Control de acceso basado en roles de Intune para clientes asociados a inquilinos

Se aplica a: Administrador de configuración (rama actual)

A partir de la versión 2207 de Administrador de configuración, puede usar el control de acceso basado en roles (RBAC) de Intune al interactuar con dispositivos conectados al inquilino desde el Centro de administración de Microsoft Intune. Por ejemplo, al usar Intune como la autoridad de control de acceso basada en roles, un usuario con el rol de operador de asistencia no necesita un rol de seguridad asignado ni permisos adicionales de Administrador de configuración. El control de acceso basado en roles de Intune administra los permisos a todas las páginas de dispositivos conectados a la nube en el Centro de administración de Microsoft Intune, como la escala de tiempo del dispositivo, CMPiont y scripts.

Los tres pasos de alto nivel para configurar Intune como la autoridad de control de acceso basada en roles para dispositivos conectados al inquilino son:

• En la consola de Administrador de configuración, deshabilite la aplicación del control de acceso basado en roles de Administrador de configuración para clientes conectados a la nube
• Desde Intune, habilite la administración de los permisos de usuario para los dispositivos conectados a la nube
• Desde Intune, comprobar los permisos de control de acceso basados en roles para dispositivos conectados a la nube

Requisitos previos

• Administrador de configuración versión 2207 o posterior
• Dispositivos conectados al inquilino

Limitaciones

• Actualmente, el ámbito no se admite cuando se usa solo el control de acceso basado en roles de Intune para mostrar y realizar acciones en dispositivos conectados al espacio empresarial desde el Centro de administración de Microsoft Intune.
• Actualmente, la página Actualizaciones de software no está disponible para los usuarios que solo están en la nube al usar el anillo de actualización anticipada de la versión 2207 de Administrador de configuración.

Deshabilitar la aplicación del control de acceso basado en roles de Administrador de configuración para clientes conectados a la nube

Para usar el control de acceso basado en roles de Intune para la asociación de inquilinos en lugar del control de acceso basado en roles de Administrador de configuración, siga estas instrucciones:

1. En la consola de Administrador de configuración, ve a Administration>:Cloud Services>Conexión en la nube.

2. La ubicación de la opción de control de acceso basado en roles varía en función de si el entorno ya está conectado a la nube o no.

   • Si el entorno ya está conectado a la nube, abra las propiedades de CoMgmtSettingsProd. Si no tiene dispositivos cargados en el Centro de administración, configure esa opción primero. Para obtener más información, vea Habilitar la asociación en la nube.
   • Si el entorno no está conectado a la nube, seleccione Configurar conexión en la nube para abrir el asistente de configuración de conexión en la nube.

3. En la pestaña o página Configurar carga del asistente, desactive la casilla de la opción siguiente bajo el encabezado Access Control basado en roles:

   Aplicar RBAC de Administrador de configuración para las solicitudes de la consola en la nube que interactúan con Administrador de configuración

4. Elija Aceptar para guardar el cambio en las propiedades de CoMgmtSettingsProd o continúe para completar el asistente de conexión a la nube.

Habilitar el control de acceso basado en roles desde Intune

Para habilitar Intune para administrar los permisos de usuario para dispositivos conectados a la nube, siga estos pasos:

1. Abra el Centro de administración de Microsoft Intune e inicie sesión como un usuario que tiene el permiso Roles/Update. Para obtener más información sobre el permiso, consulte Permisos de roles personalizados en Intune.
2. Seleccione Administración de inquilinos>Conectores y tokens>Microsoft Endpoint Configuration Manager.
3. En el banner, seleccione También puede administrar los permisos de usuario desde Intune. Haga clic aquí para obtener más información sobre esta opción.
4. Aparece el control flotante Usar RBAC de Intune.
5. Seleccione Activado para la opción Usar RBAC de Intune y, a continuación, elija Aplicar.
6. El cambio puede tardar unos 10 minutos en surtir efecto.

Comprobación de los permisos de control de acceso basado en roles de Intune

Una vez que Intune se haya establecido en la autoridad de control de acceso basada en roles, compruebe los permisos para sus roles. Si es necesario, puede agregar estos permisos a los roles personalizados que creó en Intune.

1. Abra el Centro de administración de Microsoft Intune e inicie sesión.
2. Seleccione Roles de administración de>inquilinos.
3. Seleccione un rol, como Administrador de aplicaciones, y revise los permisos enumerados para los dispositivos conectados a la nube. Si es necesario, edite los permisos de los roles personalizados que creó en Intune.

Los siguientes permisos de Intune controlan el acceso a los dispositivos conectados a la nube de Administrador de configuración:

Preguntas frecuentes

Tengo usuarios solo en la nube que necesitan acceso a dispositivos conectados al inquilino en Intune, ¿les dará acceso?

Sí. Cuando un usuario está solo en la nube, en este escenario, lo que significa que está en Microsoft Entra ID y puede acceder a Intune, mediante RBAC de Intune le dará acceso a los dispositivos conectados al espacio empresarial.

¿Qué ocurre si tengo varias jerarquías de Administrador de configuración conectadas a mi espacio empresarial?

La opción de configuración Usar RBAC de Intune en el Centro de administración de Microsoft Intune se aplica a todas las jerarquías de Administrador de configuración enumeradas en el inquilino.

¿Qué ocurre si la configuración de Administrador de configuración e Intune no coincide?

Si el botón de alternancia Usar RBAC de Intune en Intune está desactivado, se aplicará el acceso basado en roles de Administrador de configuración, incluso si el RBAC de Aplicar de Administrador de configuración a las solicitudes de la consola en la nube que interactúan con La casilla de verificación de Administrador de configuración está desactivada. Deshabilitar el RBAC de Enforce Administrador de configuración para las solicitudes de la consola en la nube que interactúan con Administrador de configuración no tendrá ningún efecto hasta que el botón de alternancia Usar RBAC de Intune en Intune esté establecido en Activado.

¿Qué sucede si mi jerarquía de prueba está configurada para usar RBAC de Intune, pero mi jerarquía de producción no lo está y están en el mismo inquilino?

La opción Usar RBAC de Intune se aplica a todas las jerarquías de Administrador de configuración enumeradas en el inquilino. Los usuarios que solo funcionan en la nube pueden acceder a los dispositivos conectados al espacio empresarial que se cargan desde la jerarquía de pruebas, ya que también has desactivado la casilla para exigir el RBAC de Administrador de configuración. Si un usuario solo en la nube intenta acceder a un dispositivo conectado al inquilino cargado desde el entorno de producción, recibirá un error, ya que los dispositivos de producción aplican RBAC de Administrador de configuración. El usuario que solo está en la nube recibirá un error similar al siguiente: Unable to get device information. Make sure Azure AD and AD user discovery are configured and the user is discovered by both. Verify that the user has proper permissions in Administrador de configuración.

Pasos siguientes

• Revisar la escala de tiempo de un dispositivo conectado a la nube
• Ejecución de una consulta CMPivot en un dispositivo conectado a la nube