Uitbreidingsregels maken met Endpoint Privilege Management

Met uitbreidingsregels kan Endpoint Privilege Management (EPM) specifieke bestanden en scripts identificeren en de bijbehorende uitbreidingsactie uitvoeren. Om uitbreidingsregels van kracht te laten worden, moeten apparaten een gericht beleid voor uitbreidingsinstellingen hebben dat EPM inschakelt. Zie EPM-uitbreidingsinstellingen voor meer informatie.

Opmerking

U kunt vanuit Microsoft Intune beheercentrum maximaal 100 uitbreidingsregels per uitbreidingsbeleid toevoegen.

Houd naast de informatie in dit artikel ook rekening met belangrijke beveiligingsaanbevelingen bij het beheren van uitbreidingsregels.

Informatie over uitbreidingsregels

Een beleid voor uitbreidingsregels wordt gebruikt om de identificatie van specifieke bestanden te beheren en hoe uitbreidingsaanvragen voor die bestanden worden afgehandeld. Elk uitbreidingsregelbeleid bevat een of meer uitbreidingsregels. Met behulp van uitbreidingsregels kunt u details configureren over het bestand dat wordt beheerd en de vereisten voor het verhogen ervan.

De volgende bestandstypen worden ondersteund:

• Uitvoerbare bestanden met de .exe extensie Of .msi .
• PowerShell-scripts met de .ps1 extensie.

Elke uitbreidingsregel instrueert EPM over de volgende acties:

• Identificeer het bestand met:

  • Bestandsnaam (inclusief extensie). De regel ondersteunt ook optionele voorwaarden, zoals een minimale buildversie, productnaam of interne naam. Optionele voorwaarden worden gebruikt om het bestand verder te valideren wanneer u probeert om uitbreiding uit te voeren. De bestandsnaam (exclusief extensies) kan het gebruik van variabelen voor enkele tekens bevatten door middel van een vraagteken ? of tekenreeksen door middel van een sterretje *.
  • Certificaat. Certificaten kunnen rechtstreeks aan een regel worden toegevoegd of met behulp van een groep voor herbruikbare instellingen. Certificaten moeten vertrouwd en geldig zijn. We raden het gebruik van herbruikbare instellingsgroepen aan omdat deze efficiënter kunnen zijn en toekomstige wijzigingen in het certificaat kunnen vereenvoudigen. Zie Groepen met herbruikbare instellingen voor meer informatie.

• Valideer het bestand:

  • Bestandshash. Voor automatische regels is een bestandshash vereist. Voor regels met het uitbreidingstype Gebruiker bevestigdof Uitbreiden als huidige gebruiker, kunt u kiezen of u een certificaat of een bestandshash wilt gebruiken. In dat geval wordt de bestandshash optioneel.
  • Certificaat. De bestandseigenschappen kunnen worden gevalideerd naast het uitgeverscertificaat dat wordt gebruikt om het bestand te ondertekenen. Certificaten worden gevalideerd met behulp van Windows-API's die kenmerken controleren zoals vertrouwen, verlopen van certificaten en intrekkingsstatus.
  • Bestandseigenschappen. Eventuele andere eigenschappen die zijn opgegeven in de regels moeten overeenkomen.

• Configureer het uitbreidingstype van het bestand. Het type uitbreiding geeft aan wat er gebeurt wanneer er een verzoek om uitbreiding wordt ingediend voor het bestand. Deze optie is standaard ingesteld op Door gebruiker bevestigd. Met uitzondering van Elevate als huidige gebruiker, gebruikt EPM een virtueel account om processen te verbeteren. Hierdoor worden verhoogde acties geïsoleerd van het profiel van de gebruiker, waardoor de blootstelling aan gebruikersspecifieke gegevens wordt verminderd en het risico op escalatie van bevoegdheden wordt verkleind.

  • Weigeren: Regels voor weigeren voorkomen dat het geïdentificeerde bestand wordt uitgevoerd in een verhoogde context.

  • Ondersteuning goedgekeurd: een beheerder moet de ondersteuningsvereiste uitbreidingsaanvraag goedkeuren voordat de toepassing mag worden uitgevoerd met verhoogde bevoegdheden.

  • Door gebruiker bevestigd: Een door de gebruiker bevestigde uitbreiding vereist altijd dat de gebruiker op een bevestigingsprompt selecteert om het bestand uit te voeren. De bevestiging kan alleen worden geconfigureerd voor het vereisen van een gebruikersverificatie, een zakelijke reden (zichtbaar in de rapportage) of beide.

  • Verhogen als huidige gebruiker: met dit type uitbreiding wordt het proces verhoogd uitgevoerd onder het eigen account van de aangemelde gebruiker, waarbij de compatibiliteit met hulpprogramma's en installatieprogramma's die afhankelijk zijn van het actieve gebruikersprofiel behouden blijft. Hiervoor moet de gebruiker zijn referenties voor Windows-verificatie invoeren. Hierdoor blijven de profielpaden, omgevingsvariabelen en persoonlijke instellingen van de gebruiker behouden. Omdat bij het proces met verhoogde bevoegdheden dezelfde gebruikersidentiteit wordt behouden voor en na uitbreiding, blijven audittrails consistent en nauwkeurig.

    Omdat het proces met verhoogde bevoegdheid echter de volledige context van de gebruiker overneemt, introduceert deze modus een breder aanvalsoppervlak en wordt isolatie van gebruikersgegevens verminderd.

    Belangrijkste overwegingen:

    • Compatibiliteitsvereiste: gebruik deze modus alleen wanneer virtuele accountuitbreiding toepassingsfouten veroorzaakt.
    • Bereik strak: Beperk uitbreidingsregels tot vertrouwde binaire bestanden en paden om risico's te verminderen.
    • Afweging van beveiliging: begrijp dat deze modus de blootstelling aan gebruikersspecifieke gegevens vergroot.

    Tip

    Wanneer compatibiliteit geen probleem is, geef dan de voorkeur aan een methode die gebruikmaakt van virtuele accountverhoging voor een sterkere beveiliging.

  • Automatisch: Een automatische verhoging gebeurt onzichtbaar voor de gebruiker. Er wordt niet gevraagd of aangegeven dat het bestand wordt uitgevoerd in een context met verhoogde bevoegdheid.

• Het gedrag van onderliggende processen beheren. U kunt bepalen hoe uitbreidingsregels worden toegepast op onderliggende processen die worden gestart met het bovenliggende proces met verhoogde bevoegdheid.

  • Regel vereisen om te verhogen: onderliggende processen moeten aan hun eigen regelvereisten voldoen voordat ze verhoogd kunnen worden uitgevoerd. Het onderliggende proces wordt verhoogd volgens de regeldefinitie, inclusief eventuele weigerregels.

  • Alles weigeren : alle onderliggende processen worden gestart zonder verhoogde context.

  • Toestaan dat onderliggende processen verhoogd worden uitgevoerd : elk onderliggend proces dat wordt gestart door het bovenliggende item met verhoogde bevoegdheid, wordt automatisch verhoogd uitgevoerd. Als deze optie is geselecteerd, wordt de evaluatie van regels voor het onderliggende proces overgeslagen, inclusief regels voor weigeren. Dit betekent dat een onderliggend proces verhoogd kan worden uitgevoerd, zelfs wanneer er een expliciete weigeringsregel bestaat voor dat proces.

  Aanbevolen procedures: Maak geen te ruime uitbreidingsregels voor toepassingen waarmee andere processen kunnen worden gestart (zoals opdrachtshells of scriptengines) om onbedoelde uitbreiding te voorkomen.

Opmerking

Zie Regels definiëren voor gebruik met Endpoint Privilege Management voor meer informatie over het maken van krachtige regels.

U kunt ook de Get-FileAttributes PowerShell-cmdlet uit de PowerShell-module EpmTools gebruiken. Met deze cmdlet kunnen bestandskenmerken voor een .exe-bestand worden opgehaald en kunnen de Publisher- en CA-certificaten worden uitgepakt op een ingestelde locatie, die u kunt gebruiken om uitbreidingsregeleigenschappen voor een bepaalde toepassing te vullen.

Voorzichtigheid

We raden u aan spaarzaam gebruik te maken van automatische verhoging, en alleen voor vertrouwde bestanden die essentieel zijn voor de bedrijfs. Eindgebruikers tillen deze toepassingen automatisch naar een hoger niveau bij elke start van die toepassing.

Regels definiëren voor gebruik met Endpoint Privilege Management

Endpoint Privilege Management-regels bestaan uit twee fundamentele elementen: een detectie- en uitbreidingsactie.

Detecties worden gedefinieerd als de reeks kenmerken die wordt gebruikt om een toepassing of binair bestand te identificeren. Deze kenmerken omvatten bestandsnaam, bestandsversie en handtekeningeigenschappen.

Uitbreidingsacties zijn de resulterende uitbreidingen die optreden nadat een toepassing of binair bestand is gedetecteerd.

Bij het definiëren van detecties is het van belang dat ze zo beschrijvend mogelijk zijn. Als u een beschrijving wilt gebruiken, moet u sterke kenmerken of meerdere kenmerken gebruiken om de detectie krachtiger te maken. Het doel bij het definiëren van detecties moet zijn om te voorkomen dat meerdere bestanden onder dezelfde regel vallen, tenzij dat expliciet de bedoeling is.

Regels voor bestandshash

Regels voor bestandshash zijn de sterkste regels die kunnen worden gemaakt met Endpoint Privilege Management. Deze regels worden ten zeerste aanbevolen om ervoor te zorgen dat het bestand dat u wilt verhogen, het bestand is dat is verhoogd.

Bestandshash kan worden opgehaald uit het directe binaire bestand met behulp van de Get-Filehash PowerShell-methode of rechtstreeks uit de rapporten voor Endpoint Privilege Management.

Regels voor certificaten

Certificaatregels zijn een sterk type kenmerk en moeten worden gecombineerd met andere kenmerken. Door een certificaat te koppelen aan kenmerken zoals productnaam, interne naam en beschrijving, verbetert u de beveiliging van de regel drastisch. Deze kenmerken worden beveiligd door een bestandshandtekening en geven vaak specifieke informatie over het ondertekende bestand aan.

Voorzichtigheid

Het wordt afgeraden om alleen een certificaat en een bestandsnaam te gebruiken om bestanden te identificeren. Elke standaardgebruiker met toegang tot een map waarin het bestand zich bevindt, kan de bestandsnaam wijzigen. Dit probleem is mogelijk geen probleem voor bestanden die zich in een met schrijven beveiligde map bevinden.

Regels met bestandsnaam

Bestandsnaam is een kenmerk dat kan worden gebruikt om een toepassing te detecteren die moet worden verhoogd. Bestandsnamen zijn echter eenvoudig te wijzigen en maken geen deel uit van de hash of kenmerken die door het uitgeverscertificaat zijn ondertekend.

Dit betekent dat bestandsnamen zeer gevoelig zijn voor verandering. Files you don't intentioned target signed by a certificate that you trust can renoem, can be renoemd to detect and eelevated (verhoogd).

Belangrijk

Zorg er altijd voor dat regels met een bestandsnaam andere kenmerken bevatten die de identiteit van het bestand duidelijk aantonen. Kenmerken zoals bestandshash of eigenschappen die zijn opgenomen in de handtekening van het bestand (bijvoorbeeld productnaam) zijn goede indicatoren dat het bestand dat u wilt verhogen waarschijnlijk is.

Regels op basis van kenmerken die zijn verzameld door PowerShell

U kunt de PowerShell-cmdlet Get-FileAttributes gebruiken om nauwkeurigere regels voor bestandsdetectie te maken. Get-FileAttributes, beschikbaar vanuit de EpmTools PowerShell-module, kan bestandskenmerken en het certificaatketenmateriaal voor een bestand ophalen en u kunt de uitvoer gebruiken om uitbreidingsregeleigenschappen voor een bepaalde toepassing in te vullen.

Voorbeeldmodule Stappen voor importeren en uitvoer van Get-FileAttributes worden uitgevoerd tegen msinfo32.exe op Windows 11 versie 10.0.22621.2506:

PS C:\Windows\system32> Import-Module 'C:\Program Files\Microsoft EPM Agent\EpmTools\EpmCmdlets.dll'
PS C:\Windows\system32> Get-FileAttributes -FilePath C:\Windows\System32\msinfo32.exe -CertOutputPath C:\CertsForMsInfo\

FileName      : msinfo32.exe
FilePath      : C:\Windows\System32
FileHash      : 18C8442887C36F7DB61E77013AAA5A1A6CDAF73D4648B2210F2D51D8B405191D
HashAlgorithm : Sha256
ProductName   : Microsoft® Windows® Operating System
InternalName  : msinfo.dll
Version       : 10.0.22621.2506
Description   : System Information
CompanyName   : Microsoft Corporation

Opmerking

De certificaatketen voor msinfo32.exe wordt uitgevoerd in de map C:\CertsForMsInfo die wordt weergegeven in het opdrachtvoorbeeld.

Zie de EpmTools PowerShell-module voor meer informatie.

Gedrag van onderliggende processen beheersen

Met onderliggend procesgedrag kunt u de context bepalen wanneer een proces verhoogd met EPM een onderliggend proces creëert. Met dit gedrag kunt u processen beheren die automatisch zouden worden gedelegeerd in de context van het bovenliggende proces.

Windows delegeert automatisch de context van een ouder aan een kind, dus wees extra voorzichtig bij het beheren van het gedrag voor uw toegestane toepassingen. Zorg ervoor dat u evalueert wat nodig is wanneer u uitbreidingsregels maakt en implementeer het principe van minimale bevoegdheden.

Opmerking

Het wijzigen van het gedrag van onderliggende processen kan compatibiliteitsproblemen veroorzaken met bepaalde toepassingen die het standaard Windows-gedrag verwachten. Zorg ervoor dat u toepassingen grondig test bij het manipuleren van het onderliggende procesgedrag.

Regels implementeren die zijn gemaakt met Endpoint Privilege Management

Endpoint Privilege Management-regels worden net zoals elk ander beleid geïmplementeerd in Microsoft Intune. Dit betekent dat regels kunnen worden geïmplementeerd voor gebruikers of apparaten, en dat regels worden samengevoegd aan de clientzijde en tijdens runtime worden geselecteerd. Conflicten worden opgelost op basis van het conflictgedrag in het beleid.

Regels die op een apparaat zijn geïmplementeerd, gelden voor elke gebruiker die dat apparaat gebruikt. Regels die voor een gebruiker worden geïmplementeerd, gelden alleen voor die gebruiker op elk apparaat dat deze gebruiker gebruikt. Wanneer er sprake is van uitbreiding, krijgen regels die voor de gebruiker zijn geïmplementeerd voorrang boven regels die voor een apparaat zijn geïmplementeerd. Met dit gedrag kunt u een set regels implementeren voor alle gebruikers van een apparaat en een meer tolerante set regels voor een specifieke gebruiker (zoals een ondersteuningsbeheerder). Hierdoor kan de ondersteuningsbeheerder een bredere set toepassingen uitbreiden wanneer hij of zij zich aanmeldt bij het apparaat.

Standaard uitbreidingsgedrag wordt alleen gebruikt wanneer er geen regelovereenkomst kan worden gevonden. Het standaardgedrag van verhogingen is alleen van toepassing wanneer een verhoging wordt geactiveerd via het snelmenu Uitvoeren met verhoogde toegang .

Beleid voor uitbreidingsregels maken

Een beleid voor uitbreidingsregels implementeren voor gebruikers of apparaten om een of meer regels te implementeren voor bestanden die worden beheerd voor uitbreiding door Endpoint Privilege Management. Elke regel die u aan dit beleid toevoegt:

• Identificeert een bestand op bestandsnaam en bestandsextensie waarvoor je uitbreidingsaanvragen wilt beheren.
• Kan een certificaat bevatten waarmee de integriteit van het bestand kan worden gevalideerd. U kunt ook een herbruikbare groep toevoegen met een certificaat dat u vervolgens met een of meer regels of beleidsregels kunt gebruiken.
• Kan een of meer handmatig toegevoegde bestandsargumenten of schakelopties voor de opdrachtregel bevatten. Wanneer bestandsargumenten aan een regel worden toegevoegd, staat EPM alleen bestandsuitbreiding toe van verzoeken die een van de gedefinieerde opdrachtregels bevatten. Als een gedefinieerde opdrachtregel geen deel uitmaakt van het verzoek om uitbreiding van het bestand, weigert EPM dat verzoek.
• Hiermee geeft u op of het uitbreidingstype van het bestand automatisch (stil) of vereist is dat bevestiging door de gebruiker vereist is. Bij gebruikersbevestiging kunt u validatie vereisen met een referentievraag of een zakelijke reden, of beide.

Opmerking

Naast dit beleid moet aan een apparaat ook een beleid voor uitbreidingsinstellingen van Windows worden toegewezen waarmee Endpoint Privilege Management wordt ingeschakeld.

Gebruik een van de volgende methoden om nieuwe uitbreidingsregels te maken, die worden toegevoegd aan het uitbreidingsbeleid:

• Uitbreidingsregels automatisch configureren : gebruik deze methode om tijd te besparen bij het maken van uitbreidingsregels door bestandsdetails uit rapporten toe te voegen. Regels kunnen worden gemaakt met behulp van het uitbreidingsrapport of vanuit een door ondersteuning goedgekeurde uitbreidingsaanvragenrecord.

  Met deze methode kunt u het volgende:

  • Selecteer het bestand waarvoor je een uitbreidingsregel wilt maken in het uitbreidingsrapport of om goedgekeurde uitbreidingsaanvraag te ondersteunen.
  • Kies ervoor om de nieuwe uitbreidingsregel toe te voegen aan een bestaand uitbreidingsbeleid of maak een nieuw beleid voor uitbreidingsregels waarin de nieuwe regel is opgenomen.
    • Wanneer de nieuwe regel wordt toegevoegd aan een bestaand beleid, is deze onmiddellijk beschikbaar voor die beleidslijst met toegewezen groepen.
    • Wanneer u een nieuw beleid maakt, moet u dat beleid bewerken om groepen toe te wijzen voordat het beschikbaar wordt voor gebruik.

• Uitbreidingsregels handmatig configureren : voor deze methode moet u de bestandsdetails identificeren die u wilt gebruiken voor detectie en deze handmatig invoeren als onderdeel van de werkstroom voor het maken van regels. Zie Regels definiëren voor gebruik met Endpoint Privilege Management voor informatie over detectiecriteria.

  Met deze methode kunt u het volgende:

  • Bepaal handmatig de bestandsdetails die moeten worden gebruikt en voeg deze vervolgens toe aan de uitbreidingsregel voor bestandsidentificatie.
  • Configureer alle aspecten van het beleid tijdens het maken van beleid, met inbegrip van het toewijzen van het beleid aan groepen voor gebruik.
  • Kan een of meer bestandsargumenten toevoegen die deel moeten uitmaken van de uitbreidingsaanvraag voordat EPM bestandsuitbreiding toestaat.

Tip

Voor zowel automatisch geconfigureerde als handmatig geconfigureerde uitbreidingsregels adviseren we het gebruik van een bestandspad dat verwijst naar een locatie die standaardgebruikers niet kunnen wijzigen.

Uitbreidingsregels automatisch configureren voor Windows-uitbreidingsregels

1. Meld u aan bij het Microsoft Intune-beheercentrum en ga naar Endpointsecurity-Endpoint> Privilege Management. Als u een bestand wilt selecteren voor een uitbreidingsregel, kiest u een van de volgende startpaden:

   Beginnen met een rapport:

   1. Selecteer het tabblad Rapporten en vervolgens de tegel Uitbreidingsrapport . Zoek het bestand waarvoor u een regel wilt maken in de kolom Bestand .
   2. Selecteer de gekoppelde naam van het bestand om het detailvenster Uitbreiding van dat bestand te openen.

   Beginnen met een door ondersteuning goedgekeurde uitbreidingsaanvraag:

   1. Selecteer het tabblad Verzoek om uitbreiding .

   2. Selecteer in de kolom Bestand het bestand dat u wilt gebruiken voor de uitbreidingsregel, waardoor het detailvenster Uitbreiding van dat bestand wordt geopend.

      De status van het verzoek om uitbreiding doet er niet toe. U kunt een aanvraag in behandeling gebruiken of een aanvraag die eerder is goedgekeurd of geweigerd.

2. Bekijk de bestandsdetails in het detailvenster Uitbreiding . Deze informatie wordt door de uitbreidingsregel gebruikt om het juiste bestand te identificeren. Wanneer u klaar bent, selecteert u Een regel maken met deze bestandsgegevens.

   

3. Selecteer een beleidsoptie voor de nieuwe uitbreidingsregel die je maakt:

   Een nieuw beleid maken: Met deze optie wordt een nieuw beleid gemaakt dat een uitbreidingsregel bevat voor het bestand dat u hebt geselecteerd.

   1. Configureer voor de regel het gedrag van het type en het onderliggende proces en selecteer vervolgens OK om het beleid te maken.
   2. Wanneer u hierom wordt gevraagd, geeft u een beleidsnaam voor het nieuwe beleid op en bevestigt u dat u het wilt maken.
   3. Nadat het beleid is gemaakt, kunt u het bewerken om het toe te wijzen en andere wijzigingen aan te brengen.

   Toevoegen aan een bestaand beleid: Met deze optie gebruikt u de vervolgkeuzelijst en selecteert u een bestaand uitbreidingsbeleid waaraan de nieuwe uitbreidingsregel wordt toegevoegd.

   1. Configureer voor de regel het gedrag van het type uitbreidingstype en het onderliggende proces en selecteer vervolgens OK. Het beleid wordt bijgewerkt met de nieuwe regel.
   2. Nadat de regel is toegevoegd aan het beleid, kunt u het beleid bewerken om toegang te krijgen tot de regel en vervolgens wijzigen om aanvullende configuraties aan te brengen als dat nodig is.

   Vereist hetzelfde bestandspad als deze uitbreiding: Als u dit selectievakje inschakelt, wordt het veld Bestandspad in de regel ingesteld op het bestandspad zoals gezien in het rapport. Als het selectievakje niet is ingeschakeld, blijft het pad leeg.

   Tip

   Hoewel optioneel, raden we u aan een bestandspad te gebruiken dat verwijst naar een locatie die standaardgebruikers niet kunnen wijzigen.

   

Uitbreidingsregels handmatig configureren voor Windows-uitbreidingsregels

1. Meld u aan bij het Microsoft Intune-beheercentrum en ga naar Endpointsecurity-Endpoint> Privilege Management>, selecteer het tabblad >Beleid en selecteer vervolgens Beleid maken. Stel het platform in op Windows, profiel op Windows-uitbreidingsregels en selecteer vervolgens Maken.

2. Voer in de basisbeginselen de volgende eigenschappen in:

   • Naam: een unieke beschrijvende naam voor het beleid. Geef profielen een naam, zodat u ze later gemakkelijk kunt terugvinden.
   • Beschrijving: voer een beschrijving in voor het profiel. Deze instelling is optioneel, maar wordt aanbevolen.

3. Voeg in configuratie-instellingen een regel toe voor elk bestand dat door dit beleid wordt beheerd. Wanneer u een nieuw beleid maakt, begint het beleid met een lege regel met het uitbreidingstype Gebruiker bevestigd en geen regelnaam. Begin met het configureren van deze regel, waarna u later Toevoegen kunt selecteren om meer regels aan dit beleid toe te voegen. Voor elke nieuwe regel die u toevoegt, wordt het uitbreidingstype Gebruiker bevestigd. Dit kan worden gewijzigd wanneer u de regel configureert.

   

   Als u een regel wilt configureren, selecteert u Exemplaar bewerken om de pagina Regeleigenschappen te openen en configureert u vervolgens het volgende:

   

   • Regelnaam: geef een beschrijvende naam voor de regel op. Geef de regels een naam, zodat u ze later gemakkelijk kunt terugvinden.
   • Beschrijving (optioneel): voer een beschrijving voor het profiel in.

   Uitbreidingsvoorwaarden zijn voorwaarden die bepalen hoe een bestand wordt uitgevoerd en gebruikersvalidaties waaraan moet worden voldaan voordat het bestand waarop deze regel van toepassing is, kan worden uitgevoerd.

   • Type hoogte: Deze optie is standaard ingesteld op Door gebruiker bevestigd, het type hoogte dat het meest wordt gebruikt omdat het hoogte toestaat, maar bevestiging van de gebruiker vereist.

     • Weigeren: Een regel voor weigeren voorkomt dat het geïdentificeerde bestand wordt uitgevoerd in een verhoogde context. De volgende opties zijn van toepassing:

       • Regels voor weigeren ondersteunen dezelfde configuratieopties als andere uitbreidingstypen, met uitzondering van de onderliggende procesopties. Onderliggende procesopties worden niet gebruikt vanuit deze regel, zelfs niet als deze zijn geconfigureerd.
       • Wanneer een gebruiker een bestand probeert te verhogen dat overeenkomt met een regel voor weigeren, mislukt de uitbreiding. Er wordt een bericht weergegeven dat aangeeft dat de app niet als administrator kan worden uitgevoerd. Als aan die gebruiker ook een regel wordt toegewezen die uitbreiding van datzelfde bestand toestaat, heeft de weigeringsregel voorrang.
       • Geweigerde uitbreidingen worden in het uitbreidingsrapport weergegeven als geweigerd, vergelijkbaar met een afgewezen aanvraag voor goedkeuring .
       • EPM biedt momenteel geen ondersteuning voor automatische configuratie van een weigeringsregel uit het evaluatierapport.

     • Ondersteuning goedgekeurd: voor dit uitbreidingstype moet een beheerder een uitbreidingsaanvraag goedkeuren. Zie Ondersteuning goedgekeurde uitbreidingsaanvragen voor meer informatie.

       Belangrijk

       Gebruik van ondersteuning Goedgekeurde uitbreiding voor bestanden vereist dat beheerders met aanvullende machtigingen elke aanvraag om uitbreiding van een bestand beoordelen en goedkeuren vóór dat bestand op het apparaat met beheerdersmachtigingen. Zie Ondersteuning voor goedgekeurde bestandsuitbreidingen voor Endpoint Privilege Management voor meer informatie over het gebruik van het door ondersteuning goedgekeurde uitbreidingstype.

     • Door gebruiker bevestigd: Meestal gebruikt voor bestanden met regels die uitbreiding vereisen omdat dit uitbreiding toestaat, maar bevestiging door de gebruiker vereist. Wanneer een bestand wordt uitgevoerd, ontvangt de gebruiker een eenvoudige vraag om zijn of haar intentie om het bestand uit te voeren. De regel kan ook andere prompts bevatten die beschikbaar zijn in de vervolgkeuzelijst Validatie :

       • Zakelijke reden: vereist dat de gebruiker een reden opgeeft voor het uitvoeren van het bestand. Er is geen indeling vereist voor de invoer. De gebruikersinvoer wordt opgeslagen en kan worden beoordeeld via logboeken als het rapportagebereik het verzamelen van eindpuntuitbreidingen omvat.
       • Windows-verificatie: Voor deze optie moet de gebruiker worden geverifieerd met behulp van de organisatiereferenties.

     • Automatisch: met dit uitbreidingstype wordt het bestand automatisch uitgevoerd met verhoogde machtigingen. Automatische verhoging is transparant voor de gebruiker, zonder dat om bevestiging wordt gevraagd of rechtvaardiging of verificatie door de gebruiker vereist is.

       Voorzichtigheid

       Gebruik alleen automatische uitbreiding bij uitzonderingen en voor bestanden die u vertrouwt. Deze bestanden worden automatisch verhoogd zonder tussenkomst van de gebruiker. Regels die niet goed zijn gedefinieerd, kunnen ervoor zorgen dat niet-goedgekeurde aanvragen worden verhoogd. Zie de richtlijnen voor het maken van regels voor meer informatie over het maken van krachtige regels.

   • Gedrag van onderliggende processen: deze optie is standaard ingesteld op Regel vereisen voor verhoging, wat vereist dat het onderliggende proces overeenkomt met dezelfde regel als het proces dat het maakt. Andere opties zijn:

     • Toestaan dat alle onderliggende processen verhoogd worden uitgevoerd: Deze optie moet met de nodige voorzichtigheid worden gebruikt, omdat toepassingen hiermee onvoorwaardelijk onderliggende processen kunnen maken.
     • Alles weigeren: met deze configuratie wordt voorkomen dat er onderliggende processen worden gemaakt.

   Bestandsinformatie is waar u de details opgeeft die aangeven op welk bestand deze regel van toepassing is.

   • Bestandsnaam: geef de bestandsnaam en de extensie op. Bijvoorbeeld: myapplication.exe. U kunt ook een variabele in de bestandsnaam gebruiken.

   • Bestandspad (optioneel): geef de locatie van het bestand op. Als het bestand vanaf elke willekeurige locatie kan worden uitgevoerd of als het onbekend is, kunt u dit leeg laten. U kunt ook een variabele gebruiken.

     Tip

     Hoewel optioneel, raden we u aan een bestandspad te gebruiken dat verwijst naar een locatie die standaardgebruikers niet kunnen wijzigen.

   • Handtekeningbron: Kies een van de volgende opties:

     • Een certificaatbestand gebruiken in herbruikbare instellingen (standaard): Deze optie gebruikt een certificaatbestand dat eerder is toegevoegd aan een groep met herbruikbare instellingen voor Endpoint Privilege Management. U moet een groep voor herbruikbare instellingen maken voordat u deze optie kunt gebruiken.

       Als u het certificaat wilt identificeren, selecteert u Een certificaat toevoegen of verwijderen en selecteert u vervolgens de herbruikbare groep die het juiste certificaat bevat. Geef vervolgens het certificaattype van de uitgever of certificeringsinstantie op.

     • Upload een certificaatbestand: voeg een certificaatbestand rechtstreeks toe aan de uitbreidingsregel. Geef bij Bestand uploaden een .cer bestand op waarmee de integriteit van het bestand waarop deze regel van toepassing is, kan worden gevalideerd. Geef vervolgens het certificaattype van de uitgever of certificeringsinstantie op.

     • Niet geconfigureerd: Gebruik deze optie als u geen certificaat wilt gebruiken om de integriteit van het bestand te valideren. Wanneer er geen certificaat wordt gebruikt, moet u een bestandshash opgeven.

   • Bestandshash: de bestandshash is vereist wanneer Handtekeningbron is ingesteld op Niet geconfigureerd en optioneel wanneer deze is ingesteld op het gebruik van een certificaat.

   • Minimale versie: (optioneel) Gebruik de x.x.x.x-indeling om een minimale versie op te geven van het bestand dat door deze regel wordt ondersteund.

   • Bestandsbeschrijving: (optioneel) Geef een beschrijving van het bestand op.

   • Productnaam: (optioneel) Geef de naam op van het product waarvan het bestand afkomstig is.

   • Interne naam: (optioneel) Geef de interne naam van het bestand op.

   Selecteer Opslaan om de regelconfiguratie op te slaan. U kunt vervolgens meer regels toevoegen . Nadat u alle regels hebt toegevoegd die voor dit beleid zijn vereist, selecteert u Volgende om door te gaan.

4. Selecteer op de pagina Bereiktags de gewenste bereiktags die u wilt toepassen en selecteer vervolgens Volgende.

5. Selecteer voor Opdrachten de groepen die het beleid ontvangen. Raadpleeg Gebruikers- en apparaatprofielen toewijzen voor meer informatie over het toewijzen van profielen. Selecteer Volgende.

6. Controleer de instellingen in Controleren + maken en selecteer vervolgens Maken. Wanneer u Maken selecteert, worden uw wijzigingen opgeslagen en wordt het profiel toegewezen. Het beleid wordt ook weergegeven in de lijst met beleid.

Variabelen gebruiken in uitbreidingsregels

Wanneer u handmatig uitbreidingsregels voor bestanden configureert, kunt u jokertekens gebruiken voor de volgende configuraties die beschikbaar zijn op de pagina Regeleigenschappen van een uitbreidingsregelbeleid:

• Bestandsnaam: Jokertekens worden ondersteund als onderdeel van een bestandsnaam bij het configureren van het veld Bestandsnaam .
• Mappad: Jokertekens worden ondersteund als onderdeel van een mappad bij het configureren van het veld Mappad .

Opmerking

Jokertekens worden niet ondersteund in automatische uitbreidingsregels.

Het gebruik van jokertekens biedt u flexibiliteit in uw regels om vertrouwde bestanden te ondersteunen met namen die vaak kunnen worden gewijzigd bij volgende revisies, of waarvoor ook het bestandspad kan worden gewijzigd.

De volgende jokertekens worden ondersteund:

• Vraagteken ? : vraagtekens vervangen afzonderlijke tekens in een bestandsnaam.
• Sterretje * : een sterretje vervangt een tekenreeks in een bestandsnaam.

Hieronder volgen voorbeelden van ondersteund gebruik met jokertekens:

• Bestandsnaam voor een Visual Studio-installatiebestand met de naam VSCodeSetup-arm64-1.99.2.exe:

  • VSCodeSetup*.exe
  • VSCodeSetup-arm64-*.exe
  • VSCodeSetup-?????-1.??.?.exe

• Bestandspad voor hetzelfde bestand, meestal te vinden in C:\Users\<username>\Downloads\:

  • C:\Users\*\Downloads\

Tip

Wanneer u variabelen in een bestandsnaam gebruikt, vermijdt u het gebruik van regeleigenschappen die mogelijk conflicteren. Een bestandshash komt bijvoorbeeld alleen overeen met een bestand, waardoor een jokerteken voor de bestandsnaam overbodig wordt.

Bestandsargumenten gebruiken voor uitbreidingsregels

Regels voor bestandsuitbreiding kunnen ook worden beperkt tot uitbreiding met specifieke argumenten.

Bijvoorbeeld, dsregcmd kan handig zijn voor het onderzoeken van de status van een apparaat in Microsoft Entra ID, maar vereist uitbreiding. Ter ondersteuning van het gebruik van dit bestand voor onderzoek kunt u de regel configureren met een lijst met argumenten voor dsregcmd inclusief de schakelopties voor /status, /listaccounts en meer. Om een destructieve actie zoals het ongedaan maken van de registratie van een apparaat te voorkomen, sluit u argumenten als /leave uit. Met deze configuratie staat de regel alleen uitbreiding toe als de argumenten /status of /listaccounts worden gebruikt. dsregcmd met de /leave-schakelaar, waarmee het apparaat uit Microsoft Entra ID wordt verwijderd, zou worden geweigerd.

Als u een of meer argumenten wilt toevoegen aan een uitbreidingsregel, stelt u Argumenten beperken tot de lijst Toegestaan. Selecteer Toevoegen en configureer de toegestane opdrachtregelopties. Door meerdere argumenten toe te voegen, levert u meerdere opdrachtregels op die worden ondersteund door uitbreidingsaanvragen.

Belangrijk

Overwegingen voor bestandsargumenten:

• EPM gebruikt argumentenlijsten voor bestanden als acceptatielijsten. Als deze optie is geconfigureerd, staat EPM uitbreiding toe wanneer er geen argumenten worden gebruikt of alleen de opgegeven argumenten worden gebruikt. Uitbreiding wordt geblokkeerd als er argumenten worden gebruikt die niet in de opgegeven argumenten voorkomen.
• Bestandsargumenten zijn hoofdlettergevoelig; Gebruikers moeten exact overeenkomen met de hoofdletteropmaak die in de regels is gedefinieerd.
• Definieer geheimen niet als een bestandsargument.

Groepen met herbruikbare instellingen

Endpoint Privilege Management gebruikt herbruikbare instellingsgroepen om de certificaten te beheren die de bestanden valideren die u beheert met uitbreidingsregels voor Endpoint Privilege Management. Net als bij alle groepen voor herbruikbare instellingen voor Intune worden wijzigingen in een groep die opnieuw wordt gebruikt automatisch doorgegeven aan het beleid dat naar de groep verwijst. Als u het certificaat dat u gebruikt voor bestandsvalidatie moet bijwerken, hoeft u dit slechts één keer bij te werken in de groep met herbruikbare instellingen. Intune past het bijgewerkte certificaat toe op al uw uitbreidingsregels die gebruikmaken van die groep.

De groep met herbruikbare instellingen voor Endpoint Privilege Management maken:

1. Meld u aan bij het Microsoft Intune-beheercentrum en ga naar Eindpuntbeveiliging>, Endpoint Privilege Management>, selecteer het tabblad >Herbruikbare instellingen (preview) en selecteer vervolgens Toevoegen.

   

2. Voer in de basisbeginselen de volgende eigenschappen in:

   • Naam: Voer een beschrijvende naam in voor de groep die opnieuw wordt gebruikt. Geef groepen een naam, zodat u ze later gemakkelijk kunt herkennen.
   • Beschrijving: voer een beschrijving in voor het profiel. Deze instelling is optioneel, maar wordt aanbevolen.

3. Selecteer in de configuratie-instellingen het mappictogram voor het certificaatbestand en blader naar een . CER-bestand om het toe te voegen aan deze groep die opnieuw wordt gebruikt. Het waardeveld met grondtal 64 wordt ingevuld op basis van het geselecteerde certificaat.

   

4. Controleer uw instellingen in Controleren + maken en selecteer vervolgens Toevoegen. Wanneer u Toevoegen selecteert, wordt uw configuratie opgeslagen en wordt de groep vervolgens weergegeven in de lijst met herbruikbare instellingen voor Endpoint Privilege Management.

---

Volgende stappen

Volgende: Endpoint Privilege Management gebruiken om gebruikers over te zetten van beheerder naar standaardgebruiker>