MD-101考试倒计时：7天冲刺计划助你一次通过Endpoint Manager认证

第一章：MCP MD-101认证考试概览

MCP MD-101认证，全称为Managing Modern Desktops，是微软认证体系中面向现代桌面管理专家的重要资格认证。该考试旨在验证IT专业人员在Windows 10及后续版本的部署、配置、维护和安全管理方面的实际能力，尤其侧重于基于云的管理工具如Microsoft Intune和Azure AD的应用。

考试核心技能领域

• 部署与更新Windows设备：涵盖操作系统部署方式（如Windows Autopilot）、更新策略配置等
• 管理设备与数据：包括设备加入域的方式（Azure AD Join、Hybrid Join）、数据保护策略设置
• 应用生命周期管理：从应用部署、更新到移除的全流程管理，支持Win32、MSI、UWP等多种格式
• 合规性与安全策略：使用Intune配置合规性策略，集成Microsoft Defender进行端点防护

考试基本信息

项目	详情
考试代码	MD-101
考试时长	120分钟
题型	单选题、多选题、拖拽题、案例分析题
通过分数	700分（满分1000）

推荐实践环境配置

为有效备考，建议搭建包含以下组件的实验环境：

# 安装Microsoft Endpoint Manager Admin Center模块
Install-Module -Name Microsoft.Graph.Intune

# 连接到Intune服务
Connect-MSGraph

# 获取当前租户中的所有注册设备
Get-IntuneManagedDevice | Select-DeviceName, OperatingSystem, ComplianceState

上述PowerShell命令可用于连接Intune并查询受管设备状态，适用于日常管理与考试模拟操作。

graph TD A[准备考试] --> B(学习官方文档) A --> C{搭建实验环境} C --> D[配置Azure AD] C --> E[部署Intune策略] B --> F[参加模拟测试] F --> G[预约正式考试]

第二章：设备与用户管理策略配置

2.1 Azure AD中用户与设备的集成管理

Azure AD 提供统一的身份与访问管理框架，支持用户和设备的无缝集成。通过自动注册策略，企业可将域加入的 Windows 设备自动注册到 Azure AD，实现基于身份的安全访问。

设备注册流程

在组策略中启用设备注册：

Set-ItemProperty -Path "HKLM:\SOFTWARE\Policies\Microsoft\Windows\WorkplaceJoin" -Name "AutoWorkplaceJoin" -Value 1

该命令启用自动 Workplace Join，允许设备在域登录时自动注册至 Azure AD，参数 AutoWorkplaceJoin=1 表示开启自动集成。

用户与设备关系映射

• 用户登录时，Azure AD 验证其身份并关联已注册设备
• 条件访问策略可基于设备合规性控制资源访问
• Intune 联动实现设备配置与安全策略下发

2.2 使用组策略与Intune协同配置设备策略

在混合办公环境中，企业常需结合本地Active Directory与云端Intune实现统一设备管理。通过共管模式（Co-management），Windows 10/11设备可在SCCM与Intune间共享控制权，确保策略无缝衔接。

策略优先级处理

当组策略与Intune策略冲突时，Intune优先级更高。管理员应通过“策略验证”功能定期比对策略应用效果。

关键配置示例

<coManagementPolicy>
  <workload name="Policy" state="Intune" />
  <workload name="EndpointProtection" state="MDM" />
</coManagementPolicy>

该XML片段定义了共管工作负载分配：设备策略由Intune接管，安全防护由MDM处理。state属性决定控制源，可选值包括“None”、“Primary”、“MDM”。

适用场景对比

场景	推荐方案
纯本地环境	组策略
混合云部署	组策略+Intune共管
全云架构	Intune独立管理

2.3 基于角色的访问控制（RBAC）在Endpoint Manager中的实践

在现代终端管理平台中，基于角色的访问控制（RBAC）是保障系统安全的核心机制。通过将权限与角色绑定，管理员可高效地管理用户对设备、策略和数据的访问。

角色与权限映射

常见的角色包括“超级管理员”、“设备管理员”和“只读用户”。每个角色被赋予特定权限集，例如：

• 超级管理员：可配置策略、管理用户、查看所有日志
• 设备管理员：仅能管理指定设备组的部署与监控
• 只读用户：仅允许查看报告，无法进行任何修改

策略配置示例

以下为JSON格式的角色定义示例：

{
  "roleName": "DeviceOperator",
  "permissions": [
    "device.view",
    "device.reboot",
    "log.read"
  ],
  "scope": "Group:Production-Servers"
}

该配置表明角色“DeviceOperator”可在“Production-Servers”组内查看设备、重启设备及读取日志，但无权修改安全策略或添加新设备。

2.4 设备注册与合规性策略部署实战

在企业级设备管理中，设备注册是实现统一管控的第一步。通过自动化注册流程，新设备可在首次联网时自动加入MDM（移动设备管理）系统。

设备注册流程

• 设备发起HTTPS注册请求至MDM服务器
• 服务器验证设备证书与唯一标识（如IMEI）
• 下发设备配置文件与初始策略组

合规性策略示例

{
  "requireEncryption": true,
  "allowJailbreak": false,
  "minOSVersion": "14.0"
}

该策略强制设备启用磁盘加密、禁止越狱，并限定最低操作系统版本。策略通过APNs推送至设备，由本地代理持续监控状态。

合规检查与响应

检查项	合规动作	违规动作
密码强度	记录日志	远程锁定

2.5 用户驱动体验与配置文件的精细化管理

在现代应用架构中，用户驱动体验的核心在于个性化配置的动态加载与持久化管理。通过精细化的配置文件设计，系统能够根据用户行为实时调整界面布局、功能可见性及交互逻辑。

配置结构设计

采用分层式配置模型，将全局设置与用户偏好分离，提升维护性与扩展能力。

{
  "user_id": "u12345",
  "theme": "dark",           // 主题模式：light/dark
  "language": "zh-CN",       // 显示语言
  "features": {
    "enable_tips": true,     // 是否开启操作提示
    "auto_save": false       // 是否自动保存表单
  }
}

上述 JSON 结构支持灵活扩展，features 字段可动态注入新功能开关，实现灰度发布控制。

同步机制

• 本地缓存优先，保障离线可用性
• 变更后异步提交至服务端，减少阻塞
• 冲突时采用时间戳+版本号策略解决并发写入

第三章：应用与更新生命周期管理

3.1 应用部署模型：Win32、MSI、通用应用封装实战

在企业级应用分发中，选择合适的部署模型至关重要。Win32 应用通过传统可执行文件安装，灵活性高但依赖手动配置；MSI 安装包则提供标准化的安装流程，支持静默安装与组策略集成，适合大规模部署。

常见部署格式对比

格式	优点	缺点
Win32 EXE	兼容性强，支持复杂逻辑	缺乏统一管理机制
MSI	支持事务性安装、回滚	制作复杂，调试困难
通用应用（MSIX）	沙箱运行、安全隔离	部分旧应用不兼容

MSIX 封装示例

New-MSIXPackage -AppSourcePath "C:\MyApp" `
                -OutputPath "C:\Packages\MyApp.msix" `
                -PackageName "MyApp" `
                -Publisher "CN=Contoso" `
                -Version "1.0.0.0"

该命令使用 MSIX SDK 工具将传统应用打包为 MSIX 格式。参数 -AppSourcePath 指定源程序路径，-OutputPath 定义输出位置，-Publisher 需匹配证书发行者，确保签名后可在目标设备上安装。

3.2 Windows更新策略在企业环境中的规划与实施

在企业环境中，合理的Windows更新策略能有效保障系统安全与业务连续性。首先需根据组织规模和网络架构选择合适的更新分发机制。

使用WSUS进行集中管理

通过Windows Server Update Services（WSUS），IT管理员可控制更新的审批与部署流程：

Install-WindowsFeature -Name UpdateServices -IncludeManagementTools
# 安装WSUS角色，包含管理工具

该命令在Windows Server上部署WSUS服务，后续可通过控制台同步微软更新并按组策略分批推送。

分阶段部署策略

• 测试组：优先部署至开发/测试设备，验证兼容性
• 生产组：确认无误后，按部门或地理位置逐步推广
• 紧急更新：针对严重漏洞设置快速通道审批流程

组策略配置示例

策略项	推荐值	说明
自动更新配置	3 - 通知下载并通知安装	保留控制权
指定Intranet更新服务	http://wsus.internal	指向内部服务器

3.3 Office 365客户端管理与版本控制实践

集中化部署策略

通过Microsoft Endpoint Manager（Intune）或组策略对象（GPO），可实现Office 365客户端的标准化部署。管理员可定义更新通道（如每月企业版、半年企业版），确保环境稳定性与新功能的平衡。

版本控制配置示例

<Configuration>
  <Add OfficeClientEdition="64" Channel="MonthlyEnterprise">
    <Product ID="O365ProPlusRetail">
      <Language ID="zh-CN" />
    </Product>
  </Add>
  <Updates Enabled="TRUE" UpdatePath="\\\\server\\officeupdates" />
</Configuration>

该XML配置指定64位Office客户端使用“每月企业版”通道，中文语言包，并启用自定义更新路径，便于内网分发和版本锁定。

更新通道对比

通道类型	更新频率	适用场景
每月企业版	每月	需及时获取安全补丁与功能更新
半年企业版	每半年	生产环境，强调稳定性

第四章：安全与合规性深度配置

4.1 设备加密与BitLocker策略的集中管理

在企业环境中，设备数据安全至关重要。通过组策略（GPO）和Microsoft Intune，可对BitLocker驱动器加密实施集中化管理，确保所有终端符合安全标准。

BitLocker启用与恢复机制

使用WMI过滤或登录脚本自动启用系统盘加密：

Manage-bde -On C: -UsedSpaceOnly -RecoveryPasswordProtector

该命令仅对已用空间加密，并添加恢复密码保护器，便于密钥托管至Active Directory。

组策略关键配置项

• 启用“需要额外的身份验证”以防止预启动攻击
• 配置“允许BitLocker不使用TPM”适用于老旧硬件
• 设置恢复密码长度为24位数字，符合合规要求

恢复信息存储结构

属性	说明
msFVE-RecoveryPassword	存储在AD计算机对象下的加密恢复密钥
msFVE-RecoveryGuid	唯一标识符，用于定位特定恢复条目

4.2 合规策略与条件访问联动实现自动响应

在现代身份安全架构中，合规策略与条件访问（Conditional Access, CA）的集成是实现动态访问控制的核心机制。通过将设备合规状态、用户风险等级与访问策略绑定，系统可在检测到异常时自动触发响应。

策略联动逻辑

当Azure AD识别设备不合规或用户风险升高时，会自动评估关联的条件访问策略。若匹配到相应规则，则强制重新认证或阻断访问。

典型策略配置示例

{
  "displayName": "Require Compliant Device",
  "conditions": {
    "users": { "includeGroups": ["All Users"] },
    "devices": { "deviceStates": { "includeCompliance": true } }
  },
  "grantControls": [ "block" ]
}

上述策略表示：所有用户访问资源时，若设备未合规，则访问被阻止。参数includeCompliance: true确保仅合规设备可通过。

响应流程自动化

用户登录 → 风险检测 → 条件访问评估 → 执行阻止/多因素认证 → 日志记录

4.3 数据丢失防护（DLP）与信息保护集成方案

在现代企业安全架构中，数据丢失防护（DLP）需与信息保护机制深度集成，以实现端到端的数据安全控制。

策略协同与实时响应

通过统一策略引擎，DLP系统可与加密、权限管理服务联动。例如，在检测到敏感数据外传时，自动触发数据加密或访问阻断。

{
  "policy": "PreventCreditCardLeak",
  "rules": [
    {
      "condition": "content.matches(PCI_DSS_PATTERN)",
      "action": "encryptAndLog", 
      "severity": "high"
    }
  ]
}

该策略定义了对符合支付卡行业标准（PCI_DSS）的数据模式进行自动加密并记录日志，确保合规性要求得到满足。

集成架构设计

• 数据分类引擎识别敏感内容
• DLP网关执行传输监控
• 信息权限管理（IRM）实施动态保护

4.4 安全基线配置与攻击面减少（ASR）实践

安全基线的标准化实施

安全基线配置是系统加固的核心环节，通过统一操作系统、中间件和应用服务的安全策略，降低因配置不当引发的风险。常见的基线标准包括CIS Benchmark和等保2.0要求。

• 禁用不必要的服务与端口
• 强制密码复杂度与账户锁定策略
• 启用审计日志并定期审查

攻击面减少（ASR）技术应用

ASR通过限制恶意行为的执行环境，有效阻断常见攻击链。在Windows平台中，可利用Defender Application Control配置规则：

Set-MpPreference -AttackSurfaceReductionRules_Ids "D4F940AB-401B-4EFC-AADC-AD5F3C50688A"
Set-MpPreference -AttackSurfaceReductionRules_Actions Enabled

上述PowerShell命令启用“阻止Office宏运行”规则（规则ID: D4F9...），防止恶意文档触发代码执行。参数_Ids指定ASR规则唯一标识，_Actions设为Enabled表示激活防护。

第五章：冲刺备考策略与资源推荐

制定高效复习计划

冲刺阶段应以查漏补缺为核心，建议采用“三轮复习法”：第一轮快速回顾知识体系，第二轮专攻薄弱模块，第三轮模拟实战。每日安排至少两小时专注刷题，并使用番茄工作法（25分钟学习+5分钟休息）提升专注力。

精选学习资源推荐

• LeetCode：针对算法面试，每日一题配合周赛训练
• GitHub 开源笔记：如《CS-Notes》《Tech Interview Handbook》
• 官方文档：Kubernetes、AWS、PostgreSQL 等技术栈首选官方指南

模拟考试环境配置

搭建本地仿真环境至关重要。例如准备系统设计面试时，可使用如下 Docker Compose 配置快速部署测试服务：

version: '3.8'
services:
  web:
    image: nginx:alpine
    ports:
      - "8080:80"
    volumes:
      - ./nginx.conf:/etc/nginx/nginx.conf
  db:
    image: postgres:15
    environment:
      POSTGRES_PASSWORD: securepass
    ports:
      - "5432:5432"

高频考点速记表

技术领域	常见问题	推荐练习平台
数据结构与算法	二叉树遍历、动态规划	LeetCode、Codeforces
系统设计	设计短链服务	Pramp、Interviewing.io
数据库优化	索引失效场景	SQLZoo、HackerRank

心理调适与时间管理

压力管理流程图

识别焦虑源 → 记录情绪日志 → 每日15分钟冥想 → 定期运动（如快走）→ 调整作息