Lokale Admin- und Rechteverwaltung mit Intune
Auf dieser Seite
Einleitung
Die meisten Betriebssysteme kennen zwei Stufen der Benutzerinteraktion: Standard oder erhöht, auch als Administrator bekannt. Unter Windows im Unternehmensumfeld arbeiten Benutzer meist mit Standardberechtigungen. Die IT hat Zugriff auf Administratorkonten, die das System verändern, Anwendungen installieren und Änderungen am ganzen System vornehmen können. Die technische Kontrolle findet sich in der Konsole «Lokale Benutzer und Gruppen»: Dort gibt es eine eigene Gruppe Administratoren, und ihre Mitglieder haben volle Adminberechtigungen.
Organisationen, die ihre Geräte mit Mobile Device Management verwalten, regeln die lokalen Administratorrechte oft im Thema Account Protection. Das ist eine Empfehlung des Microsoft Security Configuration Framework, um Systeme sicher zu halten.
Sicherheitshinweise
Aus Sicherheitssicht ist das ein grosses Thema, denn Angreifer haben vollen Zugriff auf das Betriebssystem, sobald sie lokale Administratorrechte erlangen.
Zusätzlich solltest du unbedingt verhindern, dass lokale Administratorkonten mit denselben Zugangsdaten auf mehreren Geräten genutzt werden. Das ist eine massive Schwachstelle, über die alle deine Systeme kompromittiert werden können. Zugriff auf ein Konto mit solchen Berechtigungen bedeutet Zugriff auf alle deine Geräte. Das nennt man Lateral-Traversal-Angriffe.
Ansätze
Für die Verwaltung und Kontrolle lokaler Administratoren kannst du einen oder mehrere dieser gängigen Ansätze verfolgen:
- Entra roles - zugewiesene Benutzerrollen, die auf allen Entra-joined Geräten lokale Admins sind
- Intune Account Protection Policy - Intune-Endpoint-Security-Policy, die lokale Gruppenmitgliedschaften für Zielgruppen und zugewiesene Gruppen konfiguriert
- Endpoint Privilege Management (EPM) - definierte Programme mit erhöhten Berechtigungen ausführen, gesteuert über Intune-Policies
- Windows LAPS - die neue Local Admin Password Solution (LAPS), die auch Geräte unterstützt, die nur Entra joined sind
Policy für das Standardverhalten
Das Microsoft Security Configuration Framework (Level 1) nennt diese Konfigurationen der Security Baseline:
Autopilot Deployment Profile
Dazu gibt es auch eine Option im Autopilot Deployment Profile. Dort legst du fest, ob Benutzer auf dem Gerät Administratoren oder Standardbenutzer sind.
Entra roles
Benutzer mit einer dieser beiden Rollen sind auf jedem Entra-joined Gerät des Tenants Mitglied der lokalen Administratorengruppe.
Auf dem Windows-Client siehst du das in «Lokale Benutzer und Gruppen»:
Intune Account Protection Policy
Unter Endpoint security > Account protection kannst du eine Policy «Local user group membership» erstellen. Das ist eine geeignete Option, um eine der bekannten lokalen Gruppen (Administrators, Users, Guests und so weiter) mit Entra-ID-Benutzern und -Gruppen zu aktualisieren, zu entfernen oder zu ersetzen. Eine «manuelle» Aktualisierung ist auch mit Benutzername oder Security Identifier (SID) möglich, statt mit Entra-ID-Identitäten.
Endpoint Privilege Management
Hinweis: Als ich diesen Blog-Post schrieb (April 2023), war Endpoint Privilege Management (EPM) Teil der Intune-Suite-Lizenz und in der Public Preview. Heute ist es allgemein verfügbar. Mein Kollege Fabrizio hat dazu einen guten Post veröffentlicht.
Funktionsweise
Mit EPM-Policies in Intune können Elevation Policies und Rules eine Reihe von Attributen enthalten, die an eine Anwendung oder Datei gebunden sind, die für Standardbenutzer elevated werden darf. Ein Justification-Prozess ist integriert.
Use Cases
Im Moment sehe ich EPM nur für einige besondere Use Cases als anwendbar. Meiner Meinung nach eignet es sich besonders für Apps, die statisch und immer gleich sind.
Einschränkungen und was fehlt
- Funktioniert nur auf Entra-joined und Entra-hybrid-joined Geräten (Windows Server muss hybrid joined sein)
- Keine Genehmigung auf Abruf für die Elevation (das war der Stand beim Original, heute gibt es Support-approved-Regeln)
- Zum Zeitpunkt des Originalposts auf keiner VDI-Infrastruktur unterstützt (heute werden AVD Single-Session und Windows 365 unterstützt)
- SSL-Inspection wird für die URL «dm.microsoft.com», die EPM nutzt, nicht unterstützt
- Unbekannte Dateien aus dem Internet oder Netzwerk schlagen fehl oder brauchen Zeit, bis die Elevation funktioniert
- Das Reporting funktioniert nicht (in meiner und ein paar anderen Umgebungen)
- Das Company Portal kann nach dem EPM-Deployment kaputtgehen (mehr dazu von Rudy Ooms)
Windows LAPS
Die Windows Local Administrator Password Solution ist der Nachfolger von Legacy LAPS. Sie unterstützt jetzt auch Geräte, die nur Entra joined sind. Die lokalen Anmeldedaten des Geräts (des Adminkontos) werden im Geräteobjekt in Entra ID gespeichert (alternativ auch im Geräteobjekt im lokalen AD). Ein Admin mit den passenden Rollen und Berechtigungen kann die Anmeldedaten über die Graph API lesen.
Der grosse Vorteil von LAPS: Jedes Gerät hat ein eigenes lokales Administratorkonto, dessen Passwort regelmässig rotiert. Das verhindert Lateral-Traversal-Angriffe und sichert den Ablauf für Support-Aktionen, bei denen erhöhte Berechtigungen nötig sind.
Was heisst das für Schweizer Firmen?
- Lokale Adminrechte auf Geräten sind in KMU und bei IT-Dienstleistern oft historisch gewachsen. Prüfe zuerst, wer heute Mitglied der lokalen Administratorengruppe ist und über welchen Weg
- EPM braucht eine Lizenz zusätzlich zu Intune (Intune Suite oder separates Add-on): Kläre die Lizenzfrage, bevor du es einführst
- Wenn du LAPS-Passwörter in Entra ID speicherst, liegen sie im Verzeichnis deines Tenants. Der Datenstandort richtet sich nach dem Land, das bei der Tenant-Erstellung gewählt wurde: Entra ID kennt Geo-Locations (für Schweizer Tenants EMEA), nicht die Azure-Regionen Switzerland North und West. Klär das mit deinem Datenschutzverantwortlichen, falls das revDSG oder Kundenverträge einen Datenstandort fordern
Verwandte Beiträge
