Système d’exploitation sans administrateur
HoloLens 2 réduit la surface d’exposition pour l’escalade des privilèges en désactivant la prise en charge du groupe Administrateurs et en limitant tout le code d’application UWP tiers à s’exécuter uniquement en tant qu’utilisateurs standard dans le bac à sable AppContainer. Ce code n’est accordé qu’à l’accès à ces ressources protégées par des fonctionnalités explicitement manifestes dans l’application pour un utilisateur nonlevé, en plus des ressources accessibles à tous les AppContainers. Ces fonctionnalités d’application continuent d’avoir le modèle de classification à trois niveaux :
- Généralités
- Restreint
- Windows
Les composants Windows peuvent également tirer parti du bac à sable AppContainer via les UWPs système. Pour en savoir plus sur la plateforme Windows universelle (UWP), consultez documentation UWP. En outre, les composants Windows ayant des besoins de réduction des privilèges plus élevés (comme les pages de contenu du navigateur ou les analyseurs) utilisent le bac à sable Less Privileged AppContainer (LPAC), qui coupe l’accès à l’ensemble des ressources accessibles à tous les AppContainers.
Propriétaire de l’appareil
Enfin, l’exécution d’opérations spécifiques à l’échelle de l’appareil, telles que la jonction de l’appareil à un locataire ou à la gestion des utilisateurs, n’est autorisée que pour les « propriétaires d’appareils ». Ce groupe est rempli par les utilisateurs sur l’appareil à l’aide de l’une des étapes suivantes :
- Le premier utilisateur sur l’appareil est toujours désigné comme propriétaire.
Important
Pour les utilisateurs de Microsoft Entra, l’exception à cette règle est que si l’appareil est joint à Microsoft Entra via Autopilot ou l’inscription Microsoft Entra en bloc, qui utilise un utilisateur non réel. Dans ce cas, le premier utilisateur Microsoft Entra à se connecter à l’appareil peut ne pas être automatiquement propriétaire de l’appareil, sauf si cet utilisateur dispose du rôle « Administrateur général » ou « Administrateur local de l’appareil joint à Microsoft Entra » attribué dans le portail Azure. Pour plus d’informations, consultez la note ci-dessous.
- Lorsqu’un utilisateur est promu propriétaire à partir de l’expérience utilisateur paramètres par un autre propriétaire sur l’appareil.
- Si le propriétaire de l’appareil n’est plus disponible (quitte l’entreprise) et que l’appareil est joint à Microsoft Entra, l’administrateur du locataire peut remplacer le propriétaire de l’appareil par un nouvel utilisateur dans le portail Azure. Les administrateurs généraux et les administrateurs locaux d’appareils joints à Microsoft Entra d’un locataire Microsoft Entra sont implicitement connectés en tant que propriétaires sur l’appareil sans nécessiter l’une des étapes précédentes.
Les administrateurs informatiques peuvent gérer les applications auxquelles accéder via stratégies de confidentialité.
Note
Pour en savoir plus sur les personnes qui sont propriétaires d’un appareil joint à Microsoft Entra, consultez documentation « Affecter un administrateur local » (mais lisez « administrateur local » comme « propriétaire de l’appareil », car l’administrateur n’existe pas sur HoloLens).
Important
Microsoft vous recommande d’utiliser des rôles avec les autorisations les plus rares. L’utilisation de comptes autorisés inférieurs permet d’améliorer la sécurité de votre organisation. L’administrateur général est un rôle hautement privilégié qui doit être limité aux scénarios d’urgence lorsque vous ne pouvez pas utiliser de rôle existant.