управление группами Администратор для Surface Hub

  • Статья
  • Применяется к:
    Surface Hub, Surface Hub 2S

Каждое устройство Surface Hub можно настроить локально с помощью приложения «Параметры» на устройстве. Во избежание несанкционированного изменения параметров для открытия приложения «Параметры» требуются учетные данные администратора.

управление группой администраторов

Учетные записи администратора для устройства можно настроить следующими способами:

Создание учетной записи локального администратора

Чтобы создать локального администратора, во время первого запуска выберите соответствующий параметр. При этом на Surface Hub создается одна учетная запись локального администратора с именем пользователя и паролем по вашему выбору. Используйте эти учетные данные, чтобы открыть приложение "Параметры".

Обратите внимание, что сведения об учетной записи локального администратора не поддерживаются ни одной службой каталогов. Рекомендуется выбирать локального администратора, только если у устройства нет доступа к Active Directory (AD) или Microsoft Entra ID. Если вы решите изменить пароль локального администратора, это можно сделать в приложении "Параметры". Однако если вы хотите перейти с учетной записи локального администратора на группу из вашего домена или клиента Microsoft Entra, необходимо сбросить устройство и снова выполнить программу.

Присоединение устройства к Active Directory

Вы можете присоединить Surface Hub к домену AD, чтобы разрешить пользователям из указанной группы безопасности настраивать параметры. Во время первого запуска выберите использование доменных служб Active Directory. Необходимо указать учетные данные, которые могут присоединиться к выбранному домену, а также имя существующей группы безопасности. Любой член этой группы безопасности может ввести свои учетные данные и разблокировать приложение "Параметры".

Что происходит при присоединении домена к Surface Hub?

Устройства Surface Hub используют присоединение к домену для решения следующих задач:

  • предоставить права администратора участникам заданной группы безопасности в AD;
  • Создайте резервную копию ключа восстановления BitLocker устройства, сохранив его в объекте компьютера в AD. См. подробные сведения в разделе Сохранение ключа BitLocker.
  • Синхронизация системных часов с доменным контроллером для зашифрованного обмена данными

Surface Hub не поддерживает применение групповая политика или сертификатов с контроллера домена.

Примечание.

Если ваше устройство Surface Hub теряет доверие домена (например, при удалении Surface Hub из домена после присоединения к нему), вы не сможете пройти проверку подлинности и открыть приложение «Параметры». Если вы решите удалить отношение доверия Surface Hub с доменом, сначала сбросьте устройство.

Microsoft Entra присоединение устройства

Вы можете использовать Microsoft Entra ID, чтобы присоединиться к Surface Hub, чтобы позволить ИТ-специалистам из вашего клиента Microsoft Entra настраивать параметры. Во время первого запуска выберите Microsoft Entra ID. Необходимо указать учетные данные, которые могут присоединиться к Microsoft Entra клиента по вашему выбору. После успешного Microsoft Entra присоединения соответствующие пользователи получат права администратора на устройстве.

По умолчанию всем глобальным администраторам предоставляются права администратора на Microsoft Entra присоединенном Surface Hub. С помощью Microsoft Entra ID P1 или P2 или Enterprise Mobility Suite (EMS) можно добавить дополнительных администраторов:

  1. На классическом портале Azure выберите Active Directory, а затем выберите имя каталога вашей организации.
  2. На странице Настройка в разделе Устройства>Дополнительные администраторы на Microsoft Entra присоединенных устройств выберите Выбрано.
  3. Выберите Добавить и выберите пользователей, которые вы хотите добавить в качестве администраторов на surface Hub и других устройствах, присоединенных к Microsoft Entra.
  4. По завершении нажмите кнопку галочки, чтобы сохранить изменения.

Что происходит при Microsoft Entra присоединении к Surface Hub?

Surface Hub используют Microsoft Entra соединения для:

  • Предоставьте права администратора соответствующим пользователям в клиенте Microsoft Entra.
  • Создайте резервную копию ключа восстановления BitLocker устройства, сохранив его в учетной записи, которая использовалась для Microsoft Entra присоединения устройства. См. подробные сведения в разделе Сохранение ключа BitLocker.

Автоматическая регистрация через Microsoft Entra присоединение

Surface Hub теперь поддерживает возможность автоматической регистрации в Intune путем присоединения устройства к Microsoft Entra ID.

Дополнительные сведения см. в статье Настройка регистрации для устройств Windows.

Что следует выбрать?

Если ваша организация использует Active Directory или Microsoft Entra ID, рекомендуется присоединиться к домену или Microsoft Entra присоединиться, главным образом по соображениям безопасности. Люди могут выполнять проверку подлинности и разблокировать параметры с помощью собственных учетных данных, а также могут перемещаться в группы безопасности, связанные с вашим доменом, или из них.

Параметр Требования Какие учетные данные можно использовать для доступа к приложению "Параметры"?
Создание учетной записи локального администратора Нет Имя пользователя и пароль, заданные во время первого запуска
Присоединение устройства к домену Active Directory (AD) Ваша организация использует AD Любой пользователь AD из определенной группы безопасности в вашем домене
Microsoft Entra присоединение устройства В вашей организации используется Microsoft Entra Basic Только глобальные администраторы
  Ваша организация использует Microsoft Entra ID P1 или P2 или Enterprise Mobility Suite (EMS) Глобальные администраторы и дополнительные администраторы

Настройка не глобальных учетных записей Администратор на устройствах, присоединенных к Microsoft Entra

Для устройств Surface Hub версии 1 и Surface Hub 2S, присоединенных к Microsoft Entra ID, обновление Windows 10 для совместной работы 2020 позволяет ограничить разрешения администратора на управление приложением "Параметры" на Surface Hub. Это позволяет область разрешения администратора только для Surface Hub и предотвратить потенциально нежелательный доступ администратора ко всему домену Microsoft Entra. Дополнительные сведения см. в статье Настройка не глобальных учетных записей Администратор на Surface Hub.