Använda hantering av slutpunktsprivilegier för att flytta användare från administratör till standardanvändare

Ett vanligt scenario för kunder som vill använda hantering av slutpunktsprivilegier är att minska antalet lokala administratörer i miljön. Det här scenariot följer nolltillitens princip om lägsta behörighet. Det här dokumentet beskriver stegen som en kund kan följa för att använda EPM för att flytta användare från administratörer till standardanvändare med minimala störningar.

Fas 1: Granskning

Oavsett om du migrerar från en annan produkt för hantering av slutpunktsprivilegier eller börjar om från början rekommenderar vi att du aktiverar granskning som det första steget. Genom att aktivera granskning kan EPM-klienten och -enheterna skicka diagnostikdata till Intune, där de kan visas i olika rapporter. Att samla in dessa utökade data ger insikter om vilka processer som användarna vill höja och hjälper till att identifiera vanliga mönster. Helst bör dessa passa dina profiler, t.ex. utvecklare, IT-supporttekniker osv. Distributionen av den här principen för granskning är sömlös och kan riktas till en grupp användare eller enheter som du väljer, enligt alla vanliga Intune principtilldelningar.

Obs!

När de har aktiverats kan det ta 24 timmar innan användningsdata returneras och för Intune -portalrapporterna att uppdateras. Beroende på användningsmönster kanske du vill visa rapporteringsdata över en period på flera veckor för att få en bättre förståelse av din miljö.

Steg för att skapa principen:

  1. Logga in på Microsoft Intune administrationscenter.
  2. Select Endpoint SecurityHantering>av slutpunktsprivilegierPrinciper>
  3. Välj Skapa princip. Ange följande information:
    • Plattform: Fönster
    • Profil: Princip för inställningar för utökade rättigheter
  4. Välj Skapa
  5. Ange namn för principen, till exempel: EPM-inställningsprincip – endast granskning
  6. Välj Nästa
  7. Expandera avsnittet Klientinställningar för behörighetshantering och se till att följande värden har angetts:
    • Hantering av slutpunktsprivilegier: Aktiverad
    • Standardsvar för utökade rättigheter: Inte konfigurerad
    • Skicka data om utökade rättigheter för rapportering: Nej
    • Rapporteringens omfattning: Diagnostikdata och alla ändpunktshöjder
  8. Välj Nästa
  9. Lämna omfångstaggarna och välj Nästa
  10. Lägg till en grupp enheter eller användare som du vill rikta principen till
  11. Välj Nästa
  12. Välj Skapa för att skapa principen

Så här bekräftar du att regeln fungerar som förväntat:

  • Logga in på Windows-enheten med standardanvändarautentiseringsuppgifterna.
  • Börja>Kör>Services.msc> OK
  • Kontrollera att Microsoft EPM-agenttjänsten finns, att den körs och att den är inställd på automatisk start.
  • Stäng snapin-modulen Tjänster.
  • Börja>Kör>C:\Program Files\> Okej
  • Kontrollera att det finns en mapp med namnet Microsoft EPM-agent

När 24 timmar eller mer har gått:

  1. Logga in på Microsoft Intune administrationscenter.
  2. Select Endpoint SecurityHantering>av slutpunktsprivilegierRapporter>
  3. Välj Rapport om utökade rättigheter
  4. Granska informationen i rapporten om utökade rättigheter

Identifiera grupper av användare (helst i linje med de profiler som du identifierade tidigare) som har liknande krav på utökade privilegier. Att identifiera både användningsmönster och användargrupper underlättar efterföljande steg.

Tips

Den här rapporten innehåller några standardprocesser i Windows i kolumnen Arkiv (till exempel C:\Windows\System32\Dism\dismhost and c:\Windows\System32\conhost.exe) som kan ignoreras.

Fas 2: Identifiering av personer

Att använda användarpersonas i utformningen av principer för Microsoft Intune hantering av slutpunktsprivilegier (EPM) är ett strategiskt sätt att anpassa inställningar och regler för utökade rättigheter till verkliga användarbehov.

Vad är användarpersonas i EPM?

Användarpersonas är datadrivna representationer av olika användartyper inom organisationen. Varje profil återspeglar en grupp användare med liknande roller, ansvarsområden och programbehov.

Exempel på personamappning:

Personatyp Exempel på roller Strategi för höjdhöjning Standardhöjd
Privilegierade användare IT-supporttekniker, privilegierade IT-användare Automatisk höjning för definierade regler Neka alla begäranden
Utvecklare Ingenjörskonst Automatisk höjning för definierade appar med låg risk. Användaren motiverad för appar med högre risk Support godkänd
Standardanvändare Ekonomi, HR Automatisk höjning för definierade regler Neka alla förfrågningar eller support godkänd

Hur kan personas hjälpa till att utforma inställningar och regler för utökade rättigheter?

Genom att kartlägga användarbehoven kan du definiera en strategi för utökade rättigheter för varje användarkohort.

Steg 3: Skapa regler

EPM-regler består av två grundläggande element: en detektering och en höjningsåtgärd.

Identifieringar definieras som den uppsättning attribut som används för att identifiera ett program eller en binärfil. Attributen innefattar filnamn, filversion och signaturegenskaper. Utökade åtgärder är den resulterande utökade rättigheten som inträffar när ett program eller en binär fil har identifierats.

Metodtips

  • Använd starka attribut eller flera attribut för att öka detektionsstyrkan.
  • Antingen en filhash eller ett certifikat är obligatoriskt.

Fler säkerhetsrekommendationer finns i Säkerhetsrekommendationer.

Steg för att skapa en regel med hjälp av rapportdata för utökade rättigheter

  1. Logga in på Microsoft Intune administrationscenter.
  2. Select Endpoint SecurityHantering>av slutpunktsprivilegierPrinciper>
  3. Välj Rapport om utökade rättigheter
  4. Välj ett program eller en process (till exempel.) C:\Program Files\Notepad++\
  5. Välj Skapa en regel med följande information:
    • Skapa en ny princip
    • Typ: Bekräftad av användare
    • Beteende för underordnad process: Kräv att regeln höjer behörigheten
    • Kräv samma sökväg som den här utökade rättigheten: markerad
  6. Välj OK
  7. Ange ett principnamn (till exempel EPM rule – Notepad++ User Confirmed)
  8. Välj Ja
  9. Gå till listan med EPM-principer och markera principen
  10. Under Uppgifter väljer du Redigera
  11. Välj Lägg till grupper
  12. Tilldela till en grupp (till exempel Utvecklare)
  13. Välj, granska och spara

Mer information om hur du skapar en regel finns i Skapa regler för utökade rättigheter.

Bekräfta att regeln fungerar

  • Logga in på Windows-enheten med vanliga användarautentiseringsuppgifter.
  • Högerklicka på programmet (till exempel Notepad++) och välj "Kör med förhöjd åtkomst"
  • I popup-fönstret Hantering av slutpunktsprivilegier väljer du Fortsätt
  • Verifiera att programmet startar med förhöjda behörigheter

Steg 4: Ta bort lokala administratörsrättigheter

  1. Logga in på Microsoft Intune administrationscenter.

  2. Välj Endpoint Security>Kontoskydd

  3. Välj Skapa princip:

    • Plattform: Fönster
    • Profil: Medlemskap i lokal användargrupp

  4. Ange ett namn för principen (till exempel Remove local admin rights (developers))

  5. Välj Lägg till:

    • Lokal grupp: Administratörer
    • Grupp- och användaråtgärd: Lägg till (ersätt)
    • Typ av användarval: Manuell

  6. Välj användare

  7. Lägg till de två säkerhetsidentifierarna (SID) för:

    • Global administratör
    • Microsoft Entra ansluten lokal administratör för enhet

    Använd Lusrmgr.msc på en Entra-ansluten enhet för att hitta SID som börjar med S-1-12-1-

  8. Tilldela till en grupp (till exempel Developers)

  9. Välj Spara

Mer information om profiler för lokala användare och grupper finns i Kontoskydd

Fas 5: Övervakning

  • Granska regelbundet rapporter om utökade rättigheter
  • Lägga till ohanterade behörigheter för regler eller neka dem
  • Övervaka supportgodkända begäranden för förseningar eller mönster
  • Uppdatera regler när filversioner eller certifikat ändras
  • Dra tillbaka eller skärp föråldrade regler

Nästa steg

Nästa: Godkända begäranden >

  • Last updated on