Sistem operasi tanpa admin
HoloLens 2 meminimalkan area permukaan untuk eskalasi hak istimewa dengan menonaktifkan dukungan untuk grup Administrator dan membatasi semua kode aplikasi UWP pihak ketiga untuk hanya dijalankan sebagai pengguna standar dalam kotak pasir AppContainer. Kode ini hanya diberikan akses ke sumber daya yang dilindungi oleh kemampuan yang secara eksplisit dimanifestasikan dalam aplikasi untuk pengguna yang tidak dielevasi selain sumber daya yang dapat diakses oleh semua AppContainers. Kemampuan aplikasi ini terus memiliki model klasifikasi tiga tingkat:
- Umum
- Dibatasi
- Windows
Komponen Windows juga dapat memanfaatkan kotak pasir AppContainer melalui UWP Sistem. Untuk mempelajari selengkapnya tentang Universal Windows Platform (UWP), lihat dokumentasi UWP. Selain itu, komponen Windows dengan kebutuhan pengurangan hak istimewa yang lebih besar (seperti halaman konten browser atau pengurai) menggunakan kotak pasir Less Privileged AppContainer (LPAC), yang memotong akses ke set sumber daya yang dapat diakses oleh semua AppContainer.
Pemilik perangkat
Akhirnya, eksekusi operasi di seluruh perangkat tertentu, seperti bergabung dengan perangkat ke penyewa atau manajemen pengguna, hanya diizinkan untuk "pemilik perangkat". Grup ini diisi oleh pengguna di perangkat melalui salah satu langkah berikut:
- Pengguna pertama di perangkat selalu ditunjuk sebagai Pemilik.
Penting
Untuk pengguna Microsoft Entra, pengecualian untuk aturan ini adalah bahwa jika perangkat adalah Microsoft Entra bergabung melalui pendaftaran Autopilot atau Microsoft Entra massal, yang menggunakan pengguna non-nyata. Dalam hal ini, pengguna Microsoft Entra pertama yang masuk ke perangkat mungkin tidak dibuat pemilik perangkat secara otomatis kecuali pengguna tersebut memiliki peran "Administrator Global" atau "Administrator Lokal Perangkat Gabungan Microsoft Entra" yang ditetapkan di portal Microsoft Azure. Untuk informasi selengkapnya, lihat catatan di bawah ini.
- Saat pengguna dipromosikan menjadi Pemilik dari Pengaturan UX oleh Pemilik lain di perangkat.
- Jika pemilik perangkat tidak lagi tersedia (meninggalkan perusahaan) dan perangkat bergabung dengan Microsoft Entra, Admin Penyewa dapat mengubah pemilik perangkat ke pengguna baru di portal Microsoft Azure. Administrator Global dan Administrator Lokal Perangkat Gabungan Microsoft Entra dari penyewa Microsoft Entra secara implisit masuk sebagai Pemilik di perangkat tanpa memerlukan salah satu langkah sebelumnya.
Administrator TI dapat mengelola aplikasi apa yang dapat diakses melalui kebijakan Privasi
Nota
Untuk memahami selengkapnya tentang siapa yang dijadikan pemilik perangkat di perangkat yang bergabung dengan Microsoft Entra, lihat dokumentasi "Tetapkan Admin Lokal" (tetapi baca 'admin lokal' sebagai 'pemilik perangkat' karena admin tidak ada di HoloLens).
Penting
Microsoft menyarankan agar Anda menggunakan peran dengan izin terkecil. Menggunakan akun dengan izin yang lebih rendah membantu meningkatkan keamanan untuk organisasi Anda. Administrator Global adalah peran yang sangat istimewa yang harus dibatasi pada skenario darurat ketika Anda tidak dapat menggunakan peran yang ada.