Microsoft Intune エンドポイント特権管理 (EPM) を使用すると、organization のユーザーは標準ユーザー (管理者権限なし) として実行し、昇格された特権を必要とするタスクを完了できます。 一般的に管理者特権を必要とするタスクは、アプリケーションのインストール (Microsoft 365 アプリケーションなど)、デバイス ドライバーの更新、特定の Windows 診断の実行です。
エンドポイント特権管理は、organizationが最小限の権限で実行される幅広いユーザー ベースを実現しながら、生産性を維持するために必要に応じて選択したタスクを昇格させることで、ゼロ トラストの旅をサポートします。 詳細については、「Microsoft Intune でのゼロ トラスト」を参照してください。
この概要では、EPM の利点、仕組み、使用開始方法など、EPM に関する情報を提供します。
適用対象:
- Windows
主な機能と利点
✅ EPM の主な機能と利点を確認する
- 既定では Standard Users です。 ユーザーは、ローカル管理者権限がなくてもタスクを実行できます。
- Just-In-Time 昇格のサポート。 ユーザーは、IT 部門が承認した特定のバイナリまたはスクリプトをトリガーして、一時的に昇格させることができます。
- ポリシー ベースの制御。 管理者は、昇格の条件と動作を制御するための設定とルールを定義し、組織のニーズに合わせてきめ細かなルール作成機能を使用します。
- 監査ログとレポート。 Intune は、すべての昇格を詳細なメタデータとともにログに記録します。
- 最小特権アクセスを可能にし、横方向の移動リスクを最小限に抑えることで、ゼロ トラスト原則に合わせます。
EPM の基礎
✅ EPM のしくみについて学ぶ
EPM の昇格は、次の 2 つの方法を使用してトリガーできます。
- 自動、または;
- ユーザーが開始しました。
EPM は、次の 2 種類のポリシーを使用して構成できます。どちらもユーザーまたはデバイスのグループを対象とすることができます。
- 昇格設定ポリシー - EPMクライアント、レポート・レベルおよびデフォルトの昇格機能を制御します。
- 昇格ルール ポリシー - 条件に基づいてバイナリまたはスクリプトの昇格動作を定義します。
デバイスで昇格を実行するために、EPM サービスは、ログオンしているユーザーのアカウントから分離された、ほとんどの昇格の種類に仮想アカウントを使用します。 これらのアカウントはどちらもローカル管理者グループに追加されません。 仮想アカウントの使用の例外は、 現在のユーザーとして昇 格する昇格の種類です。これについては、次のセクションで詳しく説明します。
昇 格設定ポリシー がデバイスまたはユーザーに割り当てられると、EPM クライアントが自動的にインストールされます。 EPM クライアントは、「Microsoft EPM Agent Service」サービスを使用し、そのバイナリを "C:\Program Files\Microsoft EPM Agent" ディレクトリに格納します。
次の図は、EPMクライアントがトリガーされ、ルールをチェックし、昇格を容易にする方法のアーキテクチャの概要を示しています。
標高の種類
✅ EPM がファイルを昇格する方法を制御する
EPMを使用すると、管理者権限を持たないユーザーは、管理コンテキストでプロセスを実行できます。 昇格ルールを作成すると、そのルールにより、EPMはそのルールのターゲットをプロキシして、デバイスの管理者権限で実行できます。 その結果、アプリケーションはデバイスに対する 完全な管理 機能を備えます。
現在のユーザー・タイプとしての昇格を除き、EPMは仮想アカウントを使用してプロセスを昇格します。 仮想アカウントを使用すると、管理者特権での操作をユーザーのプロファイルから分離し、ユーザー固有のデータへの露出を減らし、特権昇格のリスクを低減します。
エンドポイント特権管理を使用する場合、昇格動作にはいくつかのオプションがあります。
自動: 自動昇格ルールの場合、EPMはユーザーからの入力なしでこれらのアプリケーション を自動的に 昇格します。 このカテゴリの広範なルールは、organization のセキュリティ体制に広範な影響を与える可能性があります。
ユーザー確認済み: ユーザーが確認したルールを使用すると、エンド ユーザーは新しい右クリック コンテキスト メニューを使用する [管理者特権で実行]。 管理者は、認証プロンプト、ビジネス上の正当な理由、またはその両方を使用して、追加の検証を実行するようにユーザーに要求できます。
現在のユーザーとして昇格: プロファイル パス、環境変数、ランタイム設定など、正しく機能するためにユーザー固有のリソースにアクセスする必要があるアプリケーションには、この昇格タイプを使用します。 仮想アカウントを使用する昇格とは異なり、このモードでは、サインインしているユーザーのアカウントで昇格されたプロセスが実行され、アクティブなユーザー プロファイルに依存するツールやインストーラーとの互換性が維持されます。 昇格の前後で同じユーザー ID を維持することで、このアプローチにより、一貫性のある正確な監査証跡が保証されます。 Windows 認証もサポートしているため、昇格が発生する前にユーザーは有効な資格情報で再認証する必要があります。
ただし、管理者特権のプロセスはユーザーの完全なコンテキストを継承するため、このモードでは攻撃対象の領域が広がり、ユーザー データからの分離が軽減されます。
主な考慮事項:
- 互換性のニーズ: このモードは、仮想アカウントの昇格によってアプリケーション エラーが発生する場合にのみ使用してください。
- 厳密にスコープを設定する: リスクを軽減するために、昇格ルールを信頼できるバイナリとパスに制限します。
- セキュリティのトレードオフ: このモードでは、ユーザー固有のデータへの露出が増加する点に注意してください。
ヒント
互換性が問題でない場合は、セキュリティを強化するために仮想アカウントの昇格を使用する方法を優先します。
サポートが承認済み: サポートが承認されたルールの場合、エンド ユーザーは、昇格されたアクセス許可でアプリケーションを実行する要求を送信する必要があります。 要求が送信されると、管理者は要求を承認できます。 要求が承認されると、エンド ユーザーには、デバイスで昇格を再試行できることが通知されます。 このルール タイプの使用の詳細については、「 承認された昇格要求をサポートする」を参照してください。
拒否: 拒否ルールは、EPMが管理者特権コンテキストでの実行をブロックするファイルを識別します。 特定のシナリオでは、拒否ルールを使用すると、既知のファイルまたは悪意のある可能性があるソフトウェアを管理者特権のコンテキストで実行できないようにすることができます。
EPM クライアントは、デフォルトの昇格応答、または指定された昇格応答を許可する特定のルールを使用して構成できます。
ルール機能
✅ 昇格用のファイルの詳細なターゲット設定
EPM 昇格ルールは、ファイル名、パスなどの 1 つ以上の属性に基づいて作成できます。ルール機能の例を次に示します。
子プロセス制御 - プロセスがEPMによって昇格されると、子プロセスの作成をEPMによって管理する方法を制御できます。これにより、昇格されたアプリケーションによって作成される可能性のあるサブプロセスをきめ細かく制御できます。
引数のサポート - アプリケーションの特定のパラメーターのみを昇格できるようにします。
ファイル ハッシュのサポート - ファイルのハッシュに基づいてアプリケーションと照合します。
発行元証明書のサポート - アプリケーションの発行元証明書を他の属性と共に信頼することに基づくルールを作成します。
サポートされているファイルの種類
EPMは、次のタイプのファイルの昇格をサポートします。
- 拡張子が
.exeの実行可能ファイル。 -
.msi拡張子を持つ Windows インストーラー ファイル。 -
.ps1拡張機能を持つ PowerShell スクリプト。
Reporting
✅ 環境内の標高を追跡する
EPMには、サービスの準備、モニターおよび使用に役立つレポートが含まれています。 レポートは、非管理および管理された昇格について提供されます。
管理されていない昇格: エンドポイント特権管理を使用せずに発生するすべてのファイル昇格。 これらの昇格は、管理者権限を持つユーザーが Windows の既定のアクションである [ 管理者として実行] を使用したときに発生する可能性があります。
管理された昇格: エンドポイント特権管理によって促進される昇格。 管理された昇格には、EPMが最終的に標準ユーザーに対して促進するすべての昇格が含まれます。 これらの管理された標高には、標高ルールの結果として、または既定の標高操作の一部として発生する標高が含まれる場合があります。
エンドポイント特権管理の概要
✅ EPM の使用を開始する
エンドポイント特権管理 (EPM) は、Microsoft Intune 管理 センターから管理されます。 組織がEPMの使用を開始する場合、次の高レベルのプロセスを使用します。
EPM とプランのライセンス
- ライセンス EPM - エンドポイント特権管理ポリシーを使用する前に、テナントで EPM のライセンスを取得する必要があります。 ライセンス情報については、「Microsoft Intune の高度な機能に関するページを参照してください。
- EPMの計画 - EPMの使用を開始する前に、考慮する必要がある重要な要件と概念がいくつかあります。 詳細は、 EPMのプランを参照してください。
EPMのデプロイ - EPMをデプロイするには、監査を有効にし、ルールを作成し、デプロイメントをモニターします。 詳細は、 EPMのデプロイを参照してください。
EPMの管理 - EPMをデプロイした後、 サポートの承認済リクエスト と 昇格をモニターできます。 ルールを維持および更新し、ユーザー権限を確認できます。