若要在裝置上設定 端點權限管理 (EPM) ，請將 Windows 提高權限設定原則部署到使用者或裝置：
- 在裝置上啟用或停用 EPM。
- 針對不符合提高權限規則的任何檔案，設定提高權限要求的預設規則。
- 設定 EPM 向 Intune 回報的資訊。
啟用 EPM 時，資料夾會 C:\Program Files\Microsoft EPM Agent 與負責處理 EPM 原則的「Microsoft EPM 代理程式服務」服務一起建立。
關於 Windows 提高權限設定原則
Windows 提高權限設定原則 的使用時機：
啟用或停用裝置上的端點權限管理。 首次啟用 EPM 時，已安裝 EPM 元件。
如果裝置已停用 EPM，則用戶端元件會在下一次原則同步時停用。在移除 EPM 元件之前，會有七天的延遲時間。 如果裝置意外停用 EPM 或未指派其提高權限設定原則，延遲有助於減少還原 EPM 所需的時間。
設定預設提高權限回應 - 針對未受 Windows 提高權限規則原則管理的任何檔案，設定提高權限要求的預設回應。 若要讓此設定生效，應用程式不能存在任何規則，且使用者必須透過 [以提升的存取權限執行] 右鍵功能表明確要求提高權限。 根據預設，此選項設定為 [尚未設定]。 如果未設定任何設定，則 EPM 元件會回復為內建預設值，也就是 拒絕所有要求。
提示
建議 您使用 [需要支援核准] 或 [拒絕所有要求 ] 作為預設提高權限回應。
選項包括：
拒絕所有要求 (建議的) - 此選項會封鎖未在 Windows 提高權限規則原則中定義之檔案的提高權限要求動作。
需要支援核准 (建議的) - 當需要支援核准時，系統管理員必須先檢閱提高權限要求，才能允許提高權限。
需要使用者確認 - 需要使用者確認時，您可以選擇與 Windows 提高權限規則原則相同的驗證選項。
驗證選項 - 當預設海拔高度回應定義為 需要使用者確認時，設定驗證選項。 選項包括：
- 商務理由 - 此選項要求使用者在完成由預設提高權限回應有助於提高之前提供理由。
- Windows 驗證 - 此選項要求使用者先進行驗證，才能完成由預設提高權限回應所協助的提高權限。
注意事項
可以選取多個驗證選項來滿足組織的需求。 如果未選取任何選項，則使用者只需選取 [ 繼續 ] 即可完成提升。
注意
預設提高 權限回應 會套用至不符合提高權限規則的所有檔案，因此 [需要使用者確認] 設定預設允許所有檔案提高。 如果您不是在尋找提升權限的商務理由或認證提示，我們建議您使用 [拒絕所有要求 ] 或 [需要支援核准]。
傳送海拔高度資料以進行報告 - 此設定可控制您的裝置是否與 Microsoft 共用診斷與使用狀況資料。 使用 [報告範圍 ] 設定來控制收集的資料。
Microsoft 會使用診斷資料來測量 EPM 用戶端元件的健康情況。 使用量資料可用來顯示租用戶內發生的提高權限。 如需資料類型及其儲存方式的詳細資訊，請參閱 端點權限管理的資料收集和隱私權。
選項包括：
- 是 - 此選項會根據 [報告範圍 ] 設定將資料傳送給 Microsoft。
- 否 - 此選項不會傳送資料給 Microsoft。
報告範圍 - 此設定控制當 [傳送海拔高程資料以進行報告] 設定為 [是] 時，傳送給 Microsoft 的資料量。 根據預設，會選取 *診斷資料和所有端點提高權限。
選項包括：
- 僅限診斷資料和受管理的提高權限 - 此選項會將用戶端元件健康情況的診斷資料，以及有關端點權限管理加速提升的資訊傳送給 Microsoft。
- 診斷資料和所有端點提高權限 - 此選項會將用戶端元件健康情況的診斷資料 ，以及 端點上發生 的所有 提高權限的相關資料傳送給 Microsoft。
- 僅診斷資料 - 此選項只會將有關用戶端元件健康情況的診斷資料傳送給 Microsoft。
建立 Windows 提高權限設定原則
請登入 Microsoft Intune 系統管理中心，然後移至 [端點安全性>]、[端點權限管理>]，選取 [原則] 索引標籤>，然後選取 [建立原則]。 將 [平台 ] 設定為 [Windows]、[ 設定檔 ] 設定為 [Windows] 提升權限設定原則，然後選取 [建立]。
在 [基本] 中，輸入下列屬性：
- 名稱：輸入設定檔的描述性名稱。 為設定檔命名，以便日後輕鬆識別。
- 描述：輸入設定檔的描述。 此設定為選用，但建議使用。
在 組態設定中，設定下列內容以定義裝置上提高權限要求的預設行為：
端點權限管理：設定為已啟用 ( 預設) 。 啟用時，裝置會使用端點權限管理。 當設定為 [已停用] 時，裝置不會使用端點權限管理，如果先前已啟用，則會立即停用 EPM。 七天之後，裝置將會取消佈建端點權限管理的元件。
預設提高權限回應： 設定此裝置管理不符合規則之檔案之提高權限要求的方式：
未設定：此選項的功能與 [拒絕所有要求] 相同。
拒絕所有要求：EPM 不會協助提升檔案，且會向使用者顯示一個快顯視窗，其中包含拒絕的相關資訊。 此設定不會防止具有系統管理權限的使用者使用 [以系統管理員身分執行] 來執行未受管理的檔案。
需要支援核准：此行為會指示 EPM 提示使用者提交支援核准要求。
需要使用者確認：使用者會收到簡單的提示，以確認其執行檔案的意圖。 您也可以要求更多 [ 驗證 ] 下拉式清單中可用的提示：
- 商務理由：要求使用者輸入執行檔案的理由。 此理由沒有必要的格式。 如果 報告範圍 包括端點標高的收集，則使用者輸入會儲存並可以透過記錄進行檢閱。
- Windows 驗證：此選項會要求使用者使用其組織認證進行驗證。
注意
預設提高 權限回應 會套用至不符合提高權限規則的所有檔案，因此 [需要使用者確認] 設定預設允許所有檔案提高。 如果您不尋求其他稽核或認證提示，建議您使用 [拒絕所有要求 ] 或 [需要支援核准]。
傳送海拔高度資料以進行報告：根據預設，此行為會設定為 [是]。 當設定為 yes 時，您可以設定 報告範圍。 當設定為 [否] 時，裝置不會向 Intune 報告診斷資料或檔案提高權限的相關資訊。
報告範圍： 選擇裝置向 Intune 報告的資訊類型：
診斷資料和所有端點提高權限 (預設) ：裝置會報告診斷資料，以及有關 EPM 協助的所有檔案提高的詳細資訊。
此層級的資訊可協助您識別尚未由使用者尋求在提升權限內容中執行之提高權限規則管理的其他檔案。
僅限診斷資料和受管理的提高權限： 裝置會報告 EPM 所控制檔案提高權限的診斷資料和詳細資料。 EPM 提高權限包括符合提高權限規則或由 [ 以提升權限執行 ] 右鍵操作功能表起始的提高權限。 未受管理檔案的檔案要求，以及透過 Windows 預設動作 [以 系統管理員身分執行] 提高的檔案，不會報告為受管理的提高權限。
僅診斷資料：僅收集端點權限管理作業的診斷資料。 檔案提高權限的相關資訊不會回報至 Intune。
一切準備就緒時，選取 [下一步 ] 以繼續。
在 [範圍標記] 頁面上，選取要套用的任何所需範圍標記，然後選取 [下一步]。
針對 [指派]，選取接收原則的群組。 如需指派設定檔的詳細資訊，請參閱指派使用者和裝置設定檔。 選取[下一步]。
針對 [檢閱 + 建立]，請檢閱您的設定，然後選取 [建立]。 當您選取 [建立] 時，系統會儲存您的變更，然後指派設定檔。 原則也會顯示在原則清單中。
