente atual e sustente o crescimento e a adaptação.
