Kontrola dostępu oparta na rolach (RBAC) z usługą Microsoft Intune

Zabezpieczenie dostępu do organizacji jest podstawowym krokiem w zakresie zabezpieczeń. Ten artykuł przedstawia podstawowe szczegóły korzystania z kontroli dostępu opartej na rolach (RBAC) usługi Microsoft Intune), która jest rozszerzeniem kontrolek RBAC usługi Microsoft Entra ID. Kolejne artykuły mogą ułatwić wdrożenie kontroli dostępu opartej na rolach usługi Intune w organizacji.

Za pomocą kontroli dostępu opartej na rolach usługi Intune możesz udzielić szczegółowych uprawnień administratorom, aby kontrolować, kto ma dostęp do zasobów organizacji i co może robić z tymi zasobami. Po przypisaniu ról RBAC usługi Intune i przestrzeganiu zasad dostępu z najmniejszymi uprawnieniami administratorzy mogą wykonywać przypisane zadania tylko na tych użytkownikach i urządzeniach, którymi powinni mieć uprawnienie do zarządzania.

Role RBAC

Każda rola RBAC usługi Intune określa zestaw uprawnień dostępnych dla użytkowników przypisanych do tej roli. Uprawnienia składają się z co najmniej jednej kategorii zarządzania, takiej jak Konfiguracja urządzenia lub Dane inspekcji, oraz zestawów akcji, które mogą być wykonywane, takich jak Odczyt, Zapis, Aktualizacja i Usunięcie. Razem definiują one zakres administracyjnego dostępu i uprawnień w ramach usługi Intune.

Usługa Intune zawiera zarówno role wbudowane, jak i niestandardowe. Wbudowane role są takie same we wszystkich dzierżawach i są udostępniane na potrzeby typowych scenariuszy administracyjnych, podczas gdy utworzone role niestandardowe umożliwiają nadawanie określonych uprawnień zgodnie z potrzebami administratora. Ponadto kilka ról usługi Microsoft Entra obejmuje uprawnienia w usłudze Intune.

Aby wyświetlić rolę w centrum administracyjnym usługi Intune, przejdź do pozycjiRole> administracji >dzierżawyWszystkie role> i wybierz rolę. Następnie możesz zarządzać tą rolą za pomocą następujących stron:

• Właściwości: nazwa, opis, uprawnienia i tagi zakresu dla roli. Nazwę, opis i uprawnienia wbudowanych ról można również wyświetlić w tej dokumentacji w sekcji Uprawnienia ról wbudowanych.
• Zadania: wybierz zadanie dla roli , aby wyświetlić dotyczące go szczegóły, w tym grupy i zakresy, które obejmuje przypisanie. Rola może mieć wiele przypisań, a użytkownik może otrzymać wiele przypisań.

Role wbudowane

Administrator usługi Intune z wystarczającymi uprawnieniami może przypisać dowolne role usługi Intune do grup użytkowników. Role wbudowane zapewniają określone uprawnienia niezbędne do wykonywania zadań administracyjnych zgodnych z celem roli. Usługa Intune nie obsługuje edycji opisu, typu ani uprawnień wbudowanej roli.

• Menedżer aplikacji: zarządza aplikacjami mobilnymi i zarządzanymi, może odczytywać informacje o urządzeniu i wyświetlać profile konfiguracji urządzeń.
• Endpoint Privilege Manager: zarządza zasadami zarządzania uprawnieniami punktów końcowych w konsoli usługi Intune.
• Endpoint Privilege Reader: Czytelnicy uprawnień punktu końcowego mogą wyświetlać zasady zarządzania uprawnieniami punktów końcowych w konsoli usługi Intune.
• Endpoint Security Manager: zarządza funkcjami zabezpieczeń i zgodności, takimi jak punkty odniesienia zabezpieczeń, zgodność urządzeń, dostęp warunkowy i ochrona punktu końcowego w usłudze Microsoft Defender.
• Operator pomocy technicznej: Wykonuje zadania zdalne na użytkownikach i urządzeniach oraz może przypisywać aplikacje lub zasady do użytkowników lub urządzeń.
• Administrator ról usługi Intune: zarządza niestandardowymi rolami usługi Intune i dodaje przypisania dla wbudowanych ról usługi Intune. Jest to jedyna rola usługi Intune, która może przypisywać uprawnienia administratorom.
• Menedżer zasad i profilów: zarządza zasadami zgodności, profilami konfiguracji, rejestracją Apple, identyfikatorami urządzeń firmowych i punktami odniesienia zabezpieczeń.
• Operator tylko do odczytu: umożliwia wyświetlanie informacji o użytkowniku, urządzeniu, rejestracji, konfiguracji i aplikacji. Nie można wprowadzić zmian w usłudze Intune.
• Administrator szkoły: administratorzy szkoły zarządzają aplikacjami, ustawieniami i urządzeniami dla swoich grup w usłudze Intune for Education. Mogą podejmować zdalne działania na urządzeniach, w tym zdalnie je blokować, uruchamiać ponownie i wycofywać z zarządzania.

Jeśli dzierżawa obejmuje subskrypcję systemu Windows 365 w celu obsługi komputerów w chmurze, w centrum administracyjnym usługi Intune widoczne są również następujące role komputerów w chmurze. Te role nie są domyślnie dostępne i obejmują uprawnienia w usłudze Intune do zadań związanych z komputerami w chmurze. Aby uzyskać więcej informacji na temat tych ról, zobacz wbudowane role komputera w chmurze w dokumentacji systemu Windows 365.

• Administrator komputera w chmurze: administrator komputera w chmurze ma dostęp do odczytu i zapisu do wszystkich funkcji komputera w chmurze znajdujących się w obszarze komputera w chmurze.
• Czytnik komputera w chmurze: Czytnik komputera w chmurze ma dostęp do odczytu do wszystkich funkcji komputera w chmurze znajdujących się w obszarze komputera w chmurze.

Role niestandardowe

Możesz utworzyć własne niestandardowe role usługi Intune, aby udzielić administratorom tylko określonych uprawnień potrzebnych do wykonywania ich zadań. Te role niestandardowe mogą obejmować dowolne uprawnienie RBAC usługi Intune, co pozwala na uściślenie dostępu administratora i obsługę zasady dostępu z najmniejszymi uprawnieniami w organizacji.

Zobacz Tworzenie roli niestandardowej.

Role usługi Microsoft Entra z dostępem do usługi Intune

Uprawnienia RBAC usługi Intune są podzbiorem uprawnień RBAC usługi Microsoft Entra. Jako podzbiór istnieją pewne role usługi Microsoft Entra, które obejmują uprawnienia w usłudze Intune. Większość ról identyfikatora usługi Entra, które mają dostęp do usługi Intune, jest traktowana jako role uprzywilejowane. Używanie i przypisywanie ról uprzywilejowanych powinno być ograniczone i nie powinno być używane do codziennych zadań administracyjnych w usłudze Intune.

Firma Microsoft zaleca stosowanie zasady przyznawania jak najmniejszych uprawnień tylko minimalnym wymaganym uprawnieniom administratora do wykonywania jego obowiązków. Aby wspierać tę zasadę, używaj wbudowanych ról RBAC usługi Intune do codziennych zadań administracyjnych usługi Intune i unikaj korzystania z ról usługi Microsoft Entra, które mają dostęp do usługi Intune.

W poniższej tabeli przedstawiono role usługi Microsoft Entra, które mają dostęp do usługi Intune, oraz zawarte w nich uprawnienia usługi Intune.

Rola usługi Microsoft Entra	Wszystkie dane usługi Intune	Dane inspekcji usługi Intune
Administrator globalny	Odczyt/zapis	Odczyt/zapis
Administrator usługi Intune	Odczyt/zapis	Odczyt/zapis
Administrator dostępu warunkowego	Brak	Brak
Administrator zabezpieczeń	Tylko do odczytu (pełne uprawnienia administracyjne dla węzła Zabezpieczenia punktu końcowego)	Tylko do odczytu
Operator zabezpieczeń	Tylko do odczytu	Tylko do odczytu
Czytnik zabezpieczeń	Tylko do odczytu	Tylko do odczytu
Administrator zgodności	Brak	Tylko do odczytu
Administrator danych dotyczących zgodności	Brak	Tylko do odczytu
Global Reader	Tylko do odczytu	Tylko do odczytu
Administrator pomocy technicznej (ta rola jest równoważna roli operatora pomocy technicznej usługi Intune)	Tylko do odczytu	Tylko do odczytu
Czytelnik raportów	Brak	Tylko do odczytu

Oprócz ról usługi Microsoft Entra z uprawnieniami w usłudze Intune, następujące trzy obszary usługi Intune są bezpośrednimi rozszerzeniami usługi Microsoft Entra: użytkownicy, grupy i dostęp warunkowy. Wystąpienia tych obiektów i konfiguracji utworzone z poziomu usługi Intune istnieją w usłudze Microsoft Entra. Ponieważ obiekty usługi Microsoft Entra, mogą one być zarządzane przez administratorów usługi Microsoft Entra z wystarczającymi uprawnieniami przyznanymi przez rolę usługi Microsoft Entra. Podobnie administratorzy usługi Intune z wystarczającymi uprawnieniami do usługi Intune mogą wyświetlać i zarządzać tymi typami obiektów utworzonymi w usłudze Microsoft Entra.

Role Administrator globalny i Administrator usługi Intune

Rola administratora globalnego jest wbudowaną rolą w usłudze Microsoft Entra i ma pełny dostęp do usługi Microsoft Intune. Administratorzy globalni mają dostęp do funkcji administracyjnych w usłudze Microsoft Entra ID oraz usług korzystających z tożsamości usługi Microsoft Entra, w tym usługi Microsoft Intune.

Aby ograniczyć ryzyko:

• Nie używaj roli administratora globalnego w usłudze Intune. Firma Microsoft nie zaleca używania roli administratora globalnego do administrowania usługą Intune ani zarządzania nią.

  Istnieją pewne funkcje w usłudze Intune, które wymagają roli administratora globalnego, na przykład niektóre łączniki usługi Mobile Threat Defense (MTD). W takich przypadkach należy używać roli administratora globalnego tylko wtedy, gdy jest to konieczne, a następnie usunąć ją po wykonaniu zadania.

• Użyj wbudowanych ról usługi Intune lub utwórz role niestandardowe, aby administrować usługą Intune i zarządzać nią.

• Przypisz najmniej uprzywilejowaną rolę usługi Intune niezbędną administratorowi do wykonywania zadań.

Aby dowiedzieć się więcej o roli administratora globalnego usługi Microsoft Entra, zobacz wbudowane role usługi Microsoft Entra — administrator globalny.

Rola administratora usługi Intune jest wbudowaną rolą w usłudze Microsoft Entra. Udziela globalnych uprawnień odczytu/zapisu w usłudze Microsoft Intune i jest klasyfikowana jako rola uprzywilejowana. Chociaż jej zakres jest węższy niż rola administratora globalnego, nadal wykracza poza to, co jest wymagane do prawie wszystkich codziennych zadań zarządzania usługą Intune. Nie należy używać tej roli do rutynowego administrowania. Zamiast tego użyj wbudowanej roli usługi Intune z najmniejszymi uprawnieniami lub roli niestandardowej.

Aby ograniczyć ryzyko:

• Nie używaj roli administratora usługi Intune do codziennego administrowania usługą Intune.
• Zamiast tego przypisz wbudowaną rolę usługi Intune lub rolę niestandardową. Te role ograniczają uprawnienia tylko do uprawnień wymaganych przez poszczególne zadania.
• Jeśli wymagana jest rola administratora usługi Intune, przypisz ją tylko na wymagany okres, a następnie usuń. Opcjonalnie, jeśli masz usługę Microsoft Entra ID z licencją P2 lub Zarządzanie Microsoft Entra ID, możesz użyć usługi Privileged Identity Management (PIM), aby zapewnić podniesienie czasowe dla tej roli.

Rozszerzone mechanizmy kontroli zabezpieczeń.

Zatwierdzanie przez wielu administracji obsługuje teraz kontrolę dostępu opartą na rolach. Gdy to ustawienie jest włączone, zmiany ról musi zatwierdzać drugi administrator. Zmiany te mogą obejmować aktualizacje uprawnień ról, grup administratorów lub przypisań grup członków. Zmiana wchodzi w życie dopiero po zatwierdzeniu. Ten proces podwójnej autoryzacji pomaga chronić organizację przed nieautoryzowanymi lub przypadkowymi zmianami kontroli dostępu opartej na rolach. Aby uzyskać więcej informacji, zobacz Korzystanie z zatwierdzania wielu Administracja w Intune.

Aby dowiedzieć się więcej na temat roli administratora Microsoft Entra Intune, zobacz Microsoft Entra role wbudowane — Intune administrator.

Privileged Identity Management for Intune

Podczas korzystania z usługi Entra ID Privileged Identity Management (PIM) możesz zarządzać, kiedy użytkownik może korzystać z uprawnień zapewnianych przez rolę RBAC usługi Intune lub rolę administratora usługi Intune z usługi Tożsamość usługi Entra.

Usługa Intune obsługuje dwie metody podnoszenia ról. Między tymi dwiema metodami występują różnice w wydajności i najmniejszych uprawnieniach.

• Metoda 1: Utwórz zasady just in time (JIT) z usługą Microsoft Entra Privileged Identity Management (PIM) dla Microsoft Entra wbudowanej roli administratora Intune i przypisz jej konto administratora.

• Metoda 2: Wykorzystanie usługi Privileged Identity Management (PIM) dla grup z przypisaniem roli RBAC usługi Intune). Aby uzyskać więcej informacji na temat korzystania z usługi PIM dla grup z rolami RBAC usługi Intune, zobacz: Konfigurowanie dostępu administratora just in time usługi Microsoft Intune za pomocą usługi PIM usługi Microsoft Entra dla grup | Centrum społeczności Microsoft

W przypadku korzystania z podniesienia uprawnień usługi PIM dla roli administratora usługi Intune z usługi Tożsamość usługi Entra, podniesienie zwykle odbywa się w ciągu 10 sekund. Podwyższenie uprawnień oparte na grupach usługi PIM dla wbudowanych lub niestandardowych ról usługi Intune zwykle trwa do 15 minut.

Informacje o przypisaniach ról usługi IntuneAbout the Intune role assignments

Zarówno role niestandardowe, jak i wbudowane usługi Intune są przypisywane do grup użytkowników. Rola przypisana do każdego użytkownika w grupie definiuje:

• Którzy użytkownicy są przypisani do roli
• jakie zasoby mogą zobaczyć
• jakie zasoby mogą zmienić.

Każda grupa z przypisaną rolą usługi Intune powinna zawierać tylko użytkowników uprawnionych do wykonywania zadań administracyjnych dla tej roli.

• Jeśli wbudowana rola z najmniejszymi uprawnieniami przyznaje zbyt dużo uprawnień lub uprawnień, należy rozważyć użycie roli niestandardowej w celu ograniczenia zakresu dostępu administracyjnego.
• Podczas planowania przypisań ról należy wziąć pod uwagę wyniki użytkownika z wieloma przypisaniami ról.

Aby użytkownik mógł mieć przypisaną rolę usługi Intune i dostęp do administrowania usługą Intune, nie musi mieć licencji usługi Intune, jeśli jego konto zostało utworzone w usłudze Entra po czerwcu 2021 r. Konta utworzone przed czerwcem 2021 r. wymagają przypisania licencji na korzystanie z usługi Intune.

Aby wyświetlić istniejące przypisanie roli, wybierz pozycję Administracja>dzierżawy usługi Intune>Role>Wszystkie role> Wybierz rolę >Przypisania> Wybierz zadanie. Na stronie Właściwości przydziałów możesz edytować:

• Podstawy: nazwa i opis zadania.

• Członkowie: członkowie to grupy skonfigurowane na stronie Grupy administracji podczas tworzenia przypisania roli. Wszyscy użytkownicy w wymienionych grupach zabezpieczeń platformy Azure mają uprawnienia do zarządzania użytkownikami i urządzeniami wymienionymi w polu Zakres (grupy).

• Zakres (grupy): użyj pozycji Zakres (grupy), aby zdefiniować grupy użytkowników i urządzeń, którymi może zarządzać administrator z tym przypisaniem roli. Użytkownicy administracyjni z tym przypisaniem roli mogą używać uprawnień przyznanych przez rolę do zarządzania każdym użytkownikiem lub urządzeniem w ramach grup zakresu zdefiniowanych w przypisaniach ról.

  Porada

  Podczas konfigurowania grupy zakresu ogranicz dostęp, wybierając tylko te grupy zabezpieczeń, które obejmują użytkowników i urządzenia, którymi powinien zarządzać administrator z tym przypisaniem roli. Aby upewnić się, że administratorzy z tą rolą nie mogą obsługiwać wszystkich użytkowników ani wszystkich urządzeń, nie wybieraj pozycji Dodaj wszystkich użytkowników ani Dodaj wszystkie urządzenia.

  Jeśli określisz grupę wykluczeń dla zadania, takiego jak przypisanie zasad lub aplikacji, musi ona być zagnieżdżona w jednej z grup zakresu przypisań RBAC lub musi być oddzielnie wymieniona jako grupa zakresu w przypisaniu roli RBAC.

• Tagi zakresu: użytkownicy administracyjni, którzy mają przypisane to przypisanie roli, mogą zobaczyć zasoby, które mają te same tagi zakresu.

Wiele przypisań ról

Jeśli użytkownik ma wiele przypisań ról, uprawnień i tagów zakresu, te przypisania ról rozciągają się na różne obiekty w następujący sposób:

• Uprawnienia są przyrostowe w przypadku, gdy co najmniej dwie role udzielają uprawnień do tego samego obiektu. Na przykład użytkownik z uprawnieniami do odczytu z jednej roli i do odczytu/zapisu z innej roli ma efektywne uprawnienia do odczytu/zapisu (przy założeniu, że przypisania dla obu ról są ukierunkowane na te same tagi zakresu).
• Przypisywanie uprawnień i tagów zakresu ma zastosowanie tylko do obiektów (takich jak zasady lub aplikacje) w zakresie przypisania tej roli (grupy). Przypisywanie uprawnień i tagów zakresu nie ma zastosowania do obiektów w innych przypisaniach ról, chyba że inne przypisanie wyraźnie je przyznaje.
• Inne uprawnienia (takie jak Tworzenie, Odczyt, Aktualizowanie, Usuwanie) i tagi zakresu mają zastosowanie do wszystkich obiektów tego samego typu (jak wszystkie zasady lub wszystkie aplikacje) we wszystkich przypisaniach użytkownika.
• Tagi uprawnień i zakresów dla obiektów różnego typu (takich jak zasady lub aplikacje) nie mają do siebie zastosowania. Na przykład uprawnienie Odczyt dla zasad nie daje uprawnienia Odczyt aplikacjom w zadaniach użytkownika.
• Jeśli nie ma żadnych tagów zakresu lub niektóre tagi zakresu są przypisane z różnych przypisań, użytkownik może zobaczyć tylko urządzenia, które są częścią niektórych tagów zakresu, a nie wszystkie urządzenia.

Monitorowanie przypisań RBAC

Aby ułatwić monitorowanie i zrozumienie uprawnień przypisanych w dzierżawie usługi Intune, centrum administracyjne usługi Intune zawiera kilka widoków. Przejdź dopozycji Roleadministracji> dzierżawy i rozwiń węzeł Monitor, aby uzyskać dostęp do tych widoków. Na przykład w złożonym środowisku administracyjnym można za pomocą widoku uprawnień Administracja określić konto i wyświetlić jego bieżący zakres uprawnień administracyjnych.

Moje uprawnienia

Węzeł Moje uprawnienia zawiera informacje o obowiązujących uprawnieniach zalogowanego użytkownika. Po wybraniu tego węzła zostanie wyświetlona połączona lista bieżących kategorii RBAC usługi Intune i uprawnień, które zostały przyznane kontu. Ta połączona lista zawiera wszystkie uprawnienia ze wszystkich przypisań ról, ale nie przypisane przypisania ról ani członkostwa w grupie, za pomocą którego zostały przypisane.

Role według uprawnień

Węzeł Role według uprawnień zawiera widok uprawnień przyznanych przez każde przypisanie roli. W tym widoku można wyświetlić szczegółowe informacje o konkretnych uprawnieniach RBAC usługi Intune oraz przypisania ról i grupach, dla których ta kombinacja jest dostępna.

Aby rozpocząć, wybierz uprawnienie usługi Intune, a następnie konkretne działanie z tego uprawnienia. Następnie w centrum administracyjnym zostanie wyświetlona lista wystąpień, które doprowadziły do przypisania tego uprawnienia, która obejmuje:

• Nazwa wyświetlana roli: nazwa wbudowanej lub niestandardowej roli RBAC, która udziela uprawnienia.
• Nazwa wyświetlana przypisania roli: nazwa przypisania roli, która przypisuje rolę grupom użytkowników.
• Nazwa grupy: nazwa grupy, która otrzymuje to przypisanie roli.

Uprawnienia administracji

Węzeł uprawnień Administracja zawiera informacje o konkretnych uprawnieniach aktualnie przyznawanych konto.

Zacznij od określenia konta użytkownika . Tak długo, jak użytkownik ma uprawnienia usługi Intune przypisane do swojego konta, usługa Intune wyświetla pełną listę tych uprawnień określonych przez uprawnienia i akcje.

Następne kroki

• Przypisywanie roli do użytkownika
• Tworzenie roli niestandardowej