Creazione di regole di elevazione dei privilegi con Gestione privilegi endpoint

I criteri delle regole di elevazione dei privilegi consentono a Gestione privilegi endpoint (EPM) di identificare file e script specifici ed eseguire l'azione di elevazione dei privilegi associata. Per applicare le regole di elevazione dei privilegi, i dispositivi devono disporre di un criterio di impostazioni di elevazione dei privilegi che abiliti l'EPM. Per ulteriori informazioni, vedere Impostazioni di elevazione EPM.

Oltre alle informazioni contenute in questo articolo, è necessario tenere presenti importanti raccomandazioni di sicurezza per la gestione delle regole di elevazione dei privilegi.

Informazioni sui criteri delle regole di elevazione

Un criterio delle regole di elevazione dei privilegi viene usato per gestire l'identificazione di file specifici e il modo in cui vengono gestite le richieste di elevazione dei privilegi per tali file. Ogni criterio delle regole di elevazione dei privilegi include una o più regole di elevazione dei privilegi. È con le regole di elevazione dei privilegi che si configurano, i dettagli sul file da gestire e i requisiti per elevarlo.

Sono supportati i seguenti tipi di file:

• File eseguibili con estensione .exe or .msi .
• Script di PowerShell con l'estensione .ps1 .

Ogni regola di elevazione dei privilegi indica a EPM come:

• Identificare il file utilizzando:

  • Nome del file (inclusa l'estensione). La regola supporta anche condizioni facoltative come una versione di build minima, un nome di prodotto o un nome interno. Le condizioni facoltative vengono usate per convalidare ulteriormente il file quando si tenta di elevare i privilegi. Il nome file (escluse le estensioni) può includere l'uso di variabili per caratteri singoli tramite l'uso di un punto ? interrogativo o stringhe tramite l'uso di un asterisco *.
  • Certificato. I certificati possono essere aggiunti direttamente a una regola o usando un gruppo di impostazioni riutilizzabile. I certificati devono essere attendibili e validi. È consigliabile usare gruppi di impostazioni riutilizzabili in quanto possono essere più efficienti e semplificare una modifica futura del certificato. Per altre informazioni, vedere Gruppi di impostazioni riutilizzabili.

• Convalidare il file:

  • Hash file. Per le regole automatiche è necessario un hash di file. Per le regole con tipo di elevazione dei privilegi Confermato dall'utente o Elevato come utente corrente, è possibile scegliere di usare un certificato o un hash di file, nel qual caso l'hash del file diventa facoltativo.
  • Certificato. Le proprietà del file possono essere convalidate insieme al certificato dell'autore usato per firmare il file. I certificati vengono convalidati usando API Windows che controllano attributi come attendibilità, scadenza del certificato e stato di revoca.
  • Proprietà del file. Tutte le altre proprietà specificate nelle regole devono corrispondere.

• Configura il tipo di elevazione dei file. Il tipo di elevazione dei privilegi identifica ciò che accade quando viene effettuata una richiesta di elevazione dei privilegi per il file. Per impostazione predefinita, questa opzione è impostata su Utente confermato. Ad eccezione di Eleva come utente corrente, EPM utilizza un account virtuale per elevare i processi. In questo modo le azioni con privilegi elevati vengono isolate dal profilo dell'utente, riducendo l'esposizione ai dati specifici dell'utente e riducendo il rischio di escalation dei privilegi.

  • Nega: le regole di negazione impediscono l'esecuzione del file identificato in un contesto con privilegi elevati.

  • Supporto approvato: un amministratore deve approvare la richiesta di elevazione dei privilegi richiesta per il supporto prima che l'esecuzione dell'applicazione possa essere eseguita con privilegi elevati.

  • Confermato dall'utente: un'elevazione dei privilegi confermata dall'utente richiede sempre che l'utente selezioni in una richiesta di conferma l'esecuzione del file. La conferma può essere configurata solo per richiedere l'autenticazione dell'utente, una motivazione aziendale (visibile nei report) o entrambe.

  • Eleva come utente corrente: questo tipo di elevazione dei privilegi esegue il processo con privilegi elevati con l'account dell'utente connesso, mantenendo la compatibilità con gli strumenti e i programmi di installazione che si basano sul profilo utente attivo. Ciò richiede che l'utente immetta le credenziali per l'autenticazione di Windows. In questo modo vengono preservati i percorsi del profilo dell'utente, le variabili di ambiente e le impostazioni personalizzate. Poiché il processo con privilegi elevati mantiene la stessa identità utente prima e dopo l'elevazione dei privilegi, gli audit trail rimangono coerenti e accurati.

    Tuttavia, poiché il processo con privilegi elevati eredita il contesto completo dell'utente, questa modalità introduce una superficie di attacco più ampia e riduce l'isolamento dai dati utente.

    Considerazioni principali:

    • Necessità di compatibilità: usare questa modalità solo quando l'elevazione dell'account virtuale causa errori dell'applicazione.
    • Ambito rigoroso: limita le regole di elevazione dei privilegi a file binari e percorsi attendibili per ridurre i rischi.
    • Compromesso per la sicurezza: Tenere presente che questa modalità aumenta l'esposizione ai dati specifici dell'utente.

    Consiglio

    Quando la compatibilità non è un problema, preferire un metodo che usa l'elevazione dell'account virtuale per una maggiore sicurezza.

  • Automatico: un'elevazione automatica avviene in modo invisibile per l'utente. Non viene visualizzata alcuna richiesta e nessuna indicazione che il file sia in esecuzione in un contesto con privilegi elevati.

• Gestire il comportamento dei processi figlio. È possibile controllare il modo in cui le regole di elevazione dei privilegi si applicano a tutti i processi figlio avviati dal processo padre con privilegi elevati.

  • Richiedi che la regola elevi: i processi figlio devono soddisfare i propri requisiti di regola prima di poter essere eseguiti con privilegi elevati. Il processo figlio viene elevato in base alla definizione di regola, incluse eventuali regole di negazione.

  • Nega tutto : tutti i processi figlio vengono avviati senza contesto elevato.

  • Consenti l'esecuzione dei processi figlio con privilegi elevati : qualsiasi processo figlio avviato dall'elemento padre con privilegi elevati verrà eseguito automaticamente con privilegi elevati. Quando questa opzione è selezionata, la valutazione delle regole per il processo figlio viene ignorata, incluse le regole di negazione. Ciò significa che un processo figlio può essere eseguito con privilegi elevati anche quando esiste una regola di negazione esplicita per tale processo.

  Procedura consigliata: Evitare di creare regole di elevazione eccessivamente ampie per le applicazioni che possono avviare altri processi (ad esempio, shell dei comandi o motori di script) per impedire l'elevazione indesiderata.

Definizione delle regole da utilizzare con la Gestione privilegi endpoint

Le regole di Gestione privilegi endpoint sono costituite da due elementi fondamentali: un rilevamento e un'azione di elevazione dei privilegi.

I rilevamenti sono definiti come il set di attributi utilizzati per identificare un'applicazione o un file binario. Questi attributi includono il nome del file, la versione del file e le proprietà della firma.

Le azioni di elevazione dei privilegi sono l'elevazione dei privilegi risultante che si verifica dopo il rilevamento di un'applicazione o di un file binario.

Quando si definiscono i rilevamenti , è importante che siano definiti nel modo più descrittivo possibile. Per essere descrittivi, usare attributi complessi o più attributi per aumentare la potenza del rilevamento. Quando si definiscono i rilevamenti, l'obiettivo dovrebbe essere quello di eliminare la possibilità per più file di rientrare nella stessa regola, a meno che non sia esplicitamente questo l'intento.

Regole Hash file

Le regole Hash file sono le regole più complesse che possono essere create con la Gestione privilegi endpoint. Queste regole sono altamente consigliate per garantire che il file che si intende elevare sia il file con privilegi elevati.

L'hash dei file può essere raccolto dal file binario diretto usando il metodo Get-Filehash di PowerShell o direttamente dai report per la Gestione privilegi endpoint.

Regole certificati

Le regole certificati sono un tipo sicuro di attributo e devono essere associate ad altri attributi. L'associazione di un certificato ad attributi come il nome del prodotto, il nome interno e la descrizione migliora notevolmente la sicurezza della regola. Questi attributi sono protetti da una firma di file e spesso indicano specifiche sul file firmato.

Regole contenenti nome file

Il nome file è un attributo che può essere usato per rilevare un'applicazione che deve essere elevata. Tuttavia, i nomi dei file possono essere modificati facilmente e non fanno parte dell'hash o degli attributi firmati dal certificato dell'autore.

Ciò significa che i nomi dei file sono altamente suscettibili di modifiche. Files a cui non si fa riferimento intenzionalmente, firmati da certificati attendibili, possono essere rinominati per essere rilevati ed elevati.

Regole basate sugli attributi raccolti da PowerShell

Per creare regole di rilevamento file più accurate, è possibile usare il cmdlet Get-FileAttributes di PowerShell. Disponibile nel modulo PowerShell di EpmTools, Get-FileAttributes può recuperare gli attributi del file e il materiale della catena di certificati per un file ed è possibile utilizzare l'output per popolare le proprietà delle regole di elevazione per una particolare applicazione.

Esempio di passaggi di importazione del modulo e output da Get-FileAttributes eseguito su msinfo32.exe in Windows 11 versione 10.0.22621.2506:

PS C:\Windows\system32> Import-Module 'C:\Program Files\Microsoft EPM Agent\EpmTools\EpmCmdlets.dll'
PS C:\Windows\system32> Get-FileAttributes -FilePath C:\Windows\System32\msinfo32.exe -CertOutputPath C:\CertsForMsInfo\

FileName      : msinfo32.exe
FilePath      : C:\Windows\System32
FileHash      : 18C8442887C36F7DB61E77013AAA5A1A6CDAF73D4648B2210F2D51D8B405191D
HashAlgorithm : Sha256
ProductName   : Microsoft® Windows® Operating System
InternalName  : msinfo.dll
Version       : 10.0.22621.2506
Description   : System Information
CompanyName   : Microsoft Corporation

Per altre informazioni, vedere Modulo PowerShell EpmTools.

Controllo del comportamento dei processi figlio

Il comportamento del processo figlio consente di controllare il contesto quando un processo elevato con EPM crea un processo figlio. Questo comportamento consente di controllare i processi a cui verrebbe automaticamente delegato il contesto del processo padre.

Windows delega automaticamente il contesto di un elemento padre a un elemento figlio, quindi presta particolare attenzione nel controllare il comportamento per le applicazioni consentite. Assicurarsi di valutare ciò che è necessario quando si creano regole di elevazione e si implementa il principio dei privilegi minimi.

Distribuzione delle regole create con la Gestione privilegi endpoint

Le regole di Gestione privilegi endpoint vengono distribuite come qualsiasi altro criterio in Microsoft Intune. Ciò significa che le regole possono essere distribuite a utenti o dispositivi e le regole vengono unite sul lato client e selezionate in fase di esecuzione. Eventuali conflitti vengono risolti in base al comportamento dei conflitti di criteri.

Le regole distribuite in un dispositivo si applicano a tutti gli utenti che usano tale dispositivo. Le regole distribuite a un utente si applicano solo a tale utente in ogni dispositivo utilizzato. Quando si verifica un'azione di elevazione dei privilegi, le regole distribuite all'utente hanno la precedenza rispetto alle regole distribuite a un dispositivo. Questo comportamento consente di distribuire un set di regole a tutti gli utenti di un dispositivo e un set di regole più permissivo a un utente specifico (ad esempio un amministratore di supporto). Ciò consente all'amministratore del supporto di elevare un set più ampio di applicazioni quando accede al dispositivo.

Il comportamento di Altitudine predefinito viene utilizzato solo quando non è possibile trovare alcuna corrispondenza di regola. Il comportamento di elevazione predefinito si applica solo quando viene attivata un'elevazione con il menu di scelta rapida Esegui con accesso con privilegi elevati .

Creare criteri di regole di elevazione dei privilegi

Distribuire un criterio regole di elevazione a utenti o dispositivi per distribuire una o più regole per i file gestiti per l'elevazione tramite la Gestione privilegi endpoint. Ogni regola aggiunta a questo criterio:

• Identifica un file in base al nome e all'estensione di file per cui si desidera gestire le richieste di elevazione dei privilegi.
• Può includere un certificato per convalidare l'integrità del file. È anche possibile aggiungere un gruppo riutilizzabile che contiene un certificato da usare quindi con una o più regole o criteri.
• Può includere uno o più argomenti di file o opzioni della riga di comando aggiunti manualmente. Quando gli argomenti del file vengono aggiunti a una regola, EPM consente solo l'elevazione dei file delle richieste che includono una delle righe di comando definite. Se una riga di comando definita non fa parte della richiesta di elevazione dei file, EPM rifiuta tale richiesta.
• Specifica se il tipo di elevazione dei privilegi del file è automatico (senza intervento dell'utente) o se richiede la conferma dell'utente. Con la conferma dell'utente, è possibile richiedere la convalida con una richiesta di credenziali, una motivazione aziendale o entrambe.

Utilizzare uno dei metodi seguenti per creare nuove regole di elevazione dei privilegi, che vengono aggiunte al criterio delle regole di elevazione dei privilegi:

• Configurare automaticamente le regole di elevazione : utilizzare questo metodo per risparmiare tempo durante la creazione di una regola di elevazione aggiungendo i dettagli dei file dai report. Le regole possono essere create utilizzando il rapporto di elevazione dei privilegi o da un record di richieste di elevazione dei privilegi approvate dal supporto .

  Con questo metodo:

  • Selezionare il file per il quale si desidera creare una regola di elevazione dal rapporto di elevazione o supportare la richiesta di elevazione approvata .
  • Scegliere se aggiungere la nuova regola di elevazione a un criterio delle regole di elevazione esistente o creare un nuovo criterio delle regole di elevazione che includa la nuova regola.
    • Quando viene aggiunta a un criterio esistente, la nuova regola è immediatamente disponibile per l'elenco dei criteri dei gruppi assegnati.
    • Quando viene creato un nuovo criterio, è necessario modificarlo per assegnare i gruppi prima che diventi disponibile per l'uso.

• Configurare manualmente le regole di elevazione : questo metodo richiede di identificare i dettagli del file che si desidera utilizzare per il rilevamento e di immetterli manualmente come parte del flusso di lavoro di creazione delle regole. Per informazioni sui criteri di rilevamento, vedere Definizione delle regole per l'utilizzo con la Gestione privilegi endpoint.

  Con questo metodo:

  • Determinare manualmente i dettagli del file da utilizzare e quindi aggiungerli alla regola di elevazione dei privilegi per l'identificazione del file.
  • Configurare tutti gli aspetti del criterio durante la creazione del criterio, inclusa l'assegnazione del criterio ai gruppi per l'uso.
  • Può aggiungere uno o più argomenti di file che devono far parte della richiesta di elevazione dei privilegi prima che EPM consenta l'elevazione dei file.

Configurare automaticamente le regole di elevazione per Windows criterio delle regole di elevazione dei privilegi

1. Accedere all'interfaccia di amministrazione di Microsoft Intune e passare a Sicurezza endpointGestione>privilegi endpoint. Per selezionare un file da utilizzare per una regola di quota altimetrica, scegliere uno dei seguenti percorsi iniziali:

   Iniziare da un report:

   1. Selezionare la scheda Rapporti e quindi il riquadro Rapporto elevazione . Individuare il file per cui si vuole creare una regola nella colonna File .
   2. Selezionare il nome collegato del file per aprire il riquadro dei dettagli della quota altimetrica del file.

   Iniziare da una richiesta di elevazione dei privilegi approvata dal supporto:

   1. Selezionare la scheda Richiesta di elevazione .

   2. Dalla colonna File , selezionare il file che si desidera utilizzare per la regola di elevazione, che apre il riquadro dei dettagli della quota altimetrica dei file.

      Lo stato della richiesta di elevazione dei privilegi non è importante. È possibile utilizzare una richiesta in sospeso o una precedentemente approvata o rifiutata.

2. Nel riquadro dei dettagli della quota altimetrica , esaminare i dettagli del file. Queste informazioni vengono utilizzate dalla regola di elevazione dei privilegi per identificare il file corretto. Quando sei pronto, selezionare Crea una regola con questi dettagli del file.

   

3. Selezionare un'opzione del criterio per la nuova regola di elevazione dei privilegi che si sta creando:

   Creare un nuovo criterio: Questa opzione crea un nuovo criterio che include una regola di elevazione dei privilegi per il file selezionato.

   1. Per la regola, configurare il comportamento Tipo e processo figlio e quindi selezionare OK per creare il criterio.
   2. Quando richiesto, specificare un nome di criterio per il nuovo criterio e confermare per crearlo.
   3. Dopo aver creato il criterio, è possibile modificare il criterio per assegnarlo e apportare eventuali altre modifiche.

   Aggiungere a un criterio esistente: Con questa opzione, utilizzare l'elenco a discesa e selezionare un criterio di elevazione esistente a cui aggiungere la nuova regola di elevazione.

   1. Per la regola, configurare il tipo di elevazione e il comportamento del processo figlio e quindi selezionare OK. Il criterio viene aggiornato con la nuova regola.
   2. Dopo aver aggiunto la regola al criterio, è possibile modificare il criterio per ottenere l'accesso alla regola e quindi modificarlo per eseguire altre configurazioni, se necessario.

   Richiedere lo stesso percorso del file di questa elevazione: Quando si seleziona questa casella di controllo, il campo Percorso file nella regola viene impostato sul percorso del file visualizzato nella relazione. Se la casella di controllo non è selezionata, il percorso rimane vuoto.

   Consiglio

   Sebbene facoltativo, è consigliabile usare un percorso del file che punti a un percorso che gli utenti standard non possono modificare.

   

Configurare manualmente le regole di elevazione dei privilegi per i criteri delle regole di elevazione dei privilegi di Windows

1. Accedi all'interfaccia di amministrazione di Microsoft Intune e vai a Sicurezza endpoint>:Gestione privilegi endpoint>, selezionare la scheda >Criteri e quindi selezionare Crea criterio. Impostare il criterio Piattaforma su Windows, Profilo su Windows, regole elevazione elevazione Windows, quindi selezionare Crea.

2. In Informazioni di base, immettere le seguenti proprietà:

   • Nome: immettere un nome descrittivo per il profilo. Assegna un nome ai profili per poterli identificare facilmente in seguito.
   • Descrizione: immettere una descrizione per il profilo. Questa impostazione è facoltativa ma consigliata.

3. In Impostazioni di configurazione aggiungere una regola per ogni file gestito da questo criterio. Quando si crea un nuovo criterio, il criterio inizia include una regola vuota con un tipo di elevazione dei privilegi Confermato dall'utente e nessun nome di regola. Per iniziare, configurare questa regola e in seguito è possibile selezionare Aggiungi per aggiungere altre regole al criterio. Ogni nuova regola aggiunta ha un tipo di elevazione dei privilegi Utente confermato, che può essere modificato quando si configura la regola.

   

   Per configurare una regola, selezionare Modifica istanza per aprire la relativa pagina delle proprietà della regola, quindi configurare quanto segue:

   

   • Nome regola: specificare un nome descrittivo per la regola. Assegnare un nome alle regole per poterle identificare facilmente in seguito.
   • Descrizione (facoltativo): immetti una descrizione per il profilo.

   Le condizioni di elevazione sono condizioni che definiscono la modalità di esecuzione di un file e le convalide utente che devono essere soddisfatte prima di poter eseguire il file a cui si applica questa regola.

   • Tipo di elevazione: per impostazione predefinita, questa opzione è impostata su Confermato dall'utente, che è il tipo di elevazione più comunemente usato in quanto consente l'elevazione, ma richiede il riconoscimento da parte dell'utente.

     • Nega: una regola di negazione impedisce l'esecuzione del file identificato in un contesto con privilegi elevati. Si applicano i seguenti comportamenti:

       • Le regole di negazione supportano le stesse opzioni di configurazione degli altri tipi di elevazione dei privilegi, ad eccezione delle opzioni del processo figlio. Le opzioni del processo figlio non vengono usate da questa regola, anche se configurate.
       • Quando un utente tenta di elevare un file che corrisponde a una regola di negazione, l'elevazione non riesce. EPM visualizza un messaggio che indica che l'app non può essere eseguita come amministratore. Se all'utente viene assegnata anche una regola che consente l'elevazione dello stesso file, la regola di negazione ha la precedenza.
       • Le elevazioni dei privilegi negate vengono visualizzate nel rapporto di elevazione dei privilegi come negate, in modo analogo a una richiesta di approvazione del supporto rifiutata.
       • EPM attualmente non supporta la configurazione automatica di una regola di negazione dal report di valutazione.

     • Supporto approvato: questo tipo di elevazione dei privilegi richiede che un amministratore approvi una richiesta di elevazione dei privilegi. Per ulteriori informazioni, vedere Supporto per le richieste di elevazione dei privilegi approvate.

       Importante

       L'uso dell'elevazione dei privilegi approvata per i file richiede che gli amministratori con autorizzazioni aggiuntive esaminino e approvino ogni richiesta di elevazione dei privilegi dei file prima del file nel dispositivo con autorizzazioni di amministratore. Per informazioni sull'uso del tipo di elevazione dei privilegi approvati per il supporto, vedere Supporto delle elevazioni dei file approvate per la gestione dei privilegi endpoint.

     • Confermato dall'utente: più comunemente usato per i file con regole che richiedono l'elevazione perché consente l'elevazione, ma richiede il riconoscimento dell'utente. Quando un file viene eseguito, l'utente riceve una semplice richiesta di conferma della propria intenzione di eseguire il file. La regola può includere anche altre richieste disponibili nell'elenco a discesa Convalida :

       • Motivazione aziendale: richiedere all'utente di immettere una giustificazione per l'esecuzione del file. Non è richiesto alcun formato per la voce. L'input dell'utente viene salvato e può essere rivisto tramite i log se l'ambito del report include la raccolta di elevazioni degli endpoint.
       • Autenticazione di Windows: questa opzione richiede all'utente di eseguire l'autenticazione usando le credenziali dell'organizzazione.

     • Automatico: questo tipo di elevazione dei privilegi esegue automaticamente il file con autorizzazioni elevate. L'elevazione automatica è trasparente per l'utente, senza richiedere conferma o richiedere giustificazione o autenticazione da parte dell'utente.

       Attenzione

       Usare l'elevazione automatica solo per eccezione e per i file attendibili. Questi file verranno elevati automaticamente senza interazione dell'utente. Le regole non ben definite potrebbero consentire l'elevazione delle applicazioni non approvate. Per altre informazioni sulla creazione di regole complesse, vedere la guida per la creazione di regole.

   • Comportamento del processo figlio: per impostazione predefinita, questa opzione è impostata su Richiedi regola per elevare, che richiede che il processo figlio corrisponda alla stessa regola del processo che lo crea. Altre opzioni includono:

     • Consenti l'esecuzione di tutti i processi figlio con privilegi elevati: questa opzione deve essere usata con cautela in quanto consente alle applicazioni di creare processi figlio incondizionatamente.
     • Nega tutto: questa configurazione impedisce la creazione di qualsiasi processo figlio.

   Le informazioni sul file consentono di specificare i dettagli che identificano un file a cui si applica questa regola.

   • Nome file: specificare il nome del file e la relativa estensione. Ad esempio: myapplication.exe. Puoi anche usare una variabile nel nome del file.

   • Percorso file (facoltativo): specificare la posizione del file. Se il file può essere eseguito da qualsiasi percorso o è sconosciuto, è possibile lasciare vuoto questo elemento. Puoi anche usare una variabile.

     Consiglio

     Sebbene facoltativo, è consigliabile usare un percorso del file che punti a un percorso che gli utenti standard non possono modificare.

   • Origine della firma: Scegliere una delle opzioni seguenti:

     • Usa un file di certificato nelle impostazioni riutilizzabili (impostazione predefinita): questa opzione usa un file di certificato aggiunto in precedenza a un gruppo di impostazioni riutilizzabile per la gestione dei privilegi endpoint. Per poter usare questa opzione, devi creare un gruppo di impostazioni riutilizzabile .

       Per identificare il certificato, selezionare Aggiungi o rimuovi un certificato e quindi selezionare il gruppo riutilizzabile che contiene il certificato corretto. Specificare quindi il Tipo di certificatodell'autore o dell'autorità di certificazione.

     • Caricare un file di certificato: aggiungere un file di certificato direttamente alla regola di elevazione dei privilegi. Per Caricamento file, specificare un file di .cer che possa convalidare l'integrità del file a cui si applica questa regola. Specificare quindi il Tipo di certificatodell'autore o dell'autorità di certificazione.

     • Non configurato: usare questa opzione quando non si vuole usare un certificato per convalidare l'integrità del file. Se non viene usato alcun certificato, è necessario fornire un hash di file.

   • Hash file: l'hash del file è necessario quando l'origine della firma è impostata su Non configurato e facoltativo se impostato per l'utilizzo di un certificato.

   • Versione minima: (Facoltativo) Utilizzare il formato x.x.x.x per specificare una versione minima del file supportata da questa regola.

   • Descrizione file: (facoltativo) Fornisci una descrizione del file.

   • Nome prodotto: (Facoltativo) Specifica il nome del prodotto da cui proviene il file.

   • Nome interno: (Facoltativo) Specifica il nome interno del file.

   Selezionare Salva per salvare la configurazione della regola. È quindi possibile aggiungere altre regole. Dopo aver aggiunto tutte le regole richieste da questo criterio, selezionare Avanti per continuare.

4. Nella pagina Tag degli ambiti , selezionare i tag degli ambiti desiderati da applicare, quindi selezionare Avanti.

5. Per Assegnazioni selezionare i gruppi che ricevono il criterio. Per altre informazioni sull'assegnazione di profili, vedere Assegnare profili utente e dispositivo. Seleziona Avanti.

6. In Rivedi + crea rivedere le impostazioni e quindi selezionare Crea. Quando si seleziona Crea, le modifiche vengono salvate e il profilo viene assegnato. Il criterio viene visualizzato anche nell'elenco dei criteri.

Usare le variabili nelle regole di elevazione

Quando si configurano manualmente le regole di elevazione dei file, è possibile utilizzare i caratteri jolly per le configurazioni seguenti disponibili nella pagina delle proprietà delle regole di elevazione dei privilegi:

• Nome file: i caratteri jolly sono supportati come parte di un nome file durante la configurazione del campo Nome file .
• Percorso cartella: i caratteri jolly sono supportati come parte di un percorso cartella quando si configura il campo Percorso cartella .

L'uso dei caratteri jolly offre flessibilità nelle regole per supportare file attendibili con nomi che potrebbero cambiare di frequente con le revisioni successive o per i quali potrebbe cambiare anche il percorso del file.

Sono supportati i caratteri jolly seguenti:

• Punto ? interrogativo - I punti interrogativi sostituiscono singoli caratteri in un nome file.
• Asterisco * - Asterisco sostituisce una stringa di caratteri in un nome file.

Di seguito sono riportati esempi di utilizzo supportato di caratteri jolly:

• Nome file per un file di installazione di Visual Studio chiamato VSCodeSetup-arm64-1.99.2.exe:

  • VSCodeSetup*.exe
  • VSCodeSetup-arm64-*.exe
  • VSCodeSetup-?????-1.??.?.exe

• Percorso dello stesso file, in genere disponibile in C:\Users\<username>\Downloads\:

  • C:\Users\*\Downloads\

Usare argomenti file per le regole di elevazione

Le regole di elevazione dei file possono anche essere limitate per consentire l'elevazione con argomenti specifici.

Ad esempio, dsregcmd può essere utile per analizzare lo stato di un dispositivo in Microsoft Entra ID, ma richiede l'elevazione. Per supportare l'uso di questi file per l'indagine, è possibile configurare la regola con un elenco di argomenti per dsregcmd che include le opzioni per /status, /listaccounts e altro ancora. Tuttavia, per evitare azioni distruttive come l'annullamento della registrazione di un dispositivo, puoi escludere argomenti come /leave. Con questa configurazione, la regola consente l'elevazione dei privilegi solo se vengono usati gli argomenti /status o /listaccounts . dsregcmd con l'opzione /leave, che rimuove il dispositivo da Microsoft Entra ID, verrebbe negato.

Per aggiungere uno o più argomenti a una regola di elevazione, impostare Limita argomenti su Consenti. Selezionare Aggiungi e configurare le opzioni della riga di comando consentite. Aggiungendo più argomenti, si forniscono più righe di comando supportate dalle richieste di elevazione dei privilegi.

Gruppi di impostazioni riutilizzabili

Gestione privilegi endpoint usa gruppi di impostazioni riutilizzabili per gestire i certificati che convalidano i file gestiti con regole di elevazione dei privilegi Gestione privilegi endpoint. Come tutti i gruppi di impostazioni riutilizzabili per Intune, le modifiche apportate a un gruppo riutilizzabile vengono passate automaticamente ai criteri che fanno riferimento al gruppo. Se è necessario aggiornare il certificato usato per la convalida dei file, è necessario aggiornarlo una sola volta nel gruppo di impostazioni riutilizzabile. Intune applica il certificato aggiornato a tutte le regole di elevazione dei privilegi che usano tale gruppo.

Per creare il gruppo di impostazioni riutilizzabile per la Gestione privilegi endpoint:

1. Accedi all'interfaccia di amministrazione di Microsoft Intune e vai a Sicurezza endpoint>Gestione privilegi endpoint> seleziona la scheda >Impostazioni riutilizzabili (anteprima) e quindi seleziona Aggiungi.

   

2. In Informazioni di base, immettere le seguenti proprietà:

   • Nome: immettere un nome descrittivo per il gruppo riutilizzabile. Assegnare nomi ai gruppi in modo da poterli identificare facilmente in un secondo momento.
   • Descrizione: immettere una descrizione per il profilo. Questa impostazione è facoltativa ma consigliata.

3. In Impostazioni di configurazione, seleziona l'icona della cartella per il file di certificato e passa a . CER per aggiungerlo a questo gruppo riutilizzabile. Il campo valore Base 64 viene compilato in base al certificato selezionato.

   

4. In Rivedi + crea rivedere le impostazioni e quindi selezionare Aggiungi. Quando si seleziona Aggiungi, la configurazione viene salvata e il gruppo viene quindi visualizzato nell'elenco dei gruppi di impostazioni riutilizzabili per la Gestione privilegi endpoint.

Passaggi successivi