Operační systém bez správy

• Platí pro:

  HoloLens (1st gen), HoloLens 2

HoloLens 2 minimalizuje prostor pro eskalaci oprávnění zakázáním podpory pro skupinu Administrators a omezením veškerého kódu aplikace UPW třetích stran tak, aby se v sandboxu AppContainer spouštěl pouze jako standardní uživatelé. Tento kód je udělen pouze přístup k těmto prostředkům chráněným funkcemi explicitně manifestovaným v aplikaci pro neelevatovaného uživatele kromě prostředků, které jsou přístupné pro všechny AppContainers. Tyto funkce aplikace mají i nadále třívrstvou klasifikační model:

• Obecné
• Omezený
• Windows

Komponenty systému Windows můžou také využívat sandbox AppContainer prostřednictvím systémových UWP. Další informace o univerzální platformě Windows (UPW) najdete v dokumentaci k UPW. Kromě toho komponenty Windows s většími potřebami snížení oprávnění (jako jsou stránky obsahu prohlížeče nebo analyzátory) používají sandbox Less Privileged AppContainer (LPAC), který ořízne přístup k sadě prostředků, které jsou přístupné pro všechny AppContainery.

Vlastník zařízení

Provádění konkrétních operací pro celé zařízení, jako je například připojení zařízení k tenantovi nebo správě uživatelů, je nakonec povoleno pouze pro "vlastníky zařízení". Tato skupina je naplněna uživateli v zařízení jedním z následujících kroků:

• První uživatel na zařízení je vždy určen vlastníkem.

Důležitý

Výjimkou pro uživatele Microsoft Entra je, že pokud je zařízení připojeno přes Autopilot nebo hromadnou registraci Microsoft Entra, která používá neskutečných uživatelů. V tomto případě nemusí být první uživatel Microsoft Entra, který se přihlásí k zařízení, automaticky vlastníkem zařízení, pokud tento uživatel nemá přiřazenou roli Globální správce nebo Místní správce zařízení připojený k Microsoft Entra. Další informace najdete v následující poznámce.

• Když je uživatel povýšený na vlastníka z uživatelského prostředí nastavení jiným vlastníkem na zařízení.
• Pokud už vlastník zařízení není dostupný (opustí společnost) a zařízení je připojené k Microsoftu Entra, může správce tenanta změnit vlastníka zařízení na nového uživatele na webu Azure Portal. Globální správci a místní správci zařízení připojeného k Microsoft Entra jsou implicitně přihlášení jako vlastníci na zařízení, aniž by museli provést některý z předchozích kroků.

Správci IT můžou spravovat, k jakým aplikacím mají přístup prostřednictvím zásad ochrany osobních údajů .

Poznámka

Další informace o tom, kdo je vlastníkem zařízení připojeného k Microsoft Entra, najdete v dokumentaci k přiřazení místního správce (ale přečtěte si informace o tom, kdo je vlastníkem zařízení, protože správce na HoloLensu neexistuje).

Důležitý

Microsoft doporučuje používat role s nejmenšími oprávněními. Použití účtů s nižším oprávněním pomáhá zlepšit zabezpečení pro vaši organizaci. Globální správce je vysoce privilegovaná role, která by měla být omezená na scénáře tísňového volání, pokud nemůžete použít existující roli.