Gebruik Endpoint Privilege Management om gebruikers over te zetten van beheerder naar standaardgebruiker

Een veelvoorkomend scenario voor klanten die Endpoint Privilege Management willen gebruiken, is het verminderen van het aantal lokale beheerders in hun omgeving. Dit scenario houdt zich aan het Zero Trust-principe van minimale bevoegdheden. In dit document worden de stappen beschreven die een klant kan volgen om EPM te gebruiken om gebruikers van beheerders naar standaardgebruikers te verplaatsen met minimale onderbreking.

Fase 1: Auditing

Ongeacht of u vanaf een ander product voor eindpunttoegangsbeheer migreert of helemaal opnieuw begint, raden wij u aan als eerste stap controle in te schakelen. Als u controle inschakelt, kunnen de EPM-client en apparaten diagnostische gegevens verzenden naar Intune, waar deze kunnen worden weergegeven in verschillende rapporten. Het verzamelen van deze uitbreidingsgegevens biedt inzicht in welke processen gebruikers willen verbeteren en helpt bij het identificeren van veelvoorkomende patronen. Idealiter sluiten deze aan bij uw persona's, zoals ontwikkelaars, IT-ondersteuningstechnici, enz. De implementatie van dit beleid voor controle is naadloos en kan worden gericht op een groep gebruikers of apparaten van uw keuze, zoals u bij elke normale Intune beleidstoewijzing moet doen.

Opmerking

Wanneer de gebruiksgegevens zijn ingeschakeld, kan het 24 uur duren voordat de gebruiksgegevens worden geretourneerd en voordat de rapporten van de Intune-portal zijn bijgewerkt. Afhankelijk van het gebruikspatroon kan het handig zijn om rapportagegegevens te bekijken over een periode van vele weken, om een beter inzicht te krijgen in uw omgeving.

Stappen voor het maken van het beleid:

  1. Meld je aan bij het Microsoft Intune-beheercentrum.
  2. Eindpuntbeveiliging>selecterenBeleid voor Endpoint Privilege Management>
  3. Selecteer Beleid maken. Voer de volgende gegevens in:
    • Platform: Ramen
    • Profiel: Uitbreidingsinstellingenbeleid
  4. Selecteer Maken
  5. Geef een naam op voor het beleid, zoals: EPM-instellingenbeleid – Alleen controle
  6. Selecteer Volgende
  7. Vouw de sectie 'Bevoegdheden beheren uitbreiding clientinstellingen' uit en controleer of de volgende waarden zijn ingesteld:
    • Endpoint Privilege Management: Ingeschakeld
    • Standaardrespons op uitbreiding: Niet geconfigureerd
    • Uitbreidingsgegevens verzenden voor rapportage: Nee
    • Reikwijdte van rapportage: Diagnostische gegevens en alle eindpuntuitbreidingen
  8. Selecteer Volgende
  9. Verlaat de bereiktags en selecteer Volgende
  10. Een groep apparaten of gebruikers toevoegen waarop u het beleid wilt richten
  11. Selecteer Volgende
  12. Selecteer Maken om het beleid te maken

Ga als volgt te werk om te controleren of de regel werkt zoals verwacht:

  • Meld u aan bij het Windows-apparaat met de standaard gebruikersreferenties.
  • Starten>Uitvoeren>services.msc> ok
  • Controleer of de 'Microsoft EPM Agent Service' aanwezig en actief is en is ingesteld op Automatisch opstarten.
  • Sluit de module Services.
  • Starten>Uitvoeren>C:\Program Files\> Ok
  • Controleer of er een map is met de naam Microsoft EPM Agent

Nadat 24 uur of meer zijn verstreken:

  1. Meld je aan bij het Microsoft Intune-beheercentrum.
  2. Eindpuntbeveiliging>selecterenRapporten van Endpoint Privilege Management>
  3. Selecteer Elevation-rapport
  4. Bekijk de details van het hoogterapport

Identificeer groepen gebruikers (idealiter afgestemd op de persona's die u eerder hebt geïdentificeerd) met vergelijkbare uitbreidingsvereisten. Het identificeren van zowel gebruikspatronen als gebruikersgroepen helpt bij de volgende stappen.

Tip

Dit rapport bevat enkele standaard Windows-processen in de kolom Bestand (bijvoorbeeld C:\Windows\System32\Dism\dismhost and c:\Windows\System32\conhost.exe) die kunnen worden genegeerd.

Fase 2: Identificatie van persona

Het gebruik van gebruikerspersona's in het ontwerp van het beleid voor Microsoft Intune Endpoint Privilege Management (EPM) is een strategische manier om uitbreidingsinstellingen en -regels af te stemmen op de werkelijke behoeften van gebruikers.

Wat zijn gebruikerspersona's in EPM?

Gebruikerspersona's zijn gegevensgestuurde representaties van verschillende gebruikerstypen binnen uw organisatie. Elke persona weerspiegelt een groep gebruikers met vergelijkbare rollen, verantwoordelijkheden en toepassingsbehoeften.

Voorbeeld van personatoewijzing:

Personatype Voorbeeld rollen Uitbreidingsstrategie Standaardhoogte
Ervaren gebruikers IT-ondersteuningstechnici, IT-hoofdgebruikers Automatische verhoging voor gedefinieerde regels Alle aanvragen weigeren
Ontwikkelaars Techniek Automatische verhoging voor gedefinieerde apps met een laag risico; Gebruiker gerechtvaardigd voor apps met een hoger risico Ondersteuning goedgekeurd
Standaardgebruikers Financiën, HR Automatische verhoging voor gedefinieerde regels Alle aanvragen of goedgekeurde ondersteuning weigeren

Hoe helpen persona's bij het ontwerpen van uitbreidingsinstellingen en -regels?

Door de gebruikersbehoeften in kaart te brengen, kunt u een uitbreidingsstrategie definiëren voor elke gebruikerscohort.

Fase 3: regels maken

EPM-regels bestaan uit twee fundamentele elementen: een detectie- en een uitbreidingsactie.

Detecties worden gedefinieerd als de reeks kenmerken die wordt gebruikt om een toepassing of binair bestand te identificeren. Deze kenmerken omvatten bestandsnaam, bestandsversie en handtekeningeigenschappen. Uitbreidingsacties zijn de resulterende uitbreidingen die optreden nadat een toepassing of binair bestand is gedetecteerd.

Aanbevolen procedures

  • Gebruik sterke kenmerken of meerdere kenmerken om de detectiekracht te vergroten.
  • Een bestandshash of certificaat is verplicht.

Zie Beveiligingsaanbevelingen voor meer beveiligingsaanbevelingen.

Stappen voor het maken van een regel met behulp van uitbreidingsrapportgegevens

  1. Meld je aan bij het Microsoft Intune-beheercentrum.
  2. Eindpuntbeveiliging>selecterenBeleid voor Endpoint Privilege Management>
  3. Selecteer Elevation-rapport
  4. Selecteer een toepassing of proces (bijvoorbeeld. C:\Program Files\Notepad++\)
  5. Selecteer Een regel maken met de volgende details:
    • Een nieuw beleid maken
    • Type: Door gebruiker bevestigd
    • Gedrag van onderliggende processen: Regel vereisen om te verhogen
    • Hetzelfde bestandspad vereisen als voor deze uitbreiding: geselecteerd
  6. Selecteer OK
  7. Geef een beleidsnaam op (bijvoorbeeld EPM rule – Notepad++ User Confirmed)
  8. Ja selecteren
  9. Navigeer naar de lijst met EPM-beleidsregels en selecteer het beleid
  10. Selecteer Bewerken onder Opdrachten
  11. Groepen toevoegen selecteren
  12. Toewijzen aan een groep (bijvoorbeeld ontwikkelaars)
  13. Selecteren, controleren en opslaan

Zie Uitbreidingsregels maken voor meer informatie over het maken van een regel.

Controleer of de regel werkt

  • Meld u aan bij het Windows-apparaat met standaard gebruikersreferenties.
  • Klik met de rechtermuisknop op de toepassing (bijvoorbeeld Notepad++) en selecteer 'Uitvoeren met verhoogde toegang'
  • Selecteer Doorgaan in de pop-up van Endpoint Privilege Management
  • Controleer of de toepassing wordt gestart met verhoogde machtigingen

Fase 4: Verwijder lokale beheerdersrechten

  1. Meld je aan bij het Microsoft Intune-beheercentrum.

  2. Eindpuntbeveiliging> selecterenAccountbeveiliging

  3. Selecteer Beleid maken:

    • Platform: Ramen
    • Profiel: Lidmaatschap van lokale gebruikersgroep

  4. Geef een naam op voor het beleid (bijvoorbeeld Remove local admin rights (developers))

  5. Selecteer Toevoegen:

    • Lokale groep: Beheerders
    • Groeps- en gebruikersactie: Toevoegen (vervangen)
    • Type gebruikersselectie: Handleiding

  6. Gebruikers(en) selecteren

  7. Voeg de twee beveiligings-id's (SIDs) toe voor:

    • Hoofdbeheerder
    • Lokale beheerder van apparaat dat lid is van Microsoft Entra

    Gebruik Lusrmgr.msc op een aan Entra toegevoegd apparaat om SID's te vinden die beginnen met S-1-12-1-

  8. Toewijzen aan een groep (bijvoorbeeld Developers)

  9. Selecteer Opslaan

Zie Accountbeveiliging voor meer informatie over de profielen van lokale gebruikers en groepen

Fase 5: Monitoring

  • Bekijk regelmatig uitbreidingsrapporten
  • Onbeheerde uitbreidingen toevoegen aan of weigeren
  • Door ondersteuning goedgekeurde aanvragen voor vertragingen of patronen controleren
  • Regels bijwerken wanneer bestandsversies of certificaten veranderen
  • Verouderde regels buiten gebruik stellen of aanscherpen

Volgende stappen

Volgende: Ondersteuning voor goedgekeurde aanvragen >

  • Last updated on