Criação de regras de elevação com o Gerenciamento de privilégios de ponto de extremidade

As políticas de regras de elevação permitem que o Gerenciamento de privilégios de ponto de extremidade (EPM) identifique arquivos e scripts específicos e execute a ação de elevação associada. Para que as regras de elevação entrem em vigor, os dispositivos devem ter uma política de configurações de elevação direcionada que permita EPM. Para obter mais informações, consulte Configurações de elevação do EPM.

Além das informações neste artigo, lembre-se de importantes recomendações de segurança ao gerenciar regras de elevação.

Sobre a política de regras de elevação

Uma política de regras de elevação é usada para gerenciar a identificação de arquivos específicos e como as solicitações de elevação desses arquivos são tratadas. Cada política de regra de elevação inclui uma ou mais regras de elevação. É com as regras de elevação que você configura os detalhes sobre o arquivo que está sendo gerenciado e os requisitos para que ele seja elevado.

Os seguintes tipos de arquivos são suportados:

• Arquivos executáveis com a .exe extensão ou .msi .
• scripts do PowerShell com a .ps1 extensão.

Cada regra de elevação instrui o EPM sobre como:

• Identifique o arquivo usando:

  • Nome do arquivo (incluindo extensão). A regra também dá suporte a condições opcionais, como uma versão mínima de compilação, nome do produto ou nome interno. Condições opcionais são usadas para validar ainda mais o arquivo quando a elevação é tentada. O nome do arquivo (excluindo extensões) pode incluir o uso de variáveis para caracteres únicos por meio do uso de um ponto ? de interrogação ou cadeias de caracteres por meio do uso de um asterisco.*
  • certificado. Os certificados podem ser adicionados diretamente a uma regra ou usando um grupo de configurações reutilizáveis. Os certificados devem ser confiáveis e válidos. Recomendamos o uso de grupos de configurações reutilizáveis, pois eles podem ser mais eficientes e simplificar uma alteração futura no certificado. Para obter mais informações, consulte Grupos de configurações reutilizáveis.

• Valide o arquivo:

  • Hash do arquivo. Um hash de arquivo é necessário para regras automáticas. Para regras com um tipo de elevação de Usuário confirmado ou Elevar como usuário atual, você pode optar por usar um certificado ou um hash de arquivo, caso em que o hash de arquivo se torna opcional.
  • certificado. As propriedades do arquivo podem ser validadas juntamente com o certificado do editor usado para assinar o arquivo. Os certificados são validados usando APIs do Windows que marcam atributos como confiança, expiração de certificado e status de revogação.
  • Propriedades do arquivo. Todas as outras propriedades especificadas nas regras devem corresponder.

• Configure o tipo de elevação de arquivos. O tipo de elevação identifica o que acontece quando uma solicitação de elevação é feita para o arquivo. Por padrão, essa opção é definida como Confirmado pelo usuário. Com exceção do Elevate como usuário atual, o EPM usa uma conta virtual para elevar processos. Isso isola ações elevadas do perfil do usuário, reduzindo a exposição a dados específicos do usuário e diminuindo o risco de escalonamento de privilégios.

  • Negar: As regras de negação impedem que o arquivo identificado seja executado em um contexto elevado.

  • Suporte aprovado: um administrador deve aprovar a solicitação de elevação necessária para que o aplicativo possa ser executado com privilégios elevados.

  • Confirmado pelo usuário: uma elevação confirmada pelo usuário sempre exige que o usuário selecione um prompt de confirmação para executar o arquivo. A confirmação só pode ser configurada para exigir uma autenticação do usuário, uma justificativa comercial (visível no relatório) ou ambos.

  • Elevar como usuário atual: esse tipo de elevação executa o processo elevado na própria conta do usuário conectado, preservando a compatibilidade com ferramentas e instaladores que dependem do perfil de usuário ativo. Isso exige que o usuário insira suas credenciais para a Autenticação do Windows. Isso preserva os caminhos de perfil, as variáveis de ambiente e as configurações personalizadas do usuário. Como o processo elevado mantém a mesma identidade do usuário antes e depois da elevação, as trilhas de auditoria permanecem consistentes e precisas.

    No entanto, como o processo elevado herda o contexto completo do usuário, esse modo introduz uma superfície de ataque mais ampla e reduz o isolamento dos dados do usuário.

    Principais considerações:

    • Necessidade de compatibilidade: use esse modo somente quando a elevação da conta virtual causar falhas no aplicativo.
    • Defina um escopo restrito: limite as regras de elevação a binários e caminhos confiáveis para reduzir o risco.
    • Compensação de segurança: entenda que esse modo aumenta a exposição a dados específicos do usuário.

    Dica

    Quando a compatibilidade não for um problema, prefira um método que use a elevação da conta virtual para maior segurança.

  • Automático: Uma elevação automática acontece de forma invisível para o usuário. Não há nenhum prompt e nenhuma indicação de que o arquivo esteja sendo executado em um contexto elevado.

• Gerencie o comportamento de processos filho. Você pode controlar como as regras de elevação se aplicam a qualquer processo filho iniciado pelo processo pai elevado.

  • Exigir regra a ser elevada – os processos filho devem atender aos seus próprios requisitos de regra antes de poderem ser executados com elevação. O processo filho é elevado de acordo com sua definição de regra, incluindo quaisquer regras de negação.

  • Negar tudo – todos os processos filho são iniciados sem contexto elevado.

  • Permitir que processos filho sejam executados com privilégios elevados – qualquer processo filho iniciado pelo pai com privilégios elevados será executado automaticamente com privilégios elevados. Quando essa opção é selecionada, a avaliação de regras para o processo filho é ignorada, incluindo regras de negação. Isso significa que um processo filho pode ser executado com privilégios elevados mesmo quando existe uma regra de negação explícita para esse processo.

  Melhor prática: Evite criar regras de elevação excessivamente amplas para aplicativos que podem iniciar outros processos (por exemplo, shells de comando ou mecanismos de script) para evitar elevação não intencional.

Definindo regras para uso com o Gerenciamento de privilégios de ponto de extremidade

Gerenciamento de privilégios de ponto de extremidade As regras consistem em dois elementos fundamentais: uma ação de detecção e uma ação de elevação.

As detecções são definidas como o conjunto de atributos usados para identificar um aplicativo ou binário. Esses atributos incluem nome do arquivo, versão do arquivo e propriedades de assinatura.

As ações de elevação são a elevação resultante que ocorre depois que um aplicativo ou binário é detectado.

É importante, ao definir detecções , que elas sejam definidas para serem o mais descritivas possível. Para ser descritivo, use atributos fortes ou vários atributos para aumentar a intensidade da detecção. O objetivo ao definir as detecções deve ser eliminar a capacidade de vários arquivos se enquadrarem na mesma regra, a menos que essa seja explicitamente a intenção.

Regras de hash de arquivo

As regras de hash de arquivo são as regras mais fortes que podem ser criadas com o Gerenciamento de privilégios de ponto de extremidade. Essas regras são altamente recomendadas para garantir que o arquivo que você pretende elevar seja o arquivo elevado.

O hash do arquivo pode ser coletado do binário direto usando o método Get-Filehash do PowerShell ou diretamente dos relatórios para Gerenciamento de privilégios de ponto de extremidade.

Regras de certificado

As regras de certificado são um tipo forte de atributo e devem ser emparelhadas com outros atributos. O emparelhamento de um certificado com atributos como nome do produto, nome interno e descrição melhora drasticamente a segurança da regra. Esses atributos são protegidos por uma assinatura de arquivos e geralmente indicam detalhes sobre o arquivo assinado.

Regras contendo nome de arquivo

O nome do arquivo é um atributo que pode ser utilizado para detectar um aplicativo que precisa ser elevado. No entanto, os nomes de arquivo são facilmente alterados e não fazem parte do hash ou dos atributos assinados pelo certificado do editor.

Isso significa que os nomes de arquivo são altamente suscetíveis a alterações. Files que você não segmenta intencionalmente, assinados por um certificado em que você confia, podem ser renomeados para serem detectados e elevados.

Regras baseadas em atributos coletados pelo PowerShell

Para ajudá-lo a criar regras de detecção de arquivos mais precisas, você pode usar o cmdlet Get-FileAttributes do PowerShell. Disponível no módulo EpmTools do PowerShell, Get-FileAttributes pode recuperar atributos de arquivo e o material da cadeia de certificados para um arquivo e você pode usar a saída para preencher as propriedades da regra de elevação para um aplicativo específico.

Exemplo de etapas de importação do módulo e saída de Get-FileAttributes executado em msinfo32.exe na versão Windows 11 10.0.22621.2506:

PS C:\Windows\system32> Import-Module 'C:\Program Files\Microsoft EPM Agent\EpmTools\EpmCmdlets.dll'
PS C:\Windows\system32> Get-FileAttributes -FilePath C:\Windows\System32\msinfo32.exe -CertOutputPath C:\CertsForMsInfo\

FileName      : msinfo32.exe
FilePath      : C:\Windows\System32
FileHash      : 18C8442887C36F7DB61E77013AAA5A1A6CDAF73D4648B2210F2D51D8B405191D
HashAlgorithm : Sha256
ProductName   : Microsoft® Windows® Operating System
InternalName  : msinfo.dll
Version       : 10.0.22621.2506
Description   : System Information
CompanyName   : Microsoft Corporation

Para obter mais informações, consulte Módulo EpmTools do PowerShell.

Controlando o comportamento do processo filho

O comportamento do processo filho permite controlar o contexto quando um processo elevado com EPM cria um processo filho. Esse comportamento permite que você controle processos que seriam automaticamente delegados ao contexto de seu processo pai.

O Windows delega automaticamente o contexto de um pai para um filho, portanto, tome cuidado especial ao controlar o comportamento de seus aplicativos permitidos. Certifique-se de avaliar o que é necessário ao criar regras de elevação e implementar o princípio de privilégios mínimos.

Implantando regras criadas com o Gerenciamento de privilégios de ponto de extremidade

Gerenciamento de privilégios de ponto de extremidade As regras são implantadas como qualquer outra política em Microsoft Intune. Isso significa que as regras podem ser implantadas em usuários ou dispositivos, e as regras são mescladas no lado do cliente e selecionadas em tempo de execução. Todos os conflitos são resolvidos com base no comportamento de conflito de política.

As regras implantadas em um dispositivo se aplicam a todos os usuários que usam esse dispositivo. As regras implantadas para um usuário se aplicam somente a esse usuário em cada dispositivo utilizado. Quando ocorre uma ação de elevação, as regras implantadas para o usuário recebem precedência sobre as regras implantadas em um dispositivo. Esse comportamento permite que você implante um conjunto de regras para todos os usuários de um dispositivo e um conjunto de regras mais permissivo para um usuário específico (como um administrador de suporte). Isso permitiria que o administrador de suporte elevasse um conjunto mais amplo de aplicativos ao entrar no dispositivo.

O comportamento de elevação padrão é usado somente quando nenhuma correspondência de regra pode ser encontrada. O comportamento de elevação padrão só se aplica quando uma elevação é acionada com o menu do botão direito do mouse Executar com acesso elevado .

Criar política de regras de elevação

Implante uma política de regras de elevação para usuários ou dispositivos para implantar uma ou mais regras para arquivos gerenciados para elevação pelo Gerenciamento de privilégios de ponto de extremidade. Cada regra que você adicionar a essa política:

• Identifica um arquivo pelo nome e pela extensão de arquivo para o qual você deseja gerenciar solicitações de elevação.
• Pode incluir um certificado para ajudar a validar a integridade do arquivo. Você também pode adicionar um grupo reutilizável que contenha um certificado que você use com uma ou mais regras ou políticas.
• Pode incluir um ou mais argumentos de arquivo adicionados manualmente ou opções de linha de comando. Quando os argumentos de arquivo são adicionados a uma regra, o EPM só permite a elevação de arquivo de solicitações que incluem uma das linhas de comando definidas. Se uma linha de comando definida não fizer parte da solicitação de elevação de arquivo, o EPM negará essa solicitação.
• Especifica se o tipo de elevação do arquivo é automático (silenciosamente) ou se requer confirmação do usuário. Com a confirmação do usuário, você pode exigir validação com um prompt de credencial, justificativa comercial ou ambos.

Use um dos seguintes métodos para criar novas regras de elevação, que são adicionadas à política de regras de elevação:

• Configurar regras de elevação automaticamente – Use este método para economizar tempo ao criar uma regra de elevação adicionando detalhes dos arquivos de relatórios. As regras podem ser criadas usando o relatório de elevação ou de um registro de solicitações de elevação aprovadas pelo suporte .

  Com esse método, você:

  • Selecione o arquivo para o qual você deseja criar uma regra de elevação no relatório de elevação ou na solicitação de elevação aprovada de suporte.
  • Escolha adicionar a nova regra de elevação a uma política de regras de elevação existente ou crie uma nova política de regras de elevação que inclua a nova regra.
    • Quando adicionada a uma política existente, a nova regra fica imediatamente disponível para essa lista de grupos atribuídos de políticas.
    • Quando uma nova política é criada, você deve editá-la para atribuir grupos antes que ela se torne disponível para uso.

• Configurar manualmente as regras de elevação – esse método exige que você identifique os detalhes do arquivo que deseja usar para detecção e insira-os manualmente como parte do fluxo de trabalho de criação da regra. Para obter informações sobre critérios de detecção, consulte Definindo regras para uso com o Gerenciamento de privilégios de ponto de extremidade.

  Com esse método, você:

  • Determine manualmente os detalhes do arquivo a serem usados e adicione-os à regra de elevação para identificação do arquivo.
  • Configure todos os aspectos da política durante a criação da política, incluindo atribuir a política a grupos para uso.
  • Pode adicionar um ou mais argumentos de arquivo que devem fazer parte da solicitação de elevação antes que o EPM permita a elevação do arquivo.

Configurar automaticamente as regras de elevação para o Windows política de regras de elevação

1. Entre no centro de administração do Microsoft Intune e acesse Segurança do ponto de extremidadeGerenciamento>de privilégios do ponto de extremidade. Para selecionar um arquivo a ser usado para uma regra de elevação, escolha um dos seguintes caminhos iniciais:

   Iniciar a partir de um relatório:

   1. Selecione a guia Relatórios e, em seguida, o bloco Relatório de elevação . Localize o arquivo para o qual você deseja criar uma regra na coluna Arquivo .
   2. Selecione o nome vinculado do arquivo para abrir esse painel de detalhes de elevação de arquivos.

   Comece com uma solicitação de elevação aprovada pelo suporte:

   1. Selecione a guia Solicitação de elevação .

   2. Na coluna Arquivo , selecione o arquivo que deseja usar para a regra de elevação, que abre o painel de detalhes de elevação dos arquivos.

      O status da solicitação de elevação não importa. Você pode usar uma solicitação pendente ou uma que tenha sido aprovada ou negada anteriormente.

2. No painel de detalhes da Elevação , revise os detalhes do arquivo. Essas informações são usadas pela regra de elevação para identificar o arquivo correto. Quando estiver pronto, selecione Criar uma regra com esses detalhes de arquivo.

   

3. Selecione uma opção de política para a nova regra de elevação que você está criando:

   Criar uma nova política: Essa opção cria uma nova política que inclui uma regra de elevação para o arquivo selecionado.

   1. Para a regra, configure o comportamento do processo Tipo e Filho e selecione OK para criar a política.
   2. Quando solicitado, forneça um Nome de política para a nova política e confirme para criá-la.
   3. Depois que a política for criada, você poderá editar a política para atribuí-la e fazer outras alterações.

   Adicionar a uma política existente: Com esta opção, use a lista suspensa e selecione uma política de elevação existente à qual a nova regra de elevação é adicionada.

   1. Para a regra, configure o Tipo de elevação e o comportamento do processo Filho e selecione OK. A política é atualizada com a nova regra.
   2. Depois que a regra for adicionada à política, você poderá editá-la para obter acesso à regra e, em seguida, modificá-la para fazer configurações adicionais, se necessário.

   Exija o mesmo caminho de arquivo que esta elevação: Quando você marca esta caixa de seleção, o campo Caminho do Arquivo na regra é definido como o caminho do arquivo como visto no relatório. Se a caixa de seleção não estiver marcada, o caminho permanecerá vazio.

   Dica

   Embora seja opcional, recomendamos o uso de um caminho de arquivo que aponte para um local que os usuários padrão não possam modificar.

   

Configurar manualmente as regras de elevação para o Windows política de regras de elevação

1. Entre no centro de administração do Microsoft Intune e vá para Segurança do ponto de extremidadeGerenciamento>de privilégios do ponto de> extremidade, selecione a guia >Políticas e, em seguida, selecione Criar política. Defina a Plataforma para Windows, Perfilar para Windows política de regras de elevação e, em seguida, selecione Criar.

2. No Básico, insira as seguintes propriedades:

   • Nome: insira um nome descritivo para o perfil. Nomeie os perfis para que você possa identificá-los facilmente mais tarde.
   • Descrição: insira uma descrição para o perfil. Essa configuração é opcional, mas recomendada.

3. Em Configurações, adicione uma regra para cada arquivo gerenciado por essa política. Quando você cria uma nova política, a política começa a incluir uma regra em branco com um tipo de elevação de Usuário confirmado e nenhum nome de regra. Comece configurando essa regra e, posteriormente, você poderá selecionar Adicionar para adicionar mais regras a essa política. Cada nova regra que você adiciona tem um tipo de elevação de Confirmado pelo Usuário, que pode ser alterado quando você configura a regra.

   

   Para configurar uma regra, selecione Editar instância para abrir a página Propriedades da regra e configure o seguinte:

   

   • Nome da regra: especifique um nome descritivo para a regra. Nomeie suas regras para que você possa identificá-las facilmente mais tarde.
   • Descrição (opcional): insira uma descrição para o perfil.

   Condições de elevação são condições que definem como um arquivo é executado e as validações de usuário que devem ser atendidas antes que o arquivo ao qual essa regra se aplica possa ser executado.

   • Tipo de elevação: por padrão, essa opção é definida como Confirmado pelo usuário, que é o tipo de elevação mais comumente usado, pois permite elevação, mas requer reconhecimento do usuário.

     • Negar: uma regra de negação impede que o arquivo identificado seja executado em um contexto elevado. Os seguintes comportamentos se aplicam:

       • As regras de negação dão suporte às mesmas opções de configuração que outros tipos de elevação, exceto para as opções de processo filho. As opções de processo filho não são usadas a partir desta regra, mesmo que configuradas.
       • Quando um usuário tenta elevar um arquivo que corresponde a uma regra de negação, a elevação falha. O EPM exibe uma mensagem indicando que o aplicativo não pode ser executado como administrador. Se esse usuário também receber uma regra que permita a elevação desse mesmo arquivo, a regra de negação terá precedência.
       • As elevações negadas aparecem no relatório de elevação como negadas, semelhante a uma solicitação aprovada de suporte rejeitada.
       • No momento, o EPM não dá suporte à configuração automática de uma regra de negação do relatório de avaliação.

     • Suporte aprovado: este tipo de elevação requer que um administrador aprove uma solicitação de elevação. Para obter mais informações, consulte Suporte a solicitações de elevação aprovadas.

       Importante

       O uso da elevação aprovada de suporte para arquivos exige que os administradores com permissões adicionais examinem e aprovem cada solicitação de elevação de arquivo antes que o arquivo seja exibido no dispositivo com permissões de administrador. Para obter informações sobre como usar o tipo de elevação aprovado de suporte, consulte Elevações de arquivo aprovadas de suporte para Gerenciamento de privilégios de ponto de extremidade.

     • Confirmado pelo usuário: mais comumente usado para arquivos com regras que exigem elevação porque permitem elevação, mas exigem reconhecimento do usuário. Quando um arquivo é executado, o usuário recebe um prompt simples para confirmar sua intenção de executar o arquivo. A regra também pode incluir outros prompts que estão disponíveis na lista suspensa Validação :

       • Justificativa comercial: Exija que o usuário insira uma justificativa para executar o arquivo. Não há nenhum formato necessário para a entrada. A entrada do usuário é salva e pode ser revisada por meio de logs se o escopo do Relatório incluir a coleta de elevações de ponto de extremidade.
       • autenticação do Windows: essa opção exige que o usuário se autentique usando suas credenciais de organização.

     • Automático: esse tipo de elevação executa automaticamente o arquivo com permissões elevadas. A elevação automática é transparente para o usuário, sem solicitar confirmação ou exigir justificativa ou autenticação pelo usuário.

       Cuidado

       Use apenas a elevação automática por exceção e para arquivos confiáveis. Esses arquivos serão elevados automaticamente sem interação do usuário. Regras que não estão bem definidas podem permitir que aplicativos não aprovados sejam elevados. Para obter mais informações sobre como criar regras fortes, consulte as diretrizes para criação de regras.

   • Comportamento do processo filho: por padrão, essa opção é definida como Exigir regra a ser elevada, o que exige que o processo filho corresponda à mesma regra do processo que o cria. Outras opções incluem:

     • Permitir que todos os processos filho sejam executados com privilégios elevados: Essa opção deve ser usada com cuidado, pois permite que os aplicativos criem processos filho incondicionalmente.
     • Negar tudo: Essa configuração impede que qualquer processo filho seja criado.

   As informações de arquivo são onde você especifica os detalhes que identificam um arquivo ao qual essa regra se aplica.

   • Nome do arquivo: especifique o nome do arquivo e sua extensão. Por exemplo: myapplication.exe. Você também pode usar uma variável no nome do arquivo.

   • Caminho do arquivo (opcional): especifique o local do arquivo. Se o arquivo puder ser executado de qualquer local ou for desconhecido, você poderá deixar isso em branco. Você também pode usar uma variável.

     Dica

     Embora seja opcional, recomendamos o uso de um caminho de arquivo que aponte para um local que os usuários padrão não possam modificar.

   • Origem da assinatura: escolha uma das seguintes opções:

     • Usar um arquivo de certificado em configurações reutilizáveis (padrão): essa opção usa um arquivo de certificado que foi adicionado anteriormente a um grupo de configurações reutilizáveis para Gerenciamento de privilégios de ponto de extremidade. Você deve criar um grupo de configurações reutilizáveis antes de usar essa opção.

       Para identificar o certificado, selecione Adicionar ou remover um certificado e, em seguida, selecione o grupo reutilizável que contém o certificado correto. Em seguida, especifique o tipo de certificado de Editor ou Autoridade de certificação.

     • Carregar um arquivo de certificado: adicione um arquivo de certificado diretamente à regra de elevação. Em Upload de arquivo, especifique um arquivo .cer que possa validar a integridade do arquivo ao qual essa regra se aplica. Em seguida, especifique o tipo de certificado de Editor ou Autoridade de certificação.

     • Não configurado: use esta opção quando não quiser usar um certificado para validar a integridade do arquivo. Quando nenhum certificado é usado, você deve fornecer um hash de arquivo.

   • Hash do arquivo: o hash do arquivo é necessário quando a origem da assinatura é definida como Não configurada e opcional quando definida para usar um certificado.

   • Versão mínima: (Opcional) Use o formato x.x.x.x para especificar uma versão mínima do arquivo compatível com essa regra.

   • Descrição do arquivo: (opcional) Forneça uma descrição do arquivo.

   • Nome do produto: (Opcional) Especifique o nome do produto do qual o arquivo é.

   • Nome interno: (Opcional) Especifique o nome interno do arquivo.

   Selecione Salvar para salvar a configuração de regra. Em seguida, você poderá adicionar mais regras. Depois de adicionar todas as regras que essa política exige, selecione Avançar para continuar.

4. Na página Marcas de escopo, selecione todas as marcas de escopo desejadas a aplicar e selecione Próximo.

5. Em Atribuições, selecione os grupos que recebem a política. Para obter mais informações sobre a atribuição de perfis, consulte Atribuir perfis de usuário e dispositivo. Selecione Avançar.

6. Em Examinar + criar, examine suas configurações e selecione Criar. Quando você seleciona Criar, suas alterações são salvas e o perfil é atribuído. A política também é mostrada na lista de políticas.

Usar variáveis em regras de elevação

Ao configurar manualmente as regras de elevação de arquivo, você pode usar caracteres curinga para as seguintes configurações disponíveis na página Propriedades da regra de uma política de regra de elevação:

• Nome do arquivo: Há suporte para curingas como parte de um nome de arquivo ao configurar o campo Nome do arquivo .
• Caminho da pasta: Há suporte para curingas como parte de um caminho de pasta ao configurar o campo Caminho da pasta .

O uso de curingas fornece flexibilidade em suas regras para dar suporte a arquivos confiáveis que têm nomes que podem mudar com frequência com revisões subsequentes ou para os quais o caminho do arquivo também pode mudar.

Há suporte para os seguintes caracteres curinga:

• Ponto de interrogação ? - Os pontos de interrogação substituem caracteres individuais em um nome de arquivo.
• Asterisco * - O asterisco substitui uma cadeia de caracteres em um nome de arquivo.

A seguir estão exemplos de uso de curinga com suporte:

• Nome de arquivo para um arquivo de instalação do Visual Studio chamado VSCodeSetup-arm64-1.99.2.exe:

  • VSCodeSetup*.exe
  • VSCodeSetup-arm64-*.exe
  • VSCodeSetup-?????-1.??.?.exe

• Caminho do arquivo para o mesmo arquivo, normalmente encontrado em C:\Users\<username>\Downloads\:

  • C:\Users\*\Downloads\

Usar argumentos de arquivo para regras de elevação

As regras de elevação de arquivo também podem ser limitadas para permitir a elevação com argumentos específicos.

Por exemplo, dsregcmd pode ser útil para investigar o estado de um dispositivo no Microsoft Entra ID, mas requer elevação. Para ajudar a dar suporte ao uso desses arquivos para investigação, você pode configurar a regra com uma lista de argumentos para dsregcmd que inclui as opções para /status, /listaccounts e muito mais. No entanto, para evitar uma ação destrutiva, como cancelar o registro de um dispositivo, você exclui argumentos como /leave. Com essa configuração, a regra só permite elevação se os argumentos /status ou /listaccounts forem usados. dsregcmd com a opção /leave, que remove o dispositivo do Microsoft Entra ID, seria negado.

Para adicionar um ou mais argumentos a uma regra de elevação, defina Restringir argumentos à lista Permitir. Selecione Adicionar e configure as opções de linha de comando permitidas. Ao adicionar vários argumentos, você fornece várias linhas de comando que são suportadas por solicitações de elevação.

Grupos de configurações reutilizáveis

Gerenciamento de privilégios de ponto de extremidade usa grupos de configurações reutilizáveis para gerenciar os certificados que validam os arquivos gerenciados com Gerenciamento de privilégios de ponto de extremidade regras de elevação. Como todos os grupos de configurações reutilizáveis do Intune, as alterações em um grupo reutilizável são passadas automaticamente para as políticas que fazem referência ao grupo. Se você precisar atualizar o certificado usado para validação de arquivo, só precisará atualizá-lo no grupo configurações reutilizáveis uma única vez. O Intune aplica o certificado atualizado a todas as regras de elevação que usam esse grupo.

Para criar o grupo de configurações reutilizáveis para o Gerenciamento de Privilégios de Ponto de Extremidade:

1. Entre no centro de administração do Microsoft Intune e acesse Segurança do ponto de extremidadeGerenciamento>de privilégios do ponto de> extremidade, selecione a guia >Configurações reutilizáveis (versão prévia) e selecione Adicionar.

   

2. No Básico, insira as seguintes propriedades:

   • Nome: insira um nome descritivo para o grupo reutilizável. Nomeie os grupos para que você possa identificá-los facilmente mais tarde.
   • Descrição: insira uma descrição para o perfil. Essa configuração é opcional, mas recomendada.

3. Em Definições de configuração, selecione o ícone de pasta para o arquivo de certificado e navegue até um arquivo . CER para adicioná-lo a esse grupo reutilizável. O campo de valor Base 64 é preenchido com base no certificado selecionado.

   

4. Em Examinar + criar, examine suas configurações e selecione Adicionar. Quando você seleciona Adicionar, sua configuração é salva e o grupo é mostrado na lista de grupos de configurações reutilizáveis para Gerenciamento de privilégios de ponto de extremidade.

Próximas etapas