この機能には、Microsoft Intune プラン 1 またはプラン 2 に加えてサブスクリプションが必要です。 ライセンス オプションについては、「Microsoft Intune のプランと価格」および「Microsoft 365 Security Enterprise プラン」を参照してください。
Microsoft Intune エンドポイント特権管理 (EPM) を使用すると、organization のユーザーは (管理者権限を持たない) 標準ユーザーとして実行し、昇格された特権を必要とするタスクを完了できます。 EPMレポートは、環境全体の管理対象ファイルと非管理対象ファイルの昇格の両方を監視するのに役立ちます。 EPMの詳細は、エンドポイント特権管理の概要を参照してください。
前提条件
Microsoft Intune 管理センターまたは Microsoft Graph APIを介して EPM レポートを表示するには、エンドポイント特権管理 ポリシーの作成>レポートの表示のアクセス許可 (Graph APIでは EpmPolicy.ViewReports とも呼ばれます) を含むロールがユーザーに割り当てられている必要があります。
次の組み込みロールには、このアクセス許可が含まれます。
- エンドポイント特権マネージャー
- エンドポイント特権閲覧者
- エンドポイント セキュリティー マネージャー
- 読み取り専用の演算子
カスタム ロールの場合は、[エンドポイント特権管理ポリシーの作成] で [レポートの表示] アクションが有効になっていることを確認します。 このアクセス許可を持たないユーザーは、 privilegeManagementElevations エンドポイントを介してEPMレポート・データにアクセスしようとすると、HTTP 403応答を受け取ります。
注:
以前は、 デバイス構成 > 読み取り アクセス許可を持つユーザーは、EPMレポート・データにアクセスできました。 このアクセスには、ここで説明する明示的な レポートの表示 アクセス許可が必要になりました。
エンドポイント特権管理 (EPM) レポートで利用できる情報は、デバイスのレポート範囲によって異なります。 各デバイスのレポート スコープは、 Windows 昇格設定ポリシーの一部として構成されます。デバイスが異なれば、レポート スコープの構成も異なります。
EPMレポートは、Endpoint security>エンドポイント特権管理のMicrosoft Intune管理センターで見つかり、「概要」タブおよび「レポート」タブから使用できます。[概要] タブは、管理者ユーザーを標準ユーザーに移動するための準備ダッシュボードです。 「 レポート」 タブには、EPMのさまざまな側面に関するいくつかのレポート・タイルが表示され、準備ダッシュボードの強化にも役立ちます。 EPM レポート データは 30 日間保持されます。
次のレポートは、[レポート] タブから使用できます。
注:
データは 24 時間ごとに 1 回処理されます。 標高の使用状況レポートにデータが表示されるまでに遅延が生じる可能性があります。
概要ダッシュボード
「EPMの概要」タブには、ローカル管理者ユーザー・アカウントを標準ユーザーに安全かつ効率的に移行するためのorganizationの準備状況を評価するのに役立つダッシュボードが表示されます。 このダッシュボードの情報タイルには、次のファイルおよび昇格アクティビティについて過去 48 時間から取得された詳細が表示されます。
アンマネージド ファイル昇格のみを持つユーザー。 このタイルは、EPM によって管理されていない管理者特権コンテキストでファイルを実行しているユーザーの数を識別します。 この情報は、EPM カバレッジのギャップを埋めるためのポリシーを作成するのに役立ちます。
管理されたファイル昇格とアンマネージド ファイル昇格の両方を持つユーザー。 このタイルは、昇格設定ポリシーを調整してファイル昇格を監査し、それらを管理された状態に移行し始める方法を特定するのに役立ちます。
管理者のみを持つユーザー。 このタイルで提供される情報は、ユーザー アカウントに管理者アクセス許可が割り当てられていない状態で実行できる状態の可能性があるユーザーを識別するのに役立ちます。 ローカル管理者アクセス許可を削除するには、アカウント保護ポリシーを展開してローカル ユーザー グループのメンバーシップを管理します。
管理されていないことが多い標高。 現在のスナップショット期間にアンマネージド昇格要求が最も多いファイルのリスト。 この一覧は、管理されていないファイル、高度な昇格ルールが必要なファイル、または既存の昇格ルールが追加のユーザーに適用されているファイルを識別するのに役立ちます。
サポートによって頻繁に承認されます。 この情報を使用して、現在昇格にはサポートの承認が必要であるが、サポートが承認されていない昇格ルールの候補になる可能性があるファイルを理解します。 このようなファイルをより直接的な昇格ルールに移動すると、ユーザーの手間を軽減できます。
頻繁に拒否される標高。 最も頻繁に拒否されるファイルを表示して、昇格ルールを必要とする新しいファイルを特定するのに役立ちます。
最後に、ダッシュボードの下部に標 高の傾向を表示できます。
利用可能なレポート
次のセクションでは、エンドポイント特権管理の [レポート] タブにある各レポート タイルについて簡単に説明します。
標高レポート
標 高レポート には、報告されたすべての標高に関する詳細を含むリスト ビューが表示されます。 この一覧には、特定のルールによって管理される標高と、既定の標高設定ポリシーによってキャプチャされる標高が含まれます。 以下を含む (ただしこれらに限定されない) いくつかの列の情報が既定で使用できます。
- ファイル名 - 昇格要求を受信したファイルの名前。
- ユーザー - ファイルの昇格を要求したユーザー。
- デバイス - ファイル要求が行われたデバイスの名前。
- 結果 - 昇格が成功したかどうか。
- 昇格要求が行われた日時。
レポート内のエントリを選択すると、昇格要求と関連するファイルの詳細を表示するために、掘り下げることができます。
管理された標高レポート
管理 された標高レポート には、 標高レポートと同じ種類の詳細が表示されますが、 Windows 標高ルール ポリシーによって管理されている標高についてのみレポートされます。
アプリケーション別の昇格レポート
アプリケーション別昇格レポート レポートには、昇格したアプリケーション別に集計された、すべての管理対象昇格と非管理対象昇格の詳細が表示されます。 詳細は次のとおりです。
- 内部ファイル名
- ファイル バージョン
- 発行元
- 標高の種類
- 標高数
このレポートの情報は、子プロセスのルールなど、昇格ルールが適切に機能することを必要とするアプリケーションの識別に役立ちます。
発行元別の昇格レポート
発行元別の昇格レポート レポートには、昇格したアプリの発行元別に集計された、すべての管理対象および非管理対象の昇格の詳細が表示されます。 詳細は次のとおりです。
- 発行元
- 標高の種類
- 標高数
このレポートの情報は、関連するアプリケーションと、環境内で管理者特権で実行されているアプリケーションのソースを特定するのに役立ちます。
ユーザー別の昇格レポート
ユーザー別昇格レポート レポートには、昇格したユーザー別に集計された、すべての管理されている昇格と管理されていない昇格の詳細が表示されます。 詳細は次のとおりです。
- 内部ファイル名
- ファイル バージョン
- 発行元
- 標高の種類
- 標高数
このレポートの情報は、子プロセスのルールなど、昇格ルールが適切に機能することを必要とする可能性があるアプリケーションをユーザー単位で識別するのに役立ちます。
エンドポイント特権管理ポリシーの詳細
専用レポートに加えて、エンドポイント特権管理ノードの「ポリシー」タブからEPMポリシーに関する基本的な詳細を表示できます。 このノードは、EPM のポリシーを作成する Microsoft Intune 管理センター内の同じ場所です。 管理センターで、[エンドポイントのセキュリティ>エンドポイント特権管理] に移動し、[ポリシー] ノードを選択します。