Microsoft Intune如何筛选无Primary User的设备应用configuration profile

Intune原生设备筛选器暂不直接提供device.primaryUser属性，可通过以下两种方案实现需求：

方案一：使用动态设备安全组筛选（推荐） #

该方案无需额外维护，配置后自动同步设备状态：

• 进入Intune管理中心，依次打开组 > 新建组
• 组类型选择「安全组」，成员类型选择「动态设备」
• 点击「编辑动态查询」，切换到规则语法编辑模式，输入对应规则：
  仅筛选企业所有无主用户设备：

  (device.deviceOwnership -eq "Company") and (device.primaryUser -eq null)
  

  需同时包含个人设备可删除device.deviceOwnership判断条件
• 保存规则后等待组同步完成，将已创建的锁屏配置文件直接分配给该动态组即可

方案二：自定义扩展属性+设备筛选器 #

若业务场景必须使用筛选器而非动态组，可选择该方案：

• 调用Intune Graph API拉取全量无Primary User的设备列表
• 批量为这些设备设置自定义扩展属性，例如将extensionAttribute1的值设置为NoPrimaryUser
• 创建设备筛选器，规则配置为：

  (device.extensionAttribute1 -eq "NoPrimaryUser")
  

• 将筛选器关联到锁屏配置文件的分配规则，选择「包含筛选出的设备」即可
• 需定期执行脚本同步新入网无主用户设备的扩展属性值，保证筛选准确性

内容的提问来源于stack exchange，提问作者Martín Fernández