นโยบายยกระดับสิทธิ์ซอฟต์แวร์
การยกระดับสิทธิ์ซอฟต์แวร์กำหนดบัญชีที่ใช้รันให้ซอฟต์แวร์ที่ระบุ เพื่อให้ซอฟต์แวร์ที่ตรงเงื่อนไขทำงานด้วยบัญชีนั้นโดยไม่ต้องเพิ่มผู้ใช้เข้าในกลุ่มผู้ดูแลระบบภายในเครื่องโดยตรง การทำงานบนอุปกรณ์ที่อธิบายที่นี่จำกัดเฉพาะ Windows ให้ตรวจสอบแพลตฟอร์มอื่นแยกต่างหาก
การยกระดับสิทธิ์เพิ่มสิ่งที่ซอฟต์แวร์ทำได้ จึงควรจำกัดไฟล์ปฏิบัติการและอุปกรณ์เป้าหมาย ใช้บัญชีที่องค์กรอนุมัติ และตรวจสอบบนอุปกรณ์นำร่องก่อน การบันทึกนโยบาย การได้รับนโยบาย และการรันด้วยบัญชีที่ตั้งใจเป็นคนละสถานะ
ดูการจัดการตัวตนใน จัดการตัวตนที่ใช้รัน
การเตรียมการ
- ยืนยันว่าผู้กำหนดนโยบายมีสิทธิ์จัดการนโยบาย Software และดูรวมถึงเลือกบัญชีที่ใช้รันได้ หากต้องสร้างหรือแก้บัญชี ให้ผู้มีสิทธิ์จัดการบัญชีดำเนินการ ระบุอุปกรณ์เป้าหมาย ซอฟต์แวร์ธุรกิจ และสิทธิ์ที่จำเป็น
- เตรียมตำแหน่งติดตั้งที่เชื่อถือได้ ชื่อผลิตภัณฑ์ และ SHA-256 ของไฟล์ กำหนดผู้รับผิดชอบการดูแลข้อมูลเมื่ออัปเดตซอฟต์แวร์ และตรวจสอบก่อนในสภาพแวดล้อมนำร่องที่ไม่ใช่งานจริง
- เลือกบัญชีที่ใช้รันตามหลักสิทธิ์น้อยที่สุด สำหรับบัญชีที่มีสิทธิ์สูง ให้ประเมินความเสี่ยงจากซอฟต์แวร์ ส่วนประกอบที่โหลดได้ การตั้งค่า และกลไกอัปเดต อย่าใช้กฎกว้างกับซอฟต์แวร์ที่ไม่น่าเชื่อถือ
- ป้อนและดูแลข้อมูลรับรองผ่านกระบวนการที่องค์กรอนุมัติเท่านั้น อย่าใส่ข้อมูลรับรองในคู่มือ ทิกเก็ต ภาพหน้าจอ หรือการสื่อสารที่ไม่เกี่ยวข้อง
เตรียมบัญชีที่ใช้รัน
เปิด Objects & Templates และเลือก Run Identities ตรวจสอบว่าบัญชีที่มีอยู่เหมาะกับความต้องการทางธุรกิจหรือไม่
หากบัญชีเดิมตรงกับงานและหลักสิทธิ์เท่าที่จำเป็นให้ใช้ต่อได้ เมื่อจำเป็นต้องสร้างหรือแก้ ผู้มีสิทธิ์ดำเนินการตาม การจัดการบัญชีที่ใช้รัน และประเมินผลต่อนโยบายที่อ้างอิงก่อนแก้บัญชีที่ใช้ร่วมกัน บัญชีในตัวและบัญชีที่ระบุมีวิธีรันและสิทธิ์ต่างกัน ให้ตรวจก่อนเลือก
กำหนดการยกระดับสิทธิ์ซอฟต์แวร์
- ใน Software เปิด Policy แล้วสร้างหรือแก้ไขนโยบายเป้าหมาย ตรวจสอบชื่อ อุปกรณ์เป้าหมาย และเวลาที่มีผล
- เปิดการยกระดับสิทธิ์ซอฟต์แวร์ เปิดการตั้งค่า และเพิ่มกฎการรัน
- ป้อนชื่อไฟล์ของโปรแกรมเป้าหมายหรือเส้นทางสัมบูรณ์ภายใน Windows ในฟิลด์ไฟล์ปฏิบัติการ ชื่อไฟล์ต้องลงท้ายด้วย
.exeควรใช้เส้นทางและไฟล์เฉพาะที่ตรวจสอบแล้วเพื่อไม่ให้รวมซอฟต์แวร์อื่นที่มีชื่อเดียวกัน - ป้อนค่า SHA-256 เลขฐานสิบหก 64 อักขระของไฟล์ หน้ายอมรับ
*ด้วย การใช้*จะข้ามการตรวจสอบแฮชไฟล์สำหรับกฎนั้น ให้ประเมินความเสี่ยงจากการแทนที่ไฟล์และการใช้เส้นทางในทางที่ผิดก่อน และไม่ควรใช้เป็นตัวเลือกเริ่มต้น - ป้อนเงื่อนไขชื่อผลิตภัณฑ์เพิ่มเติมและเลือกบัญชีที่เตรียมไว้ ตรวจสอบข้อมูลผลิตภัณฑ์ของไฟล์เป้าหมาย เงื่อนไขที่กว้างเกินไปอาจขยายขอบเขต
- สามารถเปลี่ยนลำดับกฎได้ อุปกรณ์ Windows ตรวจสอบเงื่อนไขเส้นทาง แฮช และชื่อผลิตภัณฑ์ตามลำดับ และใช้บัญชีของกฎแรกที่ตรงกัน หากเงื่อนไขซ้อนทับ ให้ตรวจสอบตำแหน่งของกฎที่กว้างกว่าและทดสอบแต่ละกรณี
- บันทึกหน้าต่างตั้งค่ากฎแล้วบันทึกนโยบายทั้งหมด หลังอุปกรณ์นำร่องได้รับนโยบาย ให้ตรวจสอบว่าซอฟต์แวร์ทำงานตามต้องการ รวมถึงบัญชีและสิทธิ์จริงที่ใช้
หากบัญชีที่เลือกเปลี่ยนหรือไม่พร้อมใช้งานระหว่างกำหนดค่า หน้าอาจขอให้เลือกอีกครั้ง การอัปเดตซอฟต์แวร์อาจเปลี่ยนแฮชไฟล์ หลังอัปเดตให้ตรวจสอบกฎ แหล่งไฟล์ และผลนำร่องอีกครั้ง อย่าลบข้อจำกัดแฮชเพียงเพื่อให้รันได้โดยไม่ประเมินความเสี่ยง
เมื่อใช้บัญชีที่ระบุ ให้ตรวจว่าบัญชีใช้งานได้ เวลาอุปกรณ์ถูกต้อง และอุปกรณ์เชื่อมต่อแพลตฟอร์มได้ หลังออฟไลน์เป็นเวลานานหรือมีการเปลี่ยนบัญชีหรือนโยบาย เงื่อนไขเดิมอาจใช้ไม่ได้ หากรันด้วยตัวตนที่ระบุไม่ได้ ให้ตรวจเงื่อนไขเหล่านี้และติดต่อผู้ดูแลตามขั้นตอนองค์กร อย่าสมมติว่าสามารถยกระดับสิทธิ์ได้ในทุกกรณีที่ออฟไลน์
การเริ่มไม่สำเร็จหรือผลไม่ชัดเจนไม่ได้หมายความว่าโปรแกรมไม่ทำงานเสมอไป ก่อนลองใหม่ให้ตรวจว่าโปรแกรมเริ่มไปแล้วหรือไม่และใช้ตัวตนใด เพื่อป้องกันการทำงานซ้ำ แล้วดำเนินการตามขั้นตอนองค์กร บางกรณีที่ไม่เข้าเงื่อนไขหรือเกิดข้อผิดพลาดอาจลองรันด้วยตัวตนเดิม หรืออาจเริ่มไม่ได้ อย่าตัดสินว่าการยกระดับสำเร็จจากการปรากฏของหน้าต่างโปรแกรมเพียงอย่างเดียว
หากระบุเฉพาะชื่อไฟล์ที่เรียกใช้ โปรแกรมชื่อเดียวกันในไดเรกทอรีภายในเครื่องต่างกันอาจตรงกับเงื่อนไขเส้นทางได้ เงื่อนไขชื่อผลิตภัณฑ์เพิ่มเติมของกฎใหม่เริ่มต้นเป็น * และการคงค่า * จะข้ามการตรวจชื่อผลิตภัณฑ์ หากใช้เพียงชื่อไฟล์และกำหนดแฮชกับชื่อผลิตภัณฑ์เป็น * ทั้งคู่ ขอบเขตการจับคู่อาจกว้างขึ้นมาก ควรใช้เส้นทางที่ชัดเจนและได้รับการป้องกัน แฮชไฟล์ที่ตรวจสอบแล้ว และชื่อผลิตภัณฑ์ที่เหมาะสม พร้อมทดสอบโปรแกรมเปรียบเทียบชื่อเดียวกันแยกต่างหาก เงื่อนไขเหล่านี้ไม่ทดแทนการตรวจสอบซอฟต์แวร์และแหล่งอัปเดต
ตรวจสอบและแก้ไขปัญหา
- บนอุปกรณ์นำร่อง ทดสอบทั้งซอฟต์แวร์ที่ควรตรงและซอฟต์แวร์เปรียบเทียบที่ไม่ควรตรง ตรวจสอบผลการเริ่ม บัญชีที่ใช้รันจริง และการทำงานทางธุรกิจ
- บันทึกกฎไม่ได้: ตรวจสอบว่ามีกฎอย่างน้อยหนึ่งข้อ และตรวจสอบเส้นทาง
.exeรูปแบบ SHA-256 ชื่อผลิตภัณฑ์ และบัญชีที่ใช้รัน ยืนยันว่าบัญชียังมีอยู่ และเลือกบัญชีที่เปลี่ยนอีกครั้งหากหน้าร้องขอ - ซอฟต์แวร์ไม่รันด้วยบัญชีที่ต้องการ: ตรวจสอบขอบเขตและการได้รับนโยบาย เส้นทางโปรแกรมจริง แฮช ชื่อผลิตภัณฑ์ และลำดับกฎ จากนั้นตรวจสอบความพร้อมของบัญชีและข้อความบนหน้า
- พฤติกรรมเปลี่ยนหลังอัปเดต: ตรวจสอบว่าเวอร์ชันหรือแฮชเปลี่ยนหรือไม่ ตรวจสอบแหล่งติดตั้งและปรับกฎตามกระบวนการองค์กร แล้วทดสอบนำร่องอีกครั้งก่อนขยาย
- ลบบัญชีไม่ได้หรือการเปลี่ยนกระทบนโยบายอื่น: ตรวจสอบการอ้างอิงและข้อจำกัดของบัญชีในตัว ประสานผู้รับผิดชอบนโยบายที่ได้รับผลกระทบเพื่อไม่ให้งานเดิมหยุดชะงัก
อย่าตัดสินว่าการยกระดับสิทธิ์สำเร็จจากการที่โปรแกรมเริ่มได้เพียงอย่างเดียว ขยายขอบเขตหลังตรวจสอบผลและเตรียมขั้นตอนกู้คืนแล้วเท่านั้น
วันที่อัปเดต