Skapa regler för utökade privilegier med hantering av slutpunktsprivilegier

Med regelprinciper för utökade rättigheter kan hantering av slutpunktsprivilegier (EPM) identifiera specifika filer och skript och utföra motsvarande utökade rättigheter. För att regler för utökade rättigheter ska användas måste enheter ha en princip för utökade rättigheter som aktiverar EPM. Mer information finns i EPM-inställningar för utökade rättigheter.

Obs!

Du kan lägga till upp till 100 principer för utökade rättigheter per regel för utökade rättigheter från Microsoft Intune administrationscenter.

Utöver informationen i den här artikeln bör du vara medveten om viktiga säkerhetsrekommendationer när du hanterar regler för utökade privilegier.

Om principer för regler för utökade rättigheter

En princip för regler för utökade privilegier används för att hantera identifieringen av specifika filer och hur begäranden om utökade privilegier för dessa filer hanteras. Varje princip för utökade rättigheter innehåller en eller flera regler för utökade rättigheter. Det är med regler för utökade rättigheter som du konfigurerar information om filen som hanteras och kraven för att den ska höjas.

Följande typer av filer stöds:

• Körbara filer med filnamnstillägget .exe eller .msi .
• PowerShell-skript med tillägget .ps1 .

Varje regel för utökade rättigheter instruerar EPM om hur man:

• Identifiera filen med hjälp av:

  • Filnamn (inklusive filnamnstillägg). Regeln stöder också valfria villkor som en lägsta version, produktnamn eller internt namn. Valfria villkor används för att ytterligare verifiera filen när utökade rättigheter görs. Filnamnet (exklusive filnamnstillägg) kan innehålla användning av variabler för enstaka tecken med hjälp av frågetecken ? eller strängar med hjälp av en asterisk *.
  • Certifikat. Certifikat kan läggas till direkt i en regel eller med hjälp av en återanvändbar inställningsgrupp. Certifikaten måste vara betrodda och giltiga. Vi rekommenderar att du använder återanvändbara inställningsgrupper eftersom de kan vara mer effektiva och förenkla en framtida ändring av certifikatet. Mer information finns i Grupper med återanvändbara inställningar.

• Validera filen:

  • Filhash. En filhash krävs för automatiska regler. För regler med typen Utökade privilegier av typen Användare bekräftad eller Utöka som aktuell användare kan du välja att antingen använda ett certifikat eller en filhash, i vilket fall filhashen blir valfri.
  • Certifikat. Filegenskaperna kan verifieras tillsammans med det utgivarcertifikat som används för att signera filen. Certifikat verifieras med hjälp av Windows-API:er som kontrollerar attribut som förtroende, förfallodatum för certifikat och återkallningsstatus.
  • Filegenskaper. Alla andra egenskaper som anges i reglerna måste matcha.

• Konfigurera filernas höjningstyp. Typen av utökade rättigheter identifierar vad som händer när en begäran om utökade privilegier görs för filen. Som standard är det här alternativet inställt på Användaren bekräftar. Med undantag för Elevate as current user använder EPM ett virtuellt konto för att höja processer. Detta isolerar förhöjda åtgärder från användarens profil, vilket minskar exponeringen för användarspecifika data och minskar risken för eskalering av privilegier.

  • Neka: Neka-regler hindrar den identifierade filen från att köras i en upphöjd kontext.

  • Support godkänd: En administratör måste godkänna den begäran om utökade privilegier som krävs innan programmet tillåts köras med utökade privilegier.

  • Användaren bekräftad: En användarbekräftad höjning kräver alltid att användaren väljer en bekräftelsefråga för att köra filen. Bekräftelsen kan bara konfigureras för att kräva användarautentisering, en affärsmotivering (synlig i rapporteringen) eller båda.

  • Höj som aktuell användare: Den här typen av utökade rättigheter kör den förhöjda processen under den inloggade användarens eget konto, vilket bevarar kompatibiliteten med verktyg och installationsprogram som förlitar sig på den aktiva användarprofilen. Det här kräver att användaren anger sina autentiseringsuppgifter för Windows-autentisering. Då bevaras användarens profilsökvägar, miljövariabler och anpassade inställningar. Eftersom den upphöjda processen bibehåller samma användaridentitet före och efter utökade rättigheter förblir granskningsloggarna konsekventa och korrekta.

    Men eftersom den upphöjda processen ärver användarens fullständiga kontext introducerar det här läget en bredare attackyta och minskar isoleringen från användardata.

    Viktiga överväganden:

    • Kompatibilitetsbehov: Använd bara det här läget när utökade privilegier för virtuella konton orsakar programfel.
    • Begränsa reglerna för utökade privilegier till betrodda binärfiler och sökvägar för att minska risken.
    • Säkerhetskompromiss: Förstå att det här läget ökar exponeringen för användarspecifika data.

    Tips

    När kompatibiliteten inte är ett problem föredrar du en metod som använder utökade rättigheter för det virtuella kontot för bättre säkerhet.

  • Automatiskt: En automatisk höjning sker osynligt för användaren. Det visas ingen uppmaning och ingen indikation på att filen körs i en upphöjd kontext.

• Hantera underordnade processers beteende. Du kan styra hur regler för utökade rättigheter gäller för underordnade processer som den förhöjda överordnade processen startar.

  • Kräv att regeln höjer – Underordnade processer måste uppfylla sina egna regelkrav innan de kan köra förhöjda rättigheter. Den underordnade processen höjs enligt dess regeldefinition, inklusive eventuella neka-regler.

  • Neka alla – Alla underordnade processer startar utan förhöjd kontext.

  • Tillåt att underordnade processer körs med förhöjd behörighet – Alla underordnade processer som startas av det förhöjda överordnade objektet kommer automatiskt att köras med förhöjda rättigheter. När det här alternativet är markerat hoppas regelutvärderingen för den underordnade processen över, inklusive neka-regler. Det innebär att en underordnad process kan köras förhöjd även när det finns en uttrycklig neka-regel för processen.

  Bästa praxis: Undvik att skapa alltför breda regler för utökade rättigheter för program som kan starta andra processer (till exempel kommandogränssnitt eller skriptmotorer) för att förhindra oavsiktliga utökade rättigheter.

Obs!

Mer information om hur du skapar starka reglerfinns i Definiera regler för användning med hantering av slutpunktsprivilegier.

Du kan också använda Get-FileAttributes PowerShell-cmdleten från EpmTools PowerShell-modulen. Den här cmdleten kan hämta filattribut för en .exe fil och extrahera dess utgivar- och CA-certifikat till en angiven plats som du kan använda för att fylla i egenskaper för utökade privilegier för ett visst program.

Försiktighet

Vi rekommenderar att automatisk höjning används sparsamt och endast för betrodda filer som är affärskritiska. Slutanvändarna höjer automatiskt dessa program vid varje start av programmet.

Definiera regler för användning med hantering av slutpunktsprivilegier

Regler för hantering av slutpunktsprivilegier består av två grundläggande element: en detektering och en höjningsåtgärd.

Identifieringar definieras som den uppsättning attribut som används för att identifiera ett program eller en binärfil. Attributen innefattar filnamn, filversion och signaturegenskaper.

Utökade åtgärder är den resulterande utökade rättigheten som inträffar när ett program eller en binär fil har identifierats.

När du definierar identifieringar är det viktigt att de är definierade så beskrivande som möjligt. Var beskrivande genom att använda starka attribut eller flera attribut för att öka styrkan i identifieringen. Målet när du definierar identifieringar bör vara att eliminera möjligheten för flera filer att falla in i samma regel, såvida det inte uttryckligen är avsikten.

Regler för filhash

Filhashregler är de starkaste reglerna som kan skapas med hantering av slutpunktsprivilegier. De här reglerna rekommenderas starkt för att säkerställa att den fil som du tänker höja är den fil som har förhöjts.

Filhash kan samlas in från den direkta binärfilen med hjälp av PowerShell-metoden Get-Filehash eller direkt från rapporterna för Hantering av slutpunktsprivilegier.

Certifikatregler

Certifikatregler är en stark typ av attribut och ska paras ihop med andra attribut. Om du parar ihop ett certifikat med attribut som produktnamn, internt namn och beskrivning förbättras regelns säkerhet avsevärt. Dessa attribut skyddas av en filsignatur och anger ofta detaljer om den signerade filen.

Försiktighet

Vi rekommenderar inte att du endast använder ett certifikat och ett filnamn för att identifiera filer. Alla standardanvändare med åtkomst till en katalog där filen finns kan ändra filnamnet. Det här problemet kanske inte är ett problem för filer som finns i en skrivskyddad katalog.

Regler som innehåller filnamn

Filnamn är ett attribut som kan användas för att identifiera ett program som måste upphöjas. Filnamnen kan dock enkelt ändras och utgör inte en del av hashen eller attributen som signerats av utgivarcertifikatet.

Det innebär att filnamn är mycket känsliga för ändringar. Files du inte avsiktligt riktar in dig på signerade med ett certifikat som du litar på kan byta namn för att identifieras och upphöjas.

Viktigt

Se alltid till att regler som innehåller ett filnamn innehåller andra attribut som ger en stark försäkran om filens identitet. Attribut som filhash eller egenskaper som ingår i filsignaturen (till exempel produktnamn) är bra indikatorer på att filen du vill troligen är den som ska upphöjas.

Regler baserade på attribut som samlas in av PowerShell

För att hjälpa dig att skapa mer exakta regler för filidentifiering kan du använda PowerShell-cmdleten Get-FileAttributes . Get-FileAttributes är tillgängligt från EpmTools PowerShell-modulen och kan hämta filattribut och certifikatkedjematerial för en fil och du kan använda utdata för att fylla i egenskaper för utökade privilegier för ett visst program.

Exempel på modulimportsteg och utdata från Get-FileAttributes körs mot msinfo32.exe i Windows 11 version 10.0.22621.2506:

PS C:\Windows\system32> Import-Module 'C:\Program Files\Microsoft EPM Agent\EpmTools\EpmCmdlets.dll'
PS C:\Windows\system32> Get-FileAttributes -FilePath C:\Windows\System32\msinfo32.exe -CertOutputPath C:\CertsForMsInfo\

FileName      : msinfo32.exe
FilePath      : C:\Windows\System32
FileHash      : 18C8442887C36F7DB61E77013AAA5A1A6CDAF73D4648B2210F2D51D8B405191D
HashAlgorithm : Sha256
ProductName   : Microsoft® Windows® Operating System
InternalName  : msinfo.dll
Version       : 10.0.22621.2506
Description   : System Information
CompanyName   : Microsoft Corporation

Obs!

Certifikatkedjan för msinfo32.exe matas ut till katalogen C:\CertsForMsInfo som anges i kommandoexemplet.

Mer information finns i EpmTools PowerShell-modulen.

Styra underordnade processers beteende

Med underordnat processbeteende kan du styra kontexten när en process som utökats med EPM skapar en underordnad process. På så sätt kan du styra processer som automatiskt delegeras kontexten för den överordnade processen.

Windows delegerar automatiskt kontexten för en överordnad till ett underordnat objekt, så var särskilt noga med att styra beteendet för dina tillåtna program. Se till att du utvärderar vad som behövs när du skapar regler för utökade privilegier och implementerar principen om lägsta behörighet.

Obs!

Om du ändrar beteendet för den underordnade processen kan det uppstå kompatibilitetsproblem med vissa program som förväntar sig standardbeteendet i Windows. Se till att du testar program noggrant när du manipulerar beteendet för den underordnade processen.

Distribuera regler som skapats med hantering av slutpunktsprivilegier

Regler för hantering av slutpunktsprivilegier distribueras som alla andra principer i Microsoft Intune. Det innebär att regler kan distribueras till användare eller enheter och att regler slås samman på klientsidan och väljs vid körning. Eventuella konflikter löses baserat på principkonfliktens beteende.

Regler som distribueras till en enhet gäller för alla användare som använder enheten. Regler som distribueras till en användare gäller endast för den användaren på varje enhet som de använder. När en höjningsåtgärd inträffar ges regler som distribueras till användaren företräde framför regler som distribueras till en enhet. På så sätt kan du distribuera en uppsättning regler till alla användare av en enhet och en mer tillåtande uppsättning regler till en specifik användare (till exempel en supportadministratör). Det gör det möjligt för supportadministratören att höja en bredare uppsättning program när de loggar in på enheten.

Standardbeteendet för förhöjd behörighet används endast när ingen regelmatchning kan hittas. Standardbeteendet för utökade rättigheter gäller endast när en höjning utlöses med högerklicksmenyn Kör med förhöjd åtkomst .

Princip för att skapa regler för utökade rättigheter

Distribuera en princip för regler för utökade rättigheter till användare eller enheter för att distribuera en eller flera regler för filer som hanteras för utökade rättigheter av hantering av slutpunktsprivilegier. Varje regel som du lägger till i principen:

• Identifierar en fil med filnamn och filnamnstillägg som du vill hantera begäranden om utökade privilegier för.
• Kan innehålla ett certifikat som hjälper till att verifiera filens integritet. Du kan också lägga till en återanvändbar grupp som innehåller ett certifikat som du sedan använder med en eller flera regler eller principer.
• Kan innehålla ett eller flera manuellt tillagda filargument eller kommandoradsväxlar. När filargument läggs till i en regel tillåter EPM endast filhöjning för begäranden som innehåller en av de definierade kommandoraderna. Om en definierad kommandorad inte är en del av begäran om filutökade privilegier nekar EPM den begäran.
• Anger om filens typ av utökade rättigheter är automatisk (tyst) eller om det krävs bekräftelse från användaren. Med användarbekräftelse kan du kräva validering med en fråga om autentiseringsuppgifter, en affärsmotivering eller båda.

Obs!

Utöver den här principen måste en enhet också tilldelas en princip för Windows-utökade inställningar som aktiverar hantering av slutpunktsprivilegier.

Använd någon av följande metoder för att skapa nya regler för utökade rättigheter, som läggs till i principen för utökade rättigheter:

• Konfigurera regler för utökade rättigheter automatiskt – Använd den här metoden för att spara tid när du skapar en regel för utökade rättigheter genom att lägga till filinformation från rapporteringen. Regler kan skapas med hjälp av rapporten för utökade rättigheter eller från en post för godkända begäranden om utökade privilegier.

  Med den här metoden kan du:

  • Välj den fil som du vill skapa en regel för utökade rättigheter för från rapporten för utökade rättigheter eller stödja en godkänd begäran om utökade privilegier.
  • Välj att lägga till den nya regeln för utökade rättigheter i en befintlig princip för utökade rättigheter eller skapa en ny princip för regler för utökade rättigheter som innehåller den nya regeln.
    • När den nya regeln läggs till i en befintlig princip blir den omedelbart tillgänglig för principlistan med tilldelade grupper.
    • När en ny princip skapas måste du redigera den och tilldela grupper innan den blir tillgänglig för användning.

• Konfigurera regler för utökade rättigheter manuellt – Den här metoden kräver att du identifierar den filinformation som du vill använda för identifiering och att du anger dem manuellt som en del av arbetsflödet för att skapa regler. Information om identifieringskriterier finns i Definiera regler för användning med hantering av slutpunktsprivilegier.

  Med den här metoden kan du:

  • Bestäm manuellt vilken filinformation som ska användas och lägg sedan till dem i regeln för utökade rättigheter för filidentifiering.
  • Konfigurera alla aspekter av principen när du skapar principen, inklusive tilldelning av principen till grupper för användning.
  • Kan lägga till ett eller flera filargument som måste ingå i begäran om utökade rättigheter innan EPM tillåter filhöjning.

Tips

För både automatiskt konfigurerade och manuellt konfigurerade regler för utökade rättigheter rekommenderar vi användning av en filsökväg som pekar på en plats som standardanvändare inte kan ändra.

Konfigurera regler för utökade rättigheter automatiskt för principen för Windows-höjningsregler

1. Logga in på administrationscentret för Microsoft Intune och gå till Endpoint securityHantering>av slutpunktsprivilegier. Om du vill välja en fil som ska användas för en regel för utökade rättigheter väljer du någon av följande startsökvägar:

   Starta från en rapport:

   1. Välj fliken Rapporter och sedan panelen Utökade rättigheter . Leta reda på filen du vill skapa en regel för i kolumnen Arkiv .
   2. Välj det länkade namnet på filen för att öppna filens informationsfönster för utökade privilegier .

   Starta från en begäran om utökade rättigheter som godkänts av supporten:

   1. Välj fliken Begäran om utökade privilegier .

   2. I kolumnen Fil väljer du den fil som du vill använda för regeln för utökade privilegier, som öppnar fönstret med information om utökade privilegier .

      Status för begäran om utökade privilegier spelar ingen roll. Du kan använda en väntande begäran eller en som tidigare godkänts eller nekats.

2. Granska filinformationen i fönstret Information om utökade privilegier . Den här informationen används av regeln för utökade rättigheter för att identifiera rätt fil. När du är klar väljer du Skapa en regel med följande filinformation.

   

3. Välj ett principalternativ för den nya regeln för utökade rättigheter som du skapar:

   Skapa en ny princip: Med det här alternativet skapas en ny princip som innehåller en regel för utökade rättigheter för den markerade filen.

   1. För regeln konfigurerar du beteendet för typen och underordnad process och väljer sedan OK för att skapa principen.
   2. När du uppmanas till det anger du ett principnamn för den nya principen och bekräftar att du vill skapa den.
   3. När principen har skapats kan du redigera principen för att tilldela den och göra andra ändringar.

   Lägg till i en befintlig princip: Med det här alternativet använder du listrutan och väljer en befintlig princip för utökade rättigheter som den nya regeln för utökade rättigheter läggs till för.

   1. För regeln konfigurerar du beteendet för utökade privilegier ochUnderordnad process och väljer sedan OK. Principen uppdateras med den nya regeln.
   2. När regeln har lagts till i principen kan du redigera principen för att få åtkomst till regeln och sedan ändra den för att göra ytterligare konfigurationer om det behövs.

   Kräv samma filsökväg som den här utökade rättigheten: När du markerar den här kryssrutan får fältet Filsökväg i regeln den filsökväg som visas i rapporten. Om kryssrutan inte är markerad förblir sökvägen tom.

   Tips

   Även om det är valfritt rekommenderar vi att du använder en filsökväg som pekar på en plats som vanliga användare inte kan ändra.

   

Konfigurera regler för utökade rättigheter manuellt för principen för Windows-regler för behörighetshöjningar

1. Logga in på administrationscentret för Microsoft Intune och gå till Slutpunktssäkerhet>, Hantering av slutpunktsprivilegier>, välj fliken >Principer och välj sedan Skapa princip. Ange Plattform till Windows, Profil till Windows princip för utökade rättigheter och välj sedan Skapa.

2. I Grunder anger du följande egenskaper:

   • Namn: Ange ett beskrivande namn på profilen. Namnge profiler så att du lätt kan identifiera dem senare.
   • Beskrivning: Ange en beskrivning för profilen. Den här inställningen är valfri, men rekommenderas.

3. I konfigurationsinställningarna lägger du till en regel för varje fil som den här principen hanterar. När du skapar en ny princip startar principen med en tom regel med en höjningstyp av användaren bekräftad och inget regelnamn. Börja med att konfigurera den här regeln och senare kan du välja Lägg till för att lägga till fler regler i den här principen. Varje ny regel som du lägger till har en rättighetshöjningstyp som har bekräftats av användaren, vilket kan ändras när du konfigurerar regeln.

   

   Om du vill konfigurera en regel väljer du Redigera instans för att öppna sidan med regelegenskaper och konfigurerar sedan följande:

   

   • Regelnamn: Ange ett beskrivande namn för regeln. Ge reglerna ett namn så att du lätt kan identifiera dem senare.
   • Beskrivning (valfritt): Ange en beskrivning för profilen.

   Utökade privilegier är villkor som definierar hur en fil körs och användarvalideringar som måste uppfyllas innan filen som regeln gäller för kan köras.

   • Höjningstyp: Som standard är det här alternativet inställt på Användarbekräftad, vilket är den typ av utökade rättigheter som oftast används eftersom den tillåter utökade rättigheter, men kräver bekräftelse från användaren.

     • Neka: En neka-regel förhindrar att den identifierade filen körs i en upphöjd kontext. Följande beteenden gäller:

       • Neka-regler stöder samma konfigurationsalternativ som andra utökade typer förutom alternativen för underordnade processer. Alternativ för underordnade processer används inte från den här regeln även om de har konfigurerats.
       • När en användare försöker höja en fil som matchar en neka-regel misslyckas utökade rättigheter. EPM visar ett meddelande som anger att programmet inte kan köras som administratör. Om användaren även tilldelas en regel som tillåter utökade rättigheter för samma fil har neka-regeln företräde.
       • Nekade utökade rättigheter visas i rapporten över utökade rättigheter som nekade, på samma sätt som när en begäran om godkänd support nekas nekas.
       • EPM stöder för närvarande inte automatisk konfiguration av en neka-regel från utvärderingsrapporten.

     • Support godkänd: Den här typen av utökade rättigheter kräver att en administratör godkänner en begäran om utökade privilegier. Mer information finns i Supportgodkända begäranden om utökade privilegier.

       Viktigt

       Användning av stöd för godkänd förhöjning för filer kräver att administratörer med ytterligare behörigheter granskar och godkänner varje begäran om filhöjning före den filen på enheten med administratörsbehörighet. Information om hur du använder den godkända typen av utökade privilegier finns i Stödgodkända filhöjningar för hantering av slutpunktsprivilegier.

     • Bekräftad av användaren: Används oftast för filer med regler som kräver utökade rättigheter eftersom de tillåter utökade rättigheter, men kräver bekräftelse från användaren. När en fil körs får användaren en enkel uppmaning om att bekräfta sin avsikt att köra filen. Regeln kan också innehålla andra uppmaningar som är tillgängliga i listrutan Verifiering :

       • Affärsmotivering: Kräv att användaren anger en motivering för att köra filen. Det finns inget obligatoriskt format för posten. Användarindata sparas och kan granskas via loggar om rapporteringsomfånget omfattar insamling av slutpunktsutökade rättigheter.
       • Windows-autentisering: Det här alternativet kräver att användaren autentiserar med sina autentiseringsuppgifter för organisationen.

     • Automatisk: Den här typen av utökade rättigheter kör automatiskt filen med förhöjda behörigheter. Automatisk höjning är transparent för användaren, utan att fråga efter bekräftelse eller kräva motivering eller autentisering av användaren.

       Försiktighet

       Använd endast automatisk förhöjning genom undantag och för filer som du litar på. Dessa filer höjs automatiskt utan användarinteraktion. Regler som inte är väldefinierade kan göra det möjligt för ej godkända program att höjas. Mer information om hur du skapar starka regler finns i vägledningen för att skapa regler.

   • Beteende för underordnad process: Som standard är det här alternativet inställt på Kräv regel för att höja, vilket kräver att den underordnade processen matchar samma regel som processen som skapar den. Andra alternativ är:

     • Tillåt att alla underordnade processer körs med förhöjda rättigheter: Det här alternativet bör användas med försiktighet eftersom det gör att program kan skapa underordnade processer villkorslöst.
     • Neka alla: Den här konfigurationen förhindrar att underordnade processer skapas.

   Filinformation är där du anger detaljerna som identifierar en fil som den här regeln gäller för.

   • Filnamn: Ange filnamnet och dess tillägg. Till exempel: myapplication.exe. Du kan också använda en variabel i filnamnet.

   • Filsökväg (valfritt): Ange filens plats. Om filen kan köras från vilken plats som helst eller är okänd kan du lämna det tomt. Du kan också använda en variabel.

     Tips

     Även om det är valfritt rekommenderar vi att du använder en filsökväg som pekar på en plats som vanliga användare inte kan ändra.

   • Signaturkälla: Välj något av följande alternativ:

     • Använd en certifikatfil i återanvändbara inställningar (standard): Det här alternativet använder en certifikatfil som tidigare har lagts till i en återanvändbar inställningsgrupp för Hantering av slutpunktsprivilegier. Du måste skapa en återanvändbar inställningsgrupp innan du kan använda det här alternativet.

       Om du vill identifiera certifikatet väljer du Lägg till eller ta bort ett certifikat och väljer sedan den återanvändbara grupp som innehåller rätt certifikat. Ange sedan certifikattyp för utgivare eller certifikatutfärdare.

     • Ladda upp en certifikatfil: Lägg till en certifikatfil direkt i regeln för utökade rättigheter. För Filöverföring anger du en .cer fil som kan verifiera integriteten för den fil som den här regeln gäller för. Ange sedan certifikattyp för utgivare eller certifikatutfärdare.

     • Inte konfigurerad: Använd det här alternativet om du inte vill använda ett certifikat för att verifiera filens integritet. När inget certifikat används måste du ange en filhash.

   • Filhash: Filhashen krävs när signaturkällan är inställd på Inte konfigurerad och valfri när den är inställd på att använda ett certifikat.

   • Lägsta version: (Valfritt) Använd x.x.x.x-format för att ange en minimiversion av filen som stöds av den här regeln.

   • Filbeskrivning: (Valfritt) Ange en beskrivning av filen.

   • Produktnamn: (Valfritt) Ange namnet på produkten som filen kommer från.

   • Internt namn: (Valfritt) Ange det interna namnet på filen.

   Välj Spara för att spara regelkonfigurationen. Du kan sedan lägga till fler regler. När du har lagt till alla regler som den här principen kräver väljer du Nästa för att fortsätta.

4. På sidan Omfångstaggar väljer du önskade omfångstaggar som ska tillämpas och väljer sedan Nästa.

5. För Tilldelningar väljer du de grupper som tar emot principen. Mer information om att tilldela profiler finns i Tilldela användar- och enhetsprofiler. Välj Nästa.

6. I Granska + skapa granskar du inställningarna och väljer sedan Skapa. När du väljer Skapa sparas dina ändringar och profilen tilldelas. Principen visas också i principlistan.

Använda variabler i regler för utökade rättigheter

När du manuellt konfigurerar regler för filhöjning kan du använda jokertecken för följande konfigurationer som är tillgängliga på sidan Regelegenskaper för en princip för höjningsregel:

• Filnamn: Jokertecken stöds som en del av ett filnamn när du konfigurerar filnamnsfältet .
• Mappsökväg: Jokertecken stöds som en del av en mappsökväg när du konfigurerar fältet Mappsökväg .

Obs!

Jokertecken stöds inte i regler för automatiska utökade rättigheter.

Användningen av jokertecken ger flexibilitet i reglerna för att stödja betrodda filer vars namn kan ändras ofta vid senare revisioner, eller för vilka filsökvägen också kan ändras.

Följande jokertecken stöds:

• Frågetecken ? – frågetecken ersätter enskilda tecken i ett filnamn.
• Asterisk * – Asterisker ersätter en teckensträng i ett filnamn.

Här följer några exempel på användning med jokertecken:

• Filnamn för en Visual Studio-installationsfil med namnet VSCodeSetup-arm64-1.99.2.exe:

  • VSCodeSetup*.exe
  • VSCodeSetup-arm64-*.exe
  • VSCodeSetup-?????-1.??.?.exe

• Filsökväg för samma fil, som vanligtvis finns i C:\Users\<username>\Downloads\:

  • C:\Users\*\Downloads\

Tips

Undvik att använda regelegenskaper som kan stå i konflikt med variabler i ett filnamn. Till exempel matchar en filhash bara en fil och därför kan ett jokertecken för filnamn vara överflödigt.

Använda filargument för regler för utökade rättigheter

Regler för filhöjning kan också begränsas för att tillåta utökade rättigheter med specifika argument.

Till exempel kan dsregcmd vara användbart för att undersöka tillståndet för en enhet i Microsoft Entra ID, men kräver utökade rättigheter. För att stödja de här filerna som används för undersökning kan du konfigurera regeln med en lista med argument för dsregcmd som innehåller växlarna för /status, /listaccounts med mera. Men för att förhindra en destruktiv åtgärd som att avregistrera en enhet utesluter du argument som /leave. Med den här konfigurationen tillåter regeln endast utökade rättigheter om argumenten /status eller /listaccounts används. dsregcmd med /leave växeln, som tar bort enheten från Microsoft Entra ID, skulle nekas.

Om du vill lägga till ett eller flera argument till en regel för utökade rättigheter anger du Begränsa argument till listan Tillåt. Välj Lägg till och konfigurera de tillåtna kommandoradsalternativen. Genom att lägga till flera argument anger du flera kommandorader som stöds av begäranden om utökade rättigheter.

Viktigt

Att tänka på när det gäller filargument:

• EPM använder filargumentlistor som listor över tillåtna. När EPM är konfigurerad tillåts utökade rättigheter när inga argument används eller bara de angivna argumenten används. Utökade rättigheter blockeras om några argument används som inte finns i de angivna argumenten.
• Filargument är skiftlägeskänsliga. Användarna måste matcha skiftläget exakt som det definieras i reglerna.
• Definiera inte hemligheter som ett filargument.

Grupper med återanvändbara inställningar

Hantering av slutpunktsprivilegier använder återanvändbara inställningsgrupper för att hantera certifikaten som verifierar de filer som du hanterar med Hantering av slutpunktsprivilegier regler för utökade rättigheter. Liksom alla återanvändbara inställningsgrupper för Intune skickas ändringar till en återanvändbar grupp automatiskt till de principer som refererar till gruppen. Om du måste uppdatera certifikatet som du använder för filverifiering behöver du bara uppdatera det i gruppen för återanvändbara inställningar en gång. Intune tillämpar det uppdaterade certifikatet på alla utökade regler som använder gruppen.

Så här skapar du den återanvändbara inställningsgruppen för Hantering av slutpunktsprivilegier:

1. Logga in på administrationscentret för Microsoft Intune och gå till Slutpunktssäkerhet>: Hantering av slutpunktsprivilegier>, välj fliken >Återanvändbara inställningar (förhandsversion) och välj sedan Lägg till.

   

2. I Grunder anger du följande egenskaper:

   • Namn: Ange ett beskrivande namn för den återanvändbara gruppen. Namnge grupper så att du lätt kan identifiera dem senare.
   • Beskrivning: Ange en beskrivning för profilen. Den här inställningen är valfri, men rekommenderas.

3. I konfigurationsinställningarna väljer du mappikonen för Certifikatfil och bläddrar till . CER-fil för att lägga till den i den här återanvändbara gruppen. Fältet Base 64-värde fylls i baserat på det valda certifikatet.

   

4. I Granska + skapa granskar du inställningarna och väljer sedan Lägg till. När du väljer Lägg till sparas konfigurationen och gruppen visas sedan i grupplistan för återanvändbara inställningar för Hantering av slutpunktsprivilegier.

---

Nästa steg

Nästa: Använda hantering av slutpunktsprivilegier för att flytta användare från administratör till standardanvändare>