Notitie
Voor toegang tot deze pagina is autorisatie vereist. U kunt proberen u aan te melden of mappen te wijzigen.
Voor toegang tot deze pagina is autorisatie vereist. U kunt proberen om mappen te wijzigen.
Als u Endpoint Privilege Management (EPM) op apparaten wilt configureren, implementeert u het uitbreidingsinstellingenbeleid van Windows voor gebruikers of apparaten:
- Schakel EPM op een apparaat in of uit.
- Stel standaardregels in voor uitbreidingsaanvragen voor bestanden die niet overeenkomen met een uitbreidingsregel.
- Configureren welke informatie EPM rapporteert aan Intune.
Wanneer EPM is ingeschakeld, wordt de C:\Program Files\Microsoft EPM Agent map gemaakt samen met de service 'Microsoft EPM Agent Service', die verantwoordelijk is voor de verwerking van het EPM-beleid.
Informatie over het uitbreidingsinstellingenbeleid in Windows
Gebruik het beleid van Windows-uitbreidingsinstellingen als u het volgende wilt doen:
Schakel Endpoint Privilege Management op apparaten in of uit. Wanneer EPM voor het eerst wordt ingeschakeld, zijn de EPM-onderdelen al geïnstalleerd.
Als EPM is uitgeschakeld op een apparaat, worden de clientcomponenten gedeactiveerd bij de volgende beleidssynchronisatie. Er is een vertraging van zeven dagen voordat de EPM-onderdelen worden verwijderd. De vertraging helpt om de tijd te verkorten die nodig is om EPM te herstellen als EPM per ongeluk is uitgeschakeld op een apparaat of het uitbreidingsinstellingenbeleid niet is toegewezen.
Een standaardantwoord op uitbreiding instellen : stel een standaardantwoord in voor een uitbreidingsaanvraag van een bestand dat niet wordt beheerd door een Windows-uitbreidingsregelbeleid. Deze instelling heeft alleen effect als er geen regel voor de toepassing kan bestaan EN een eindgebruiker expliciet om uitbreiding moet vragen via het snelmenu Uitvoeren met verhoogde toegang . Deze optie is standaard ingesteld op Niet geconfigureerd. Als er geen instelling is geconfigureerd, vallen de EPM-onderdelen terug op hun ingebouwde standaardinstelling, namelijk het weigeren van alle aanvragen.
Tip
Het is raadzaam om Goedkeuring van ondersteuning vereisen of Alle aanvragen weigeren te gebruiken als standaardreactie op uitbreiding.
De opties omvatten:
Alle aanvragen weigeren (aanbevolen): met deze optie blokkeer je de uitbreidingsaanvraagactie voor bestanden die niet zijn gedefinieerd in het beleid van Windows-uitbreidingsregels.
Goedkeuring van ondersteuning vereisen (aanbevolen): wanneer goedkeuring van ondersteuning is vereist, moet een beheerder verzoeken om uitbreiding beoordelen voordat uitbreiding wordt toegestaan.
Gebruikersbevestiging vereisen - Wanneer bevestiging van de gebruiker is vereist, kunt u kiezen uit dezelfde validatieopties als die welke zijn gevonden voor het uitbreidingsbeleid van Windows.
Validatieopties : stel validatieopties in wanneer de standaardreactie op uitbreidingen is gedefinieerd als Gebruikersbevestiging vereisen. De opties omvatten:
- Zakelijke reden: voor deze optie moet de eindgebruiker een reden opgeven voordat een uitbreiding wordt voltooid, die wordt gefaciliteerd door de standaardrespons op uitbreiding.
- Windows-verificatie: voor deze optie moet de eindgebruiker worden geverifieerd voordat een uitbreiding kan worden voltooid die wordt gefaciliteerd door de standaardrespons op uitbreiding.
Opmerking
Er kunnen meerdere validatieopties worden geselecteerd om te voldoen aan de behoeften van de organisatie. Als er geen opties zijn geselecteerd, hoeft de gebruiker alleen Doorgaan met het voltooien van de uitbreiding te selecteren.
Voorzichtigheid
De standaardreactie op uitbreiding is van toepassing op alle bestanden die niet overeenkomen met een uitbreidingsregel. Daarom staat de instelling Gebruikersbevestiging vereisen standaard toe dat alle bestanden worden verhoogd. Als u niet op zoek bent naar zakelijke rechtvaardigingen of referentievragen voor uitbreidingen, raden we u aan gebruik te maken van Alle aanvragen weigeren of Goedkeuring van ondersteuning vereisen.
Uitbreidingsgegevens verzenden voor rapportage - Met deze instelling wordt bepaald of uw apparaat diagnostische en gebruiksgegevens deelt met Microsoft. Gebruik de instelling Rapportagebereik om te bepalen welke gegevens worden verzameld.
Microsoft gebruikt diagnostische gegevens om de status van de EPM-clientonderdelen te meten. Gebruiksgegevens worden gebruikt om uitbreidingen te laten zien die plaatsvinden binnen uw tenant. Zie Gegevensverzameling en privacy voor Endpoint Privilege Management voor meer informatie over de typen gegevens en hoe deze worden opgeslagen.
De opties omvatten:
- Ja - Met deze optie worden gegevens naar Microsoft verzonden op basis van de instelling voor het rapportagebereik .
- Nee , met deze optie worden geen gegevens naar Microsoft verzonden.
Rapportagebereik : deze instelling bepaalt de hoeveelheid gegevens die naar Microsoft wordt verzonden wanneer Uitbreidingsgegevens verzenden voor rapportage is ingesteld op Ja. Standaard zijn *Diagnostische gegevens en alle eindpuntuitbreidingen geselecteerd.
De opties omvatten:
- Alleen diagnostische gegevens en beheerde uitbreidingen: met deze optie worden diagnostische gegevens over de status van de clientonderdelen verzonden naar Microsoft EN gegevens over uitbreidingen die worden gefaciliteerd door Endpoint Privilege Management.
- Diagnostische gegevens en alle eindpuntuitbreidingen: met deze optie worden diagnostische gegevens over de status van de clientonderdelen EN gegevens over alleuitbreidingen op het eindpunt naar Microsoft verzonden.
- Alleen diagnostische gegevens : met deze optie worden alleen de diagnostische gegevens over de status van de clientonderdelen naar Microsoft verzonden.
Een Windows-uitbreidingsbeleid maken
Meld u aan bij het Microsoft Intune-beheercentrum en ga naar Endpointsecurity-Endpoint> Privilege Management>, selecteer het tabblad >Beleid en selecteer vervolgens Beleid maken. Stel het Platform in op Windows, Profiel op Windows-uitbreidingsinstellingenbeleid en selecteer vervolgens Maken.
Voer in de basisbeginselen de volgende eigenschappen in:
- Naam: een unieke beschrijvende naam voor het beleid. Geef profielen een naam, zodat u ze later gemakkelijk kunt terugvinden.
- Beschrijving: voer een beschrijving in voor het profiel. Deze instelling is optioneel, maar wordt aanbevolen.
Configureer in configuratie-instellingen het volgende om standaardgedrag voor uitbreidingsaanvragen op een apparaat te definiëren:
Endpoint Privilege Management: Ingesteld op Ingeschakeld (standaard). Wanneer deze functie is ingeschakeld, maakt een apparaat gebruik van Endpoint Privilege Management. Als deze optie is uitgeschakeld, maakt het apparaat geen gebruik van Endpoint Privilege Management en wordt EPM onmiddellijk uitgeschakeld als dit eerder was ingeschakeld. Na zeven dagen worden de onderdelen voor Endpoint Privilege Management door het apparaat ongedaan gemaakt.
Standaardreactie op uitbreiding: Configureer hoe dit apparaat uitbreidingsaanvragen beheert voor bestanden die niet overeenkomen met een regel:
Niet geconfigureerd: deze optie werkt hetzelfde als Alle aanvragen weigeren.
Alle aanvragen weigeren: EPM faciliteert de uitbreiding van bestanden niet en de gebruiker krijgt een pop-upvenster te zien met informatie over de weigering. Met deze configuratie wordt niet voorkomen dat gebruikers met beheerdersmachtigingen Uitvoeren als beheerder gebruiken om onbeheerde bestanden uit te voeren.
Goedkeuring van ondersteuning vereisen: met dit gedrag wordt EPM geïnstrueerd om de gebruiker te vragen een goedgekeurde ondersteuningsaanvraag in te dienen.
Gebruikersbevestiging vereisen: de gebruiker ontvangt een eenvoudige prompt om zijn of haar intentie om het bestand uit te voeren te bevestigen. U kunt ook vereisen dat er meer prompts beschikbaar zijn in de vervolgkeuzelijst Validatie :
- Zakelijke reden: vereist dat de gebruiker een reden opgeeft voor het uitvoeren van het bestand. Voor deze rechtvaardiging is geen indeling vereist. Gebruikersinvoer wordt opgeslagen en kan worden beoordeeld via logboeken als het rapportagebereik het verzamelen van eindpuntuitbreidingen omvat.
- Windows-verificatie: Voor deze optie moet de gebruiker worden geverifieerd met behulp van de organisatiereferenties.
Voorzichtigheid
De standaardreactie op uitbreiding is van toepassing op alle bestanden die niet overeenkomen met een uitbreidingsregel. Daarom staat de instelling Gebruikersbevestiging vereisen standaard toe dat alle bestanden worden verhoogd. Als u geen aanvullende controles of referentievragen wilt vragen, raden we u aan de optie Alle aanvragen weigeren of Goedkeuring van ondersteuning vereisen te gebruiken.
Uitbreidingsgegevens verzenden voor rapportage: Dit gedrag is standaard ingesteld op Ja. Als deze optie op ja is ingesteld, kunt u vervolgens een rapportagebereik configureren. Wanneer deze optie is ingesteld op Nee, worden diagnostische gegevens of informatie over uitbreidingen van bestanden niet naar Intune verzonden.
Rapportagebereik: Kies welk type informatie een apparaat rapporteert aan Intune:
Diagnostische gegevens en alle eindpuntuitbreidingen (standaard): het apparaat rapporteert diagnostische gegevens en details over alle bestandsuitbreidingen die door EPM worden gefaciliteerd.
Met dit informatieniveau kunt u andere bestanden identificeren die nog niet worden beheerd door een uitbreidingsregel die gebruikers willen uitvoeren in een verhoogde context.
Alleen diagnostische gegevens en beheerde uitbreidingen: het apparaat rapporteert diagnostische gegevens en details over uitbreidingen van bestanden die worden beheerd door EPM. EPM-uitbreidingen bevatten verhogingen die overeenkomen met een uitbreidingsregel of die worden gestart door het contextmenu Uitvoeren met verhoogde toegang . Bestandsaanvragen voor onbeheerde bestanden en bestanden die worden verhoogd via de Windows-standaardactie Uitvoeren als beheerder, worden niet gerapporteerd als beheerde uitbreidingen.
Alleen diagnostische gegevens: alleen diagnostische gegevens voor de werking van Endpoint Privilege Management worden verzameld. Informatie over uitbreidingen van bestanden wordt niet gerapporteerd aan Intune.
Wanneer u klaar bent, selecteert u Volgende om door te gaan.
Selecteer op de pagina Bereiktags de gewenste bereiktags die u wilt toepassen en selecteer vervolgens Volgende.
Selecteer voor Opdrachten de groepen die het beleid ontvangen. Raadpleeg Gebruikers- en apparaatprofielen toewijzen voor meer informatie over het toewijzen van profielen. Selecteer Volgende.
Controleer de instellingen voor Controleren + maken en selecteer vervolgens Maken. Wanneer u Maken selecteert, worden uw wijzigingen opgeslagen en wordt het profiel toegewezen. Het beleid wordt ook weergegeven in de lijst met beleid.
