Sistema operativo senza amministratore
HoloLens 2 riduce al minimo l'area di attacco per l'escalation dei privilegi disabilitando il supporto per il gruppo Administrators e limitando tutto il codice dell'applicazione UWP di terze parti per l'esecuzione solo come utenti standard all'interno della sandbox AppContainer. Questo codice viene concesso solo l'accesso a tali risorse protette dalle funzionalità manifestate in modo esplicito nell'applicazione per un utente nonlevato oltre alle risorse accessibili a tutti i AppContainer. Queste funzionalità dell'applicazione continuano a avere il modello di classificazione a tre livelli:
- Generale
- Limitato
- Finestre
I componenti di Windows possono anche sfruttare la sandbox AppContainer tramite UWP di sistema. Per altre informazioni sulla piattaforma UWP (Universal Windows Platform), vedere documentazione UWP. Inoltre, i componenti di Windows con maggiori esigenze di riduzione dei privilegi (ad esempio pagine di contenuto del browser o parser) usano la sandbox LPAC (Less Privileged AppContainer), che riduce l'accesso al set di risorse accessibile a tutti i AppContainer.
Proprietario del dispositivo
Infine, l'esecuzione di operazioni specifiche a livello di dispositivo, ad esempio l'aggiunta del dispositivo a un tenant o alla gestione degli utenti, è consentita solo per i "proprietari di dispositivi". Questo gruppo viene popolato dagli utenti nel dispositivo tramite uno dei passaggi seguenti:
- Il primo utente nel dispositivo è sempre designato come proprietario.
Importante
Per gli utenti di Microsoft Entra, l'eccezione a questa regola è che se il dispositivo è aggiunto a Microsoft Entra tramite Autopilot o la registrazione bulk di Microsoft Entra, che usa un utente non reale. In questo caso, il primo utente di Microsoft Entra ad accedere al dispositivo potrebbe non essere automaticamente proprietario del dispositivo, a meno che tale utente non abbia il ruolo "Amministratore globale" o "Amministratore locale del dispositivo aggiunto a Microsoft Entra" assegnato nel portale di Azure. Per altre informazioni, vedere la nota seguente.
- Quando un utente viene alzato di livello come proprietario dall'esperienza utente impostazioni da un altro proprietario nel dispositivo.
- Se il proprietario del dispositivo non è più disponibile (lascia l'azienda) e il dispositivo è aggiunto a Microsoft Entra, l'amministratore tenant può modificare il proprietario del dispositivo in un nuovo utente nel portale di Azure. Gli amministratori globali e gli amministratori locali del dispositivo Aggiunti a Microsoft Entra di un tenant di Microsoft Entra vengono connessi in modo implicito come proprietari nel dispositivo senza richiedere uno dei passaggi precedenti.
Gli amministratori IT possono gestire quali app possono accedere tramite i criteri di privacy
Nota
Per altre informazioni su chi viene reso proprietario di un dispositivo in un dispositivo aggiunto a Microsoft Entra, vedere documentazione "Assegna amministratore locale" (ma leggere "amministratore locale" come "proprietario del dispositivo" perché l'amministratore non esiste in HoloLens).
Importante
Microsoft consiglia di usare i ruoli con le autorizzazioni più poche. L'uso di account con autorizzazioni inferiori consente di migliorare la sicurezza per l'organizzazione. L'amministratore globale è un ruolo con privilegi elevati che deve essere limitato agli scenari di emergenza quando non è possibile usare un ruolo esistente.