デバイスでエンドポイント特権管理 (EPM) を構成するには、Windows 昇格設定ポリシーをユーザーまたはデバイスに展開します。
- デバイスで EPM を有効または無効にします。
- 昇格ルールに一致しないファイルに対して昇格要求の既定のルールを設定します。
- EPM が Intune に報告する情報を構成します。
EPM を有効にすると、EPM ポリシーの処理を担当する「Microsoft EPM エージェント サービス」サービスと共に C:\Program Files\Microsoft EPM Agent フォルダーが作成されます。
Windows 昇格設定ポリシーについて
次の場合は、 Windows 昇格設定ポリシー を使用します:
デバイスのエンドポイント特権管理を有効または無効にします。 EPM に対して最初に有効にすると、EPM コンポーネントがインストールされます。
デバイスで EPM が無効になっている場合、クライアント コンポーネントは次回のポリシー同期時に非アクティブ化されます。EPM コンポーネントが削除されるまでに 7 日間の遅延があります。 この遅延は、デバイスで EPM が誤って無効になった場合や、昇格設定ポリシーが割り当てられていない場合に EPM の復元にかかる時間を短縮するのに役立ちます。
既定の昇格応答を設定する - Windows 昇格ルール ポリシーによって管理されていないファイルの昇格要求に対する既定の応答を設定します。 この設定を有効にするには、アプリケーションにルールを存在させることができず、エンド ユーザーは [昇格したアクセス権で実行] 右クリック メニューを使用して昇格を明示的に要求する必要があります。 既定では、このオプションは [未構成] に設定されています。 設定が構成されていない場合、EPM コンポーネントは、 すべての要求を拒否する組み込みのデフォルトにフォールバックします。
ヒント
既定の昇格応答として、[サポートの承認が必要] または [すべての要求を拒否] を使用することをお勧めします。
オプションは以下のとおりです。
すべての要求を拒否する (推奨) - このオプションは、Windows 昇格ルール ポリシーで定義されていないファイルに対する昇格要求アクションをブロックします。
サポートの承認が必要 (推奨) - サポートの承認が必要な場合、管理者は昇格を許可する前に昇格要求を確認する必要があります。
ユーザー確認を要求 する - ユーザー確認が必要な場合は、Windows 昇格ルール ポリシーと同じ検証オプションから選択できます。
検証オプション - 既定の昇格応答が [ユーザー確認を要求する] として定義されている場合に、検証オプションを設定します。 オプションは以下のとおりです。
- ビジネス上の正当な理由 - このオプションでは、既定の昇格応答によって容易になる昇格を完了する前に、エンド ユーザーが正当な理由を指定する必要があります。
- Windows 認証 - このオプションでは、既定の昇格応答によって容易になる昇格を完了する前に、エンド ユーザーが認証する必要があります。
注:
organizationのニーズを満たすために、複数の検証オプションを選択できます。 オプションが選択されていない場合、ユーザーは [続行 ] を選択して昇格を完了する必要があります。
注意
既定の 昇格応答 は、昇格ルールと一致しないすべてのファイルに適用されます。その結果、[ ユーザーによる確認を必須にする] 設定を使用すると、既定ですべてのファイルを昇格できます。 昇格のためのビジネス上の正当な理由や資格情報プロンプトを求めない場合は、[ すべての要求を拒否] または [サポートの承認を要求する] の使用をお勧めします。
レポート用に昇格データを送信する - この設定は、デバイスが診断データと使用状況データを Microsoft と共有するかどうかを制御します。 収集されるデータを制御するには、[ レポート スコープ] 設定 を使用します。
診断データは、Microsoft が EPM クライアント コンポーネントの正常性を測定するために使用されます。 使用状況データは、テナント内で発生する昇格を示すために使用されます。 データの種類とその保存方法の詳細については、「エンドポイント特権管理のデータ収集とプライバシー」を参照してください。
オプションは以下のとおりです。
- はい - このオプションは、[ レポート範囲 ] 設定に基づいてデータを Microsoft に送信します。
- いいえ - このオプションは Microsoft にデータを送信しません。
レポート スコープ - この設定は、[ レポート用に昇格データを送信する] が [はい] に設定されている場合に Microsoft に送信されるデータの量を制御します。 既定では、*診断データとすべてのエンドポイントの昇格が選択されています。
オプションは以下のとおりです。
- 診断データと管理された昇格のみ - このオプションは、クライアント コンポーネントの正常性に関する診断データと、エンドポイント特権管理によって促進されている昇格に関するデータを Microsoft に送信します。
- 診断データとすべてのエンドポイントの昇格 - このオプションは、クライアント コンポーネントの正常性に関する診断データ と 、エンドポイントで発生する すべての 昇格に関するデータを Microsoft に送信します。
- 診断データのみ - このオプションは、クライアント コンポーネントの正常性に関する診断データのみを Microsoft に送信します。
Windows 昇格設定ポリシーを作成する
Microsoft Intune 管理センターにサインインし、[エンドポイント セキュリティ]>エンドポイント特権管理 に移動し>> [ポリシー] タブを選択して、[ポリシーの作成] を選択します。 [ プラットフォーム ] を [Windows] に、[ プロファイル ] を [Windows 昇格] 設定ポリシーに設定し、[ 作成] を選択します。
[ 基本] に、次のプロパティを入力します。
- 名前: プロファイルのわかりやすい名前を入力します。 後で簡単に識別できるようにプロファイルに名前を付けます。
- 説明: プロファイルの説明を入力します この設定は省略可能ですが、おすすめされています。
[構成設定] で、以下を構成して、デバイスでの昇格要求の既定の動作を定義します。
![[評価設定の構成] ページの画像。](media/manage-elevation-settings/evaluation-settings-policy.png)
エンドポイント特権管理: [有効] (既定) に設定します。 有効にすると、デバイスはエンドポイント特権管理を使用します。 [無効] に設定すると、デバイスはエンドポイント特権管理を使用しず、EPM が以前に有効になっていた場合はすぐに無効になります。 7 日後、デバイスはエンドポイント特権管理のコンポーネントのプロビジョニングを解除します。
既定の昇格応答: ルールに一致しないファイルに対する昇格要求をこのデバイスで管理する方法を構成します:
未構成: このオプションは [すべての要求を拒否] と同じように機能します。
すべての要求を拒否する: EPM はファイルの昇格を容易にせず、拒否に関する情報を含むポップアップ ウィンドウがユーザーに表示されます。 この構成では、管理者アクセス許可を持つユーザーが [管理者として実行] を使用してアンマネージド ファイルを実行することはできません。
サポートの承認が必要: この動作により、EPMは、サポート承認されたリクエストの送信をユーザーに求めるように指示します。
ユーザー確認を要求する: ファイルを実行する意図を確認するための簡単なプロンプトがユーザーに表示されます。 [ 検証] ドロップダウンから使用できる追加のプロンプトを要求することもできます。
- ビジネス上の正当な理由: ファイルを実行する正当な理由を入力するようにユーザーに要求します。 この正当な理由に必要な形式はありません。 レポート スコープ にエンドポイントの昇格のコレクションが含まれている場合は、ユーザー入力が保存され、ログを介して確認できます。
- Windows 認証: このオプションでは、ユーザーは organization 資格情報を使用して認証する必要があります。
注意
既定の 昇格応答 は、昇格ルールと一致しないすべてのファイルに適用されます。その結果、[ ユーザーによる確認を必須にする] 設定を使用すると、既定ですべてのファイルを昇格できます。 追加の監査または資格情報プロンプトを必要としない場合は、[ すべての要求を拒否] または [サポートの承認を要求する] の使用をお勧めします。
レポート用に標高データを送信する: 既定では、この動作は [はい] に設定されています。 [はい] に設定すると、 レポート スコープを構成できます。 [いいえ] に設定すると、デバイスは診断データやファイルの昇格に関する情報を Intune に報告しません。
レポート スコープ: デバイスが Intune に報告する情報の種類を選択します。
診断データとすべてのエンドポイントの昇格 (デフォルト): デバイスは、EPM によって促進されるすべてのファイル昇格に関する診断データと詳細をレポートします。
このレベルの情報は、ユーザーが昇格コンテキストで実行しようとする昇格ルールによってまだ管理されていない他のファイルを特定するのに役立ちます。
診断データとマネージド昇格のみ: デバイスは、EPM によって制御されるファイル昇格に関する診断データと詳細を報告します。 EPM 昇格には、昇格ルールに一致する標高、または昇格アクセスで 実行の 右クリック コンテキスト メニューによって開始される標高が含まれます。 非管理対象ファイルに対するファイル要求と、[ 管理者として実行] という Windows の既定のアクションによって昇格されたファイルは、管理対象昇格として報告されません。
診断データのみ: エンドポイント特権管理の操作に関する診断データのみが収集されます。 ファイル昇格に関する情報は Intune に報告されません。
準備ができたら、[次へ] を選択して続行します。
[スコープ タグ] ページで、適用するスコープ タグを選択し、[次へ] を選択します。
[ 割り当て] で、ポリシーを受け取るグループを選択します。 プロファイルの割り当ての詳細については、ユーザーおよびデバイス プロファイルの割り当てに関するページを参照してください。 [次へ] を選択します。
[ レビュー + 作成] で設定を確認し、[ 作成] を選択します。 [作成] を選択すると、変更内容が保存され、プロファイルが割り当てられます。 ポリシーは、ポリシー リストにも表示されます。
![[評価設定の構成] ページの画像。](media/manage-elevation-settings/evaluation-settings-policy.png#lightbox)