Microsoft Intune エンドポイント特権管理 (EPM) を使用すると、organization のユーザーは標準ユーザー (管理者権限なし) として実行し、昇格された特権を必要とするタスクを完了できます。 詳細は、 EPMの概要を参照してください。
適用対象:
- Windows
昇格システム設定ポリシーを使用すると、エンドポイント特権管理 (EPM) は、通常は管理者権限を必要とする特定の Windows システム設定へのアクセス権を標準ユーザーに許可できます。 このポリシーの種類はネットワーク 設定をサポートします。標準ユーザーがデバイスのネットワーク アダプターの IPv4、IPv6、および DNS サーバーの値を変更できるようにします。
IP アドレスや DNS サーバーの変更など、一部の日常的なタスクには管理者権限が必要です。 標準ユーザーが Windows でこれらの値を変更しようとすると、ユーザー アカウント制御 (UAC) プロンプトによってブロックされます。 昇格システム設定ポリシーを使用すると、標準ユーザーはEPMを介してこれらの特定の変更を行うことができます。広範な管理者権限を付与したり、個別のアプリ展開を行ったりする必要はありません。
一般的なシナリオは、サイト間を移動するユーザーです。 新しい場所にあるデバイスを接続するために、ユーザーはデバイスをオンラインにする前に静的 IP アドレスまたは DNS サーバーを設定する必要がある場合があります。 昇格システム設定ポリシーを使用すると、デバイスがオフラインの場合でも、ユーザーはその変更を行うことができます。
昇格システム設定ポリシーを有効にするには、EPM を有効にするターゲットの 昇格設定ポリシー がデバイスにも必要です。 詳細については、「 標高設定の管理」を参照してください。
昇格システム設定ポリシーについて
昇格システム設定ポリシーは、Windows システム設定のカテゴリと、標準ユーザーがそれらの設定を変更したときに適用される昇格動作を識別します。 各ポリシーには 1 つまたは複数の ルールが含まれています。 各ルールは以下を定義します。
- システム設定 - ルールが適用される設定のカテゴリ。 ネットワーク設定 には、デバイスのネットワーク アダプターの IPv4、IPv6、および DNS サーバー構成が含まれます。
- 昇格の種類 - ユーザーが設定を変更したときの EPM の応答方法。 ユーザーが確認済みの場合 、ユーザーは変更を適用する前に確認プロンプトで操作する必要があります。
- 検証 - [ユーザー確認] が選択されたときにユーザーが満たす必要があるオプションの要件。 ビジネス上の正当な理由、Windows 認証、またはその両方を要求できます。 ビジネス上の正当な理由がレポートに表示されます。
デバイスが昇格システム設定ポリシーを受け取ると、ユーザーは Windows ポータル サイトの単一のエントリ ポイントからサポートされている設定にアクセスします。 EPMには、デバイスにポリシーがある設定カテゴリのみが表示されます。 たとえば、デバイスにネットワーク設定のポリシーがある場合、ユーザーにはネットワーク設定のエクスペリエンスのみが表示されます。
昇格システム設定ポリシーを作成する
Microsoft Intune 管理センターにサインインし、[エンドポイント セキュリティ]>エンドポイント特権管理 に移動し>> [ポリシー] タブを選択して、[ポリシーの作成] を選択します。
[ プラットフォーム ] を [Windows] に、[ プロファイル ] を [昇格] に設定し、[ 作成] を選択します。
[ 基本] に、次のプロパティを入力します。
- 名前: プロファイルのわかりやすい名前を入力します。 後で簡単に識別できるようにプロファイルに名前を付けます。
- 説明: プロファイルの説明を入力します この設定は省略可能ですが、おすすめされています。
[構成設定] で、ユーザーが変更できるシステム設定を定義するルールを追加します。
[ 追加]、[ インスタンスの編集 ] の順に選択して、 ルールのプロパティ ウィンドウを開きます。
ルールを構成します:
[ルール名]: ルールのわかりやすい名前を入力します。 通常、このフィールドには、定義される年ごとに 1 が指定されます。
説明: ルールのオプションの説明を入力します。
システム設定: [ネットワーク設定] を選択します。 このオプションを使用すると、ユーザーはデバイスのネットワーク アダプターの IPv4、IPv6、および DNS サーバーの値を変更できます。
昇格の種類: [ユーザーが確認されました] を選択します。 ユーザーは、変更を適用する前に、確認プロンプトに基づいて操作する必要があります。
検証: 必要に応じて、変更を加えるときにユーザーにさらに確認を入力するように要求します。 オプションは以下のとおりです。
- ビジネス上の正当な理由: ユーザーが変更の正当な理由を入力するように要求します。 正当な理由が保存され、レポートで確認できます。
- Windows 認証: 変更を適用する前に、ユーザーに organization 資格情報による認証を要求します。
注:
複数の入力規則オプションを選択できます。 何も選択しない場合、ユーザーは変更を適用する意図を確認するだけで済みます。
[ 保存] を選択してルールを保存し、[ 次へ] を選択します。
[スコープ タグ] ページで、適用するスコープ タグを選択し、[次へ] を選択します。
[ 割り当て] で、ポリシーを受け取るグループを選択します。 プロファイルの割り当ての詳細については、ユーザーおよびデバイス プロファイルの割り当てに関するページを参照してください。 [次へ] を選択します。
[ レビュー + 作成] で設定を確認し、[ 作成] を選択します。 [作成] を選択すると、変更内容が保存され、プロファイルが割り当てられます。 ポリシーは、 ポリシーの種類 が昇 格システム設定ポリシーのポリシーの一覧にも表示されます。
デバイスの次回のポリシー同期後、ユーザーは Windows ポータル ポータル サイトから構成済みのシステム設定を変更できます。
ポータル サイトでのエンド ユーザー エクスペリエンス
これらの設定の変更は、Windows ポータル ポータル サイトで実行されるエンド ユーザーのタスクであり、Intune 管理センターで完了するものではありません。 このセクションの手順では、ユーザーが自分のデバイスで何を表示し、何を実行するかを説明します。 これらの手順をユーザーに共有して、予期される内容と、許可する設定を変更する方法をユーザーが知るようにします。
ユーザーのデバイスに昇格システム設定ポリシーが割り当てられ、次のポリシー同期が完了すると、ユーザーは構成した設定を変更します。
Windows ポータル サイト では、ユーザーは [ヘルプ & サポート] に移動し、[システム設定] タイルで [設定の編集] を選択します。
[ システム設定 ] タイルは、EPM がデバイスで管理するすべてのシステム設定への単一のエントリ ポイントです。 EPMには、デバイスにポリシーがある設定カテゴリのみが表示されます。
[エンドポイント特権管理 - ネットワーク設定] ウィンドウが開き、デバイスで使用可能なネットワーク アダプタが一覧表示されます。 ユーザーがイー サネットなどのアダプターを選択します。
アダプターの詳細には、現在の IPv4、IPv6、DNS サーバーの値と、アダプターのハードウェア プロパティが表示されます。 ユーザーは、変更するセクションの横にある [編集 ] を選択します。
[編集] ダイアログで、ユーザーは設定の割り当て方法を選択します。
自動 (DHCP): アダプターは値を自動的に取得します。
手動: ユーザーが値を入力します。 IPv4 の場合、フィールドは次のとおりです。
- IP アドレス
- サブネット マスク
- ゲートウェイ
- 優先 DNS
- 代替 DNS
IPv6 の場合、フィールドは次のとおりです。
- IPv6 アドレス
- プレフィックスの長さ
- ゲートウェイ
- 優先 DNS
- 代替 DNS
ユーザーは [保存] を選択します。 ポリシーの検証オプションによっては、ユーザーは変更を適用する前にビジネス上の正当な理由、認証、またはその両方を指定する必要がある場合があります。