Операционная система без администратора

• Применяется к:

  HoloLens (1st gen), HoloLens 2

HoloLens 2 сводит к минимуму область поверхности для повышения привилегий, отключив поддержку группы администраторов и ограничив весь код приложения UWP сторонних производителей, чтобы выполнять только стандартных пользователей в песочнице AppContainer. Этот код предоставляется только доступ к этим ресурсам, защищенным возможностями, явно манифестированными в приложении для незавершенного пользователя в дополнение к ресурсам, доступным для всех ПриложенийContainers. Эти возможности приложений по-прежнему имеют трехуровневую модель классификации:

• Общее
• Ограниченный
• Виндоус

Компоненты Windows также могут использовать песочницу AppContainer с помощью системных UWPs. Дополнительные сведения о универсальной платформе Windows (UWP) см. в документации по UWP. Кроме того, компоненты Windows с более большими потребностями сокращения привилегий (например, страницы содержимого браузера или синтаксический анализ) используют песочницу "Менее привилегированный" AppContainer (LPAC), которая отключает доступ к набору ресурсов, доступных для всех ПриложенийContainers.

Владелец устройства

Наконец, выполнение определенных операций на уровне устройств, таких как присоединение устройства к клиенту или управлению пользователями, разрешено только для владельцев устройств. Эта группа заполняется пользователями на устройстве одним из следующих шагов:

• Первый пользователь на устройстве всегда назначается владельцем.

Важный

Для пользователей Microsoft Entra это правило заключается в том, что если устройство присоединено через Autopilot или массовую регистрацию Microsoft Entra, которая использует не реального пользователя. В этом случае первый пользователь Microsoft Entra для входа в устройство не может быть автоматически создан владельцем устройства, если у этого пользователя не назначена роль "Глобальный администратор" или "Локальный администратор устройства Microsoft Entra Joined Device Local Administrator" на портале Azure. Дополнительные сведения см. в приведенной ниже заметке.

• Когда пользователь становится владельцем из пользовательского интерфейса "Параметры" другим владельцем на устройстве.
• Если владелец устройства больше недоступен (покидает компанию) и устройство присоединено к Microsoft Entra, администратор клиента может изменить владельца устройства на нового пользователя на портале Azure. Глобальные администраторы и локальные администраторы устройств Microsoft Entra, присоединенные к устройству, неявно вошли в систему как владельцы на устройстве, не требуя любого из предыдущих шагов.

ИТ-администраторы могут управлять доступом к приложениям с помощью политик конфиденциальности .

Заметка

Дополнительные сведения о том, кто был создан владельцем устройства на присоединенном устройстве Microsoft Entra, см. в документации по назначению локального администратора (но прочитайте "локальный администратор" как "владелец устройства", так как администратор не существует в HoloLens).

Важный

Корпорация Майкрософт рекомендует использовать роли с наименьшими разрешениями. Использование более низких разрешений учетных записей помогает повысить безопасность вашей организации. Глобальный администратор — это высоко привилегированная роль, которая должна быть ограничена сценариями чрезвычайных ситуаций, когда вы не можете использовать существующую роль.