سياسة رفع امتيازات البرامج

تعيّن وظيفة رفع صلاحيات البرامج هوية تشغيل لبرامج محددة، بحيث يعمل البرنامج المطابق بهذه الهوية دون إضافة المستخدم مباشرة إلى مجموعة المسؤولين المحليين. يقتصر التنفيذ على الأجهزة الموضح هنا على Windows؛ تحقق من المنصات الأخرى بصورة منفصلة.

يزيد رفع الصلاحيات ما يستطيع البرنامج فعله. قيّد الملفات التنفيذية والأجهزة المستهدفة، واستخدم هوية معتمدة من المؤسسة، وتحقق أولاً على أجهزة تجريبية. حفظ السياسة وتلقي الجهاز لها والتشغيل بالهوية المقصودة حالات منفصلة.

لإدارة هويات التشغيل، راجع إدارة هويات التشغيل.

التحضير

• تأكد من أن مسؤول السياسة يستطيع إدارة سياسات Software وعرض هويات التشغيل واختيارها. عند الحاجة إلى إنشاء هوية أو تعديلها، يتولى ذلك شخص لديه صلاحية إدارة الهوية المناسبة. حدد الأجهزة المستهدفة وبرامج العمل والصلاحيات اللازمة.
• احصل على موقع تثبيت موثوق واسم المنتج وقيمة SHA-256 للملف. عيّن مسؤولية صيانة هذه المعلومات عند تحديث البرنامج، وتحقق منها أولاً في تجربة خارج بيئة الإنتاج.
• اختر هوية التشغيل وفق مبدأ أقل صلاحية. للحسابات عالية الصلاحيات، قيّم مخاطر البرنامج والمكونات التي يستطيع تحميلها وإعداداته وآلية تحديثه. لا تستخدم قواعد واسعة لبرامج غير موثوقة.
• أدخل بيانات الاعتماد وصنها فقط وفق عملية معتمدة من المؤسسة. لا تضعها في الأدلة أو التذاكر أو لقطات الشاشة أو الاتصالات غير المرتبطة.

تجهيز هوية التشغيل

افتح Objects & Templates واختر Run Identities. تحقق مما إذا كانت هوية موجودة تناسب حاجة العمل.

أعد استخدام هوية موجودة إذا لبّت متطلبات العمل وأقل صلاحية. عند الحاجة إلى الإنشاء أو التعديل، يتبع الشخص المخول إدارة هويات التشغيل؛ وقيّم أثر تعديل الهوية المشتركة على السياسات التي تستخدمها. تختلف الهويات المضمنة والحسابات المحددة في طريقة التشغيل والصلاحيات، فتحقق قبل الاختيار.

إعداد رفع صلاحيات البرامج

1. افتح Policy ضمن Software وأنشئ أو عدّل السياسة المستهدفة. تحقق من اسمها والأجهزة المستهدفة ووقت السريان.
2. فعّل رفع صلاحيات البرامج وافتح الإعدادات وأضف قاعدة تنفيذ.
3. أدخل اسم ملف البرنامج المستهدف أو مساره المحلي المطلق في Windows في حقل الملف التنفيذي. يجب أن ينتهي اسم الملف بـ .exe. فضّل مساراً وملفاً محددين تم التحقق منهما لتجنب تضمين برامج غير مرتبطة تحمل الاسم نفسه.
4. أدخل قيمة SHA-256 السداسية العشرية للملف المكونة من 64 محرفاً؛ وتقبل الصفحة أيضاً *. يؤدي استخدام * إلى تخطي فحص تجزئة الملف لتلك القاعدة. قيّم أولاً مخاطر استبدال الملف وإساءة استخدام المسار؛ ولا ينبغي جعله الخيار الافتراضي.
5. أدخل شرط اسم المنتج الإضافي واختر هوية التشغيل المجهزة. تحقق من معلومات منتج الملف المستهدف؛ فقد يوسع الشرط الواسع النطاق.
6. يمكن تغيير ترتيب القواعد. يفحص جهاز Windows القواعد بالترتيب وفق شروط المسار والتجزئة واسم المنتج، ويستخدم هوية أول قاعدة مطابقة. إذا تداخلت الشروط، فافحص موضع القواعد الأوسع واختبر كل حالة.
7. احفظ نافذة إعداد القواعد ثم السياسة كاملة. بعد تلقي الجهاز التجريبي لها، تحقق من أن البرنامج يعمل كما هو مطلوب وتحقق من الهوية والصلاحيات الفعليتين.

إذا تغيرت الهوية المختارة أو أصبحت غير متاحة أثناء الإعداد، فقد تطلب الصفحة اختيارها مجدداً. قد يغير تحديث البرنامج تجزئة الملف. أعد فحص القاعدة ومصدر الملف ونتيجة التجربة بعد التحديث؛ ولا تزل قيد التجزئة لمجرد استعادة التشغيل دون تقييم المخاطر.

عند استخدام حساب محدد، تحقق من صلاحية الحساب وصحة وقت الجهاز وإمكان اتصاله بالمنصة. بعد فترة طويلة دون اتصال أو تغيير الحساب أو السياسة، قد لا تعود شروط التشغيل السابقة صالحة. إذا تعذر التشغيل بالهوية المحددة، فتحقق من هذه الشروط واتصل بالمسؤول وفق إجراءات المؤسسة؛ لا تفترض إمكان رفع الصلاحيات في كل حالات انقطاع الاتصال.

لا يعني فشل بدء التشغيل أو عدم وضوح النتيجة بالضرورة أن البرنامج لم يبدأ. قبل إعادة المحاولة، تحقق مما إذا كان البرنامج قد بدأ بالفعل وهوية تشغيله الفعلية لتجنب التنفيذ المكرر، ثم اتبع إجراءات المؤسسة. في بعض حالات عدم الانطباق أو الفشل قد تُجرّب الهوية الأصلية، وقد يتعذر البدء أيضًا. لا تعتبر ظهور نافذة البرنامج وحده دليلًا على نجاح رفع الصلاحيات.

عند تحديد اسم الملف التنفيذي فقط، قد تطابق البرامج ذات الاسم نفسه في أدلة محلية مختلفة شرط المسار. تبدأ حالة اسم المنتج الإضافية في القاعدة الجديدة بالقيمة *؛ ويؤدي إبقاء * إلى تجاوز التحقق من اسم المنتج. قد يؤدي استخدام اسم الملف مع * لكل من البصمة واسم المنتج إلى توسيع نطاق المطابقة بدرجة كبيرة. فضّل مساراً محدداً ومحميّاً وبصمة ملف تم التحقق منها واسم منتج مناسباً، واختبر بصورة منفصلة برنامج مقارنة بالاسم نفسه. لا تحل هذه الشروط محل مراجعة البرنامج ومصدر تحديثاته.

التحقق واستكشاف المشكلات

1. على الجهاز التجريبي، اختبر البرنامج الذي ينبغي أن يطابق وبرنامج مقارنة لا ينبغي أن يطابق. تحقق من نتيجة البدء وهوية التشغيل الفعلية وعمليات العمل.
2. تعذر حفظ قاعدة: تأكد من وجود قاعدة واحدة على الأقل، وتحقق من مسار .exe وتنسيق SHA-256 واسم المنتج وهوية التشغيل. تأكد من استمرار وجود الهوية وأعد اختيار الهوية المتغيرة إذا طلبت الصفحة ذلك.
3. البرنامج لا يعمل بالهوية المقصودة: تحقق من نطاق السياسة وتلقي الجهاز لها ومسار البرنامج الفعلي والتجزئة واسم المنتج وترتيب القواعد. ثم تحقق من توفر الحساب ورسائل الصفحة.
4. تغير السلوك بعد تحديث: تحقق مما إذا تغير الإصدار أو التجزئة. تحقق من مصدر التثبيت وحدّث القاعدة وفق إجراءات المؤسسة؛ وأعد التجربة قبل التوسع.
5. تعذر حذف هوية أو أثر تغييرها في سياسات أخرى: تحقق من المراجع وقيود الهويات المضمنة. نسق مع مسؤولي السياسات المتأثرة لتجنب تعطيل العمليات الحالية.

لا تحكم بنجاح رفع الصلاحيات من مجرد بدء البرنامج. لا توسع النطاق إلا بعد التحقق من النتائج وتوفر إجراء استعادة.