Considerazioni sulla distribuzione e domande frequenti su Endpoint Privilege Management

Articolo
05/01/2024

Nota

Questa funzionalità è disponibile come componente aggiuntivo Intune. Per altre informazioni, vedere Usare le funzionalità del componente aggiuntivo Intune Suite.

Con Microsoft Intune Endpoint Privilege Management (EPM) gli utenti dell'organizzazione possono essere eseguiti come utente standard (senza diritti di amministratore) e completare attività che richiedono privilegi elevati. Le attività che in genere richiedono privilegi amministrativi sono le installazioni di applicazioni (ad esempio Applicazioni Di Microsoft 365), l'aggiornamento dei driver di dispositivo e l'esecuzione di determinate operazioni di diagnostica di Windows.

Endpoint Privilege Management supporta il percorso zero trust consentendo all'organizzazione di ottenere un'ampia base di utenti in esecuzione con privilegi minimi, consentendo al contempo agli utenti di eseguire ancora attività consentite dall'organizzazione per rimanere produttivi.

Le sezioni seguenti di questo articolo illustrano le considerazioni sulla distribuzione e le domande frequenti su EPM.

Si applica a:

Windows 10
Windows 11

Considerazioni sulla distribuzione per Endpoint Privilege Management

Windows 10 dispositivi potrebbero non ricevere immediatamente la conferma delle approvazioni del supporto

Stiamo lavorando per risolvere alcuni scenari che impediscono ai dispositivi Windows 10 di ricevere automaticamente la notifica che una nuova approvazione è pronta per il dispositivo quando si usano le elevazioni approvate. Stiamo lavorando con il proprietario per risolverlo il più rapidamente possibile.

L'organizzazione che disabilita il controllo dell'account utente potrebbe riscontrare problemi con Endpoint Privilege Management

Endpoint Privilege Management non supporta la disabilitazione esplicita di Controllo dell'account utente. I controlli dei criteri di Windows per il comportamento dei prompt di Controllo dell'account utente esistono per controllare il comportamento dei prompt di Controllo dell'account utente. Se le organizzazioni eseguono passaggi aggiuntivi per disabilitare Il controllo dell'account utente al di fuori dei controlli dei criteri esistenti, ad esempio la disabilitazione dei servizi Windows, potrebbero riscontrare problemi con Endpoint Privilege Management.

Le organizzazioni usano Il controllo delle applicazioni per le aziende potrebbe riscontrare problemi durante l'esecuzione di Endpoint Privilege Management

I criteri di controllo delle applicazioni per le aziende che non rappresentano i componenti client EPM potrebbero impedire il funzionamento dei componenti EPM. Per usare EPM con AppControl, assicurarsi che i criteri di controllo delle applicazioni includano regole che consentono il funzionamento di EPM.

Le organizzazioni che limitano gli utenti che possono accedere in modo interattivo potrebbero riscontrare problemi con Endpoint Privilege Management

Endpoint Privilege Management usa un account isolato per facilitare le elevazioni. Questo account richiede la possibilità di creare una sessione di accesso interattiva. Le organizzazioni che limitano la possibilità per gli utenti di creare sessioni interattive dovranno apportare modifiche per il corretto funzionamento di EPM.

Gli utenti che richiedono l'approvazione del supporto per l'elevazione devono essere l'utente principale nel dispositivo

Endpoint Privilege Management richiede attualmente che l'utente che richiede un'elevazione sia l'utente primario del dispositivo. Questa limitazione verrà rimossa in una versione futura.

Creazione di file con un nome di file come uno degli unici attributi per l'identificazione

Il nome file è un attributo che può essere utilizzato per rilevare un'applicazione che deve essere con privilegi elevati. Tuttavia, non è protetto dalla firma del file.

I nomi di file sono altamente soggetti a modifiche e i file firmati da un certificato attendibile potrebbero avere il nome modificato per essere rilevato e successivamente con privilegi elevati che potrebbero non essere il comportamento previsto.

Importante

Assicurarsi sempre che le regole che includono un nome file includano altri attributi che forniscono un'asserzione avanzata all'identità del file. Attributi come l'hash del file o le proprietà incluse nella firma dei file sono buoni indicatori che il file che si intende è probabilmente quello con privilegi elevati.

I criteri delle impostazioni di elevazione possono mostrare conflitti se modificati in rapida successione

Endpoint Privilege Management segnala lo stato delle singole impostazioni applicate usando il profilo Impostazioni elevazione dei privilegi . Se le impostazioni in questo profilo (comportamento di elevazione predefinito, ad esempio) vengono modificate più volte in rapida successione, il dispositivo potrebbe segnalare un conflitto o tornare al comportamento predefinito Nega elevazione. Si tratta di uno stato temporaneo e viene risolto senza ulteriori azioni (in meno di 60 minuti). Questo problema verrà risolto in una versione futura.

I file bloccati scaricati da Internet non riescono a elevare

In Windows esiste un comportamento per impostare un attributo sui file scaricati direttamente da Internet e impedirne l'esecuzione fino alla convalida. Windows ha funzionalità per convalidare la reputazione dei file scaricati da Internet. Quando la reputazione di un file non viene convalidata, potrebbe non riuscire a elevarsi.

Per correggere questo comportamento, sbloccare il file sbloccandolo dal riquadro delle proprietà del file. Lo sblocco di un file deve essere eseguito solo quando si considera attendibile il file.

I dispositivi Windows "aggiunti all'area di lavoro" non riescono a abilitare Endpoint Privilege Management

I dispositivi aggiunti all'area di lavoro non sono supportati da Endpoint Privilege Management. Questi dispositivi non mostrano l'esito positivo o elaborano i criteri EPM (impostazioni di elevazione o regole di elevazione) quando vengono distribuiti nel dispositivo.

Le regole per un file di rete potrebbero non riuscire a elevare

Endpoint Privilege Management supporta l'esecuzione di file archiviati localmente su disco. L'esecuzione di file da un percorso di rete, ad esempio una condivisione di rete o un'unità mappata, non è supportata.

Endpoint Privilege Management non riceve criteri quando si usa un 'ispezione SSL' nell'infrastruttura di rete

Endpoint Privilege Management non supporta l'ispezione SSL, nota come "break and inspect". Per usare Endpoint Privilege Management, assicurarsi che gli URL elencati nella Intune Endpoints for Endpoint Privilege Management siano esenti dall'ispezione.

Domande frequenti

Perché il dispositivo virtuale non esegue l'onboarding in Endpoint Privilege Management?

Endpoint Privilege Management non è attualmente supportato con Desktop virtuale Azure. Questo problema verrà risolto nella versione futura.

Il supporto per Windows 365 (PC cloud) è stato aggiunto a settembre 2023.

Perché i criteri delle impostazioni di elevazione dei privilegi mostrano un errore o non sono applicabili?

I criteri delle impostazioni di elevazione dei privilegi controllano l'abilitazione di EPM e la configurazione dei componenti lato client. Quando questo criterio è in errore o non è applicabile, indica che il dispositivo ha avuto un problema durante l'abilitazione di EPM. I due motivi più comuni sono la mancanza degli aggiornamenti di Windows necessari o l'impossibilità di comunicare con gli endpoint Intune necessari per Endpoint Privilege Management.

Cosa accade quando un utente con privilegi amministrativi usa un dispositivo abilitato per EPM?

Endpoint Privilege Management non gestisce le richieste di elevazione dei privilegi da parte di utenti con autorizzazioni amministrative in un dispositivo. Potrebbero essere presenti istanze in cui un amministratore avvia un file con una regola di elevazione (in particolare una regola di elevazione automatica) definita nel dispositivo. Questa applicazione viene avviata come in genere per l'amministratore e un evento per un'elevazione non gestita verrà generato da EPM.

Quali file possono essere elevati all'amministratore?

Endpoint Privilege Management supporta i file eseguibili. Microsoft sta attualmente lavorando per estendere il supporto per altri tipi di file (MSI e così via) e fornire un metodo semplice per elevare le attività comuni del sistema operativo.

Alcuni elementi che si trovano nel menu Start o nella barra delle applicazioni hanno un menu di scelta rapida curato e il menu di scelta rapida EPM non può essere aggiunto a tali menu. Si prevede di risolvere questo problema in una versione futura.

È possibile eseguire un solo file con privilegi elevati alla volta. Per avviare più file con privilegi elevati, fare clic con il pulsante destro del mouse su ogni file singolarmente e scegliere Esegui con accesso con privilegi elevati.