Usare Gestione privilegi endpoint con Microsoft Intune

Con Microsoft Intune Gestione privilegi endpoint (EPM) gli utenti dell'organizzazione possono essere eseguiti come utenti standard (senza diritti di amministratore) e completare le attività che richiedono privilegi elevati. Le attività che richiedono comunemente privilegi amministrativi sono l'installazione delle applicazioni (come Microsoft 365 Applications), l'aggiornamento dei driver di dispositivo e l'esecuzione di alcuni strumenti di diagnostica Windows.

La Gestione privilegi endpoint supporta il percorso Zero Trust aiutando l'organizzazione a ottenere un'ampia base di utenti con privilegi minimi, migliorando al contempo le attività selezionate quando necessario per rimanere produttivi. Per altre informazioni, vedere Zero Trust con Microsoft Intune.

Questa panoramica fornisce informazioni sull'EPM, inclusi i vantaggi, il suo funzionamento e come iniziare.

Si applica a:

  • Windows

Caratteristiche e vantaggi principali

✅ Scopri le caratteristiche e i vantaggi principali di EPM

  • Utenti Standard per impostazione predefinita. Gli utenti possono eseguire le loro attività senza diritti di amministratore locale.
  • Supporto per l'elevazione just-in-time. Gli utenti possono attivare script o file binari specifici approvati dall'IT per elevare temporaneamente.
  • Controllo basato su criteri. Gli amministratori definiscono impostazioni e regole per controllare le condizioni e il comportamento di elevazione dei privilegi, con funzionalità granulari di creazione di regole per soddisfare le esigenze dell'organizzazione.
  • Registrazione e creazione di report di controllo. Intune registra ogni elevazione dei privilegi con metadati dettagliati.
  • Allineamento ai principi Zero Trust consentendo l'accesso con privilegi minimi e riducendo al minimo i rischi di movimento laterale.

Nozioni fondamentali su EPM

✅ Scopri come funziona EPM

L'elevazione EPM può essere attivata utilizzando due metodi:

  • Automaticamente, oppure;
  • Avviato dall'utente.

EPM può essere configurato utilizzando due tipi di criteri, entrambi destinati a gruppi di utenti o dispositivi:

  • Criterio impostazioni elevazione : controlla il client EPM, il livello di reporting e la funzionalità di elevazione predefinita.
  • Criterio regole di elevazione dei privilegi: definisce il comportamento di elevazione dei privilegi per file binari o script in base a criteri.

Per eseguire l'elevazione dei privilegi nel dispositivo, il servizio EPM usa un account virtuale per la maggior parte dei tipi di elevazione dei privilegi, isolato dall'account degli utenti connessi. Nessuno di questi account viene aggiunto al gruppo di amministratori locale. Un'eccezione all'utilizzo dell'account virtuale è il tipo di elevazione dei privilegi Elevate as current user , illustrato in modo più dettagliato nella sezione seguente.

Il client EPM viene installato automaticamente quando un criterio di impostazioni di elevazione dei privilegi viene assegnato ai dispositivi o agli utenti. Il client EPM utilizza il servizio "Microsoft EPM Agent Service" e memorizza i "C:\Program Files\Microsoft EPM Agent" file binari nella directory.

Il diagramma mostra un'architettura di alto livello del modo in cui il client EPM viene attivato, verifica la presenza di regole e quindi facilita l'elevazione dei privilegi:

Un diagramma che rappresenta il modo in cui inizia una quota altimetrica EPM, viene confrontato con una regola e quindi elevato.

Tipi di elevazione

✅ Controllare il modo in cui EPM eleva i file

EPM consente agli utenti senza privilegi amministrativi di eseguire processi nel contesto amministrativo. Quando si crea una regola di elevazione dei privilegi, tale regola consente a EPM di inoltrare la destinazione della regola per l'esecuzione con privilegi di amministratore nel dispositivo. Il risultato è che l'applicazione ha funzionalità amministrative complete nel dispositivo.

Ad eccezione di Elevate come tipo di utente corrente , EPM utilizza un account virtuale per elevare i processi. L'uso dell'account virtuale isola le azioni con privilegi elevati dal profilo dell'utente, riducendo l'esposizione ai dati specifici dell'utente e il rischio di escalation dei privilegi.

Quando si usa la Gestione privilegi endpoint, sono disponibili alcune opzioni per il comportamento di elevazione dei privilegi:

  • Automatico: per le regole di elevazione automatica, EPM eleva automaticamente queste applicazioni senza input da parte dell'utente. Le regole generali in questa categoria possono avere un impatto diffuso sul comportamento di sicurezza dell'organizzazione.

  • Confermato dall'utente: con le regole confermate dall'utente, gli utenti finali usano un nuovo menu di scelta rapida Esegui con accesso con privilegi elevati. Gli amministratori possono richiedere all'utente di eseguire una convalida aggiuntiva usando una richiesta di autenticazione, una motivazione aziendale o entrambe.

    Screenshot che mostra il messaggio che un utente riceve quando usa l'elevazione confermata dall'utente.

  • Eleva come utente corrente: usare questo tipo di elevazione dei privilegi per le applicazioni che richiedono l'accesso a risorse specifiche dell'utente per funzionare correttamente, come percorsi di profilo, variabili di ambiente o preferenze di runtime. A differenza delle elevazioni dei privilegi che usano un account virtuale, questa modalità esegue il processo con privilegi elevati nell'account dell'utente connesso, mantenendo la compatibilità con gli strumenti e i programmi di installazione che si basano sul profilo utente attivo. Mantenendo la stessa identità utente prima e dopo l'elevazione dei privilegi, questo approccio garantisce audit trail coerenti e accurati. Supporta anche l'autenticazione di Windows, che richiede all'utente di eseguire di nuovo l'autenticazione con credenziali valide prima che si verifichi l'elevazione dei privilegi.

    Tuttavia, poiché il processo con privilegi elevati eredita il contesto completo dell'utente, questa modalità introduce una superficie di attacco più ampia e riduce l'isolamento dai dati utente.

    Considerazioni principali:

    • Necessità di compatibilità: usare questa modalità solo quando l'elevazione dell'account virtuale causa errori dell'applicazione.
    • Ambito rigoroso: limita le regole di elevazione dei privilegi a file binari e percorsi attendibili per ridurre i rischi.
    • Compromesso per la sicurezza: Tenere presente che questa modalità aumenta l'esposizione ai dati specifici dell'utente.

    Consiglio

    Quando la compatibilità non è un problema, preferire un metodo che usa l'elevazione dell'account virtuale per una maggiore sicurezza.

  • Supporto approvato: Per le regole approvate dal supporto, gli utenti finali devono inviare una richiesta per l'esecuzione di un'applicazione con autorizzazioni elevate. Una volta inviata la richiesta, un amministratore può approvarla. Dopo l'approvazione della richiesta, l'utente finale viene informato che può riprovare l'elevazione dei privilegi nel dispositivo. Per ulteriori informazioni sull'utilizzo di questo tipo di regola, vedere Supporto delle richieste di elevazione dei privilegi approvate.

    Screenshot che mostra il prompt che un utente riceve quando richiede di eseguire un'applicazione come amministratore usando l'approvazione del supporto.

  • Nega: una regola di negazione identifica un file che EPM blocca dall'esecuzione in un contesto con privilegi elevati. In alcuni scenari, le regole di negazione possono garantire che i file noti o il software potenzialmente dannoso non possano essere eseguiti in un contesto con privilegi elevati.

Il client EPM può essere configurato con una risposta di elevazione dei privilegi predefinita o con regole specifiche che consentono la risposta di elevazione dei privilegi specificata.

Funzionalità delle regole

✅ Destinazione granulare dei file per l'elevazione

Le regole di elevazione EPM possono essere create in base a uno o più attributi, tra cui nome file, percorso e così via. Ecco alcuni esempi di funzionalità delle regole:

  • Controlli dei processi figlio : quando i processi vengono elevati da EPM, è possibile controllare il modo in cui la creazione di processi figlio è gestita da EPM, il che consente di avere un controllo granulare su tutti i processi secondari che potrebbero essere creati dall'applicazione con privilegi elevati.

  • Supporto degli argomenti : consente solo determinati parametri per l'elevazione delle applicazioni.

  • Supporto hash file: abbinare l'applicazione in base all'hash del file.

  • Supporto del certificato dell'editore : creare regole basate sull'attendibilità del certificato dell'editore dell'applicazione insieme ad altri attributi.

Tipi di file supportati

EPM supporta l'elevazione dei seguenti tipi di file:

  • File eseguibili con estensione .exe .
  • File di Windows Installer con estensione .msi .
  • Script di PowerShell con l'estensione .ps1 .

Creazione di report

✅ Tenere traccia delle elevazioni nell'ambiente

EPM include report utili per la preparazione, il monitoraggio e l'utilizzo del servizio. Sono disponibili rapporti per elevazioni non gestite e gestite:

  • Elevazione non gestita: tutte le elevazioni dei file che si verificano senza l'uso della Gestione privilegi endpoint. Questi elevamenti possono verificarsi quando un utente con diritti amministrativi usa l'azione predefinita di Windows Esegui come amministratore.

  • Elevazione gestita: qualsiasi elevazione facilitata dalla Gestione privilegi endpoint. Le quote elevate gestite includono tutte le quote che EPM finisce per facilitare per l'utente standard. Queste quote altimetriche gestite possono includere elevazioni che si verificano come risultato di una regola di elevazione o come parte di un'azione di elevazione predefinita.

Introduzione alla Gestione privilegi endpoint

✅ Iniziare a usare EPM

Diagramma che mostra il ciclo di vita della distribuzione di EPM scegliendo licenze e pianificazione, distribuzione e gestione.

Gestione privilegi endpoint (EPM) viene amministrato dal Centro Microsoft Intune Amministrazione. Quando le organizzazioni iniziano a utilizzare EPM, utilizzano il seguente processo di alto livello:

Successivo: Pianificare EPM >

  • Last updated on