Jogosultságszint-emelési szabályok létrehozása a Végponti jogosultságkezelés használatával

A jogosultságszint-emelési szabályok házirendjei lehetővé teszik a Végponti jogosultságkezelés (EPM) számára az adott fájlok és szkriptek azonosítását, valamint a kapcsolódó jogosultságszint-emelési művelet végrehajtását. A jogosultságszint-emelési szabályok érvénybe léptetéséhez az eszközöknek olyan jogosultságszint-emelési beállításokat tartalmazó házirenddel kell rendelkezniük, amelyek engedélyezik az EPM-et. További információ: EPM jogosultságszint-emelési beállítások.

Megjegyzés:

Jogosultságszint-emelési szabályok házirendenként legfeljebb 100 jogosultságszint-emelési szabályt vehet fel a Microsoft Intune Felügyeleti központból.

Az ebben a cikkben található információkon kívül a jogosultságszint-emelési szabályok kezelésekor fontos biztonsági javaslatokról is tájékozódhat.

Tudnivalók a jogosultságszint-emelési szabályok házirendjéről

A jogosultságszint-emelési szabályok házirendjével kezelheti az egyes fájlok azonosítását, valamint az ilyen fájlok jogosultságszint-emelési kéréseinek kezelését. Minden jogosultságszint-emelési szabály egy vagy több jogosultságszint-emelési szabályt tartalmaz. A jogosultságszint-emelési szabályokkal konfigurálhatja a kezelt fájl részleteit és az emelt szint emelésének követelményeit.

A következő fájltípusok támogatottak:

• A vagy .msi kiterjesztésű .exe végrehajtható fájlok.
• PowerShell-szkriptek a .ps1 kiterjesztéssel.

Az egyes jogosultságszint-emelési szabályok a következőkre utasítják az EPM-et:

• Azonosítsa a fájlt a következő használatával:

  • Fájlnév (kiterjesztéssel együtt). A szabály olyan választható feltételeket is támogat, mint a legalacsonyabb buildverzió, a termék neve vagy a belső név. A rendszer nem kötelező feltételeket használ a fájl további ellenőrzésére a jogosultságszint-emelési kísérlet során. A fájlnév (a kiterjesztések kivételével) tartalmazhat változókat egyetlen karakterhez kérdőjel ? vagy karakterláncok *használata kérdőjel használatával.
  • Tanúsítvány. A tanúsítványok közvetlenül egy szabályhoz vagy egy újrafelhasználható beállításcsoport használatával adhatók hozzá. A tanúsítványoknak megbízhatónak és érvényesnek kell lenniük. Javasoljuk az újrafelhasználható beállításcsoportok használatát, mivel azok hatékonyabbak és egyszerűbbek lehetnek a tanúsítvány későbbi módosításához. További információ: Újrafelhasználható beállítások csoportjai.

• Ellenőrizze a fájlt:

  • Fájlkivonat. Az automatikus szabályokhoz fájlkivonat szükséges. A jogosultságszint-emelési típusú, jelenleg jóváhagyott felhasználó vagy Jogosultságszint-emelési típussal rendelkező szabályok esetén tanúsítványt vagy fájlkivonatot használhat, amely esetben a fájlkivonat megadása nem kötelező.
  • Tanúsítvány. A fájltulajdonságok a fájl aláírásához használt közzétevői tanúsítvánnyal együtt ellenőrizhetők. A tanúsítványok ellenőrzése Windows API-kkal történik, amelyek ellenőrzik az olyan attribútumokat, mint a megbízhatóság, a tanúsítvány lejárata és a visszavonás állapota.
  • Fájltulajdonságok. A szabályokban megadott összes többi tulajdonságnak meg kell egyeznie.

• Konfigurálja a fájlok jogosultságszint-emelésének típusát. A jogosultságszint-emelés típusa azt határozza meg, hogy mi történik, amikor jogosultságszint-emelési kérelmet küldenek a fájlhoz. Alapértelmezés szerint ez a beállítás a Felhasználó által megerősítve értékre van állítva. A jelenlegi felhasználóként való jogosultságszint-emelés kivételével az EPM virtuális fiókot használ a folyamatok magasabb szintre emeléséhez. Ez elkülöníti az emelt szintű műveleteket a felhasználó profiljából, így csökkenti a felhasználóspecifikus adatoknak való kitettséget, és csökkenti a jogosultságok kiterjesztésének kockázatát.

  • Megtagadás: A megtagadási szabályok megakadályozzák, hogy az azonosított fájl rendszergazda jogú környezetben fusson.

  • Támogatás jóváhagyva: Egy rendszergazdának jóvá kell hagynia a támogatáshoz szükséges jogosultságszint-emelési kérelmet , mielőtt az alkalmazás magasabb szintű jogosultságokkal futhatna.

  • Felhasználó megerősítve: A felhasználó által megerősített jogosultságszint-emeléshez a felhasználónak mindig ki kell választania egy megerősítési kérést a fájl futtatásához. A megerősítés konfigurálható csak felhasználói hitelesítésre, üzleti indoklásra (amely látható a jelentésben) vagy mindkettőre.

  • Szintemelés jelenlegi felhasználóként: Ez a jogosultságszint-emelési szintre emelés a bejelentkezett felhasználó saját fiókjában futtatja az emelt szintű emelés folyamatát, így megőrizve az aktív felhasználói profilra támaszkodó eszközökkel és telepítőkkel való kompatibilitást. Ehhez a felhasználónak meg kell adnia a hitelesítő adatait a Windows hitelesítéshez. Ez megőrzi a felhasználó profiljának elérési útját, környezeti változóit és személyre szabott beállításait. Mivel az emelt szintű eljárás ugyanazt a felhasználói identitást tartja fenn a jogosultságszint-emelés előtt és után, az auditnaplók konzisztensek és pontosak maradnak.

    Mivel azonban az emelt szintű folyamat a felhasználó teljes környezetét örökli, ez a mód szélesebb támadási felületet vezet be, és csökkenti a felhasználói adatoktól való elkülönítést.

    Főbb szempontok:

    • Kompatibilitási szükséglet: Ezt a módot csak akkor használja, ha a virtuális fiókszint-emelés alkalmazáshibákat okoz.
    • Hatókör szűkítése: A kockázat csökkentése érdekében korlátozza a jogosultságszint-emelési szabályokat megbízható bináris fájlokra és elérési utakra.
    • Biztonsági kompromisszum: Vegye figyelembe, hogy ez az üzemmód növeli a felhasználóspecifikus adatoknak való kitettséget.

    Tipp

    Ha a kompatibilitás nem jelent problémát, a magasabb biztonság érdekében előnyben részesítse azt a módszert, amely a virtuális fiókszint-emelést használja.

  • Automatikus: Az automatikus jogosultságszint-emelés a felhasználó számára nem látható módon történik. A rendszer nem kérdez rá, és nem jelzi, hogy a fájl emelt szintű környezetben fut.

• A gyermekfolyamatok viselkedésének kezelése. Szabályozhatja, hogy a jogosultságszint-emelési szabályok hogyan vonatkozzanak az emelt szintű fölérendelt folyamat által elindított gyermekfolyamatokra.

  • Szabály jogosultságszint-emelésének megkövetelése – a gyermekfolyamatoknak meg kell felelniük a saját szabálykövetelményeiknek az emelt szintű emelés előtt. A gyermekfolyamat a szabálydefiníciója szerint emeli az emelést, beleértve az esetleges megtagadási szabályokat is.

  • Az összes megtagadása – Minden alárendelt folyamat rendszergazda szintű környezet nélkül indul el.

  • Emelt szintű felügyelet alá tartozó alárendelt folyamatok futtatásának engedélyezése – a rendszergazda emelt szintű szülő által elindított gyermekfolyamatok automatikusan rendszergazda szinttel fognak futni. Ha ez a beállítás be van jelölve, a rendszer kihagyja a gyermekfolyamat szabályértékelését, beleértve a megtagadási szabályokat is. Ez azt jelenti, hogy a gyermekfolyamat akkor is rendszergazda joggal futhat, ha explicit megtagadási szabály létezik az adott folyamathoz.

  Ajánlott eljárás: A nem szándékos jogosultságszint-emelés megakadályozása érdekében ne hozzon létre túl tág jogosultságszint-emelési szabályokat az olyan alkalmazásokhoz, amelyek más folyamatokat is elindíthatnak (például parancshéjakat vagy parancsfájl-végrehajtókat).

Megjegyzés:

Az erős szabályok létrehozásával kapcsolatos további információkért lásd: Szabályok meghatározása a Végponti jogosultságkezelés használatához.

Az EpmTools PowerShell-moduljában található PowerShell-parancsmagot is használhatjaGet-FileAttributes. Ez a parancsmag lekérheti a .exe fájlok fájlattribútumait, és kinyerheti a közzétevői és hitelesítésszolgáltatói tanúsítványait egy megadott helyre, amelyet egy adott alkalmazás jogosultságszint-emelési szabály tulajdonságainak feltöltéséhez használhat.

Figyelem!

Azt javasoljuk, hogy az automatikus jogosultságszint-emelést csak mértékletesen használja, és csak a megbízható fájlokhoz, amelyek nélkülözhetetlenek az üzletvitelhez. A végfelhasználók automatikusan jogosultságszintre emelik ezeket az alkalmazásokat az alkalmazás minden egyes indításakor.

A Végponti jogosultságkezelés szabályainak megadása

Végponti jogosultságkezelés szabályai két alapvető elemből állnak: egy észlelési és egy jogosultságszint-emelési műveletből.

Az észlelések az alkalmazások vagy bináris elemek azonosítására használt attribútumok készlete. Ezek közé az attribútumok közé tartozik a fájlnév, a fájlverzió és az aláírás tulajdonságai.

A jogosultságszint-emelési műveletek az alkalmazás vagy bináris fájl észlelése után bekövetkező jogosultságszint-emelés.

Az észlelések meghatározásakor fontos, hogy azok a lehető legleíróbbak legyenek. A leíró jelleg érdekében használjon erős attribútumokat, vagy több attribútumot az észlelés erősségének növeléséhez. Az észlelések meghatározásakor azt kell célozni, hogy több fájl ne essen ugyanannak a szabálynak a hatálya alá, hacsak nem kifejezetten ez a szándék.

Fájlkivonat-szabályok

A fájlkivonat-szabályok a legerősebb szabályok, amelyek a Végponti jogosultságkezelés használatával hozhatók létre. Ezek a szabályok erősen ajánlottak annak biztosítására, hogy az emelni kívánt fájl az emelt szintű emelés legyen.

A fájlkivonat a közvetlen binárisból gyűjthető össze a Get-Filehash PowerShell metódussal vagy közvetlenül a jelentésekből Végponti jogosultságkezelés.

A tanúsítvány szabályai

A tanúsítványszabályok erős attribútumtípusok, ezért más attribútumokkal kell párosítani őket. Ha olyan attribútumokkal párosít egy tanúsítványt, mint a terméknév, a belső név és a leírás, azzal jelentősen javítja a szabály biztonságát. Ezeket az attribútumokat egy fájlaláírás védi, és gyakran az aláírt fájl sajátosságait jelzik.

Figyelem!

Nem ajánlott csak tanúsítványt és fájlnevet használni a fájlok azonosítására. A fájl helyét tartalmazó könyvtárhoz hozzáféréssel rendelkező bármely általános jogú felhasználó módosíthatja a fájlnevet. Ez a probléma nem feltétlenül jelent problémát az írásvédett könyvtárban található fájlok esetén.

Fájlnevet tartalmazó szabályok

A fájlnév olyan attribútum, amely az emelt szintű emelést igénylő alkalmazások észlelésére használható. A fájlnevek azonban könnyen megváltoztathatók, és nem képezik a közzétevő tanúsítványa által aláírt kivonat vagy attribútumok részét.

Ez azt jelenti, hogy a fájlnevek nagyon érzékenyek a változásra. A nem szándékosan megcélzott, megbízható tanúsítvánnyal aláírt Files átnevezhető észleléshez és emelt szint emeléséhez.

Fontos

Mindig győződjön meg arról, hogy a fájlnevet tartalmazó szabályok olyan egyéb attribútumokat is tartalmaznak, amelyek erős megerősítést biztosítanak a fájl identitásával kapcsolatban. Az olyan attribútumok, mint a fájlkivonat vagy a fájlok aláírásában szereplő tulajdonságok (például a terméknév) jól jelzik, hogy valószínűleg az emelt szintű emelésre szánt fájlt kívánja használni.

A PowerShell által gyűjtött attribútumokon alapuló szabályok

A pontosabb fájlészlelési szabályok összeállításához használhatja a Get-FileAttributes PowerShell-parancsmagot. Az EpmTools PowerShell-modulból elérhető Get-FileAttributes lekérheti a fájlattribútumokat és a tanúsítványlánc anyagát egy fájlhoz, és a kimenet használatával feltöltheti egy adott alkalmazás jogosultságszint-emelési szabályának tulajdonságait.

Példa modulimportálási lépésekre és kimenetre Get-FileAttributes msinfo32.exe futtatása Windows 11 10.0.22621.2506-os verzión:

PS C:\Windows\system32> Import-Module 'C:\Program Files\Microsoft EPM Agent\EpmTools\EpmCmdlets.dll'
PS C:\Windows\system32> Get-FileAttributes -FilePath C:\Windows\System32\msinfo32.exe -CertOutputPath C:\CertsForMsInfo\

FileName      : msinfo32.exe
FilePath      : C:\Windows\System32
FileHash      : 18C8442887C36F7DB61E77013AAA5A1A6CDAF73D4648B2210F2D51D8B405191D
HashAlgorithm : Sha256
ProductName   : Microsoft® Windows® Operating System
InternalName  : msinfo.dll
Version       : 10.0.22621.2506
Description   : System Information
CompanyName   : Microsoft Corporation

Megjegyzés:

A msinfo32.exe tanúsítványlánca a példában felsorolt C:\CertsForMsInfo könyvtárba kerül.

További információ: EpmTools PowerShell-modul.

A gyermekfolyamat viselkedésének szabályozása

A gyermekfolyamat viselkedése lehetővé teszi a környezet szabályozását, amikor az EPM-mel emelt szintre emelt folyamat gyermekfolyamatot hoz létre. Ez a viselkedés lehetővé teszi olyan folyamatok szabályozását, amelyek automatikusan delegálnák a szülőfolyamat környezetét.

A Windows automatikusan delegálja a szülői környezetet a gyermeknek, ezért különös gondossággal szabályozza az engedélyezett alkalmazások viselkedését. Győződjön meg arról, hogy kiértékeli, mire van szükség jogosultságszint-emelési szabályok létrehozásakor, és implementálja a legkisebb jogosultság elvét.

Megjegyzés:

A gyermekfolyamat viselkedésének módosítása kompatibilitási problémákat okozhat bizonyos alkalmazásokkal, amelyek a Windows alapértelmezett viselkedését várják. Győződjön meg róla, hogy alaposan teszteli az alkalmazásokat, amikor a gyermekfolyamat viselkedését módosítja.

A Végponti jogosultságkezeléssel létrehozott szabályok üzembe helyezése

Végponti jogosultságkezelés szabályai a Microsoft Intune bármely más házirendjéhez hasonlóan kerülnek üzembe helyezésre. Ez azt jelenti, hogy a szabályok telepíthetők a felhasználókra vagy az eszközökre, és a szabályok egyesítve jelennek meg az ügyféloldalon, és futásidőben kiválaszthatók. Az ütközések feloldása a házirend ütközési viselkedése alapján történik.

Az eszközön telepített szabályok az eszközt használó minden felhasználóra érvényesek. A felhasználókra telepített szabályok csak az adott felhasználóra vonatkoznak az általa használt egyes eszközökön. Jogosultságszint-emelési művelet végrehajtásakor a felhasználóra telepített szabályok elsőbbséget élveznek az eszközön üzembe helyezett szabályokkal szemben. Ez a viselkedés lehetővé teszi, hogy egy szabálykészletet telepítsen egy eszköz összes felhasználójára, és egy megengedőbb szabálykészletet egy adott felhasználóra (például a támogatási rendszergazdára). Ez lehetővé tenné a támogatási rendszergazda számára, hogy az eszközön való bejelentkezéskor az alkalmazások szélesebb körét emelje előre.

Az alapértelmezett jogosultságszint-emelési viselkedés csak akkor használatos, ha nem található egyezés a szabályokkal. Az alapértelmezett jogosultságszint-emelési viselkedés csak akkor érvényes, ha a jogosultságszint-emelést a Futtatás emelt szintű hozzáféréssel jobb kattintással indítja el.

Jogosultságszint-emelési szabályok házirendjének létrehozása

Jogosultságszint-emelési szabályok szabályzatot helyezhet üzembe a felhasználók vagy eszközök számára, hogy üzembe helyezzen egy vagy több szabályt a jogosultságszint-emelést a Végponti jogosultságkezelés által kezelt fájlokhoz. A házirendhez hozzáadott minden egyes szabály:

• A fájlt azonosítja a fájlnév és fájlnévkiterjesztés alapján, amelynek jogosultságszint-emelési kérelmeit kezelni szeretné.
• Tanúsítványt is tartalmazhat a fájl sértetlenségének ellenőrzéséhez. Felvehet egy olyan tanúsítványt tartalmazó újrafelhasználható csoportot is, amelyet azután egy vagy több szabállyal vagy házirenddel használhat.
• Tartalmazhat egy vagy több manuálisan hozzáadott fájlargumentumot vagy parancssori kapcsolót. Amikor fájlargumentumokat ad egy szabályhoz, az EPM csak azoknak a kérelmeknek engedélyezi a fájlszint-emelést, amelyek tartalmazzák az egyik meghatározott parancssort. Ha egy definiált parancssor nem része a fájlszint-emelési kérelemnek, az EPM elutasítja azt.
• Azt adja meg, hogy a fájl jogosultságszint-emelési típusa automatikus (csendes módon) legyen-e, vagy felhasználói megerősítést igényel-e. A felhasználói megerősítéssel megkövetelheti a hitelesítő adatok bekérésével történő ellenőrzést, üzleti indoklást vagy mindkettőt.

Megjegyzés:

Ezen a házirenden kívül az eszközhöz hozzá kell rendelni egy Windows jogosultságszint-emelési beállításokat tartalmazó szabályzatot is, amely lehetővé teszi a Végponti jogosultságkezelést.

Az alábbi módszerek valamelyikével hozzon létre új jogosultságszint-emelési szabályokat, amelyek hozzá lesznek adva a jogosultságszint-emelési szabályok házirendjéhez:

• Jogosultságszint-emelési szabályok automatikus konfigurálása – Ezzel a módszerrel időt takaríthat meg jogosultságszint-emelési szabály létrehozásakor azáltal, hogy fájlokat ad hozzá a jelentésből. Szabályok létrehozhatók a jogosultságszint-emelési jelentés használatával vagy a támogatás által jóváhagyott jogosultságszint-emelési kérelmek rekordjában.

  Ezzel a módszerrel:

  • Válassza ki a jogosultságszint-emelési jelentésből azt a fájlt, amelyhez jogosultságszint-emelési szabályt szeretne létrehozni, vagy támogassa a jóváhagyott jogosultságszint-emelési kérelmeket.
  • Adja hozzá az új jogosultságszint-emelési szabályt egy meglévő jogosultságszint-emelési szabályok szabályzatához, vagy hozzon létre egy új jogosultságszint-emelési szabályok házirendet, amely tartalmazza az új szabályt.
    • A meglévő házirendhez hozzáadva az új szabály azonnal elérhetővé válik a hozzárendelt csoportokat tartalmazó házirendlistán.
    • Ha új házirendet hoz létre, a házirendet szerkesztenie kell a csoportok hozzárendeléséhez, mielőtt az elérhetővé válik.

• Jogosultságszint-emelési szabályok manuális konfigurálása – Ehhez a módszerhez azonosítania kell az észleléshez használni kívánt fájladatokat, és manuálisan meg kell adnia azokat a szabálylétrehozási munkafolyamat részeként. További információ az észlelési feltételekről: Szabályok megadása a Végponti jogosultságkezelés használatához.

  Ezzel a módszerrel:

  • Manuálisan határozza meg a használandó fájladatokat, majd vegye fel őket a fájlazonosítási jogosultságszint-emelési szabályba.
  • A házirend létrehozása során konfigurálja a házirend minden aspektusát, beleértve a házirend csoportokhoz való hozzárendelését is.
  • Egy vagy több fájlargumentumot is hozzáadhat, amelyeknek a jogosultságszint-emelési kérelem részét kell képezniük, mielőtt az EPM engedélyezné a fájlemelést.

Tipp

Mind az automatikus, mind a manuálisan konfigurált jogosultságszint-emelési szabályok esetén javasoljuk egy olyan fájl elérési útját , amely olyan helyre mutat, amelyet az általános jogú felhasználók nem módosíthatnak.

Jogosultságszint-emelési szabályok automatikus konfigurálása a Windows jogosultságszint-emelési szabályok házirendjéhez

1. Jelentkezzen be a Microsoft Intune Felügyeleti központba, és nyissa meg az Endpoint securityVégponti>jogosultságkezelés lapot. A jogosultságszint-emelési szabályhoz használandó fájl kiválasztásához válassza az alábbi kezdő útvonalak egyikét:

   Kiindulás jelentésből:

   1. Válassza a Jelentések fület, majd a Jogosultságszint-emelési jelentés csempét. A Fájl oszlopban keresse meg azt a fájlt, amelyhez szabályt szeretne létrehozni.
   2. Válassza ki a fájl hivatkozott nevét a fájl megnyitásához Jogosultságszint-emelés részleteit tartalmazó panel.

   Kezdje egy támogatás által jóváhagyott jogosultságszint-emelési kérelemmel:

   1. Válassza a Jogosultságszint-emelési kérelem lapot.

   2. A Fájl oszlopban válassza ki a jogosultságszint-emelési szabályhoz használni kívánt fájlt; ekkor megnyílik a fájl jogosultságszint-emelési részleteinek panelje .

      A jogosultságszint-emelési kérelem állapota nem számít. Használhat függőben lévő kérelmet, illetve egy korábban jóváhagyott vagy elutasított kérelmet.

2. A Jogosultságszint részletei panelen tekintse át a fájl részleteit. A jogosultságszint-emelési szabály ezeket az információkat használja a helyes fájl azonosításához. Ha elkészült, válassza a Szabály létrehozása ezekkel a fájladatokkal lehetőséget.

   

3. Válasszon egy házirend-beállítást a létrehozott új jogosultságszint-emelési szabályhoz:

   Hozzon létre egy új házirendet: Ez a beállítás egy új házirendet hoz létre, amely tartalmaz egy jogosultságszint-emelési szabályt a kiválasztott fájlhoz.

   1. A szabályhoz konfigurálja a Típus és a Gyermek folyamat viselkedését, majd válassza az OK gombot a házirend létrehozásához.
   2. Amikor a rendszer kéri, adja meg az új házirend nevét , és erősítse meg a létrehozását.
   3. A házirend létrehozása után szerkesztheti azt, hozzárendelheti azt, és egyéb módosításokat is végezhet.

   Hozzáadás egy meglévő házirendhez: Ezzel a beállítással a legördülő listában kiválaszthat egy meglévő jogosultságszint-emelési szabályzatot, amelyhez hozzá lett adva az új jogosultságszint-emelési szabály.

   1. A szabályhoz konfigurálja a jogosultságszint-emelés típusát és a gyermek folyamat viselkedését, majd válassza az OK gombot. A házirend frissül az új szabállyal.
   2. Miután hozzáadta a szabályt a házirendhez, szerkesztheti azt, hogy hozzáférést kapjon a szabályhoz, majd szükség esetén további konfigurációk hozzáadásával módosítsa.

   Ugyanazt a fájlelérési utat kell megadni, mint ez a jogosultságszint-emelés: Ha bejelöli ezt a jelölőnégyzetet, a szabályban az Elérési út mezőben a jelentésben látható elérési útra lesz beállítva. Ha nincs bejelölve, az elérési út üres marad.

   Tipp

   Bár nem kötelező, azt javasoljuk, hogy olyan fájlelérési utat használjon, amely olyan helyre mutat, amelyet általános felhasználók nem módosíthatnak.

   

Jogosultságszint-emelési szabályok kézi konfigurálása a Windows jogosultságszint-emelési szabályok házirendjéhez

1. Jelentkezzen be a Microsoft Intune Felügyeleti központba, és lépjen az Endpoint securityVégponti>jogosultságkezelés> lapra, válassza a Házirendek lapot>, majd válassza a Házirend létrehozása lehetőséget. Állítsa a PlatformotWindowsra, a Profilta Windows-szintemelési szabályok házirendjére, majd válassza a Létrehozás lehetőséget.

2. Az Alapbeállítások lapon adja meg a következő tulajdonságokat:

   • Név: Adja meg a profil leíró nevét. Nevezze el a profilokat, hogy később könnyen azonosíthassa őket.
   • Leírás: Itt adhatja meg a profil leírását. Ez a beállítás nem kötelező, de ajánlott.

3. A Konfigurációs beállítások lapon adjon hozzá egy szabályt minden olyan fájlhoz, amelyet ez a házirend kezel. Új házirend létrehozásakor a rendszer egy üres szabályt tartalmaz, amely a jogosultságszint-emelés típusát a Felhasználó jóváhagyta , szabály neve nélkül. Első lépésként konfigurálja ezt a szabályt, majd később a Hozzáadás gombra kattintva további szabályokat adhat hozzá a házirendhez. Minden újonnan hozzáadott szabály jogosultságszint-emelési típusa Felhasználó jóváhagyva, amely a szabály konfigurálásakor módosítható.

   

   Szabály konfigurálásához válassza a Példány szerkesztése lehetőséget a Szabály tulajdonságai lap megnyitásához, majd konfigurálja a következőt:

   

   • Szabály neve: Adjon meg egy leíró nevet a szabályhoz. Nevezze el a szabályokat, hogy később könnyen felismerhesse őket.
   • Leírás (nem kötelező): Adja meg a profil leírását.

   A jogosultságszint-emelési feltételek olyan feltételek, amelyek meghatározzák egy fájl futásának módját, valamint azokat a felhasználói érvényesítéseket, amelyeknek teljesülniük kell ahhoz, hogy a szabály által érintett fájl futtatható legyen.

   • Jogosultságszint-emelés típusa: Alapértelmezés szerint ez a beállítás a Felhasználó által megerősítve értékre van állítva, amely a leggyakrabban használt jogosultságszint-emelési típus, mivel lehetővé teszi a jogosultságszint-emelést, de felhasználói nyugtázást igényel.

     • Megtagadás: A megtagadási szabály megakadályozza, hogy az azonosított fájl rendszergazda jogú környezetben fusson. A következő viselkedés érvényes:

       • Az elutasítási szabályok ugyanazokat a konfigurációs beállításokat támogatják, mint a többi jogosultságszint-emelési típus, kivéve a gyermekfolyamat beállításait. Ez a szabály nem használja a gyermekfolyamat beállításait, még akkor sem, ha konfigurálva vannak.
       • Amikor egy felhasználó megkísérel jogosultságszint-emelést végezni egy olyan fájlnál, amely megfelel egy megtagadási szabálynak, a jogosultságszint-emelés sikertelen lesz. Az EPM üzenetben jelzi, hogy az alkalmazás nem futtatható rendszergazdaként. Ha a felhasználóhoz is hozzá van rendelve egy olyan szabály, amely engedélyezi ugyanennek a fájlnak a jogosultságszintjének emelését, a megtagadási szabály élvez elsőbbséget.
       • A megtagadott jogosultságszint-emelések megtagadottként jelennek meg a jogosultságszint-emelési jelentésben, hasonlóan az elutasított támogatás által jóváhagyott kérelmekhez.
       • Az EPM jelenleg nem támogatja az elutasítási szabályok automatikus konfigurálását a kiértékelési jelentésből.

     • Támogatás jóváhagyva: Ehhez a jogosultságszint-emelési típushoz egy rendszergazdának jóvá kell hagynia egy jogosultságszint-emelési kérelmet. További információ: Támogatás által jóváhagyott jogosultságszint-emelési kérelmek.

       Fontos

       A fájlok támogatásának jóváhagyott jogosultságszint-emelése megköveteli, hogy a további engedélyekkel rendelkező rendszergazdák rendszergazdai engedélyekkel tekintsék át és hagyják jóvá az adott fájl előtti minden fájlszint-emelési kérelmet az eszközön. A támogatás által jóváhagyott jogosultságszint-emelési típus használatáról további információt a Támogatás által jóváhagyott fájlszint-emelések a Végponti jogosultságkezelés című témakörben talál.

     • Felhasználó megerősítve: Általában olyan fájlokhoz használják, amelyek jogosultságszint-emelést igényelnek, mert lehetővé teszi a jogosultságszint-emelést, de felhasználói nyugtázást igényel. Egy fájl futtatásakor a felhasználó egy egyszerű üzenetet kap, amely megerősíti a futtatási szándékát. A szabály az Érvényesítés legördülő menüben elérhető egyéb parancsokat is tartalmazhat:

       • Üzleti indoklás: Megköveteli a felhasználótól, hogy adja meg a fájl futtatásának indoklását. A bejegyzésnek nincs kötelező formátuma. A rendszer menti a felhasználói bevitelt, és naplókon keresztül áttekintheti, ha a jelentéskészítési hatókör tartalmazza a végpontszint-emelések gyűjtését.
       • Windows-hitelesítés: Ehhez a beállításhoz a felhasználónak hitelesítenie kell magát a szervezeti hitelesítő adataival.

     • Automatikus: Ez a jogosultságszint-emelési típus automatikusan emelt szintű engedélyekkel futtatja a fájlt. Az automatikus jogosultságszint-emelés transzparens a felhasználó számára anélkül, hogy megerősítést kérne, illetve indoklást vagy hitelesítést igényelne a felhasználótól.

       Figyelem!

       Csak kivétel útján és megbízható fájlokhoz használjon automatikus jogosultságszint-emelést. Ezek a fájlok felhasználói beavatkozás nélkül automatikusan rendszeresek. A nem megfelelően definiált szabályok lehetővé tehetik a nem jóváhagyott alkalmazások jogosultságszint-emelését. Erős szabályok létrehozásával kapcsolatos további információkért tekintse meg a szabályok létrehozásának útmutatóját.

   • Gyermekfolyamat viselkedése: Alapértelmezés szerint ez a beállítás a Szabály jogosultságszint-emelését követeli meg, ami megköveteli, hogy a gyermekfolyamat ugyanazzal a szabállyal egyezzen, mint az azt létrehozó folyamat. További lehetőségek:

     • Emelt szintű futtatás engedélyezése minden gyermekfolyamatnak: Ezt a beállítást körültekintően kell használni, mivel lehetővé teszi, hogy az alkalmazások feltétel nélkül hozzanak létre gyermekfolyamatokat.
     • Az összes megtagadása: Ez a konfiguráció megakadályozza gyermekfolyamat létrehozását.

   A fájlinformációkkal adja meg azokat a részleteket, amelyek azonosítják azt a fájlt, amelyre a szabály vonatkozik.

   • Fájlnév: Adja meg a fájl nevét és kiterjesztését. Például: myapplication.exe. A fájlnévben egy változót is használhat.

   • Fájl elérési útja (nem kötelező): Adja meg a fájl helyét. Ha a fájl bárhonnan futtatható, vagy ismeretlen, hagyja üresen ezt a mezőt. Használhat másik változót is.

     Tipp

     Bár nem kötelező, azt javasoljuk, hogy olyan fájlelérési utat használjon, amely olyan helyre mutat, amelyet általános felhasználók nem módosíthatnak.

   • Aláírás forrása: Válasszon az alábbi lehetőségek közül:

     • Használjon tanúsítványfájlt az újrafelhasználható beállításokban (alapértelmezett): Ez a beállítás olyan tanúsítványfájlt használ, amelyet korábban hozzáadtak a Végponti jogosultságkezelés újrafelhasználható beállításainak csoportjához. A beállítás használatához létre kell hoznia egy újrafelhasználható beállításcsoportot .

       A tanúsítvány azonosításához válassza a Tanúsítvány hozzáadása vagy eltávolítása lehetőséget, majd jelölje ki a megfelelő tanúsítványt tartalmazó újból felhasználható csoportot. Ezután adja meg a Közzétevő vagy a Hitelesítésszolgáltató tanúsítványtípusát.

     • Tanúsítványfájl feltöltése: Vegyen fel egy tanúsítványfájlt közvetlenül a jogosultságszint-emelési szabályba. A Fájlfeltöltés mezőben adjon meg egy .cer fájlt, amellyel ellenőrizhető annak a fájlnak a sértetlensége, amelyre a szabály vonatkozik. Ezután adja meg a Közzétevő vagy a Hitelesítésszolgáltató tanúsítványtípusát.

     • Nincs konfigurálva: Akkor használja ezt a lehetőséget, ha nem szeretne tanúsítványt használni a fájl sértetlenségének ellenőrzéséhez. Ha nem használ tanúsítványt, meg kell adnia egy fájlkivonatot.

   • Fájlkivonat: A fájlkivonatra akkor van szükség, ha az aláírás-forrás Nincs konfigurálva értékre van állítva, és opcionális, ha tanúsítványt használ.

   • Minimális verzió: (Nem kötelező) Az x.x.x.x formátummal adhatja meg a szabály által támogatott minimális fájlverziót.

   • Fájlleírás: (Nem kötelező) Adja meg a fájl leírását.

   • Terméknév: (Nem kötelező) Adja meg a fájl forrása termék nevét.

   • Belső név: (Nem kötelező) Adja meg a fájl belső nevét.

   A szabálykonfiguráció mentéséhez válassza a Mentés gombot. Ezután további szabályokat is felvehet . Miután hozzáadta az összes szabályt, amelyet ez a házirend megkövetel, válassza a Tovább gombot a folytatáshoz.

4. A Hatókörcímkék lapon válassza ki az alkalmazni kívánt hatókörcímkéket, majd válassza a Tovább gombot.

5. A Hozzárendelések beállításnál válassza ki azokat a csoportokat, amelyek megkapják a házirendet. További információért a profilok hozzárendeléséről lásd: Felhasználói és eszközprofilok hozzárendelése. Válassza a Tovább gombot.

6. Az Áttekintés + létrehozás területen tekintse át a beállításokat, majd válassza a Létrehozás lehetőséget. Ha a Létrehozás lehetőséget választja, a rendszer menti a módosításokat, és hozzárendeli a profilt. A házirend a házirendek listájában is látható.

Változók használata a jogosultságszint-emelési szabályokban

A fájlszint-emelési szabályok manuális konfigurálása esetén használhat helyettesítő karaktereket a jogosultságszint-emelési szabály házirendjének Szabály tulajdonságai lapján elérhető következő konfigurációkhoz:

• Fájlnév: A fájlnév részeként helyettesítő karakterek használata támogatott a Fájlnév mező konfigurálásakor.
• Mappa elérési útja: A mappa elérési útja mező konfigurálásakor a helyettesítő karakterek használata a mappa elérési útjának részeként támogatott.

Megjegyzés:

Az automatikus jogosultságszint-emelési szabályok nem támogatják a helyettesítő karaktereket.

A helyettesítő karakterek rugalmasságot biztosítanak a szabályokban, és támogatják azokat a megbízható fájlokat, amelyek neve a későbbi módosítások során gyakran változhat, vagy amelyek elérési útja is megváltozhat.

A következő helyettesítő karakterek használata támogatott:

• Kérdőjel ? – A kérdőjelek helyettesítik a fájlnévben az egyes karaktereket.
• Csillag * – A csillag egy karakterláncot helyettesít a fájlnévben.

A támogatott helyettesítő karakterek használatát az alábbi példák mutatják be:

• A Visual Studio telepítőfájljának neve:VSCodeSetup-arm64-1.99.2.exe

  • VSCodeSetup*.exe
  • VSCodeSetup-arm64-*.exe
  • VSCodeSetup-?????-1.??.?.exe

• Ugyanannak a fájlnak az elérési útja, amely általában itt C:\Users\<username>\Downloads\található:

  • C:\Users\*\Downloads\

Tipp

Ha változókat használ egy fájlnévben, kerülje az ütköző szabálytulajdonságok használatát. Egy fájlkivonat például csak egy fájlnak felel meg, így a helyettesítő karakter felesleges lehet.

Fájlargumentumok használata jogosultságszint-emelési szabályokhoz

A fájlszint-emelési szabályok korlátozhatók a jogosultságszint-emelés engedélyezéséhez adott argumentumokkal.

Például a dsregcmd hasznos lehet egy eszköz állapotának vizsgálatához a Microsoft Entra ID-ban, de jogosultságszint-emelést igényel. A fájlok vizsgálathoz való használatának támogatása érdekében konfigurálhatja a szabályt a dsregcmd argumentumlistájával, amely tartalmazza a /status, a /listaccounts és egyebek kapcsolóit. Azonban az olyan romboló műveletek megakadályozása érdekében, mint az eszköz regisztrációjának törlése, ki kell zárni a /leave fájlhoz hasonló argumentumokat. Ezzel a konfigurációval a szabály csak akkor engedélyezi a jogosultságszint-emelést, ha a /status vagy / listaccounts argumentumokat használja. A dsregcmd végrehajtása a /leave kapcsolóval, amely eltávolítja az eszközt a Microsoft Entra ID-ból, megtagadásra kerül.

Ha egy vagy több argumentumot szeretne hozzáadni egy jogosultságszint-emelési szabályhoz, állítsa a Korlátozás argumentumokbeállítást Engedélyezés listára. Válassza a Hozzáadás lehetőséget, és konfigurálja az engedélyezett parancssori beállításokat. Több argumentum hozzáadásával több parancssort is megadhat, amelyeket a jogosultságszint-emelési kérelmek is támogatnak.

Fontos

A fájlargumentumokra vonatkozó szempontok:

• Az EPM fájlargumentumok listáit használja engedélyezési listánkként. Ha konfigurálva van, az EPM akkor teszi lehetővé a jogosultságszint-emelést, ha nincs argumentumok használatban, vagy csak a megadott argumentumok vannak használatban. A jogosultságszint-emelés le van tiltva, ha olyan argumentumokat használ, amelyek nem találhatók meg a megadott argumentumokban.
• A fájlargumentumok megkülönböztetik a kis- és nagybetűket; A felhasználóknak pontosan a szabályokban meghatározott formátumú kis- és nagybetűket kell egyeztetniük.
• Ne definiáljon titkos kódokat fájlargumentumként.

Újrafelhasználható beállítási csoportok

Végponti jogosultságkezelés újrafelhasználható beállítási csoportokkal kezeli azokat a tanúsítványokat, amelyek ellenőrzik a Végponti jogosultságkezelés jogosultságszint-emelési szabályaival kezelt fájlokat. Az Intune összes újrafelhasználható beállítási csoportjához hasonlóan az újból felhasználható csoportok módosításait is automatikusan átadja a rendszer a csoportra hivatkozó szabályzatoknak. Ha frissítenie kell a fájlellenőrzéshez használt tanúsítványt, akkor csak egyszer kell azt az újrafelhasználható beállítások csoportjában frissítenie. Az Intune a frissített tanúsítványt alkalmazza az adott csoportot használó összes jogosultságszint-emelési szabályra.

Az újrafelhasználható beállítások csoport létrehozása a Végponti jogosultságkezelés számára:

1. Jelentkezzen be a Microsoft Intune Felügyeleti központba, és lépjen az Endpoint securityVégponti>jogosultságkezelés> lapra, válassza az Újbóli felhasználási beállítások (előzetes verzió) lapot>, majd válassza a Hozzáadás lehetőséget.

   

2. Az Alapbeállítások lapon adja meg a következő tulajdonságokat:

   • Név: Adja meg az újból felhasználható csoport leíró nevét. Nevezze el a csoportokat, hogy később könnyebben azonosíthassa őket.
   • Leírás: Itt adhatja meg a profil leírását. Ez a beállítás nem kötelező, de ajánlott.

3. A Konfigurációs beállítások területen válassza a Tanúsítványfájl mappa ikonját, és keresse meg a . CER-fájlt az újból felhasználható csoporthoz való hozzáadáshoz. A 64-es alapú érték mezőt a program a kiválasztott tanúsítvány alapján tölti ki.

   

4. A Véleményezés + létrehozás területen tekintse át a beállításokat, majd válassza a Hozzáadás lehetőséget. A Hozzáadás kiválasztásakor a rendszer menti a konfigurációt, majd a csoport megjelenik a Végponti jogosultságkezelés újrafelhasználható beállítások csoportlistájában.

---

Következő lépések

Következő: Felhasználók átvitele rendszergazdából általános jogú felhasználóvá a Végponti jogosultságkezelés használatával>