Çoklu yönetici onayı gerektirmek için erişim ilkelerini kullanma

Güvenliği aşılmış bir yönetim hesabından korunmaya yardımcı olmak için, değişiklik uygulanmadan önce ikinci bir yönetici hesabının onaylamasını gerektirmek için Microsoft IntuneMicrosoft Intune Çoklu yönetici onayı erişim ilkelerini kullanın. Bu yetenek, Çoklu Yönetici Yönetici Approval olarak bilinir.

Multi AdminYönetici Approval'ı kullanarak, cihazlar için Uygulamalar veya Komut Dosyaları gibi belirli yapılandırmaları koruyan erişim ilkeleri yapılandırabilirsiniz. Access ilkeleri nelerin korunduğunu ve bu kaynaklarda yapılan değişiklikleri hangi hesap grubunun onaylayabileceğini belirtir.

Erişim ilkesi tarafından korunan bir kaynakta değişiklik yapmak için kiracıdaki herhangi bir hesabı kullandığınızda, IntuneIntune, farklı bir hesap açıkça onaylayana kadar değişikliği uygulamaz. Yalnızca erişim koruma ilkesinin korumalı kaynak atadığı onay grubunun üyesi olan yöneticiler değişiklikleri onaylayabilir. Onaylayanlar değişiklik isteklerini reddedebilir.

MAAMAA zorlaması, hem etkileşimli (temsilcili) yönetici eylemleri hem de Microsoft Graph APIGraph API aracılığıyla yapılan uygulama kimliği doğrulanmış (app-auth) API çağrıları için geçerlidir. Kuruluşunuz Microsoft Graph API aracılığıyla Intune kaynaklarını yönetmek için hizmet sorumluları, otomasyon betikleri veya üçüncü taraf uygulamaları kullanıyorsa, hedef kaynak bir erişim ilkesi tarafından korunduğunda bu çağrılar da MAA tarafından kesilir. Otomasyonunuzu MAAMAA ile çalışacak şekilde nasıl güncelleyeceğinize ilişkin ayrıntılar için, Microsoft Graph APIGraph API ile Multi AdminYönetici Onayını Kullanma bölümüne bakın. Belirli uygulamaları zorlamanın dışında tutmak için, bkz: Kurumsal uygulamaları bir erişim ilkesinin dışında tutma.

İpucu

Otomasyon tarafından yapılan API çağrılarında MAA zorlaması yalnızca MAA erişim ilkeleri zaten yapılandırılmış kiracılar için geçerlidir. Hiçbir kiracının kaydını MAA etkinleştirmez veya değiştirmez.

IntuneIntune aşağıdaki kaynaklar için erişim ilkelerini destekler:

  • Uygulamalar – Uygulama dağıtımları için geçerlidir, ancak uygulama koruma ilkeleri için geçerli değildir.
  • Uyumluluk ilkeleri - Uyumluluk ilkeleri oluşturmak ve yönetmek için geçerlidir.
  • Yapılandırma ilkeleri - Ayarlar kataloğu aracılığıyla ilkeler oluşturmak ve yönetmek için geçerlidir.
  • Cihaz eylemleri - Cihaz silme, kullanımdan kaldırma ve silme eylemleri için geçerlidir.
  • Rol tabanlı erişim denetimi – Rol izinlerinde, yönetici gruplarında veya üye grubu atamalarında yapılan değişiklikler de dahil olmak üzere rollerde yapılan değişiklikler için geçerlidir.
  • Betikler – Windows çalıştıran cihazlara betik dağıtımı için geçerlidir.
  • Kiracı Yapılandırması - Oluşturma, düzenleme veya silme gibi cihaz kategorilerini yönetmek için geçerlidir.

Erişim ilkelerinde yapılan değişiklikler ikinci bir yöneticinin onayını gerektirir. Bu kaynak türü otomatik olarak korunduğundan, erişim ilkesi oluşturduğunuzda seçilebilir bir profil türü olarak kullanılamaz.

Erişim ilkeleri ve onaylayanlar için önkoşullar

Multi AdminYönetici Approval'ı kullanmak için kiracınızın en az iki yönetici hesabına sahip olması gerekir. TMAAMAA iş akışı, her biri farklı izin gereksinimlerine sahip üç farklı role sahiptir:

Yönetici lisansı

Varsayılan olarak, MAAMAA iş akışına katılan yöneticilerin hesaplarına atanmış bir IntuneIntune lisansına sahip olmaları gerekir. Lisanssız yöneticilerin MAAMAA iş akışına katılmasına izin vermek için, Lisanssız yöneticilere erişime izin ver ayarını etkinleştirin.

Dikkat

Bu ayar geri alınamaz. Etkinleştirildikten sonra kapatamazsınız. Devam etmeden önce kuruluşunuzun bu sınırlamayı anladığından emin olun.

Bu ayarı etkinleştirmeden önce, grup üyeliği sınırları ve erişim değişikliklerinin geçerlilik kazanma süresi de dahil olmak üzere önemli sınırlar ve davranış ayrıntıları için Lisanssız yöneticiler'i inceleyin.

1. Rol: İlke yöneticisine erişme

Erişim ilkeleri oluşturmak ve yönetmek için, aşağıdaki seçeneklerden birine sahip bir hesap kullanın:

  • Özel IntuneIntune rolü (önerilir): Aşağıdaki Çoklu içeren özel bir rol kullanın Yönetici Yönetici Onay izinleri:

    İzin Açıklama
    Erişim ilkesi oluşturma Yeni MAAMAA erişim politikaları oluşturun
    Erişim ilkesini okuma Mevcut MAAMAA erişim politikalarını görüntüleyin
    Erişim ilkesini güncelleştirme Mevcut MAAMAA erişim politikalarını değiştirin
    Erişim ilkesini sil Remove MAAMAA access policies

  • Intune Yönetici (Intune Hizmeti Yöneticisi olarak da bilinir): Bu Microsoft Entra rolü, Intune tam okuma/yazma erişimi sağlar. Ayrıcalıklı bir rol olduğundan, Microsoft rutin erişim ilkesi yönetimi için bu rol yerine en az ayrıcalıklı özel IntuneIntune rolünün kullanılmasını önerir. Daha fazla bilgi edinmek için Microsoft Entra yerleşik roller - Intune Yönetici bölümüne bakın.

2. Rol: Onaylayan

Diğer yöneticiler tarafından gönderilen MAA isteklerini onaylamak veya reddetmek için hesabın aşağıdaki gereksinimlerin tamamını karşılaması gerekir:

  1. Onaylayan grup üyeliği: Hesap, belirli bir kaynak türü için erişim ilkesine atanan onaylayan grubun üyesi olmalıdır.

  2. IntuneIntune rol izni: Onaylayan hesabın, onayladığı ilke türü için kaynağa özgü Okuma iznine sahip olması gerekir. Örneğin, bir cihaz silme eylemi isteğini onaylamak için onaylayanın ManagedDevices/Read olması gerekir. Kullanılabilir izinlerin tam listesi için bkz: Özel rol izinleri.

  3. Grup için RBAC rol ataması: Onaylayan güvenlik grubunun kendisi en az bir IntuneIntune rol atamasına üye grup olarak eklenmelidir. Onaylayan grup bir rol atamasına eklenmemişse, onaylayan grup üyeleri düzenli aralıklarla gruptan kaldırılır.

    Önemli

    Onaylayan grubunun iki gereksinimi vardır:

    • Bu bir güvenlik grubu olmalıdır. Dağıtım listeleri, Microsoft 365 grupları ve posta etkin güvenlik grupları desteklenmez ve onaylayan üyeliğini sessizce çözemez.
    • Üye grup olarak Intune'da doğrudan bir RBAC rolüne atanmalıdır. Intuneİster diğer gruplar ister doğrudan kullanıcı atamaları aracılığıyla olsun, tek tek üyelerin sahip olduğu Intune rol izinleri bu gereksinimi karşılamaz.
    • Kullanıcıların, atanan grupların doğrudan üyeleri olması gerekir. İç içe grup üyelikleri güvenilmez davranışa neden olabilir.

3. Rol: İstek sahibi değişikliği

Değişiklik istekleri göndermek ve korumalı kaynaklar için onaylanan değişiklikleri tamamlamak için, yöneticinin gerçekleştirdiği belirli bir eyleme yönelik standart Intune RBAC izinlerine ihtiyacı vardır. Aynı hesap, her iki adımı da gerçekleştirir: ilk isteğin gönderilmesi ve başka bir yöneticinin onayından sonra Tamamlandı'nın seçilmesi. Örneğin, bir uygulama oluşturmak için MobileApps/Create veya bir cihazı temizlemek için RemoteTasks/Wipe .

Not

  • Yönetici, onaylayan grubunun bir üyesi olsa bile kendi isteklerini onaylayamaz. İsteği başka bir yöneticinin onaylaması gerekir.
  • Genel Yönetici veya IntuneIntune Administrator hesabı tarafından gönderilen değişikliklerin yine de farklı bir yönetici tarafından onaylanması gerekir.

Multi AdminYönetici Onay ve Erişim politikaları nasıl çalışır?

Yönetici, erişim ilkesi tarafından korunan bir alan için yeni bir nesneyi düzenlediğinde veya oluşturduğunda, Kaydet + Gözden Geçir yüzeyinde iş gerekçesi olarak değişikliğin açıklamasını girebileceği bir seçenek görür.

Bir değişiklik gönderildikten sonra, onaylayan kişi istekleri yönetmek için Multi AdminYönetici Approval düğümünün Tüm istekler sayfasına gidebilir veya KiracıyönetimiAdminYönetici> Tasks bölümüne gidebilir. Her iki konum da etkin veya yakın zamanda yönetilen isteklerin listesini sağlar. Bu görünüm, isteği ne zaman ve kim gönderdiği, Oluşturma veya Atama gibi ilgili işlemin türü ve durumu dahil olmak üzere istek hakkında bazı ayrıntılar sağlar. İsteği yönetmek için:

  • Onaylayan isteğin İş gerekçesi bağlantısını seçer. Bu eylem, isteğin İş gerekçesi alanında sağlanan tüm ayrıntılar da dahil olmak üzere değişiklik hakkında daha fazla bilgi görüntüleyebileceğiniz Access ilkesi istek bölmesini açar.
  • Erişim ilkesi isteği bölmesinde, onaylayan kişi Onaylayan notlar alanına notlar girebilir ve ardından İsteği onayla veya İsteği reddet seçeneklerinden birini belirleyebilir. Bu notlar isteğe eklenir ve değişikliği isteyen kişi isteklerim sayfasında isteklerini gözden geçirirken bunları görebilir. Örneğin, istek reddedilirse, ret nedeni Onaylayıcı notları aracılığıyla istekte bulunana geri iletilebilir.
  • İstek gönderen ve aynı zamanda bunun onay grubunun üyesi olan kişiler, Tüm istekler sayfasında kendi isteklerini görebilir. Ancak, kendi isteklerini onaylayamazlar.

Multi Gözden Geçirme Aracısı önerilerini değiştirin AdminYönetici Approval

Değişiklik İnceleme Aracısı ayarlandığında ve bir çalıştırmayı tamamladığında, İsteklerim ve Tüm istekler sekmeleri, Windows PowerShellWindows PowerShell betik istekleri için bir Aracı Yanıtı sütunu görüntüler. Bir öneri kullanılabilir olduğunda, Multi AdminYönetici Approval düğümünden ayrılmadan bu istek için Değişiklik İnceleme Aracısı'nın onay iş akışını açmak ve tamamlamak için bu öneriyi seçebilirsiniz.

Değişiklik İncelemesi Aracısı önerileri, temsilcinin birincil deneyiminde de kullanılabilir olmaya devam eder. Aracı hakkında daha fazla bilgi için bkz: Gözden Geçirme Aracısını Değiştirme genel bakışı.

Değişiklik onaylanırsa, Intune istenen değişikliği işler ve nesneyi güncelleştirir. Intune isteği işlerken, durumu Onaylandı olarak görüntülenebilir. İlk istek sahibinin isteği görüntülemesi ve değişikliği başlatmak için Tamamla'yı seçmesi gerekir. Başarıyla işlendikten sonra durum bilgisi Tamamlandı olarak güncelleştirilir.

İstek 3 gün içinde daha fazla işleme alınmazsa süresi dolar ve yeniden gönderilmesi gerekir. Her durum değişikliği, durum değişikliklerinden sonraki 30 güne kadar görünür durumda kalır.

Erişim ilkesi oluşturma

  1. Sign in to the Microsoft IntuneMicrosoft Intune admin center, go to Tenant administration>Multi AdminYönetici Approval>Access policies> select Create.

  2. Temel Bilgiler'de bir Ad ve isteğe bağlı Açıklama girin. Profil türü için kullanılabilir seçeneklerden birini belirleyin. Her ilke tek bir profil türünü destekler.

  3. Onaylayanlar'daGrup ekle'yi seçin ve ardından bu ilke için onaylayanlar grubu olarak bir grup seçin. Grupları dışlayan daha karmaşık yapılandırmalar desteklenmez.

  4. Dışlamalar'da, isteğe bağlı olarak, uygulama kimlik doğrulaması belirteçleri kullanan belirli kurumsal uygulamaları bu ilke için MAAMAA zorlamasının dışında tutmak için Kurumsal uygulamalar ekle'yi seçin. Dışlanan uygulamalar, onay iş akışından geçmeden korunan kaynakları değiştirebilir. Daha fazla bilgi için Kurumsal uygulamaları erişim ilkesinin dışında tutma bölümüne bakın.

  5. Gözden geçirme + onay için gönderme sırasında, temel bilgiler, onaylayanlar ve hariç tutmalar dahil olmak üzere ilke özetini gözden geçirin. Bir İşletme gerekçesi girin ve ardından Onay için gönder'i seçin.

  6. Ardından, Approval for Multi AdminYönetici Approval iznine sahip ayrı bir yönetici hesabı kullanın ve yeni erişim ilkesini gözden geçirmek ve onaylamak üzere yönetim merkezinde oturum açın.

  7. Erişim ilkesini oluşturan ilk yönetici hesabıyla yönetim merkezinde yeniden oturum açın, ilkeyi görüntüleyin ve Tamamlandı'yı seçerek son halini verin. Intune bu ilkeyi uyguladıktan sonra, korumalı profil türünün yapılandırmaları için birden çok yönetici onayı gerekir.

Kurumsal uygulamaları erişim ilkesinin dışında tutma

Bir erişim ilkesi oluşturduğunuzda veya düzenlediğinizde, belirli kurumsal uygulamaları bu ilke için MAAMAA zorlamasının dışında tutabilirsiniz. Dışlanan uygulamalar, onay iş akışından geçmeden korunan kaynak türünü değiştirebilir.

Önemli

İstisnalar yalnızca uygulama kimlik doğrulaması (uygulama tarafından kimliği doğrulanmış) çağrılar için geçerlidir. Temsilci kimlik doğrulaması ile yapılan çağrılar, uygulama dışlansa bile her zaman MAAMAAment uygulamasına tabidir.

Uyarı

Bir uygulamayı dışlamak, etkilenen kaynak türü için MAA korumasını atlar. Her dışlama, onay iş akışınızda, dışlanan uygulamanın gizliliğinin tehlikeye girmesi durumunda yararlanılabilecek bir boşluk oluşturur. Uygulamaları yalnızca gerektiğinde hariç tutun ve artık ihtiyaç duymadığınız girişleri kaldırmak için hariç tutma listenizi düzenli olarak gözden geçirin.

Aşağıdaki ayrıntıları göz önünde bulundurun:

  • İlke başına kapsam — Her dışlama yalnızca yapılandırıldığı erişim ilkesi için geçerlidir. Bir erişim ilkesindeki dışlama, diğer ilkeleri veya iş yüklerini etkilemez.
  • Sınır — Uygulama hariç tutmaları, erişim politikası başına 50 uygulama ile sınırlıdır.
  • Onay gerekiyor — İstisnaların eklenmesi, kaldırılması veya değiştirilmesi, diğer erişim politikası değişikliklerinde olduğu gibi ikinci bir yönetici tarafından onaylanmasını gerektirir.
  • Denetim günlüğü — Dışlama listesindeki tüm ekleme, kaldırma ve değiştirme eylemleri, IntuneIntune denetim günlüğüne kaydedilir.

İstek gönderin

Multi AdminYönetici Approval etkinleştirildiğinde bir istek göndermek için, bir kaynak oluşturmak veya düzenlemek için normal sürecinizi kullanın.

Değişikliklerinizi kaydetmeden önceki son sayfada, İş gerekçesi alanına ayrıntıları ekleyin ve ardından isteği gönderin. Acil istekler için, isteğinizin zamanında görüldüğünden emin olmak için bilinen bir onaylayanlar listesine ulaşmayı düşünün.

Aynı nesneye yönelik bir istek zaten onay bekliyorsa, isteğinizi gönderemezsiniz. IntuneIntune bu durumla ilgili sizi uyaran bir ileti görüntüler.

İsteklerinizin durumunu izlemek için Microsoft IntuneMicrosoft Intune yönetim merkezindeKiracı yönetimi>Multi AdminYönetici Approval My>requests'e gidin.

İsteklerim sayfasından bir isteği seçerek onaylanmadan önce iptal edebilir ve ardından İsteği iptal et'i seçebilirsiniz.

İstekleri onaylama

  1. Onay isteklerini bulmak için, Microsoft IntuneMicrosoft Intune yönetim merkezindeKiracı yönetimi>Multi AdminYönetici Onay>Alındı istekleri'ne gidin.

  2. İstek hakkında daha fazla bilgi edinebileceğiniz ve onay veya ret durumunu yönetebileceğiniz inceleme sayfasını açmak için isteğin İş gerekçesi bağlantısını seçin.

  3. Ayrıntıları inceledikten sonra, Onaylayan notları alanına ilgili ayrıntıları girin ve ardından İsteği onayla veya İsteği reddet'i seçin.

  4. Bir isteği onayladıktan sonra, istek sahibinin Tamamla'yı seçmesi gerekir. IntuneIntune değişikliği işler ve durumu Tamamlandı olarak değiştirir. İşlem tamamlandıktan sonra konsol bildirimini inceleyerek onayın başarılı (veya başarısız) olduğunu doğrulayın.

    Onayın başarılı (veya başarısız) olduğunu doğrulamak için IntuneIntune yönetim merkezindeki bildirimlere bakın. Onayın başarılı mı yoksa başarısız mı olduğunu gösteren bir ileti görüntülenir.

İpucu

Bu görevleri, IntuneIntune yönetim merkezindeki merkezi AdminYönetici görevler bölmesinden de yönetebilirsiniz.

Dikkat edilmesi gereken diğer noktalar

  • IntuneIntune, yeni istekler oluşturulduğunda veya mevcut bir isteğin durumu değiştiğinde bildirim göndermez. Acil bir değişiklik isteği gönderdiğinizde, bu istekleri onaylama izni olan kişilerle görüşün.

  • Intune yönetim merkezindeki Çoklu Yönetici Onay düğümünün İsteklerim sayfası aracılığıyla isteklerinizin durumunu izleyin.

  • Bir nesne için onay zaten beklemedeyse, bu nesne için yeni bir istek gönderemezsiniz.

  • Korunan bir kaynağın tüm eylemleri, bunlarla sınırlı olmamak üzere korunur:

    • Düzenleyin
    • Oluşturma
    • Değiştirme
    • Silme
    • Ata

  • IntuneIntune denetim günlükleri, istekler için eylemleri ve onay sürecini kaydeder. Daha fazla bilgi için Intune etkinlikleri için denetim günlüklerine bakın.

  • İstek için aşağıdaki durum koşulları kullanılabilir:

    • Onay gerekiyor – Bu istek, onaylayan tarafından eylem bekliyor.
    • Onaylandı – Bu istek tarafından işleniyor IntuneIntune.
    • Tamamlandı – Bu istek başarıyla uygulandı.
    • Reddedildi – Bu istek bir onaylayan tarafından reddedildi.
    • İptal edildi – Bu istek, isteği gönderen yönetici tarafından iptal edildi.

  • Rol ilke türü için erişim ilkesi oluştururken dikkatli olun. Bu ilke türü, RBAC rollerini ve rol atamalarını oluşturma, güncelleştirme ve silme dahil olmak üzere rolle ilgili tüm değişiklikleri korur. Etkinleştirildikten sonra, MAA gerektirdiği RBAC atamaları da dahil olmak üzere rolleri değiştirmeye yönelik tüm girişimlerin önce MAA onay alması gerekir. Bu gereksinim, MAAMAA'in çalışması için gereken RBAC atamalarını yapılandıramadığınız bir kilitlenme durumu oluşturabilir.

    Bu kilitlenmeyi yaşarsanız:

    1. Go to Tenant administration>Multi AdminYönetici Approval>Access policies.
    2. Rol ilkesi türü için yapılandırılmış erişim ilkesini bulun ve silin.
    3. Değişikliğin yayılması için 3-5 dakika bekleyin.
    4. Kiracı yönetimi>Rolleri'ne gidin ve onaylayan grubunu bir rol atamasına ekleyerek gerekli RBAC rol atamalarını tamamlayın.
    5. RBAC doğru yapılandırıldıktan sonra, isterseniz Rol erişim ilkesini yeniden oluşturabilirsiniz.

    Bu sorunu önlemek için, Rol ilkesi türü için bir erişim ilkesini etkinleştirmeden önce diğer tüm MAAMAA erişim ilkelerini yapılandırın ve RBAC atamalarının doğru olduğundan emin olun.

İlgili içerik

  • Son güncelleştirme: