Ausführungsidentitäten verwalten

Software Elevation weist bestimmter Software eine Ausführungsidentität zu, sodass passende Software unter dieser Identität ausgeführt werden kann, ohne den Benutzer direkt zur lokalen Administratorengruppe hinzuzufügen. Die hier beschriebene Endpunktausführung bezieht sich auf Windows; andere Plattformen sind gesondert zu prüfen.

Eine Rechteerhöhung erweitert die Handlungsmöglichkeiten der Software. Begrenzen Sie ausführbare Dateien und Zielendpunkte, verwenden Sie eine von der Organisation genehmigte Identität und testen Sie zuerst im Pilotbetrieb. Richtlinie speichern, Endpunktempfang und tatsächliche Ausführung unter der gewünschten Identität sind getrennte Zustände.

Vorbereitung

• Verwenden Sie ein Administratorkonto mit Rechten zur Verwaltung von Software-Compliance-Richtlinien und Ausführungsidentitäten. Legen Sie Zielendpunkte, Geschäftssoftware und benötigte Rechte fest.
• Ermitteln Sie den vertrauenswürdigen Installationsort, Produktnamen und SHA-256 der Datei. Klären Sie die Pflegeverantwortung bei Softwareupdates und prüfen Sie die Angaben zuerst in einer nicht produktiven Pilotumgebung.
• Wählen Sie die Ausführungsidentität nach dem Prinzip der geringsten Rechte. Bewerten Sie bei hochprivilegierten Konten die Risiken der Software, nachladbarer Komponenten, Konfiguration und Updates. Verwenden Sie keine breiten Regeln für nicht vertrauenswürdige Software.
• Geben und pflegen Sie Zugangsdaten nur über ein von Ihrer Organisation zugelassenes Verfahren. Nehmen Sie sie nicht in Handbücher, Tickets, Screenshots oder sachfremde Kommunikation auf.

Ausführungsidentität vorbereiten

1. Öffnen Sie Objects & Templates und Run identities. Prüfen Sie, ob eine vorhandene Identität für den Geschäftsbedarf geeignet ist.
2. Erstellen Sie bei Bedarf eine Identität und geben Sie Name, Benutzername und Kennwort ein. Verwenden Sie gemäß Seitenhinweis das Format Domäne und Benutzer oder UPN. Eine neue Identität verwendet ein angegebenes Konto.
3. Prüfen Sie Name und Konto in der Liste. Integrierte Identitäten und angegebene Konten unterscheiden sich in ihrer Ausführungsweise. Prüfen Sie Rechte und betriebliche Auswirkungen und wählen Sie eine Identität nicht allein wegen höherer Rechte.
4. Lassen Sie beim Bearbeiten eines vorhandenen angegebenen Kontos das Kennwort gemäß Seitenhinweis leer, wenn es unverändert bleiben soll. Der Ausführungsmodus kann beim Bearbeiten nicht geändert werden. Änderungen an einer gemeinsam genutzten Identität können referenzierende Richtlinien beeinflussen; prüfen Sie zuerst den Umfang.
5. Prüfen Sie vor dem Löschen die Richtlinienreferenzen. Für integrierte und noch referenzierte Identitäten gelten Löschbeschränkungen. Gehen Sie nicht davon aus, dass Referenzen nach dem Löschen automatisch repariert werden.

Zur Prüfung der ausgewählten Ausführungsidentität unter Software > Policy die Software-Elevationseinstellungen für den Pilotendpunkt prüfen. Die Ausführungsregel muss die Identität auswählen und Programmpfad, SHA-256 und Produktname müssen zum Testziel passen. Eine geeignete Regel wiederverwenden; nötige Änderungen durch eine Person mit Richtlinienverwaltungsrecht vornehmen, die gesamte Richtlinie speichern und den Empfang abwarten. Weite Platzhalterbedingungen nicht ohne Risikoprüfung verwenden.

• Richtlinie zur Software-Rechteerhöhung

Prüfung und Fehlerbehebung

1. Testen Sie auf dem Pilotendpunkt passende Software und Vergleichssoftware, die nicht passen soll. Prüfen Sie Startergebnis, tatsächliche Ausführungsidentität und Geschäftsoperationen.
2. Eine Regel lässt sich nicht speichern: Stellen Sie mindestens eine Regel sicher und prüfen Sie .exe-Pfad, SHA-256-Format, Produktname und Ausführungsidentität. Prüfen Sie, ob die Identität noch existiert, und wählen Sie eine geänderte Identität bei entsprechender Aufforderung erneut aus.
3. Software läuft nicht unter der erwarteten Identität: Prüfen Sie Richtlinienbereich und Endpunktempfang, tatsächlichen Programmpfad, Datei-Hash, Produktname und Regelreihenfolge. Prüfen Sie anschließend Kontoverfügbarkeit und Seitenmeldungen.
4. Verhalten ändert sich nach einem Update: Prüfen Sie Version und Datei-Hash. Verifizieren Sie die Installationsquelle und aktualisieren Sie die Regel nach dem Organisationsverfahren; wiederholen Sie den Pilottest vor der Ausweitung.
5. Eine Identität lässt sich nicht löschen oder eine Änderung beeinflusst andere Richtlinien: Prüfen Sie Referenzen und Einschränkungen integrierter Identitäten und stimmen Sie sich mit den Richtlinienverantwortlichen ab, um bestehende Geschäftsabläufe nicht zu unterbrechen.

Beurteilen Sie den Erfolg einer Rechteerhöhung nicht allein daran, ob ein Programm startet. Weiten Sie den Bereich erst aus, wenn die Testergebnisse stimmen und ein Wiederherstellungsverfahren vorliegt.