System operacyjny bez uprawnień administratora

HoloLens 2 minimalizuje obszar powierzchni dla podwyższenia poziomu uprawnień, wyłączając obsługę grupy Administratorzy i ograniczając wszystkie kod aplikacji platformy UWP innych firm tak, aby był wykonywany tylko jako użytkownicy standardowi w piaskownicy appContainer. Ten kod ma przyznawany dostęp tylko do tych zasobów chronionych przez funkcje jawnie manifestowane w aplikacji dla użytkownika bez uprawnień, oprócz zasobów dostępnych dla wszystkich urządzeń AppContainer. Te możliwości aplikacji nadal mają trzywarstwowy model klasyfikacji:

  • Ogólne
  • Z ograniczeniami
  • Windows

Windows mogą również korzystać z piaskownicy AppContainer za pośrednictwem UAPS systemu. Aby dowiedzieć się więcej o platformie uniwersalnej Windows (UWP), zobacz dokumentację platformy UWP. Ponadto składniki usługi Windows z większymi potrzebami w zakresie redukcji uprawnień (takie jak strony zawartości przeglądarki lub parsery) korzystają z piaskownicy Less Privileged AppContainer (LPAC), która wyłącza dostęp do zestawu zasobów dostępnych dla wszystkich aplikacji AppContainer.

Właściciel urządzenia

Ponadto wykonywanie określonych operacji na całym urządzeniu, takich jak dołączanie urządzenia do dzierżawy lub zarządzania użytkownikami, jest dozwolone tylko dla "właścicieli urządzeń". Ta grupa jest wypełniana przez użytkowników na urządzeniu za pomocą jednego z następujących kroków:

  • Pierwszy użytkownik na urządzeniu jest zawsze wyznaczony jako właściciel.

Ważne

W przypadku użytkowników usługi Azure AD wyjątkiem od tej reguły jest to, że jeśli urządzenie jest przyłączone do usługi Azure AD za pośrednictwem rozwiązania Autopilot lub rejestracji zbiorczej w usłudze Azure AD, która korzysta z nie rzeczywistego użytkownika. W takim przypadku pierwszy użytkownik AAD zalogować się na urządzeniu może nie zostać automatycznie właścicielem urządzenia, chyba że ma przypisaną rolę "administrator globalny" lub "administrator urządzenia" w Azure Portal. Aby uzyskać więcej informacji, zobacz uwaga poniżej.

  • Gdy użytkownik ma zostać właścicielem z witryny Ustawienia użytkownika przez innego właściciela urządzenia.
  • Jeśli właściciel urządzenia nie jest już dostępny (opuszcza firmę), a urządzenie jest przyłączone do usługi Azure AD, administrator dzierżawy może zmienić właściciela urządzenia na nowego użytkownika w usłudze Azure Portal. Administratorzy globalni i administratorzy urządzeń dzierżawy usługi Azure AD są niejawnie zalogowani jako właściciele na urządzeniu bez konieczności poprzednich kroków.

Administratorzy IT mogą zarządzać tym, do jakich aplikacji mogą uzyskać dostęp za pośrednictwem zasad ochrony prywatności.

Uwaga

Aby dowiedzieć się więcej na temat tego, kto jest właścicielem urządzenia przyłączonego do usługi Azure AD, zobacz dokumentację "Przypisywanie administratora lokalnego" (ale przeczytaj "administrator lokalny" jako "właściciel urządzenia", ponieważ administrator nie istnieje na HoloLens).