Verwalten von Systemeinstellungen mit Endpoint Privilege Management

Mit Microsoft Intune Endpoint Privilege Management (EPM) können die Benutzer Ihrer Organization als Standardbenutzer (ohne Administratorrechte) arbeiten und Aufgaben erledigen, die erhöhte Berechtigungen erfordern. Weitere Informationen finden Sie unter EPM-Übersicht.

Gilt für:

  • Windows

Mit einer Einstellungsrichtlinie für erhöhte Rechte kann Endpoint Privilege Management (EPM) Standardbenutzern Zugriff auf bestimmte Windows-Systemeinstellungen gewähren, für die normalerweise Administratorrechte erforderlich sind. Dieser Richtlinientyp unterstützt Netzwerkeinstellungen, die es einem Standardbenutzer ermöglichen, die IPv4-, IPv6- und DNS-Serverwerte für die Netzwerkadapter auf seinem Gerät zu ändern.

Einige alltägliche Aufgaben, wie das Ändern einer IP-Adresse oder eines DNS-Servers, erfordern Administratorrechte. Jeder Standardbenutzer, der versucht, diese Werte in Windows zu ändern, wird durch eine Eingabeaufforderung der Benutzerkontensteuerung blockiert. Mit einer Einstellungsrichtlinie für erhöhte Rechte können Standardbenutzer diese spezifischen Änderungen über EPM vornehmen, ohne umfassende Administratorrechte zu gewähren und ohne separate App-Bereitstellung.

Ein häufiges Szenario ist ein Benutzer, der zwischen verschiedenen Standorten pendelt. Um ein Gerät an einem neuen Standort anzuschließen, muss der Benutzer möglicherweise eine statische IP-Adresse oder einen DNS-Server festlegen, bevor das Gerät online ist. Eine Einstellungsrichtlinie für erhöhte Rechte ermöglicht es dem Benutzer, diese Änderung vorzunehmen, auch wenn das Gerät offline ist.

Damit Systemeinstellungsrichtlinien für erhöhte Rechte wirksam werden, müssen Geräte auch über eine Zielrichtlinie für erhöhte Rechte verfügen, die EPM aktiviert. Weitere Informationen finden Sie unter Verwalten von Einstellungen für erhöhte Rechte.

Informationen zur Einstellungsrichtlinie für erhöhte Rechte

Eine Systemeinstellungsrichtlinie für erhöhte Rechte identifiziert eine Kategorie von Windows-Systemeinstellungen und das Verhalten für erhöhte Rechte, das gilt, wenn ein Standardbenutzer diese Einstellungen ändert. Jede Richtlinie enthält eine oder mehrere Regeln. Jede Regel definiert:

  • Systemeinstellung : Die Kategorie der Einstellungen, für die die Regel gilt. Die Netzwerkeinstellungen umfassen die IPv4-, IPv6- und DNS-Serverkonfiguration für die Netzwerkadapter des Geräts.
  • Höhentyp - Wie EPM reagiert, wenn der Benutzer eine Einstellung ändert. Bei der Bestätigung durch Benutzer muss der Benutzer auf eine Bestätigungsaufforderung reagieren, bevor die Änderung übernommen wird.
  • Validierung – Optionale Anforderungen, die der Benutzer erfüllen muss, wenn "Benutzer bestätigt" ausgewählt ist. Sie können eine geschäftliche Begründung, die Windows-Authentifizierung oder beides anfordern. Eine geschäftliche Rechtfertigung wird in der Berichterstellung sichtbar.

Wenn ein Gerät eine Richtlinie für Systemeinstellungen für erhöhte Rechte empfängt, greifen die Benutzer über einen einzelnen Einstiegspunkt im Windows-Unternehmensportal auf die unterstützten Einstellungen zu. EPM zeigt nur die Einstellungskategorien an, für die das Gerät über eine Richtlinie verfügt. Wenn auf einem Gerät beispielsweise eine Richtlinie für Netzwerkeinstellungen festgelegt ist, wird dem Benutzer nur die Benutzeroberfläche für die Netzwerkeinstellungen angezeigt.

Erstellen einer Einstellungsrichtlinie für erhöhte Rechte

  1. Melden Sie sich beim Microsoft Intune Admin Center an und wechseln Sie zu Endpoint SecurityEndpoint>Privilege Management>, wählen Sie die Registerkarte >Richtlinien und dann Richtlinie erstellen aus.

    Legen Sie die SystemeinstellungsrichtliniePlattform auf Windows, Profil auf Rechteerweiterungen fest, und wählen Sie dann Erstellen aus.

  2. Geben Sie unter Grundlagen die folgenden Eigenschaften ein:

    • Name: Geben Sie einen aussagekräftigen Namen für das Profil ein. Benennen Sie Profile, damit Sie sie später leicht identifizieren können.
    • Beschreibung: Geben Sie eine Beschreibung für das Profil ein. Diese Einstellung ist optional, wird jedoch empfohlen.

  3. Fügen Sie in den Konfigurationseinstellungen eine Regel hinzu, die die Systemeinstellungen definiert, die Benutzer ändern können:

    1. Wählen Sie Hinzufügen und dann Instance bearbeiten aus, um den Bereich Regeleigenschaften zu öffnen.

    2. Regel konfigurieren:

      • Regelname: Geben Sie einen beschreibenden Namen für die Regel ein. Dieses Feld ist obligatorisch.

      • Beschreibung: Geben Sie eine optionale Beschreibung für die Regel ein.

      • Systemeinstellung: Wählen Sie Netzwerkeinstellungen aus. Mit dieser Option können Benutzer die IPv4-, IPv6- und DNS-Serverwerte für die Netzwerkadapter des Geräts ändern.

      • Höhentyp: Wählen Sie "Benutzer bestätigt" aus. Der Benutzer muss auf eine Bestätigungsaufforderung reagieren, bevor eine Änderung angewendet wird.

      • Überprüfung: Fordern Sie optional vom Benutzer eine weitere Bestätigung auf, wenn er eine Änderung vornimmt. Die folgenden Optionen stehen zur Verfügung:

        • Geschäftliche Begründung: Fordern Sie den Benutzer auf, eine Begründung für die Änderung einzugeben. Die Begründung wird gespeichert und kann im Reporting überprüft werden.
        • Windows-Authentifizierung: Benutzer müssen sich mit den Anmeldeinformationen seiner organization authentifizieren, bevor die Änderung übernommen wird.

        Hinweis

        Sie können mehrere Überprüfungsoptionen auswählen. Wenn Sie keine auswählen, muss der Benutzer nur seine Absicht bestätigen, die Änderung anzuwenden.

    3. Wählen Sie "Speichern " aus, um die Regel zu speichern, und wählen Sie dann "Weiter" aus.

  4. Wählen Sie auf der Seite Bereichsmarkierungen alle anzuwendenden Bereichsmarkierungen und dann Weiter aus.

  5. Wählen Sie unter "Aufgaben" die Gruppen aus, die die Richtlinie erhalten. Weitere Informationen zum Zuweisen von Profilen finden Sie unter Zuweisen von Benutzer- und Geräteprofilen. Wählen Sie Weiter aus.

  6. Überprüfen Sie für Überprüfen + Erstellen Ihre Einstellungen, und wählen Sie dann Erstellen aus. Wenn Sie auf Erstellen klicken, werden die Änderungen gespeichert, und das Profil wird zugewiesen. Die Richtlinie wird auch in der Richtlinienliste mit einem Richtlinientyp von Systemeinstellungsrichtlinie für erhöhte Rechte angezeigt.

Nach der nächsten Richtliniensynchronisierung des Geräts kann der Benutzer die konfigurierten Systemeinstellungen über das Windows-Unternehmensportal ändern.

Endbenutzererfahrung im Unternehmensportal

Das Ändern dieser Einstellungen ist eine Endbenutzeraufgabe, die im Windows-Unternehmensportal ausgeführt wird, nicht im Intune Admin Center. Die Schritte in diesem Abschnitt beschreiben, was Ihre Benutzer auf ihren eigenen Geräten sehen und tun. Teilen Sie diese Schritte mit Ihren Benutzern, damit sie wissen, was sie erwartet und wie sie die von Ihnen zugelassenen Einstellungen ändern können.

Nachdem dem Gerät eines Benutzers eine Einstellungsrichtlinie für erhöhte Rechte zugewiesen wurde und die nächste Richtliniensynchronisierung abgeschlossen wurde, ändert der Benutzer die konfigurierten Einstellungen:

  1. In der Windows-Unternehmensportal geht der Benutzer zu Hilfe & Support und wählt dann in der Kachel "Systemeinstellungen" die Option "Einstellungen bearbeiten" aus.

    Die Kachel "Systemeinstellungen" ist der zentrale Einstiegspunkt für alle Systemeinstellungen, die EPM auf dem Gerät verwaltet. EPM zeigt nur die Einstellungskategorien an, für die das Gerät über eine Richtlinie verfügt.

  2. Das Fenster Endpoint Privilege Management – Netzwerkeinstellungen wird geöffnet und listet die auf dem Gerät verfügbaren Netzwerkadapter auf. Der Benutzer wählt einen Adapter aus, z. B. Ethernet.

  3. In den Adapterdetails werden die aktuellen IPv4-, IPv6- und DNS-Serverwerte sowie Hardwareeigenschaften für den Adapter angezeigt. Der Benutzer wählt neben dem Abschnitt, den er ändern möchte, "Bearbeiten " aus.

  4. Im Bearbeitungsdialogfeld wählt der Benutzer aus, wie die Einstellung zugewiesen wird:

    • Automatisch (DHCP): Der Adapter ruft die Werte automatisch ab.

    • Manuell: Der Benutzer gibt die Werte ein. Für IPv4 sind die Felder:

      • IP-Adresse
      • Subnetzmaske
      • Gateway
      • Bevorzugtes DNS
      • Alternatives DNS

      Für IPv6 sind die Felder:

      • IPv6-Adresse
      • Präfixlänge
      • Gateway
      • Bevorzugtes DNS
      • Alternatives DNS

  5. Der Benutzer wählt Speichern aus. Abhängig von den Validierungsoptionen der Richtlinie muss der Benutzer möglicherweise eine geschäftliche Begründung angeben, sich authentifizieren oder beides tun, bevor die Änderung übernommen wird.

Nächste Schritte

Berichte für Endpoint Privilege Management

  • Zuletzt aktualisiert um