Erstellen von Regeln für erhöhte Rechte mit Endpoint Privilege Management

Regelrichtlinien für erhöhte Rechte ermöglichen Endpoint Privilege Management (EPM), bestimmte Dateien und Skripts zu identifizieren und die zugehörige Aktion für erhöhte Rechte auszuführen. Damit die Regeln für erhöhte Rechte wirksam werden, müssen Geräte über eine gezielte Einstellungsrichtlinie für erhöhte Rechte verfügen, die EPM aktiviert. Weitere Informationen finden Sie unter EPM-Höheneinstellungen.

Beachten Sie zusätzlich zu den Informationen in diesem Artikel wichtige Sicherheitsempfehlungen , wenn Sie erhöhte Rechte verwalten.

Informationen zur Regelrichtlinie für erhöhte Rechte

Eine Regelrichtlinie für erhöhte Rechte wird verwendet, um die Identifizierung bestimmter Dateien und die Behandlung von Anforderungen für erhöhte Rechte für diese Dateien zu verwalten. Jede Regelrichtlinie für erhöhte Rechte enthält eine oder mehrere Regeln für erhöhte Rechte. Mit Regeln für erhöhte Rechte konfigurieren Sie Details zur zu verwaltenden Datei und zu den Anforderungen für ihre erhöhte Rechte.

Die folgenden Dateitypen werden unterstützt:

• Ausführbare Dateien mit der .exe Erweiterung oder .msi .
• PowerShell-Skripts mit der .ps1 Erweiterung.

Jede Erhöhungsregel weist EPM an, wie das geht:

• Identifizieren Sie die Datei mit:

  • Dateiname (einschließlich Erweiterung). Die Regel unterstützt auch optionale Bedingungen wie eine Mindestbuildversion, einen Produktnamen oder einen internen Namen. Optionale Bedingungen werden verwendet, um die Datei weiter zu überprüfen, wenn eine Erhöhung versucht wird. Der Dateiname (ohne Erweiterungen) kann die Verwendung von Variablen für einzelne Zeichen durch die Verwendung eines Fragezeichens ? oder Zeichenfolgen durch die Verwendung eines Sternchens *umfassen.
  • Zertifikat. Zertifikate können direkt einer Regel oder mithilfe einer wiederverwendbaren Einstellungsgruppe hinzugefügt werden. Zertifikate müssen vertrauenswürdig und gültig sein. Es wird die Verwendung wiederverwendbarer Einstellungsgruppen empfohlen, da sie effizienter sein und eine zukünftige Änderung des Zertifikats vereinfachen können. Weitere Informationen finden Sie unter Wiederverwendbare Einstellungsgruppen.

• Überprüfen Sie die Datei:

  • Dateihash. Für automatische Regeln ist ein Dateihash erforderlich. Für Regeln mit dem Erhöhungstyp "Benutzer bestätigt" oder "Als aktueller Benutzer heraufstufen" können Sie entweder ein Zertifikat oder einen Dateihash verwenden. In diesem Fall wird der Dateihash optional.
  • Zertifikat. Dateieigenschaften können zusammen mit dem Herausgeberzertifikat überprüft werden, das zum Signieren der Datei verwendet wird. Zertifikate werden mithilfe von Windows-APIs überprüft, die Attribute wie Vertrauensstellung, Zertifikatablauf und Sperrung status überprüfen.
  • Dateieigenschaften. Alle anderen in den Regeln angegebenen Eigenschaften müssen übereinstimmen.

• Konfigurieren Sie den Dateirechtetyp. Der Höhentyp gibt an, was geschieht, wenn eine Anforderung auf erhöhte Rechte für die Datei gestellt wird. Standardmäßig ist diese Option auf "Benutzer bestätigt" festgelegt. Mit Ausnahme von Elevate als aktueller Benutzer verwendet EPM ein virtuelles Konto , um Prozesse zu erhöhen. Dadurch werden Aktionen mit erhöhten Rechten aus dem Profil des Benutzers isoliert, wodurch die Gefährdung durch benutzerspezifische Daten verringert wird und das Risiko einer Rechteausweitung verringert wird.

  • Verweigern: Verweigerungsregeln verhindern, dass die identifizierte Datei in einem Kontext mit erhöhten Rechten ausgeführt wird.

  • Support genehmigt: Ein Administrator muss die für den Support erforderliche Erhöhungsanforderung genehmigen, bevor die Anwendung mit erhöhten Berechtigungen ausgeführt werden darf.

  • Benutzer bestätigt: Bei einer vom Benutzer bestätigten Erhöhung muss der Benutzer immer eine Bestätigungsaufforderung zum Ausführen der Datei auswählen. Die Bestätigung kann nur so konfiguriert werden, dass eine Benutzerauthentifizierung, eine geschäftliche Begründung (im Reporting sichtbar) oder beides erforderlich ist.

  • Als aktuellen Benutzer hochstufen: Bei dieser Art von Erhöhung wird der Prozess mit erhöhten Rechten unter dem eigenen Konto des angemeldeten Benutzers ausgeführt, wobei die Kompatibilität mit Tools und Installationsprogrammen, die auf das aktive Benutzerprofil angewiesen sind, erhalten bleibt. Dazu muss der Benutzer seine Anmeldeinformationen für die Windows-Authentifizierung eingeben. Dadurch werden die Profilpfade, Umgebungsvariablen und personalisierten Einstellungen des Benutzers beibehalten. Da der erhöhte Prozess vor und nach der Erhöhung die gleiche Benutzeridentität beibehält, bleiben die Überwachungspfade konsistent und genau.

    Da der erhöhte Prozess jedoch den vollständigen Kontext des Benutzers erbt, führt dieser Modus zu einer breiteren Angriffsfläche und verringert die Isolation von Benutzerdaten.

    Wichtige Überlegungen:

    • Kompatibilitätsbedarf: Verwenden Sie diesen Modus nur, wenn die Erhöhung virtueller Konten Anwendungsfehler verursacht.
    • Enger Umfang: Beschränken Sie erhöhte Regeln auf vertrauenswürdige Binärdateien und Pfade, um das Risiko zu verringern.
    • Kompromiss bei der Sicherheit: Beachten Sie, dass dieser Modus die Anfälligkeit für benutzerspezifische Daten erhöht.

    Tipp

    Wenn die Kompatibilität kein Problem darstellt, bevorzugen Sie eine Methode, bei der die Erhöhung virtueller Konten für eine höhere Sicherheit verwendet wird.

  • Automatisch: Eine automatische Erhöhung erfolgt für den Benutzer unsichtbar. Es gibt keine Eingabeaufforderung und keinen Hinweis darauf, dass die Datei in einem Kontext mit erhöhten Rechten ausgeführt wird.

• Verwalten des Verhaltens von untergeordneten Prozessen Sie können steuern, wie die Erhöhungsregeln für alle untergeordneten Prozesse angewendet werden, die der übergeordnete Prozess mit erhöhten Rechten startet.

  • Erhöhte Regeln erfordern: Untergeordnete Prozesse müssen ihre eigenen Regelanforderungen erfüllen, bevor sie mit erhöhten Rechten ausgeführt werden können. Der untergeordnete Prozess erhöht sich gemäß seiner Regeldefinition, einschließlich etwaiger Verweigerungsregeln.

  • Alle verweigern – Alle untergeordneten Prozesse werden ohne erhöhte Kontexteinstellungen gestartet.

  • Ausführung von erhöhten Rechten für untergeordnete Prozesse zulassen – Jeder untergeordnete Prozess, der von einem erhöhten übergeordneten Prozess gestartet wird, wird automatisch mit erhöhten Rechten ausgeführt. Wenn diese Option ausgewählt ist, wird die Regelauswertung für den untergeordneten Prozess übersprungen, einschließlich Verweigerungsregeln. Dies bedeutet, dass ein untergeordneter Prozess auch dann mit erhöhten Rechten ausgeführt werden kann, wenn eine explizite Verweigerungsregel für diesen Prozess vorhanden ist.

  Bewährte Methode: Vermeiden Sie die Erstellung übermäßig weit gefasster Regeln für erhöhte Rechte für Anwendungen, die andere Prozesse (z. B. Befehlsshells oder Skript-Engines) starten können, um unbeabsichtigte erhöhte Rechte zu verhindern.

Definieren von Regeln für die Verwendung mit Endpoint Privilege Management

Endpoint Privilege Management-Regeln bestehen aus zwei grundlegenden Elementen: einer Erkennungs- und einer Erhöhungsaktion.

Erkennungen werden als die Gruppe von Attributen definiert, die zum Identifizieren einer Anwendung oder Binärdatei verwendet werden. Zu diesen Attributen gehören Dateiname, Dateiversion und Signatureigenschaften.

Erhöhte Rechte sind die resultierenden erhöhten Rechte, die auftreten, nachdem eine Anwendung oder Binärdatei erkannt wurde.

Beim Definieren von Erkennungen ist es wichtig, dass sie so beschreibend wie möglich sind. Um beschreibend zu sein, verwenden Sie starke Attribute oder mehrere Attribute, um die Stärke der Erkennung zu erhöhen. Das Ziel beim Definieren von Erkennungen sollte darin bestehen, die Möglichkeit zu eliminieren, dass mehrere Dateien unter dieselbe Regel fallen, es sei denn, dies ist explizit beabsichtigt.

Dateihashregeln

Dateihashregeln sind die stärksten Regeln, die mit Endpoint Privilege Management erstellt werden können. Diese Regeln werden dringend empfohlen , um sicherzustellen, dass die Datei, die Sie erhöhen möchten, auch die Datei mit erhöhten Rechten ist.

Der Dateihash kann mithilfe der Get-Filehash PowerShell-Methode oder direkt aus den Berichten für Endpoint Privilege Management aus der direkten Binärdatei abgerufen werden.

Zertifikatregeln

Zertifikatsregeln sind ein starker Attributtyp und sollten mit anderen Attributen kombiniert werden. Die Kombination eines Zertifikats mit Attributen wie Produktname, internem Namen und Beschreibung verbessert die Sicherheit der Regel erheblich. Diese Attribute werden durch eine Dateisignatur geschützt und geben häufig Einzelheiten über die signierte Datei an.

Regeln mit Dateinamen

Der Dateiname ist ein Attribut, das verwendet werden kann, um eine Anwendung zu erkennen, die erhöhte Rechte erfordert. Dateinamen können jedoch leicht geändert werden und sind nicht Teil des Hashs oder der Attribute, die durch das Herausgeberzertifikat signiert wurden.

Dies bedeutet, dass Dateinamen sehr anfällig für Änderungen sind. Files, die Sie nicht absichtlich als Ziel verwenden und die von einem für Sie vertrauenswürdigen Zertifikat signiert sind, können umbenannt werden, damit sie erkannt und erhöht werden können.

Regeln basierend auf Attributen, die von PowerShell gesammelt wurden

Um genauere Dateierkennungsregeln zu erstellen, können Sie das PowerShell-Cmdlet Get-FileAttributes verwenden. Get-FileAttributes ist im EpmTools PowerShell-Modul verfügbar und kann Dateiattribute und das Zertifikatkettenmaterial für eine Datei abrufen, und Sie können die Ausgabe verwenden, um die Eigenschaften von Höhenregeln für eine bestimmte Anwendung aufzufüllen.

Beispiel für Modulimportschritte und Ausgabe von Get-FileAttributes für msinfo32.exe in Windows 11 Version 10.0.22621.2506:

PS C:\Windows\system32> Import-Module 'C:\Program Files\Microsoft EPM Agent\EpmTools\EpmCmdlets.dll'
PS C:\Windows\system32> Get-FileAttributes -FilePath C:\Windows\System32\msinfo32.exe -CertOutputPath C:\CertsForMsInfo\

FileName      : msinfo32.exe
FilePath      : C:\Windows\System32
FileHash      : 18C8442887C36F7DB61E77013AAA5A1A6CDAF73D4648B2210F2D51D8B405191D
HashAlgorithm : Sha256
ProductName   : Microsoft® Windows® Operating System
InternalName  : msinfo.dll
Version       : 10.0.22621.2506
Description   : System Information
CompanyName   : Microsoft Corporation

Weitere Informationen finden Sie unter EpmTools PowerShell-Modul.

Steuern des Verhaltens von untergeordneten Prozessen

Mit dem Verhalten von untergeordneten Prozessen können Sie den Kontext steuern, wenn ein mit EPM erhöhter Prozess einen untergeordneten Prozess erstellt. Mit diesem Verhalten können Sie Prozesse steuern, die automatisch den Kontext des übergeordneten Prozesses delegiert erhalten.

Windows delegiert den Kontext eines übergeordneten Elements automatisch an ein untergeordnetes Element. Achten Sie daher besonders darauf, das Verhalten für Ihre zugelassenen Anwendungen zu steuern. Stellen Sie sicher, dass Sie beim Erstellen von Regeln für erhöhte Rechte und beim Implementieren des Prinzips der geringsten Rechte evaluieren, was erforderlich ist.

Bereitstellen von mit Endpoint Privilege Management erstellten Regeln

Endpoint Privilege Management-Regeln werden wie jede andere Richtlinie in Microsoft Intune bereitgestellt. Dies bedeutet, dass Regeln für Benutzer oder Geräte bereitgestellt werden können und Regeln auf der Clientseite zusammengeführt und zur Laufzeit ausgewählt werden. Alle Konflikte werden basierend auf dem Verhalten des Richtlinienkonflikts gelöst.

Auf einem Gerät bereitgestellte Regeln gelten für jeden Benutzer , der dieses Gerät verwendet. Regeln, die einem Benutzer bereitgestellt werden, gelten nur für diesen Benutzer auf jedem Gerät, das er verwendet. Wenn eine Aktion für erhöhte Rechte auftritt, haben die für den Benutzer bereitgestellten Regeln Vorrang vor den Regeln, die für ein Gerät bereitgestellt werden. Mit diesem Verhalten können Sie einen Satz von Regeln für alle Benutzer eines Geräts und einen freizügigeren Satz von Regeln für einen bestimmten Benutzer (z. B. einen Support-Administrator) bereitstellen. Dadurch kann der Supportadministrator bei der Anmeldung am Gerät eine größere Anzahl von Anwendungen heraufstufen.

Das Standardverhalten für erhöhte Rechte wird nur verwendet, wenn keine Regelübereinstimmung gefunden werden kann. Das Standardverhalten für erhöhte Rechte gilt nur, wenn eine Erhöhung über das Kontextmenü Mit erhöhtem Zugriff ausführen ausgelöst wird.

Regelrichtlinie für erhöhte Rechte erstellen

Bereitstellen einer Regelrichtlinie für erhöhte Rechte für Benutzer oder Geräte, um eine oder mehrere Regeln für Dateien bereitzustellen, die von Endpoint Privilege Management für erhöhte Rechte verwaltet werden. Jede Regel, die Sie dieser Richtlinie hinzufügen:

• Identifiziert eine Datei anhand des Dateinamens und der Dateierweiterung, für die Sie Erhöhungsanforderungen verwalten möchten.
• Kann ein Zertifikat enthalten, um die Integrität der Datei zu überprüfen. Sie können auch eine wiederverwendbare Gruppe hinzufügen, die ein Zertifikat enthält, das Sie dann mit einer oder mehreren Regeln oder Richtlinien verwenden.
• Kann ein oder mehrere manuell hinzugefügte Dateiargumente oder Befehlszeilenoptionen enthalten. Wenn einer Regel Dateiargumente hinzugefügt werden, erlaubt EPM nur die Dateierhöhung von Anforderungen, die eine der definierten Befehlszeilen enthalten. Wenn eine definierte Befehlszeile nicht Teil der Anforderung für Dateierweiterungen ist, lehnt EPM diese Anforderung ab.
• Gibt an, ob der Erhöhungstyp der Datei automatisch (automatisch) ist oder ob eine Bestätigung durch den Benutzer erforderlich ist. Mit der Bestätigung durch den Benutzer können Sie eine Validierung mit einer Eingabeaufforderung für Anmeldeinformationen, eine geschäftliche Begründung oder beides anfordern.

Verwenden Sie eine der folgenden Methoden, um neue Regeln für erhöhte Rechte zu erstellen, die der Richtlinie für erhöhte Rechte hinzugefügt werden:

• Höhenregeln automatisch konfigurieren : Verwenden Sie diese Methode, um beim Erstellen einer Erhöhungsregel Zeit zu sparen, indem Sie Dateidetails aus der Berichterstellung hinzufügen. Regeln können mithilfe des Höhenberichts oder aus einem Datensatz erstellt , der vom Support genehmigte Höhenanforderungen stammt.

  Mit dieser Methode haben Sie folgende Möglichkeiten:

  • Wählen Sie aus dem Höhenbericht die Datei aus, für die Sie eine Höhenregel erstellen oder eine genehmigte Erhöhungsanforderung unterstützen möchten.
  • Sie können die neue Regel für erhöhte Rechte zu einer vorhandenen Richtlinie für erhöhte Rechte hinzufügen oder eine neue Regelrichtlinie für erhöhte Rechte erstellen, die die neue Regel enthält.
    • Wenn die neue Regel zu einer bestehenden Richtlinie hinzugefügt wird, steht sie sofort in der Richtlinienliste der zugewiesenen Gruppen zur Verfügung.
    • Wenn eine neue Richtlinie erstellt wird, müssen Sie diese Richtlinie bearbeiten, um Gruppen zuzuweisen, bevor sie zur Verwendung verfügbar wird.

• Manuelles Konfigurieren von Regeln für erhöhte Rechte – Bei dieser Methode müssen Sie die Dateidetails identifizieren, die Sie für die Erkennung verwenden möchten, und sie im Rahmen des Workflows zur Regelerstellung manuell eingeben. Informationen zu Erkennungskriterien finden Sie unter Regeln für die Verwendung mit Endpoint Privilege Management definieren.

  Mit dieser Methode haben Sie folgende Möglichkeiten:

  • Bestimmen Sie manuell die zu verwendenden Dateidetails, und fügen Sie sie dann zur Dateiidentifikationsregel hinzu.
  • Konfigurieren Sie alle Aspekte der Richtlinie während der Erstellung der Richtlinie, einschließlich der Zuweisung der Richtlinie zu Gruppen zur Verwendung.
  • Kann ein oder mehrere Dateiargumente hinzufügen, die Teil der Erhöhungsanforderung sein müssen, bevor EPM Dateierweiterungen zulässt.

Automatisches Konfigurieren von Regeln für erhöhte Rechte für Windows-Richtlinie für erhöhte Rechte

1. Melden Sie sich beim Microsoft Intune Admin Center an, und wechseln Sie zu Endpoint SecurityEndpoint>Privilege Management. Wählen Sie einen der folgenden Startpfade aus, um eine Datei auszuwählen, die für eine Höhenregel verwendet werden soll:

   Beginnen Sie mit einem Bericht:

   1. Wählen Sie die Registerkarte Berichte und dann die Kachel Höhenbericht aus. Suchen Sie die Datei, für die Sie eine Regel erstellen möchten, in der Spalte Datei .
   2. Wählen Sie den verknüpften Namen der Datei aus, um diese Datei zu öffnen Detailbereich "Höhen ".

   Beginnen Sie mit einer vom Support genehmigten Anforderung für erhöhte Rechte:

   1. Wählen Sie die Registerkarte Erhöhungsanforderung aus.

   2. Wählen Sie in der Spalte Datei die Datei aus, die Sie für die Höhenregel verwenden möchten. Dadurch wird der Detailbereich für die Dateierweiterung geöffnet.

      Der Status der Anforderung für erhöhte Rechte spielt dabei keine Rolle. Sie können eine ausstehende Anforderung verwenden oder eine, die zuvor genehmigt oder abgelehnt wurde.

2. Überprüfen Sie im Detailbereich "Höhen" die Dateidetails. Diese Informationen werden von der Regel für erhöhte Rechte verwendet, um die richtige Datei zu identifizieren. Wenn Sie fertig sind, wählen Sie "Regel mit diesen Dateidetails erstellen" aus.

   

3. Wählen Sie eine Richtlinienoption für die neue Regel aus, die Sie erstellen:

   Erstellen Sie eine neue Richtlinie: Mit dieser Option wird eine neue Richtlinie erstellt, die eine Regel für erhöhte Rechte für die ausgewählte Datei enthält.

   1. Konfigurieren Sie für die Regel das Verhalten des Typs und des untergeordneten Prozesses, und wählen Sie dann OK aus, um die Richtlinie zu erstellen.
   2. Wenn Sie dazu aufgefordert werden, geben Sie einen Richtliniennamen für die neue Richtlinie an, und bestätigen Sie, dass Sie sie erstellen möchten.
   3. Nachdem die Richtlinie erstellt wurde, können Sie die Richtlinie bearbeiten, um sie zuzuweisen und andere Änderungen vorzunehmen.

   Hinzufügen zu einer vorhandenen Richtlinie: Verwenden Sie bei dieser Option die Dropdownliste, und wählen Sie eine vorhandene Richtlinie für erhöhte Rechte aus, der die neue Regel für erhöhte Rechte hinzugefügt wird.

   1. Konfigurieren Sie für die Regel den Erhöhungstyp und das Verhalten des untergeordneten Prozesses, und wählen Sie dann OK aus. Die Richtlinie wird mit der neuen Regel aktualisiert.
   2. Nachdem die Regel der Richtlinie hinzugefügt wurde, können Sie die Richtlinie bearbeiten, um Zugriff auf die Regel zu erhalten, und sie dann ändern, um bei Bedarf zusätzliche Konfigurationen vorzunehmen.

   Denselben Dateipfad wie diese Erhöhung erfordern: Wenn Sie dieses Kontrollkästchen aktivieren, wird das Feld "Dateipfad" in der Regel auf den Dateipfad festgelegt, der im Bericht angezeigt wird. Wenn das Kontrollkästchen nicht markiert ist, bleibt der Pfad leer.

   Tipp

   Obwohl optional, empfehlen wir die Verwendung eines Dateipfads , der auf einen Speicherort verweist, den Standardbenutzer nicht ändern können.

   

Manuelles Konfigurieren von Regeln für erhöhte Rechte für Windows Richtlinie für erhöhte Rechte

1. Melden Sie sich beim Microsoft Intune Admin Center an und wechseln Sie zu Endpoint SecurityEndpoint>Privilege Management>, wählen Sie die Registerkarte >Richtlinien und dann Richtlinie erstellen aus. Legen Sie die Richtlinie fürPlattform-zu-Windows, Profil-zu-Windows-Richtlinie für erhöhte Rechte fest, und wählen Sie dann Erstellen aus.

2. Geben Sie unter Grundlagen die folgenden Eigenschaften ein:

   • Name: Geben Sie einen aussagekräftigen Namen für das Profil ein. Benennen Sie Profile, damit Sie sie später leicht identifizieren können.
   • Beschreibung: Geben Sie eine Beschreibung für das Profil ein. Diese Einstellung ist optional, wird jedoch empfohlen.

3. Fügen Sie in den Konfigurationseinstellungen eine Regel für jede Datei hinzu, die von dieser Richtlinie verwaltet wird. Wenn Sie eine neue Richtlinie erstellen, enthält die Richtlinie zunächst eine leere Regel mit dem Benutzerbestätigungstyp und keinem Regelnamen. Konfigurieren Sie zunächst diese Regel, und wählen Sie später "Hinzufügen" aus, um dieser Richtlinie weitere Regeln hinzuzufügen. Jede neue Regel, die Sie hinzufügen, verfügt über den Benutzerbestätigungstyp für erhöhte Ansichten, der beim Konfigurieren der Regel geändert werden kann.

   

   Um eine Regel zu konfigurieren, wählen Sie Instance bearbeiten aus, um die Seite Regeleigenschaften zu öffnen, und konfigurieren Sie dann Folgendes:

   

   • Regelname: Geben Sie einen beschreibenden Namen für die Regel an. Benennen Sie Ihre Regeln, damit Sie sie später leicht identifizieren können.
   • Beschreibung (optional): Geben Sie eine Beschreibung für das Profil ein.

   Bedingungen für erhöhte Rechte sind Bedingungen, die definieren, wie eine Datei ausgeführt wird, und Benutzervalidierungen, die erfüllt sein müssen, bevor die Datei, für die diese Regel gilt, ausgeführt werden kann.

   • Erhöhungstyp: Standardmäßig ist diese Option auf " Benutzer bestätigt" festgelegt, dies ist der am häufigsten verwendete Erhöhungstyp, da er erhöhte Rechte zulässt, aber eine Benutzerbestätigung erfordert.

     • Verweigern: Eine Verweigerungsregel verhindert, dass die identifizierte Datei in einem Kontext mit erhöhten Rechten ausgeführt wird. Es gelten die folgenden Verhaltensweisen:

       • Verweigerungsregeln unterstützen die gleichen Konfigurationsoptionen wie andere Erhöhungstypen, mit Ausnahme der Optionen für untergeordnete Prozesse. Optionen für untergeordnete Prozesse werden in dieser Regel nicht verwendet, auch wenn sie konfiguriert sind.
       • Wenn ein Benutzer versucht, eine Datei, die einer Verweigerungsregel entspricht, zu erhöhen, schlägt die Erhöhung fehl. EPM zeigt eine Meldung an, die angibt, dass die App nicht als Administrator ausgeführt werden kann. Sollte dem Benutzer auch eine Regel zugewiesen werden, die erhöhte Rechte für dieselbe Datei zulässt, hat die Verweigerungsregel Vorrang.
       • Verweigerte Erhöhungen werden im Erhöhungsbericht als verweigert angezeigt, ähnlich wie eine abgelehnte Support-genehmigte Anfrage.
       • EPM unterstützt derzeit nicht die automatische Konfiguration einer Verweigerungsregel aus dem Auswertungsbericht.

     • Support genehmigt: Für diesen Erhöhungstyp muss ein Administrator eine Anforderung auf erhöhte Rechte genehmigen. Weitere Informationen finden Sie unter Unterstützung genehmigter Erhöhungsanforderungen.

       Wichtig

       Die Verwendung der unterstützten genehmigten Erhöhung von Dateien erfordert, dass Administratoren mit zusätzlichen Berechtigungen jede Anforderung von Dateierweiterungen vor dieser Datei auf dem Gerät mit Administratorberechtigungen prüfen und genehmigen. Informationen zur Verwendung des Unterstützungsberechtigungstyps für erhöhte Rechte finden Sie unter Unterstützung genehmigter Dateierweiterungen für Endpoint Privilege Management.

     • Benutzer bestätigt: Wird am häufigsten für Dateien mit Regeln verwendet, die erhöhte Rechte erfordern, da sie erhöhte Rechte zulassen, aber eine Benutzerbestätigung erfordern. Wenn eine Datei ausgeführt wird, erhält der Benutzer eine einfache Aufforderung, seine Absicht zum Ausführen der Datei zu bestätigen. Die Regel kann auch andere Eingabeaufforderungen enthalten, die in der Dropdownliste "Überprüfung" verfügbar sind:

       • Geschäftliche Begründung: Aufforderung an den Benutzer, eine Begründung für die Ausführung der Datei einzugeben. Es gibt kein erforderliches Format für den Eintrag. Die Benutzereingaben werden gespeichert und können durch Protokolle überprüft werden, wenn der Berichtsbereich die Erfassung von Endpunkterhöhungen umfasst.
       • Windows-Authentifizierung: Bei dieser Option muss sich der Benutzer mit den Anmeldeinformationen seiner organization authentifizieren.

     • Automatisch: Dieser Erhöhungstyp führt die Datei automatisch mit erhöhten Berechtigungen aus. Die automatische Erhöhung ist für den Benutzer transparent, ohne dass eine Bestätigung erforderlich ist oder eine Begründung oder Authentifizierung durch den Benutzer erforderlich ist.

       Achtung

       Verwenden Sie automatische erhöhte Rechte nur ausnahmsweise und für vertrauenswürdige Dateien. Diese Dateien werden automatisch ohne Benutzerinteraktion erhöht. Regeln, die nicht genau definiert sind, können dazu führen, dass nicht genehmigte Anwendungen erhöht werden. Weitere Informationen zum Erstellen starker Regeln finden Sie in der Anleitung zum Erstellen von Regeln.

   • Verhalten von untergeordneten Prozessen: Standardmäßig ist diese Option auf Regel zum Erhöhen erforderlich, was erfordert, dass der untergeordnete Prozess mit derselben Regel übereinstimmt wie der Prozess, der ihn erstellt. Weitere Optionen sind:

     • Ausführung aller untergeordneten Prozesse mit erhöhten Rechten zulassen: Diese Option sollte mit Vorsicht verwendet werden, da sie es Anwendungen ermöglicht, untergeordnete Prozesse bedingungslos zu erstellen.
     • Alle verweigern: Diese Konfiguration verhindert, dass untergeordnete Prozesse erstellt werden.

   In Dateiinformationen geben Sie die Details an, die eine Datei identifizieren, für die diese Regel gilt.

   • Dateiname: Geben Sie den Dateinamen und seine Erweiterung an. Beispiel: myapplication.exe. Sie können auch eine Variable im Dateinamen verwenden.

   • Dateipfad (optional): Geben Sie den Speicherort der Datei an. Wenn die Datei von einem beliebigen Speicherort aus ausgeführt werden kann oder unbekannt ist, können Sie dieses Feld leer lassen. Sie können auch eine Variable verwenden.

     Tipp

     Obwohl optional, empfehlen wir die Verwendung eines Dateipfads , der auf einen Speicherort verweist, den Standardbenutzer nicht ändern können.

   • Signaturquelle: Wählen Sie eine der folgenden Optionen aus:

     • Zertifikatdatei in wiederverwendbaren Einstellungen verwenden (Standard): Diese Option verwendet eine Zertifikatdatei, die zuvor einer Gruppe wiederverwendbarer Einstellungen für Endpoint Privilege Management hinzugefügt wurde. Sie müssen eine Gruppe wiederverwendbarer Einstellungen erstellen , bevor Sie diese Option verwenden können.

       Um das Zertifikat zu identifizieren, wählen Sie Zertifikat hinzufügen oder entfernen und dann die wiederverwendbare Gruppe aus, die das richtige Zertifikat enthält. Geben Sie dann den Zertifikattyp des Herausgebers oder der Zertifizierungsstelle an.

     • Zertifikatdatei hochladen: Fügen Sie der Erhöhungsregel eine Zertifikatdatei direkt hinzu. Geben Sie für Dateiupload eine .cer Datei an, die die Integrität der Datei überprüfen kann, für die diese Regel gilt. Geben Sie dann den Zertifikattyp des Herausgebers oder der Zertifizierungsstelle an.

     • Nicht konfiguriert: Verwenden Sie diese Option, wenn Sie kein Zertifikat zum Überprüfen der Integrität der Datei verwenden möchten. Wenn kein Zertifikat verwendet wird, müssen Sie einen Dateihash angeben.

   • Dateihash: Der Dateihash ist erforderlich, wenn die Signaturquelle auf "Nicht konfiguriert" festgelegt ist, und optional, wenn sie auf die Verwendung eines Zertifikats festgelegt ist.

   • Mindestversion: (Optional) Verwenden Sie das x.x.x.x-Format , um eine Mindestversion der Datei anzugeben, die von dieser Regel unterstützt wird.

   • Dateibeschreibung: (Optional) Geben Sie eine Beschreibung der Datei an.

   • Produktname: (Optional) Geben Sie den Namen des Produkts an, von dem die Datei stammt.

   • Interner Name: (Optional) Geben Sie den internen Namen der Datei an.

   Wählen Sie Speichern aus, um die Regelkonfiguration zu speichern. Anschließend können Sie weitere Regeln hinzufügen . Nachdem Sie alle Regeln hinzugefügt haben, die für diese Richtlinie erforderlich sind, wählen Sie "Weiter " aus, um fortzufahren.

4. Wählen Sie auf der Seite Bereichsmarkierungen alle anzuwendenden Bereichsmarkierungen und dann Weiter aus.

5. Wählen Sie unter "Aufgaben" die Gruppen aus, die die Richtlinie erhalten. Weitere Informationen zum Zuweisen von Profilen finden Sie unter Zuweisen von Benutzer- und Geräteprofilen. Wählen Sie Weiter aus.

6. Überprüfen Sie unter Überprüfen + erstellen Ihre Einstellungen, und wählen Sie dann Erstellen aus. Wenn Sie auf Erstellen klicken, werden die Änderungen gespeichert, und das Profil wird zugewiesen. Die Richtlinie wird auch in der Richtlinienliste angezeigt.

Verwenden von Variablen in Höhenregeln

Wenn Sie Dateierweiterungsregeln manuell konfigurieren, können Sie Platzhalterzeichen für die folgenden Konfigurationen verwenden, die auf der Seite Regeleigenschaften einer Richtlinie für erhöhte Rechte verfügbar sind:

• Dateiname: Platzhalter werden beim Konfigurieren des Felds " Dateiname " als Teil eines Dateinamens unterstützt.
• Ordnerpfad: Platzhalter werden als Teil eines Ordnerpfads unterstützt, wenn das Feld Ordnerpfad konfiguriert wird.

Die Verwendung von Platzhaltern bietet Flexibilität in Ihren Regeln zur Unterstützung vertrauenswürdiger Dateien mit Namen, deren Namen sich bei späteren Überarbeitungen häufig ändern können oder bei denen sich auch der Dateipfad ändern kann.

Die folgenden Platzhalterzeichen werden unterstützt:

• Fragezeichen ? – Fragezeichen ersetzen einzelne Zeichen in einem Dateinamen.
• Sternchen * - Sternchen Ersetzen Sie eine Zeichenfolge in einem Dateinamen.

Im Folgenden finden Sie Beispiele für die Verwendung unterstützter Platzhalter:

• Dateiname für eine Visual Studio-Setupdatei mit dem Namen VSCodeSetup-arm64-1.99.2.exe:

  • VSCodeSetup*.exe
  • VSCodeSetup-arm64-*.exe
  • VSCodeSetup-?????-1.??.?.exe

• Dateipfad für dieselbe Datei, normalerweise zu finden in C:\Users\<username>\Downloads\:

  • C:\Users\*\Downloads\

Verwenden von Dateiargumenten für Erhöhungsregeln

Regeln für Dateirechteerweiterungen können auch eingeschränkt werden, um erhöhte Rechte mit bestimmten Argumenten zuzulassen.

dsregcmd kann beispielsweise nützlich sein, um den Status eines Geräts in Microsoft Entra ID zu untersuchen, erfordert jedoch eine Erhöhung. Um die Verwendung dieser Dateien für die Untersuchung zu unterstützen, können Sie die Regel mit einer Liste von Argumenten für dsregcmd konfigurieren, die die Schalter für /status, /listaccounts und mehr enthält. Um jedoch eine destruktive Aktion wie das Aufheben der Registrierung eines Geräts zu verhindern, schließen Sie Argumente wie /leave aus. Bei dieser Konfiguration lässt die Regel nur erhöhte Rechte zu, wenn die Argumente /status oder /listaccounts verwendet werden. dsregcmd mit dem /leave-Schalter, der das Gerät aus Microsoft Entra ID entfernt, würde verweigert werden.

Wenn Sie einer Erhöhungsregel ein oder mehrere Argumente hinzufügen möchten, legen Sie "Argumente aufZulassungsliste beschränken" fest. Wählen Sie "Hinzufügen" aus, und konfigurieren Sie die zulässigen Befehlszeilenoptionen. Durch Hinzufügen mehrerer Argumente können Sie mehrere Befehlszeilen bereitstellen, die von Anforderungen mit erhöhten Rechten unterstützt werden.

Wiederverwendbare Einstellungsgruppen

Endpoint Privilege Management verwendet wiederverwendbare Einstellungsgruppen, um die Zertifikate zu verwalten, die die Dateien überprüfen, die Sie mit erhöhten Endpoint Privilege Management-Regeln verwalten. Wie alle wiederverwendbaren Einstellungsgruppen für Intune werden Änderungen an einer wiederverwendbaren Gruppe automatisch an die Richtlinien übergeben, die auf die Gruppe verweisen. Wenn Sie das für die Dateiüberprüfung verwendete Zertifikat aktualisieren müssen, müssen Sie es nur einmal in der Gruppe "Wiederverwendbare Einstellungen" aktualisieren. Intune wendet das aktualisierte Zertifikat auf alle Ihre Höhenregeln an, die diese Gruppe verwenden.

So erstellen Sie die Gruppe wiederverwendbarer Einstellungen für Endpoint Privilege Management:

1. Melden Sie sich beim Microsoft Intune Admin Center an, und wechseln Sie zu Endpoint SecurityEndpoint>Privilege Management>, wählen Sie die Registerkarte >Wiederverwendbare Einstellungen (Vorschau) und dann Hinzufügen aus.

   

2. Geben Sie unter Grundlagen die folgenden Eigenschaften ein:

   • Name: Geben Sie einen beschreibenden Namen für die wiederverwendbare Gruppe ein. Benennen Sie Gruppen, damit Sie sie später leicht identifizieren können.
   • Beschreibung: Geben Sie eine Beschreibung für das Profil ein. Diese Einstellung ist optional, wird jedoch empfohlen.

3. Wählen Sie in den Konfigurationseinstellungen das Ordnersymbol für die Zertifikatsdatei aus, und navigieren Sie zu einer . CER-Datei , um sie dieser wiederverwendbaren Gruppe hinzuzufügen. Das Wertfeld Basis 64 wird basierend auf dem ausgewählten Zertifikat ausgefüllt.

   

4. Überprüfen Sie unter Überprüfen + Erstellen Ihre Einstellungen, und wählen Sie dann Hinzufügen aus. Wenn Sie Hinzufügen auswählen, wird Ihre Konfiguration gespeichert und die Gruppe wird dann in der Gruppenliste für wiederverwendbare Einstellungen für Endpoint Privilege Management angezeigt.

Nächste Schritte