Rimuovere i diritti di amministratore locale agli utenti è una delle prime raccomandazioni di qualsiasi progetto di hardening della sicurezza, ma spesso si scontra con piccole esigenze quotidiane; una delle più comuni è la configurazione di rete: un utente che lavora da una filiale, dalla sede di un cliente o da una postazione temporanea può avere bisogno di impostare un indirizzo IP statico o un server DNS specifico per collegare il dispositivo e, senza diritti di amministratore, Windows blocca la modifica con un prompt UAC.
In molte organizzazioni, il risultato è una chiamata all’help desk o un’eccezione che lascia all’utente privilegi amministrativi permanenti: Endpoint Privilege Management (EPM) in Microsoft Intune ha finalmente affrontato questo tipo di problema estendendo l’elevazione dei privilegi alle impostazioni di sistema di Windows.
L’obiettivo di questo articolo è spiegare come funziona questa funzionalità, cosa permette di fare agli utenti standard, come creare le policy necessarie e come si declina l’esperienza utente.
Overview
La funzionalità descritta in precedenza si basa su una nuova tipologia di policy denominata Elevation system settings policy: una elevation system settings policy permette a EPM di concedere agli utenti standard l’accesso a specifiche impostazioni di sistema di Windows (come le impostazioni di rete) che normalmente richiedono diritti di amministratore.
Il duplice vantaggio di questa funzionalità risiede nella possibilità di modificare le impostazioni senza la necessità di distribuire un’app separata e nella possibilità di effettuare queste modifiche anche quando il dispositivo risulta offline.
La funzionalità è quindi rilevante per le organizzazioni che già usano EPM, o che lo stanno valutando, e che gestiscono dispositivi Windows i cui utenti lavorano come utenti standard. Al momento della stesura, l’unica categoria supportata sono le impostazioni di rete: le altre impostazioni di Windows che richiedono diritti di amministratore non sono coperte da questa policy.
L’impostazione Network settings copre la configurazione IPv4, IPv6 e dei server DNS delle schede di rete del dispositivo. Per ogni scheda, l’utente può scegliere tra la configurazione automatica tramite DHCP e la configurazione manuale dei valori.
Le tipologie di elevazione per questa policy risultano essere le seguenti:
- User confirmed: l’utente deve confermare esplicitamente l’intenzione di applicare la modifica; la regola può richiedere una Business justification, che l’utente inserisce e che viene salvata e resa disponibile nei report o la Windows authentication, che richiede all’utente di autenticarsi con le credenziali dell’organizzazione. Le due opzioni si possono combinare; se non ne viene selezionata nessuna, l’utente deve solo confermare l’intenzione di applicare la modifica.
- Automatic: l’elevazione avviene in modo automatico senza alcuna iterazione da parte dell’utente.
Lato utente, il punto di accesso è il Company Portal per Windows che apre una finestra dedicata gestita da EPM invece dell’app dedicata alle impostazioni di sistema; nei paragrafi successivi, verrà condivisa l’effettiva User Experience.
Lato amministratori IT, il cambiamento principale risulta essere nella granularità del privilegio: con le regole di elevazione dei file, EPM consente a una specifica applicazione di essere eseguita con diritti elevati mentre, con la elevation system settings policy, il privilegio è limitato a una singola attività e cioè la configurazione delle schede di rete. Questo elimina la necessità di elevare strumenti generici o di pacchettizzare un’applicazione dedicata solo per cambiare un indirizzo IP.
Requisiti
I requisiti per poter usufruire della funzionalità Elevation system settings policy presente in EPM sono:
- Dispositivi Windows 11 gestiti da Microsoft Intune;
- Una elevation settings policy assegnata al dispositivo, con EPM abilitato;
- Company Portal installato sul dispositivo Windows utilizzato dall’utente per effettuare la modifica;
Al seguente link, sono inoltre disponibili i requisiti per l’utilizzo di Microsoft Endpoint Privilege Management.
Configurazione policy
Questa fase permette di predisporre le configurazioni necessarie per consentire all’utente standard di effettuare le modifiche sopra riportate; nel caso in cui non abbiate ancora creato una Elevation Settings policy per l’attivazione di EPM, potete seguire la guida prodotta al seguente link.
Riportiamo qui sotto gli step necessari alla creazione della policy:
- Eseguire l’accesso alla console Microsoft Intune con un account amministrativo.
- Accedere alla sezione Endpoint Security > Endpoint Privilege Management > Policies.
- Premere sul pulsante Create.
- Dal menu a tendina Platform, selezionare l’opzione Windows.
- Dal menu a tendina Profile, selezionare l’opzione Elevation system settings policy.
- Premere sul pulsante Create.
- Assegnare un nome alla policy che verrà creata ed un’eventuale descrizione.
- Premere sul pulsante Next.
- Espandere la voce Privilege Management e, per la voce Allow standard users to change network settings, spostare lo slider su Enabled.
- Una volta attivata l’opzione, verranno presentate altre due opzioni:
- Elevation type: selezionare User confirmed o Automatic in base alle modalità di elevazione che si vogliono impostare.
- Validation: selezionare Business justification, Windows authentication o entrambe, in base alla policy aziendale.
- Premere nuovamente sul pulsante Next.
- Assegnare lo/gli scope tag desiderati e premere sul pulsante Next.
- Premere sul pulsante Add groups per distribuire il profilo di configurazione ad uno specifico gruppo Entra ID oppure utilizzare i pulsanti Add all devices o Add all users per distribuire la policy sull’intero parco device Windows o su tutti gli utenti; successivamente procedere con il wizard, premendo sul pulsante Next.
- Premere sul pulsante Create per completare la procedura di creazione della policy.
NOTA: se non viene selezionata alcuna opzione di validazione, l’utente deve solo confermare l’intenzione di applicare la modifica. Per un primo rilascio, richiedere almeno la business justification permette di raccogliere nei report i motivi per cui gli utenti modificano la configurazione di rete.
User Experience
Una volta applicata correttamente la policy, l’utente sarà in grado di modificare le impostazioni di rete attraverso i seguenti semplici step:
- Aprire l’app Company Portal, andare in Help & support e selezionare Edit settings nel riquadro System settings.
- In base alla regola impostata in precedenza, inserire la business justification, autenticarsi o completare entrambe le operazioni.
- Nella finestra Endpoint Privilege Management – Network Settings, selezionare la scheda di rete da configurare (ad esempio: Ethernet).
- Nei dettagli della scheda, che mostrano i valori correnti di IPv4, IPv6 e DNS e le proprietà hardware, selezionare Edit accanto alla sezione da modificare.
- Dal menu a tendina, selezionare Automatic (DHCP) o Manual in base alle proprie necessità; in modalità manuale, i campi IPv4 sono IP Address, Subnet Mask, Gateway, Preferred DNS e Alternate DNS; i campi IPv6 sono IPv6 Address, Prefix Length, Gateway, Preferred DNS e Alternate DNS.
- Premere sul pulsante Save per completare la modifica.
Riferimenti
Si riportano alcuni utili riferimenti alle documentazioni ufficiali:
- Manage system settings with Endpoint Privilege Management
- Use Endpoint Privilege Management with Microsoft Intune
Conclusioni
La elevation system settings policy estende Endpoint Privilege Management dai file alle impostazioni di Windows, partendo da un’esigenza comune come la configurazione di rete dei dispositivi usati fuori ufficio. L’adozione di questa policy consente agli amministratori IT di eliminare un altro motivo per mantenere gli utenti come amministratori locali. La policy non introduce scadenze né azioni obbligatorie e può quindi essere valutata senza urgenza, soprattutto dalle organizzazioni che già usano EPM.