如何阻止加入Entra的Windows设备自动注册InTune以测试批量脚本

一、阻止Entra加入时自动注册Intune的方法 #

1. 精准控制Entra ID设备注册设置 #

进入Entra ID控制台，依次打开设备 > 设备注册设置 > 管理，在自动MDM注册（适用于已加入Azure AD的设备）选项中，选择针对所选用户/组，并将目标高管用户组设置为禁用。此设置优先级高于Intune控制台的自动注册开关，可精准避免特定设备自动触发注册。

2. 注册表强制禁用自动注册 #

若GPEdit配置报错，可直接通过注册表修改阻断自动注册逻辑，该操作可嵌入批处理：

reg add "HKLM\Software\Microsoft\Enrollments" /v AutoMDMEnrollEnabled /t REG_DWORD /d 0 /f
reg add "HKLM\Software\Policies\Microsoft\Windows\DeviceManagement\EnterpriseDeviceManagement" /v AutoEnrollMDM /t REG_DWORD /d 0 /f

执行后重启设备，自动注册机制会被强制关闭。

3. 临时切换用户许可证 #

先为测试机用户分配Microsoft 365 Business Standard许可证，完成Entra加入后，再切换回Business Premium。许可证变更同步约15-30分钟，同步完成后再进行Intune手动注册，可规避自动触发逻辑。

二、高管设备一键Intune注册批处理 #

以下批处理复刻GPEdit的注册配置逻辑，同时先禁用自动注册，再引导用户完成手动注册：

@echo off
echo 正在配置Intune注册环境...
:: 禁用自动注册
reg add "HKLM\Software\Microsoft\Enrollments" /v AutoMDMEnrollEnabled /t REG_DWORD /d 0 /f >nul 2>&1
reg add "HKLM\Software\Policies\Microsoft\Windows\DeviceManagement\EnterpriseDeviceManagement" /v AutoEnrollMDM /t REG_DWORD /d 0 /f >nul 2>&1

:: 配置允许手动注册的策略
reg add "HKLM\Software\Policies\Microsoft\Windows\CurrentVersion\MDM" /v EnrollmentsAllowed /t REG_DWORD /d 1 /f >nul 2>&1
reg add "HKLM\Software\Policies\Microsoft\Windows\CurrentVersion\MDM" /v AutoEnrollUsers /t REG_DWORD /d 0 /f >nul 2>&1
reg add "HKLM\Software\Policies\Microsoft\Windows\CurrentVersion\MDM" /v DisableRegistration /t REG_DWORD /d 0 /f >nul 2>&1

echo 配置完成，正在打开注册窗口...
start ms-settings:workplace
echo 请在弹出的「工作访问」窗口中点击「连接」，输入公司账户完成注册。
pause

测试流程 #

1. 擦除测试机，为用户分配Business Standard许可证，完成Entra加入，确认未自动注册Intune；
2. 运行上述批处理，通过reg query命令验证注册表项是否生效；
3. 将用户许可证切换为Business Premium，等待15分钟同步；
4. 执行批处理引导的注册步骤，验证设备成功注册到Intune；
5. 测试通过后，将批处理推送给高管设备执行。

内容的提问来源于stack exchange，提问作者Corin