Retirer en toute sécurité les droits d’administrateur local grâce à l’élévation des applications

Avant de commencer

• Qui peut le faire : toute personne qui peut voir la page peut l’examiner; la création de règles d’autorisation exige l’autorisation Règles ou Administrateur de l’élévation
• Forfait : Contrôle des applications + PAM (module complémentaire, ou inclus dans Complete). Voir les tarifs.
• Par où commencer : ouvrez Revue d’audit de l’élévation dans votre console.

Étapes

1. Activer l’élévation des applications. Activez-la pour l’entreprise; rien n’est encore appliqué

   Voyez en un coup d’œil comment fonctionne l’élévation des applications : dans quel mode se trouve chaque entreprise, combien d’ordinateurs sont inscrits, ce qui attend une approbation et quels ordinateurs ont actuellement l’élévation d’administrateur activée.

   Tiré de l’article : Comment activer l’élévation des applications pour une entreprise

   1. Sélectionnez l’entreprise dans le sélecteur d’entreprise.
   2. Sélectionnez Enable Application Elevation.
   3. La page se recharge sur le tableau de bord. Allez à Paramètres et choisissez un mode de fonctionnement. Commencez par Audit.

   Ouvrir Tableau de bord de l’élévation des applications dans votre console →

2. Choisir le mode Audit. Consigne ce qui serait bloqué, ne bloque rien

   Choisissez comment l’élévation des applications fonctionne pour une entreprise, la durée des approbations, qui est avisé et ce que voient les utilisateurs.

   Ouvrir Paramètres de l’élévation dans votre console →

3. Vérifier que les ordinateurs sont inscrits. Repérez les ordinateurs « Not installed » et ceux synchronisés « never »

   Voyez quels ordinateurs exécutent l’agent d’élévation, dans quel mode se trouve chacun, et changez le mode d’un seul ordinateur lorsqu’il doit différer de celui de l’entreprise.

   Tiré de l’article : Comment repérer les ordinateurs qui n’ont pas encore l’agent

   1. Laissez Enrolled devices only désactivé.
   2. Triez selon Enrolled. Les appareils qui affichent « Not installed » n’ont pas encore l’agent d’élévation.

   Ouvrir Appareils d’élévation dans votre console →

4. Examiner ce qui a exigé des droits d’administrateur. Autorisez les éditeurs de confiance à partir de 30 jours d’historique

   Avant de passer à Enforce, voyez tout ce qui a exigé des droits d’administrateur au cours des 30 derniers jours et autorisez en un clic les éléments courants et de confiance.

   Tiré de l’article : Comment autoriser un éditeur de confiance

   1. Laissez le regroupement sur Group by signer (publisher).
   2. Repérez l’éditeur dans Top elevation candidates. La liste est triée par nombre, du plus fréquent au moins fréquent.
   3. Sélectionnez Allow.
   4. Vérifiez la Rule affichée dans la boîte de dialogue et, au besoin, ajustez le Risk threshold (60 par défaut) ou la Confidence (80 par défaut).
   5. Sélectionnez Create allow rule. La règle approuve automatiquement les futures élévations correspondantes, dans toute l’entreprise.

   Ouvrir Revue d’audit de l’élévation dans votre console →

5. Importer les modèles de fournisseurs. Approuvez automatiquement les programmes d’installation des logiciels que vous utilisez

   Importez des ensembles de règles prêts à l’emploi pour les logiciels d’affaires courants, afin que leurs programmes d’installation et de mise à jour s’exécutent sans invite.

   Tiré de l’article : Comment importer un modèle

   1. Saisissez le nom du fournisseur dans Filter templates by name or vendor….
   2. Sélectionnez la carte du modèle.
   3. Examinez les règles dans la boîte de dialogue.
   4. Sélectionnez Import all rules, puis Import pour confirmer. Un message confirme le nombre de règles importées.

   Ouvrir Modèles de fournisseurs d’élévation dans votre console →

6. Vérifier vos règles. Révoquez tout ce qui est trop large

   Décidez à l’avance quels programmes peuvent s’exécuter avec des droits d’administrateur, lesquels sont refusés et lesquels doivent être approuvés par quelqu’un.

   Tiré de l’article : Comment révoquer une règle

   1. Repérez la règle dans la liste et sélectionnez l’icône de corbeille.
   2. Confirmez Revoke rule?. Les ordinateurs cessent de la respecter à la prochaine diffusion d’ensemble.

   Ouvrir Règles d’élévation dans votre console →

7. Passer à Enforce. Sélectionnez la carte Enforce

   Tiré de l’article : Comment passer d’Audit à Enforce

   1. Examinez la page Revue d’audit et autorisez d’abord les éléments courants.
   2. Sélectionnez la carte Enforce. Le mode change immédiatement.
   3. Vous pouvez aussi définir Audit period (days) pour qu’Audit passe à Enforce de lui-même après ce nombre de jours (0 signifie aucun passage automatique).

   Ouvrir Paramètres de l’élévation dans votre console →

8. Approuver ce qui reste. Transformez les approbations répétitives en règles

   Approuvez ou refusez les demandes des personnes qui doivent exécuter un programme avec des droits d’administrateur, et transformez les bonnes décisions en règles pour que la même demande ne revienne pas.

   Tiré de l’article : Comment approuver une demande et créer une règle en même temps

   1. Sélectionnez Approve sur la demande.
   2. Cochez Also create a rule from this request, ou choisissez Permanent (create rule) comme TTL.
   3. Dans What should the rule match on?, choisissez Publisher, Signing certificate, MSI product, This exact file, This exact MSI ou Path. L’option la plus précise est choisie pour vous.
   4. Sélectionnez Approve.

   Ouvrir Demandes d’élévation en attente dans votre console →

Une fois terminé

Les ordinateurs sont en mode Enforce, les logiciels que vous utilisez s’exécutent sans invite et toute nouveauté vous est soumise pour approbation.

Articles sur les pages de ce guide

• Revue d’audit de l’élévation : Avant de passer à Enforce, voyez tout ce qui a exigé des droits d’administrateur au cours des 30 derniers jours et autorisez en un clic les éléments courants et de confiance.
• Tableau de bord de l’élévation des applications : Voyez en un coup d’œil comment fonctionne l’élévation des applications : dans quel mode se trouve chaque entreprise, combien d’ordinateurs sont inscrits, ce qui attend une approbation et quels ordinateurs ont actuellement l’élévation d’administrateur activée.
• Appareils d’élévation : Voyez quels ordinateurs exécutent l’agent d’élévation, dans quel mode se trouve chacun, et changez le mode d’un seul ordinateur lorsqu’il doit différer de celui de l’entreprise.
• Demandes d’élévation en attente : Approuvez ou refusez les demandes des personnes qui doivent exécuter un programme avec des droits d’administrateur, et transformez les bonnes décisions en règles pour que la même demande ne revienne pas.
• Règles d’élévation : Décidez à l’avance quels programmes peuvent s’exécuter avec des droits d’administrateur, lesquels sont refusés et lesquels doivent être approuvés par quelqu’un.
• Paramètres de l’élévation : Choisissez comment l’élévation des applications fonctionne pour une entreprise, la durée des approbations, qui est avisé et ce que voient les utilisateurs.
• Modèles de fournisseurs d’élévation : Importez des ensembles de règles prêts à l’emploi pour les logiciels d’affaires courants, afin que leurs programmes d’installation et de mise à jour s’exécutent sans invite.

Besoin d’aide?

Consultez le centre de soutien ou communiquez avec notre équipe de soutien en nous indiquant à quelle étape vous êtes rendu :

• Clavardage : utilisez le bouton de clavardage dans le coin inférieur droit de cette page pour joindre notre équipe immédiatement. Lorsque le consentement aux témoins est requis, le clavardage démarre après votre acceptation (paramètres des témoins).
• Courriel : envoyez un message à notre équipe de soutien par la page Nous joindre. Il est transmis directement à une personne.
• Téléphone : AB : 1-403-538-5053, C.-B. : 1-778-731-1339, ON : 1-289-724-8829, É.-U. : 1-406-988-7333, R.-U. : +44 20 3695 9786.

← Tous les guides pratiques