MD-101考试倒计时，你还在盲目刷题？立即掌握官方考点分布规律-优快云博客

第一章：MCP MD-101认证考试概述

MCP MD-101认证，全称为Managing Modern Desktops，是微软认证体系中面向现代桌面管理专家的重要考试。该认证旨在验证IT专业人员在Windows 10及更高版本操作系统部署、配置、维护和保护方面的实际能力，尤其侧重于与Microsoft 365集成环境下的设备管理。

考试目标人群

负责企业级Windows设备管理的系统管理员
专注于Intune服务配置与策略实施的技术工程师
希望提升现代桌面管理技能的IT支持人员

核心考察领域

MD-101考试主要涵盖以下关键模块：

部署Windows设备（包括Autopilot和传统映像部署）
配置与管理设备更新策略
使用Microsoft Intune进行设备合规性与安全性管理
应用基于云的身份验证与条件访问策略
监控与报告设备健康状态

考试信息概览

项目	详情
考试代码	MD-101
考试时长	120分钟
题目数量	约40-60题
通过分数	700分（满分1000）
认证路径	Microsoft 365 Certified: Modern Desktop Administrator Associate

第二章：设备管理与共管策略配置

2.1 理解Intune与Configuration Manager的共管架构

在混合管理环境中，Microsoft Intune 与 Configuration Manager 共管（Co-management）实现了本地与云端管理能力的无缝整合。通过共管，组织可逐步将传统SCCM工作负载迁移至Intune，同时保持现有策略的连续性。

共管启用条件

设备必须满足以下核心要求：

运行Windows 10或更高版本
加入Azure AD并启用Hybrid Azure AD Join
安装最新版本的Configuration Manager客户端
配置共管工作区证书

工作负载分流机制

共管通过“工作负载分流”决定由哪一平台处理特定管理任务。例如：

工作负载	默认管理者
设备合规性	Intune
操作系统部署	Configuration Manager
应用部署	可配置切换

Enable-CMCoManagement -Workloads @(
  "Policy",
  "PatchOS",
  "Application"
)

该PowerShell命令用于在Configuration Manager中启用指定工作负载的共管。参数 Workloads定义了哪些管理功能交由Intune接管，实现精细化控制。

2.2 设备注册与合规性策略的理论与实施

设备注册是终端接入企业系统的首要环节，确保每台设备的身份可验证、状态可追踪。通过标准化注册流程，系统可自动采集设备指纹、操作系统版本及安全配置。

注册流程中的关键校验项

设备唯一标识（如UUID）的合法性
TPM芯片支持与BitLocker启用状态
防病毒软件部署情况
操作系统补丁级别

合规性策略的自动化评估

使用策略引擎定期扫描设备状态，以下为基于Intune的合规规则片段：


{
  "deviceCompliancePolicy": {
    "osMinimumVersion": "10.0.19045",
    "requireAntivirus": true,
    "encryptionRequired": true
  }
}

该JSON定义了Windows设备的最低合规标准：必须运行Windows 10版本19045以上，启用防病毒软件并激活磁盘加密。策略通过MDM平台下发，设备未达标时将被限制访问企业资源。

2.3 Windows设备的部署方式与场景选择

在企业环境中，Windows设备的部署方式直接影响管理效率与安全性。常见的部署方式包括传统本地安装、Windows Autopilot和系统镜像批量部署。

典型部署方式对比

本地安装：适用于少量设备，依赖物理介质，部署周期长；
Autopilot：基于云配置，实现零接触部署，适合远程办公场景；
镜像部署（如WDS）：通过网络分发系统镜像，适用于标准化硬件环境。

适用场景选择建议

部署方式	适用规模	自动化程度	典型场景
本地安装	1-10台	低	临时设备替换
Autopilot	100+台	高	远程员工入职
镜像部署	50-1000台	中	分支机构批量上线

PowerShell自动化示例


# 注册设备至Autopilot
Import-Csv "devices.csv" | ForEach-Object {
    Add-AutopilotDevice -SerialNumber $_.Serial -HardwareHash $_.Hash
}

该脚本批量导入设备CSV文件，通过 Add-AutopilotDevice命令将设备注册到Microsoft Endpoint Manager，实现预配置自动识别，大幅降低现场配置成本。

2.4 移动设备管理（MDM）在企业环境中的应用

集中化设备控制

MDM平台允许IT管理员远程配置、监控和管理企业移动设备。通过统一控制台，可批量部署策略、应用和安全设置，显著提升运维效率。

安全策略实施

企业可通过MDM强制启用设备加密、密码复杂度、远程擦除等功能。例如，以下配置片段定义了iOS设备的合规策略：

<dict>
  <key>MinimumPasswordLength</key>
  <integer>8</integer>
  <key>RequireEncryption</key>
  <true/>
</dict>

该策略确保设备密码至少8位并启用全盘加密，降低数据泄露风险。

应用与内容分发

私有应用商店集成，安全发布内部APP
自动推送更新补丁
限制非授权应用安装

2.5 设备重启调度与更新维护的实战配置

在大规模设备管理中，合理的重启调度与系统更新策略是保障服务稳定性的关键环节。通过自动化脚本与配置管理工具结合，可实现精准控制。

定时重启任务配置

使用 cron 配合 Ansible 实现分批重启：

0 2 * * 1 /sbin/reboot && echo "Weekly reboot executed"

该命令每周一凌晨2点执行重启，并记录日志。通过 Ansible 的 playbook 控制不同主机组错峰执行，避免服务中断集中。

更新维护窗口管理

维护窗口需考虑业务低峰期，常见策略如下：

按地域分组设备，错开时区进行更新
设置最大并发重启数量（如每批次不超过5%）
集成监控告警，在异常时暂停后续操作

健康检查与回滚机制

重启后自动触发健康检查脚本，验证服务状态，确保系统恢复正常运行。

第三章：应用生命周期管理

3.1 应用部署模型与分发策略的设计原理

在现代分布式系统中，应用部署模型的设计需兼顾可扩展性、可用性与一致性。常见的部署模型包括单体部署、微服务架构和无服务器（Serverless）模式，各自适用于不同业务场景。

部署模型对比

单体架构：所有功能模块打包为单一应用，部署简单但扩展性差；
微服务：按业务拆分为独立服务，支持独立部署与技术异构；
Serverless：由事件驱动，自动伸缩，适合突发流量场景。

分发策略实现示例

func SelectInstance(instances []string, key string) string {
    hash := crc32.ChecksumIEEE([]byte(key))
    return instances[hash % uint32(len(instances))]
}

该代码实现了一致性哈希的简化版本，通过请求标识（key）计算哈希值，将请求路由到对应实例。参数 instances为可用服务节点列表， key通常为用户ID或会话Token，确保相同请求始终分发至同一实例，提升缓存命中率与会话连续性。

3.2 Win32应用封装与部署的实操流程

在完成Win32应用开发后，封装与部署是确保应用可在目标环境中稳定运行的关键步骤。首先需整理项目依赖项，包括动态链接库（DLL）和配置文件。

应用打包准备

将可执行文件与所需DLL（如msvcp140.dll、vcruntime140.dll）置于同一目录，可通过Dependency Walker分析依赖关系。

使用MTA工具生成清单

<assembly xmlns="urn:schemas-microsoft-com:asm.v1" manifestVersion="1.0">
  <trustInfo xmlns="urn:schemas-microsoft-com:asm.v3">
    <security>
      <requestedPrivileges>
        <requestedExecutionLevel level="asInvoker" uiAccess="false" />
      </requestedPrivileges>
    </security>
  </trustInfo>
</assembly>

该清单文件声明应用以普通权限运行，避免UAC弹窗干扰用户体验。

部署方式对比

方式	优点	缺点
直接复制部署	简单快捷	依赖管理困难
MSI安装包	支持注册表配置	制作复杂

3.3 Microsoft Store for Business的应用管理实践

应用分发与授权管理

企业可通过Microsoft Store for Business集中采购和分配应用许可，支持免费与付费应用的批量授权。管理员在Azure门户中配置策略后，用户可在设备上自动获取已分配的应用。

批量部署配置示例

{
  "appName": "Microsoft Whiteboard",
  "storeID": "9WZDNCRFJ3TJ",
  "licenseType": "volume",
  "assignmentType": "required"
}

上述JSON配置定义了应用名称、商店ID、批量授权类型及强制安装策略。通过Intune集成，可将此策略推送至指定用户组，实现静默安装。

集中式应用库存管理
支持离线许可证下载
细粒度权限控制（按部门/角色）

第四章：安全与合规性策略实施

4.1 条件访问策略与身份验证集成机制

条件访问（Conditional Access）是现代身份安全架构的核心组件，它基于用户、设备、位置和风险级别等上下文信息动态控制资源访问权限。

策略执行流程

当用户尝试访问受保护资源时，系统首先触发身份验证流程，随后评估预定义的条件访问策略。只有满足所有策略规则（如多因素认证、合规设备要求）时，才授予访问权限。

与身份验证机制的集成

条件访问依赖于强大的身份验证基础，通常与OAuth 2.0、OpenID Connect及Azure AD等协议和服务深度集成。例如，在Azure环境中，可通过策略强制高风险登录使用MFA：

{
  "displayName": "Require MFA for High Risk",
  "state": "Enabled",
  "conditions": {
    "riskLevels": ["high"]
  },
  "grantControls": {
    "operator": "OR",
    "builtInControls": ["mfa"]
  }
}

上述策略表示：当检测到高风险登录行为时，必须通过多因素认证才能继续访问。其中 riskLevels字段评估用户登录的风险等级， builtInControls定义授权控制措施，确保安全策略的精准执行。

4.2 数据保护策略与信息权限管理（IRM）配置

在企业级数据安全体系中，信息权限管理（IRM）是实现精细化访问控制的核心机制。通过集成加密、身份认证与策略引擎，IRM确保敏感数据仅被授权用户访问。

IRM策略配置流程

定义数据分类：识别敏感级别（如公开、内部、机密）
绑定权限模板：设置读取、编辑、打印、转发等操作权限
关联用户组：基于AD或Azure AD进行角色分配

策略应用示例

<IRMTemplate>
  <Name>Confidential-NDARestricted</Name>
  <EncryptionEnabled>true</EncryptionEnabled>
  <Permissions>
    <AllowView>GROUP\LegalTeam</AllowView>
    <AllowPrint>false</AllowPrint>
    <AllowCopy>false</AllowCopy>
  </Permissions>
  <ExpirationDays>365</ExpirationDays>
</IRMTemplate>

上述XML模板定义了一个高保密性文档策略，启用加密并限制复制与打印，仅法务团队可查看，有效期一年。参数 EncryptionEnabled触发AES-256加密， Permissions节点控制细粒度操作权限。

4.3 设备加密与BitLocker策略的部署实践

在企业环境中，设备数据安全至关重要。BitLocker作为Windows内置的全盘加密技术，可有效防止物理访问导致的数据泄露。

启用BitLocker的组策略配置

通过组策略可集中管理BitLocker设置，确保终端一致性：


# 启用驱动器加密要求
Computer Configuration -> Administrative Templates -> 
Windows Components -> BitLocker Drive Encryption ->
Fixed Data Drives -> "Require encryption for fixed data drives"

该策略强制所有固定驱动器必须启用加密，支持XTS-AES算法，增强数据保护强度。

恢复密码存储策略

将恢复密钥备份至Active Directory域服务（AD DS）
配置至少256位的加密密钥长度
启用多因素解锁选项：TPM + PIN

结合TPM芯片，实现系统完整性校验与自动解锁，同时防范离线攻击。

4.4 安全基线与攻击面减少（ASR）规则应用

安全基线是系统在安全配置上的最低标准，确保主机、应用和网络环境处于受控状态。通过实施攻击面减少（Attack Surface Reduction, ASR）规则，可有效阻止恶意行为的执行路径。

ASR 规则配置示例

Set-MpPreference -AttackSurfaceReductionRules_Ids "D4F940AB-401B-4EFC-AADC-AD5F3C50688A" -AttackSurfaceReductionRules_Actions Enabled

该 PowerShell 命令启用“阻止执行可疑宏”的 ASR 规则（ID: D4F940AB...），防止 Office 文档中运行恶意脚本。参数 -AttackSurfaceReductionRules_Ids 指定规则唯一标识， -AttackSurfaceReductionRules_Actions 设置其为启用状态。

常见 ASR 规则对照表

规则名称	用途描述	推荐状态
阻止Win32应用通过邮件客户端执行	防止附件自动运行	启用
阻止Office创建子进程	限制宏启动外部程序	启用

第五章：高效备考策略与资源推荐

制定个性化学习计划

根据自身基础和目标认证等级，合理分配每日学习时间。建议采用番茄工作法提升专注力，每25分钟学习后休息5分钟，连续四个周期后进行一次长休息。

精选学习资源推荐

官方文档：AWS、Microsoft Learn 和 Oracle 官网提供最新考试大纲与实验指导
视频平台：Coursera 上的《Google IT Support Professional Certificate》系统性强
实践环境：使用 Katacoda 或 Play with Docker 在线演练容器技术

代码实战强化记忆

通过编写脚本巩固理论知识，例如使用 Go 模拟网络请求测试微服务通信：


package main

import (
    "fmt"
    "net/http"
    "time"
)

func main() {
    client := &http.Client{Timeout: 10 * time.Second}
    resp, err := client.Get("https://api.example.com/health")
    if err != nil {
        fmt.Println("Service unreachable:", err)
        return
    }
    defer resp.Body.Close()
    fmt.Println("Status:", resp.Status) // 输出 HTTP 状态码
}