Управление доступом на основе ролей

Используйте управление доступом на основе ролей в Центре администрирования Microsoft Intune, чтобы управлять доступом к ресурсам вашей организации и тем, что они могут делать с этими ресурсами.

Встроенные роли

Автопатка Windows позволяет управлению доступом на основе ролей использовать наименее привилегированный доступ для распространения и делегирования управления клиентский компонент Центра обновления Windows в Microsoft Intune.

Разрешения, определенные в ролях администратора автопаток Windows или читателя автопаток Windows, используются для управления группами автозаполнения, запросами на поддержку, сообщениями автозаполнения и отчетами об автоматическом исправлении.

Для управления политиками обновления и отчетами клиентский компонент Центра обновления Windows требуется разрешение На конфигурацию устройства. Это разрешение доступно во встроенных ролях, таких как политики и диспетчер профилей.

Роли диспетчера политик и профилей

Роли диспетчера политик и профилей включают разрешения конфигурации устройств для управления политиками Intune, включая следующие политики обновления:

• Круги обновления
• Исправления
• Обновления компонентов
• Обновления драйверов

Администратор автозаполнения Windows

Роль администратора автозаключения Windows управляет всеми аспектами автозаполнения Windows:

• Группы автозамочений
• Отчеты об автоматическом исправлении
  • Отчеты о состоянии обновлений качества и компонентов и тенденциях
• Запросы и сообщения в службу поддержки

Средство чтения автопаток Windows

Средство чтения автопаток Windows может просматривать данные автозаполнения Windows, доступные в Microsoft Intune, но не могут вносить изменения.

Обновление ролей политики

Для управления обновлениями качества Windows, кругами обновлений, обновлением компонентов Windows, обновлением драйверов, Приложения Microsoft 365 и политиками Microsoft Edge пользователь должен иметь полные разрешения на конфигурацию устройств. В следующей таблице приведен полный список ролей управления обновлениями.

Чтобы успешно управлять автопаттированием Windows в качестве роли с более низкими привилегиями, у пользователя должны быть разрешения на автоматическое исправление Администратор, а также разрешения администратора политики и профиля.

роли Microsoft Entra

Следующие Microsoft Entra роли могут получить доступ к функциям автоматического исправления Windows через портал Microsoft Intune.

Пользовательские роли

Можно создать две настраиваемые роли, которые включают разрешения, необходимые для определенной роли задания.

Чтобы обеспечить управление всеми обновлениями, убедитесь, что группы, назначенные настраиваемой роли автозаписи, также являются членами роли диспетчера профилей политики & или настраиваемой роли с эквивалентными разрешениями.

Перейдите в раздел Администрирование> клиентаРоли>Создание настраиваемой роли>Windows Autopatch, чтобы создать настраиваемую роль.

Области

Автопатка Windows поддерживает теги Intune область и группы с областью действия, которые будут использоваться для распределенного управления обновлениями. Используйте Microsoft Intune для создания тегов область и управления ими.

• Автоматическое исправление Windows поддерживает Intune область для групп автозаполнения, назначений ролей автозаполнения, политик обновления и отчетов.
• Автоматическое исправление сообщений, поддержка и Администратор контакты не поддерживают области.
• Группы автозаполнения, созданные администраторами области, назначаются тем же область тегам, что и пользователь.
• Только администраторы с ограниченной областью, с теми же область тегами, назначенными им, могут изменять группы автозаписи и управлять ими.
• При создании групп автозаполнения и назначении тегов область созданные политики обновления наследуют те же область теги.
• Устройства, назначенные группам автозаписи, не наследуют группу автозаписи область тегов. Используйте Intune для назначения тега область устройствам.

Разрешения для групп автозаполнения

Группы автозаполнения создают Microsoft Entra группы и обновляют политики и назначают их группе в рамках рабочего процесса. Для успешного завершения рабочего процесса требуются оба разрешения. Параметр для создания групп автозаполнения доступен только в том случае, если у пользователя включены оба разрешения.

1. Конфигурация устройства, все разрешения
2. Группа автоматического исправления Windows, все разрешения

Группы автозаполнения Windows, которым назначены теги области, видны только пользователям с этими область тегами. Это гарантирует, что ИТ-администратор может управлять развертыванием на основе кругов с помощью групп автозаполнения и не влияет на область несоответствия.

Когда пользователю назначены группы с заданной областью, он может назначать только группы с заданной областью для распространения по кругам развертывания.

Администраторы с ограниченной областью и группы автозаполнения

В Intune администраторов с ограниченной областью только пользователь-администратор, которому назначены определенные область теги и группы с заданной областью, может назначать политики только группам с областью.

Администраторы с ограниченной областью и рабочий процесс группы автозаполнения

В рамках рабочего процесса создания группы автоматического исправления Windows автопамять создает Microsoft Entra группы и политики обновления для выбранных параметров развертывания. Чтобы назначить политики обновления только что созданным кругам развертывания, необходимо включить группу автопатчи в качестве группы с областью действия в роль, содержащую разрешения конфигурации устройства.

В следующей таблице описан рабочий процесс высокого уровня:

Назначение тегов область группам автозаполнения

1. В Центре администрирования Microsoft Intuneперейдите в раздел Администрирование> клиента. Группы> автозаполнениявыберите группу. Все круги и политики группы автозаполнения имеют одинаковые область.
2. В параметре Добавить группу в круг выберите Microsoft Entra группы, назначаемые группе Автозапись. Для выбора доступны только группы с область объектами.
3. Перейдите в область свойств >(теги)>Изменить>Выберите область теги> выберите теги, которые нужно добавить в профиль. Объекту можно назначить не более 100 тегов область.
   1. Раздел Группа области отображается, когда служба обнаруживает группы автозаполнения, созданные до управления доступом на основе ролей. Это означает, что создается группа Microsoft Entra, которую можно добавить как группу с областью действия. Администратор с ограниченной областью может управлять этой группой автозаполнения, если она включена в их область.
   2. Чтобы назначить группы с заданной областью, выполните действия, описанные в разделе Рабочий процесс администраторов и групп автозаполнения .
4. Выберите Просмотр и сохранение.

Известные проблемы

Windows 365 Корпоративная позволяет ИТ-администраторам регистрировать устройства с помощью автоматического исправления Windows в рамках создания политики подготовки Windows 365. Для выполнения этого действия необходимо быть администратором службы Intune.

Общие сведения об устранении неполадок