A Végponti jogosultságkezelés használata a Microsoft Intune-nal

A Microsoft Intune Végponti jogosultságkezelés (EPM) segítségével a szervezet felhasználói általános jogú felhasználóként (rendszergazdai jogosultságok nélkül) futhatnak, és magasabb szintű jogosultságokat igénylő feladatokat hajthatnak végre. Általában rendszergazdai jogosultságot igénylő feladatok az alkalmazások telepítése (például a Microsoft 365-alkalmazások), az eszközillesztők frissítése és bizonyos Windows-diagnosztika futtatása.

Végponti jogosultságkezelés támogatja a Teljes felügyelet útját azáltal, hogy segít a szervezetnek a legkevesebb jogosultsággal futó, széles felhasználói bázis elérésében, miközben továbbra is emeli a kiválasztott feladatokat, ha szükséges, hogy produktív maradjon. További információ: Teljes felügyelet a Microsoft Intune-nal.

Ez az áttekintés információkat nyújt a vállalati projektálási szolgáltatásról, beleértve az előnyeit, a működését és az első lépéseket.

Érintett szolgáltatás:

• A Windows

Főbb funkciók és előnyök

✅ Ismerje meg az EPM főbb funkcióit és előnyeit

• Alapértelmezés szerint általános jogú felhasználók. A felhasználók helyi rendszergazdai jogosultság nélkül is elvégezhetik feladataikat.
• Igény szerinti jogosultságszint-emelés támogatása. A felhasználók aktiválhatnak bizonyos, informatikai részleg által jóváhagyott bináris fájlokat vagy szkripteket az ideiglenes jogosultságszint-emeléshez.
• Házirendalapú vezérlés. A rendszergazdák beállításokat és szabályokat definiálnak a jogosultságszint-emelési feltételek és viselkedés szabályozására, és részletes szabálylétrehozási képességekkel rendelkeznek a szervezet igényeinek megfelelően.
• Naplózás és jelentéskészítés. Az Intune részletes metaadatokkal naplózza az összes jogosultságszint-emelést.
• Igazodás a Teljes felügyelet alapelveihez a legkisebb jogosultságú hozzáférés engedélyezésével és az oldalirányú mozgás kockázatának minimalizálásával.

Az EPM alapjai

✅ Ismerje meg az EPM működését

Az EPM jogosultságszint-emelés két módszerrel indítható el:

• Automatikusan, vagy;
• Felhasználó által kezdeményezett.

Az EPM háromféle házirenddel konfigurálható, amelyek mindegyike felhasználói csoportokra vagy eszközökre irányulhat:

• Jogosultságszint-emelési beállítások házirendje – szabályozza az EPM-ügyfelet, a jelentéskészítési szintet és az alapértelmezett jogosultságszint-emelési képességet.
• Jogosultságszint-emelési szabályok szabályzata – meghatározza a bináris fájlok vagy szkriptek jogosultságszint-emelési viselkedését feltételek alapján.
• Rendszerszint-emelési rendszerbeállítások házirendje – lehetővé teszi a standard felhasználóknak a kijelölt Windows rendszerbeállítások módosítását, amelyek általában rendszergazdai jogosultságot igényelnek. Ez a házirendtípus támogatja a hálózati beállításokat, például az IPv4, az IPv6 és a DNS-kiszolgáló konfigurációját.

Az eszközön az EPM szolgáltatás virtuális fiókot használ a legtöbb jogosultságszint-emelési típus esetében, amely el van különítve a bejelentkezett felhasználók fiókjától. Egyik fiók sem kerül be a helyi rendszergazdacsoportba. A virtuális fiók használata alól kivételt képez a Jogosultságszint-emelés mint jelenlegi felhasználói jogosultságszint-emelés típusa, amelynek részletesebb ismertetését a következő szakaszban ismertetjük.

Az EPM-ügyfél automatikusan települ, amikor jogosultságszint-emelési beállításokat szabályozó házirend van hozzárendelve az eszközökhöz vagy a felhasználókhoz. Az EPM-ügyfél a "Microsoft EPM Agent Service" szolgáltatást használja, és annak bináris fájljait a "C:\Program Files\Microsoft EPM Agent" címtárban tárolja.

Az alábbi diagram egy magas szintű architektúrát mutat be arról, hogy a rendszer hogyan indítja el az EPM-ügyfélprogramot, ellenőrzi a szabályokat, majd elősegíti a jogosultságszint-emelést:

Szintszint típusai

✅ Az EPM fájlszint-emelésének szabályozása

Az EPM lehetővé teszi a rendszergazdai jogosultságokkal nem rendelkező felhasználóknak, hogy felügyeleti környezetben futtassanak folyamatokat. Jogosultságszint-emelési szabály létrehozásakor a szabály lehetővé teszi az EPM számára, hogy proxyként kezelje a szabály célját, hogy rendszergazdai jogosultságokkal fusson az eszközön. Ennek eredményeként az alkalmazás teljes felügyeleti jogosultsággal rendelkezik az eszközön.

A jelenlegi felhasználótípusként a Jogosultságszint-emelés kivételével az EPM virtuális fiókot használ a folyamatok magasabb szintre emeléséhez. A virtuális fiók használata elkülöníti az emelt szintű műveleteket a felhasználó profiljából, csökkentve ezzel a felhasználóspecifikus adatoknak való kitettséget, és csökkentve a jogosultságok kiterjesztésének kockázatát.

A Végponti jogosultságkezelés használatakor néhány lehetőség közül választhat a jogosultságszint-emelési viselkedésre:

• Automatikus: Automatikus jogosultságszint-emelési szabályok esetén az EPM automatikusan , a felhasználó hozzájárulása nélkül emeli magasabb szintre ezeket az alkalmazásokat. Az e kategóriába tartozó általános szabályok széles körű hatással lehetnek a szervezet biztonsági helyzetére.

• Felhasználó megerősítve: A felhasználó által megerősített szabályokkal a végfelhasználók egy új, jobb kattintásos helyi menüt használhatnak Futtatás emelt szintű hozzáféréssel. A rendszergazdák előírhatják a felhasználótól további ellenőrzés elvégzését hitelesítési kérés, üzleti indoklás vagy mindkettő használatával.

  

• Szintemelés jelenlegi felhasználóként: Ezt a jogosultságszint-emelési típust olyan alkalmazásokhoz használja, amelyek megfelelő működéséhez hozzáférésre van szükség felhasználóspecifikus erőforrásokhoz, például profilelérési utakhoz, környezeti változókhoz vagy futásidejű beállításokhoz. A virtuális fiókot használó jogosultságszint-emelésekkel ellentétben ez a mód az emelt szintű folyamatot a bejelentkezett felhasználó saját fiókjában futtatja, így megőrizve az aktív felhasználói profilra támaszkodó eszközökkel és telepítőkkel való kompatibilitást. Mivel ugyanazt a felhasználói identitást tartja fenn a jogosultságszint-emelés előtt és után, ez a megközelítés konzisztens és pontos naplózást biztosít. Emellett támogatja a Windows-hitelesítést, így a felhasználónak újra hitelesítenie kell magát érvényes hitelesítő adatokkal a jogosultságszint-emelés előtt.

  Mivel azonban az emelt szintű folyamat a felhasználó teljes környezetét örökli, ez a mód szélesebb támadási felületet vezet be, és csökkenti a felhasználói adatoktól való elkülönítést.

  Főbb szempontok:

  • Kompatibilitási szükséglet: Ezt a módot csak akkor használja, ha a virtuális fiókszint-emelés alkalmazáshibákat okoz.
  • Hatókör szűkítése: A kockázat csökkentése érdekében korlátozza a jogosultságszint-emelési szabályokat megbízható bináris fájlokra és elérési utakra.
  • Biztonsági kompromisszum: Vegye figyelembe, hogy ez az üzemmód növeli a felhasználóspecifikus adatoknak való kitettséget.

  Tipp

  Ha a kompatibilitás nem jelent problémát, a magasabb biztonság érdekében előnyben részesítse azt a módszert, amely a virtuális fiókszint-emelést használja.

• Támogatás jóváhagyva: A támogatás által jóváhagyott szabályok esetében a végfelhasználóknak kérelmet kell küldeniük egy emelt szintű engedélyekkel rendelkező alkalmazás futtatásához. Miután beküldte a kérelmet, egy rendszergazda jóváhagyhatja azt. A kérelem jóváhagyása után a végfelhasználó értesítést kap, hogy újra megpróbálkozhat a jogosultságszint-emeléssel az eszközön. További információ e szabálytípus használatáról: Támogatás által jóváhagyott jogosultságszint-emelési kérelmek.

  

• Elutasítás: A megtagadási szabály azonosítja azt a fájlt, amelynek az EPM letiltja az emelt szintű környezetben való futtatását. Bizonyos esetekben a megtagadási szabályok biztosíthatják, hogy az ismert fájlok vagy potenciálisan kártevő szoftverek ne fussanak emelt szintű környezetben.

Az EPM-ügyfél konfigurálható alapértelmezett jogosultságszint-emelési válasszal, vagy speciális szabályokkal, amelyek engedélyezik a meghatározott jogosultságszint-emelési választ.

Szabályok képességei

✅ Fájlok részletes célzása jogosultságszint-emeléshez

Az EPM jogosultságszint-emelési szabályai egy vagy több attribútum (például fájlnév, elérési út stb.) alapján hozhatók létre. Néhány példa a szabályképességekre:

• Gyermekfolyamatvezérlők – Ha a folyamatokat az EPM emeli szintre, szabályozhatja, hogy a gyermekfolyamatok létrehozását hogyan szabályozza az EPM, ami lehetővé teszi, hogy részletes szabályozást gyakoroljon az emelt szintű alkalmazás által esetlegesen létrehozott alfolyamatok felett.

• Argumentumok támogatása – Csak bizonyos paraméterek engedélyezése az alkalmazások rendszergazdai jogosultsága feletti szintű emeléshez.

• Fájlkivonat támogatása – Egyezteti az alkalmazást a fájl kivonata alapján.

• Közzétevői tanúsítvány támogatása – Hozzon létre szabályokat, amelyek az alkalmazás közzétevői tanúsítványának megbízhatóságán alapulnak más attribútumok mellett.

Támogatott fájltípusok

Az EPM az alábbi fájltípusok jogosultságszint-emelését támogatja:

• Kiterjesztéssel rendelkező .exe végrehajtható fájlok.
• Kiterjesztéssel rendelkező Windows Installer-fájlok .msi .
• PowerShell-szkriptek a .ps1 kiterjesztéssel.

Jelentés

✅ Magasságnövekedés nyomon követése a környezetben

Az EPM jelentései segítenek Önnek a szolgáltatás előkészítésében, figyelésében és használatában. A jelentések a nem felügyelt és felügyelt jogosultságszint-emelésekhez állnak rendelkezésre:

• Nem felügyelt jogosultságszint-emelés: Minden olyan fájlszint-emelés, amely a Végponti jogosultságkezelés használata nélkül történik. Ezek a jogosultságszint-emelés akkor fordulhatnak elő, ha egy rendszergazdai jogosultságokkal rendelkező felhasználó a Windows alapértelmezett Futtatás rendszergazdaként műveletét használja.

• Felügyelt jogosultságszint-emelés: A Végponti jogosultságkezelés által elősegített jogosultságszint-emelés. A felügyelt jogosultságszint-emelés magában foglalja az összes olyan jogosultságszint-emelést, amelyet az EPM lehetővé tesz az általános jogú felhasználó számára. Ezek a felügyelt jogosultságszint-emelések olyan szintszint-emeléseket is tartalmazhatnak, amelyek egy jogosultságszint-emelési szabály eredményeként vagy egy alapértelmezett jogosultságszint-emelési művelet részeként következnek be.

Első lépések a Végponti jogosultságkezelés használatában

✅ A vállalati projektirányítási szolgáltatás használatának megkezdése

A Végponti jogosultságkezelés (EPM) kezelése a Microsoft Intune Rendszergazda Központból történik. Amikor a szervezetek elkezdik használni az EPM-et, az alábbi magas szintű folyamatot használják:

• Licencek – EPM és csomag

  • EPM licenc – A Végponti jogosultságkezelés házirendjeinek használata előtt licencelnie kell az EPM-et a bérlőjénél. A licenccel kapcsolatos információkért lásd: Microsoft Intune speciális képességei.
  • Tervezze meg a vállalati projektirányítási szolgáltatást – Mielőtt elkezdené használni az EPM-et, figyelembe kell vennie néhány alapvető követelményt és fogalmat. További információ: Megtervezés az EPM-hez.

• EPM üzembe helyezése – Az EPM telepítéséhez engedélyezze a naplózást, hozzon létre szabályokat, és figyelje a telepítést. További információ: Az EPM üzembe helyezése.

• Az EPM kezelése – Az EPM telepítése után figyelheti a támogatás által jóváhagyott kérelmeket és jogosultságszint-emeléseket. Kezelheti és frissítheti a szabályokat, és ellenőrizheti a felhasználói jogosultságokat.

---

Következő: A vállalati projektirányítás megtervezése >