Implementatie van Endpoint Privilege Management plannen en voorbereiden

Dit artikel bevat de informatie die vereist is om de implementatie van Endpoint Privilege Management (EPM) te plannen, waaronder vereisten, belangrijke concepten, beveiligingsaanbevelingen en toegangsbeheer op basis van rollen.

Controlelijst voor plannen

  • Bekijk de technische en licentievereisten in uw tenant.
  • Definieer de persona's voor de beoogde gebruikers, zodat u regels kunt opstellen met logische groepering op deze persona's.
  • Zorg ervoor dat u een goed begrip hebt van uitbreidingsinstellingen en uitbreidingsregels, waaronder:
    • Standaarduitbreidingsinstellingen en het verzamelen van diagnostische gegevens.
    • Uitbreidingsbestanden definiëren met behulp van bestandshash, metagegevens of certificaten.
    • Hoe certificaatregels elke app die door dat certificaat is ondertekend, kunnen verhogen. Wees voorzichtig met leveranciers die mogelijk al hun apps met hetzelfde certificaat ondertekenen.
    • Regels, argumentondersteuning, en opties voor het gedrag van onderliggende processen.
    • Typen hoogtemeters.
    • Hoe regelconflicten worden afgehandeld wanneer er overlappende regeltoewijzingen zijn.
  • Vind de juiste balans tussen beveiliging en flexibiliteit voor uw organisatie en gebruikerspersona's.
  • Zorg voor een robuuste implementatiestrategie. Dit omvat stakeholdermanagement, communicatie- en trainingsplannen voor eindgebruikers en monitoring.

Vereisten

Licentievereisten

Voor deze functie is een abonnement vereist naast Microsoft Intune Plan 1 of Plan 2. Zie Microsoft Intune abonnementen en prijzen en Microsoft 365 Security Enterprise-abonnementen voor licentieopties.

Vereisten voor apparaatplatforms

Endpoint Privilege Management ondersteunt de volgende besturingssystemen:

  • Windows 11, versie 24H2
  • Windows 11, versie 23H2 (22631.2506 of hoger) met KB5031455
  • Windows 11, versie 22H2 (22621.2215 of hoger) met KB5029351
  • Windows 11, versie 21H2 (22000.2713 of hoger) met KB5034121
  • Windows 10, versie 22H2 (19045.3393 of hoger) met KB5030211
  • Windows 10, versie 21H2 (19044.3393 of hoger) met KB5030211

Endpoint Privilege Management ondersteunt de volgende virtuele platforms:

  • Virtuele machines (VM's) voor één sessie in Azure Virtual Desktop (AVD)
  • Windows 365

Belangrijk

Op 14 oktober 2025 heeft Windows 10 het einde van de ondersteuning bereikt en ontvangt het geen kwaliteits- en functie-updates. Windows 10 is een toegestane versie in Intune. Apparaten met deze versie kunnen nog steeds worden ingeschreven bij Intune en functies gebruiken die daarvoor in aanmerking komen, maar de functionaliteit is niet gegarandeerd en kan variëren.

Belangrijk

  • Beleid voor uitbreidingsinstellingen wordt gerapporteerd als 'niet van toepassing' voor apparaten waarop geen ondersteunde besturingssysteemversie wordt uitgevoerd.
  • Endpoint Privilege Management is alleen compatibel met 64-bits besturingssysteemarchitecturen, waaronder Arm64.

Vereisten voor apparaatconfiguratie

Als u Endpoint Privilege Management wilt gebruiken, moeten de apparaten:

  • Lid geworden van Microsoft Entra of hybride versie van Microsoft Entra
  • Ingeschreven voor Intune of Microsoft Configuration Manager co-managed (geen workloadvereisten)

Apparaten moeten ook een duidelijke zichtlijn (zonder SSL-inspectie) hebben naar de vereiste eindpunten voor Endpoint Privilege Management.

Cloudvereisten

Speciaal apparaatbeheer wordt ondersteund in de volgende cloudomgevingen:

  • Openbare cloud
  • Soevereine cloudomgevingen:
    • Amerikaanse Government Community Cloud (GCC) High
    • Amerikaanse ministerie van Defensie (DoD)

Zie de servicebeschrijving van de GCC-service van de Amerikaanse overheid voor Microsoft Intune for US Government voor meer informatie.

Belangrijke concepten voor Endpoint Privilege Management

Wanneer u de eerder genoemde uitbreidingsinstellingen en beleidsregels voor uitbreiding configureert, zijn er enkele belangrijke concepten die u moet begrijpen, zodat u EPM kunt configureren om te voldoen aan de behoeften van uw organisatie. Voordat u EPM op grote schaal implementeert, moet u de volgende concepten goed begrijpen, evenals het effect dat ze hebben op uw omgeving:

  • Uitvoeren met verhoogde toegang : een optie in het contextmenu dat wordt weergegeven wanneer EPM op een apparaat wordt geactiveerd. Wanneer deze optie wordt gebruikt, wordt het beleid voor uitbreidingsregels van apparaten gecontroleerd op een overeenkomst om te bepalen of, en hoe, dat bestand kan worden verhoogd om in een beheercontext te worden uitgevoerd. Als er geen toepasselijke uitbreidingsregel is, gebruikt het apparaat de standaardconfiguraties voor uitbreiding, zoals gedefinieerd in het uitbreidingsinstellingenbeleid.

  • Typen bestandsuitbreiding en -uitbreiding : met EPM kunnen gebruikers zonder beheerdersbevoegdheden processen uitvoeren in de beheercontext. Wanneer u een uitbreidingsregel maakt, kan EPM met die regel het doel van die regel een proxy toewijzen om uit te voeren met beheerdersbevoegdheden op het apparaat. Het resultaat is dat de toepassing volledige beheermogelijkheden heeft op het apparaat.

Met uitzondering van Elevate als huidige gebruiker, gebruikt EPM een virtueel account om processen te verbeteren. Hierdoor worden verhoogde acties geïsoleerd van het profiel van de gebruiker, waardoor de blootstelling aan gebruikersspecifieke gegevens wordt verminderd en het risico op escalatie van bevoegdheden wordt verkleind.

Wanneer u Endpoint Privilege Management gebruikt, zijn er een paar opties voor uitbreidingsgedrag:

  • Automatisch: Voor automatische uitbreidingsregels tilt EPM deze toepassingen automatisch naar een hoger niveau zonder input van de gebruiker. Algemene regels in deze categorie kunnen een wijdverbreide invloed hebben op de beveiligingspostuur van de organisatie.

  • Door gebruiker bevestigd: met door de gebruiker bevestigde regels gebruiken eindgebruikers een nieuw contextmenu met de rechtermuisknop Uitvoeren met verhoogde toegang. Door de gebruiker bevestigde regels kunnen ook validatie met verificatie of zakelijke reden vereisen. Het vereisen van validatie biedt een extra beveiligingslaag doordat de gebruiker de uitbreiding moet bevestigen.

  • Verhogen als huidige gebruiker: met dit type uitbreiding wordt het proces verhoogd uitgevoerd onder het eigen account van de aangemelde gebruiker, waarbij de compatibiliteit met hulpprogramma's en installatieprogramma's die afhankelijk zijn van het actieve gebruikersprofiel behouden blijft. Hiervoor moet de gebruiker zijn referenties voor Windows-verificatie invoeren. Hierdoor blijven de profielpaden, omgevingsvariabelen en persoonlijke instellingen van de gebruiker behouden. Omdat bij het proces met verhoogde bevoegdheden dezelfde gebruikersidentiteit wordt behouden voor en na uitbreiding, blijven audittrails consistent en nauwkeurig.

    Omdat het proces met verhoogde bevoegdheid echter de volledige context van de gebruiker overneemt, introduceert deze modus een breder aanvalsoppervlak en wordt isolatie van gebruikersgegevens verminderd.

    Belangrijkste overwegingen:

    • Compatibiliteitsvereiste: gebruik deze modus alleen wanneer virtuele accountuitbreiding toepassingsfouten veroorzaakt.
    • Bereik strak: Beperk uitbreidingsregels tot vertrouwde binaire bestanden en paden om risico's te verminderen.
    • Afweging van beveiliging: begrijp dat deze modus de blootstelling aan gebruikersspecifieke gegevens vergroot.

    Tip

    Wanneer compatibiliteit geen probleem is, geef dan de voorkeur aan een methode die gebruikmaakt van virtuele accountverhoging voor betere beveiliging.

  • Weigeren: Een regel voor weigeren identificeert een bestand dat door EPM wordt geblokkeerd in een verhoogde context. Regels voor weigeren kunnen ervoor zorgen dat bekende bestanden of mogelijk schadelijke software niet in een verhoogde context kunnen worden uitgevoerd.

  • Ondersteuning goedgekeurd: voor ondersteuning goedgekeurde regels moeten eindgebruikers een aanvraag indienen voor het uitvoeren van een toepassing met verhoogde machtigingen. Zodra de aanvraag is ingediend, kan een beheerder deze goedkeuren. Zodra de aanvraag is goedgekeurd, ontvangt de eindgebruiker een melding dat ze de uitbreiding opnieuw op het apparaat kunnen proberen. Zie Ondersteuning goedgekeurde uitbreidingsaanvragen voor meer informatie over het gebruik van dit regeltype

Opmerking

Elke uitbreidingsregel kan ook het hoogtegedrag instellen voor onderliggende processen die door het proces met verhoogde bevoegdheid worden gemaakt.

  • Onderliggende procesbesturingselementen : wanneer processen worden verhoogd door EPM, kunt u bepalen hoe het maken van onderliggende processen wordt beheerd door EPM, waardoor u gedetailleerde controle hebt over eventuele subprocessen die kunnen worden gemaakt door uw toepassing met verhoogde bevoegdheid.

  • Onderdelen aan clientzijde: om Endpoint Privilege Management te gebruiken, wordt Intune een kleine set onderdelen op het apparaat ingericht die uitbreidingsbeleid ontvangen en afdwingen. Met Intune worden de onderdelen alleen ingericht wanneer een beleid voor uitbreidingsinstellingen wordt ontvangen en het beleid de intentie uitdrukt om het beheer van eindpuntbevoegdheden in te schakelen.

  • Beheerde uitbreidingen versus onbeheerde uitbreidingen: deze termen kunnen worden gebruikt in onze rapportage- en gebruiksgegevens. Deze termen verwijzen naar de volgende beschrijvingen:

    • Uitbreiding beheerd: elke uitbreiding die door Endpoint Privilege Management wordt toegestaan. Beheerde uitbreidingen omvatten alle uitbreidingen die EPM uiteindelijk mogelijk maakt voor de standaardgebruiker. Deze beheerde uitbreidingen kunnen uitbreidingen bevatten die plaatsvinden als gevolg van een uitbreidingsregel of als onderdeel van een standaarduitbreidingsactie.

    • Onbeheerde uitbreiding: alle bestandsuitbreidingen die plaatsvinden zonder gebruik te maken van Endpoint Privilege Management. Deze uitbreidingen kunnen optreden wanneer een gebruiker met beheerdersrechten de Windows-standaardactie Uitvoeren als administrator gebruikt.

EPM-beleid

✅ Meer informatie over EPM-beleidstypen

Endpoint Privilege Management gebruikt twee beleidstypen die u configureert om te beheren hoe een verzoek om uitbreiding van een bestand wordt afgehandeld. Samen configureren de beleidsregels het gedrag voor bestandsuitbreidingen wanneer standaardgebruikers verzoeken om uitvoering met beheerdersbevoegdheden uit te voeren.

Dit beleid is:

  • Uitbreidingsinstellingenbeleid
  • Uitbreidingsregels beleid

EPM ondersteunt ook een groep herbruikbare instellingen voor het opslaan van uitgeverscertificaten waarnaar kan worden verwezen via meerdere regels of beleidsregels.

Beleidsconflictafhandeling voor Endpoint Privilege Management

✅ Meer informatie over beleidsconflicten

Behalve in de volgende situaties wordt conflicterend beleid voor EPM behandeld zoals elk ander beleidsconflict.

Uitbreidingsinstellingen in Windows:

Wanneer een apparaat twee afzonderlijke uitbreidingsinstellingen met conflicterende waarden ontvangt, schakelt de EPM-client terug naar het standaardgedrag van de client totdat het conflict is opgelost.

Opmerking

Als er een conflict is met het inschakelen van Endpoint Privilege Management, is het standaardgedrag van de client om EPM in te schakelen.

Beleid voor uitbreidingsregels in Windows:

Als een apparaat twee regels ontvangt die gericht zijn op dezelfde toepassing, worden beide regels op het apparaat gebruikt. Wanneer EPM regels gaat oplossen die van toepassing zijn op een verhoging, wordt de volgende logica gebruikt:

  • Regels met het uitbreidingstypeWeigeren hebben altijd voorrang en de bestandsuitbreiding wordt geweigerd.
  • Regels die voor een gebruiker worden geïmplementeerd, hebben voorrang op regels die op een apparaat zijn geïmplementeerd.
  • Regels met een hash worden altijd beschouwd als de meest specifieke regel.
  • Als er meer dan één regel van toepassing is (zonder dat er een hash is gedefinieerd), wint de regel met de meest gedefinieerde kenmerken (meest specifieke).
  • Als het toepassen van de voortgangslogica resulteert in meer dan één regel, bepaalt de volgende volgorde het uitbreidingsgedrag: Door gebruiker bevestigd, Uitbreiden als huidige gebruiker, Ondersteuning goedgekeurd en vervolgens Automatisch.

Opmerking

Als er geen regel bestaat voor een uitbreiding en die uitbreiding is aangevraagd via het contextmenu Uitvoeren met verhoogde toegang , wordt het standaarduitbreidingsgedrag gebruikt.

Endpoint Privilege Management en Gebruikersaccountbeheer

✅ Inzicht in de interactie tussen EPM en gebruikersaccountbeheer

Endpoint Privilege Management en het ingebouwde gebruikersaccountbeheer (UAC) van Windows zijn afzonderlijke functies met verschillende functionaliteit.

Wanneer u gebruikers verplaatst naar gebruikers die als standaardgebruikers worden uitgevoerd en Endpoint Privilege Management gebruikt, kunt u ervoor kiezen om het standaardgedrag van UAC voor standaardgebruikers te wijzigen. Deze wijziging kan verwarring verminderen wanneer een toepassing uitbreiding vereist en een betere eindgebruikerservaring creëren. Onderzoek het gedrag van de uitbreidingsvraag voor standaardgebruikers voor meer informatie.

Opmerking

Endpoint Privilege Management heeft geen invloed op gebruikersaccountbeheeracties die worden uitgevoerd door een beheerder op het apparaat.

Aanbevelingen voor beveiliging

✅ Informatie over de veiligste manier om EPM te gebruiken

Om een veilige implementatie van Endpoint Privilege Management te garanderen, moet u rekening houden met deze aanbevelingen wanneer u uitbreidingsgedrag en -regels configureert.

Een veilige standaardreactie op verhoogde informatie instellen

Stel de standaardreactie op uitbreidingin op Goedkeuring van ondersteuning vereisen of Weigeren in plaats van Gebruikersbevestiging. Deze opties zorgen ervoor dat uitbreiding wordt beheerd met vooraf gedefinieerde regels voor bekende binaire bestanden, waardoor het risico wordt verkleind dat gebruikers willekeurige of mogelijk schadelijke uitvoerbare bestanden verhogen.

Beperkingen van bestandspaden vereisen in alle regeltypen

Wanneer u een uitbreidingsregel configureert, geeft u een vereist bestandspad op. Hoewel het bestandspad optioneel is, kan het een belangrijke beveiligingscontrole zijn voor regels die gebruikmaken van automatische uitbreiding of kenmerken op basis van jokertekens wanneer het pad verwijst naar een locatie die standaardgebruikers niet kunnen wijzigen, zoals een beveiligde systeemmap. Door gebruik te maken van een beveiligde bestandslocatie kunt u voorkomen dat uitvoerbare bestanden of hun afhankelijke binaire bestanden worden gemanipuleerd of vervangen voordat er toestemming wordt gegeven.

Deze aanbeveling is van toepassing op regels die automatisch worden gemaakt op basis van details uit het uitbreidingsrapport of de goedgekeurde ondersteuningsaanvraag, en voor uitbreidingsregels die je handmatig maakt.

Belangrijk

Files op netwerkshares worden niet ondersteund en mogen niet worden gebruikt in regeldefinities.

Onderscheid maken tussen installatieprogramma en runtime-uitbreiding

Wees bewust over uitbreiding voor installatiebestanden versus de runtime van toepassingen. Verhoging voor installateurs moet streng worden gecontroleerd om onbevoegde software-installaties te voorkomen. Runtime-verhoging moet worden geminimaliseerd om het algehele aanvalsoppervlak te verminderen.

Pas strengere regels toe op toepassingen met een hoog risico

Gebruik restrictievere uitbreidingsregels voor toepassingen met bredere toegangs- of scriptmogelijkheden, zoals webbrowsers en PowerShell. Overweeg voor PowerShell om scriptspecifieke regels te gebruiken om ervoor te zorgen dat alleen vertrouwde scripts met verhoogde bevoegdheden kunnen worden uitgevoerd.

Een nieuwe start maken, zelfs bij de migratie van een product van derden

EPM werkt anders dan producten van derden en daarom raden we aan om te beginnen met een auditbeleid. Vervolgens kunt u nieuwe regels maken op basis van rapporten en gebruikmaken van door ondersteuning goedgekeurde uitbreiding wanneer een bestand geen regel heeft, maar een gebruiker dat bestand naar een hoger niveau moet tillen om zijn of haar klus te kunnen klaren.

Toegangsbeheer op basis van rollen voor Endpoint Privilege Management

✅ Meer informatie over het delegeren van toegang tot EPM

Als u Endpoint Privilege Management wilt beheren, moet aan uw account een rol Intune op basis van rollen toegangsbeheer (RBAC) zijn toegewezen die de volgende machtiging omvat met voldoende rechten om de gewenste taak uit te voeren:

  • Endpoint Privilege Management Policy Authoring: deze machtiging is vereist voor het werken met beleid of gegevens en rapporten voor Endpoint Privilege Management, en ondersteunt de volgende rechten:

    • Rapporten weergeven
    • Lezen
    • Maken
    • Update
    • Verwijderen
    • Toewijzen

  • Uitbreidingsaanvragen voor Endpoint Privilege Management - deze machtiging is vereist om te kunnen werken met ondersteuningsaanvragen voor goedgekeurde uitbreidingsaanvragen die door gebruikers ter goedkeuring worden ingediend, en ondersteunt de volgende rechten:

    • Uitbreidingsaanvragen weergeven
    • Uitbreidingsaanvragen wijzigen

U kunt deze machtiging met een of meer rechten toevoegen aan uw eigen aangepaste rollen voor op gebruikersbeheer gebaseerde informatie of u kunt een ingebouwde rollen voor het beheer van Endpoint Privilege Management gebruiken:

  • Endpoint Privilege Manager: deze ingebouwde rol is bedoeld voor het beheren van Endpoint Privilege Management in de Intune-console. Deze rol omvat alle rechten voor aanvragen voor Endpoint Privilege Management-beleid en Endpoint Privilege Management-uitbreidingsaanvragen.

  • Endpoint Privilege Reader - gebruik deze ingebouwde rol om beleidsregels voor Endpoint Privilege Management in de Intune-console weer te geven, inclusief rapporten. Deze rol omvat de volgende rechten:

    • Rapporten weergeven
    • Lezen
    • Uitbreidingsaanvragen weergeven

Naast de toegewezen rollen bevatten de volgende ingebouwde rollen voor Intune ook rechten voor het ontwerpen van beleid voor Endpoint Privilege Management:

  • Endpoint Security Manager - deze rol bevat alle rechten voor het opstellen van beleid voor Endpoint Privilege Management en verzoeken om uitbreiding van Endpoint Privilege Management.

  • Operator Alleen-lezen : deze rol kent de volgende rechten:

    • Rapporten weergeven
    • Lezen
    • Uitbreidingsaanvragen weergeven

Zie Toegangsbeheer op basis van rollen voor Microsoft Intune voor meer informatie.

EpmTools PowerShell module

✅ Informatie over het gebruik van de EPM PowerShell-module

Elk apparaat waarop beleid voor Endpoint Privilege Management wordt ontvangen, installeert de EPM Microsoft-agent om dit beleid te beheren. De agent bevat de EpmTools PowerShell-module, een set cmdlets die u op een apparaat kunt importeren. U kunt de cmdlets van EpmTools gebruiken om:

  • Problemen met Endpoint Privilege Management vaststellen en oplossen.
  • U kunt bestandskenmerken rechtstreeks ophalen uit een bestand of toepassing waarvoor u een detectieregel wilt maken.

Installeer de EpmTools PowerShell-module

De PowerShell-module EPM-hulpprogramma's is beschikbaar op elk apparaat dat het EPM-beleid heeft ontvangen. De EpmTools PowerShell-module importeren:

Import-Module 'C:\Program Files\Microsoft EPM Agent\EpmTools\EpmCmdlets.dll'

Opmerking

Windows op Arm64 vereist het gebruik van Windows PowerShell x64.

Hieronder volgen de beschikbare cmdlets:

  • Get-Policies: Hiermee wordt een lijst opgehaald met alle beleidsregels die door EPM zijn ontvangen voor een bepaald 'PolicyType' ('ElevationRules' of 'ClientSettings').
  • Get-DeclaredConfiguration: haalt een lijst met WinDC-documenten op waarmee het beleid wordt geïdentificeerd dat is gericht op het apparaat.
  • Get-DeclaredConfigurationAnalysis: Hiermee wordt een lijst met WinDC-documenten van het type MSFTPolicies opgehaald en wordt gecontroleerd of het beleid al aanwezig is in Epm Agent (kolom verwerkt).
  • Get-ElevationRules: Voer een query uit over de opzoekfunctionaliteit van EpmAgent en haalt regels op voor gegeven zoek- en doelfunctie. Opzoeken wordt ondersteund voor Bestandsnaam en Certificaatnettolading.
  • Get-ClientSettings: Verwerk alle bestaande beleidsregels voor clientinstellingen om de effectieve clientinstellingen weer te geven die door EPM worden gebruikt.
  • Get-FileAttributes: haalt bestandskenmerken op voor een .exe-bestand en haalt de Publisher- en CA-certificaten op naar een ingestelde locatie die kan worden gebruikt om uitbreidingsregeleigenschappen voor een bepaalde toepassing te vullen.

Controleer het readme.md bestand uit de map EpmTools op het apparaat voor meer informatie over elke cmdlet.

Volgende stappen

Volgende: Het verzamelen van privacygegevens bekijken >

  • Last updated on