Ange kontobehörigheter på Windows 10- eller 11-enheter

Utgåvor som stöds för den här funktionen: Frontline Starter, Frontline Standard och Frontline Plus, Business Plus, Enterprise Standard och Enterprise Plus, Education Standard, Education Plus och Endpoint Education Upgrade, Enterprise Essentials och Enterprise Essentials Plus, Cloud Identity Premium. Jämför utgåvor

Som administratör kan du ändra inställningen för den lokala administrativa behörighetsnivå som en användare kan ha på sina Microsoft Windows 10- eller 11-enheter. Du kan till exempel tillåta begränsad kontroll eller fullständig åtkomst. Den här behörighetsnivån beviljas Windows-kontot som är kopplat till en användares Google-konto, inte till en användares Google-konto.

Du kan även ge administratörsbehörighet till andra befintliga Windows-konton. Dessa konton kan vara lokala på enheten eller Microsoft Active Directory-användare och -grupper, även om de inte har loggat in på enheten ännu.

Innan du börjar

Om du vill ge lokal administratörsbehörighet måste enheten hanteras med Windows-enhetshantering.

Ange administratörsbehörigheter

Innan du börjar: Om du behöver konfigurera en avdelning eller ett team för den här inställningen går du till Lägg till en organisationsenhet.

Med den här inställningen kan du hantera den lokala administratörsåtkomsten för användare av Googles autentiseringsprovider för Windows (GCPW). En GCPW-användare kan vara en standardanvändare eller en lokal administratör.

För att tillämpa dessa behörighetsinställningar använder systemet Microsoft LocalUsersAndGroups Configuration Service Provider (CSP) under enhetssynkroniseringen. När Hantera lokal administrativ åtkomst till enheter är aktiverat i Googles administratörskonsol behandlar CSP konfigurationen för att bevilja lokala administratörsbehörigheter till GCPW-användare och befintliga Active Directory-användare, grupper eller lokala Windows-användare som ingår i fältet Konton med lokal administrativ åtkomst.

  1. I Googles administratörskonsol går du till menyn följt av Enheter följt av Mobil och ändpunkter följt av Inställningar följt av Windows.

    Kräver administratörsbehörighet för hantering av mobila enheter.

  2. Klicka på Kontoinställningar.
  3. (Valfritt) Välj en organisationsenhet vid sidan om du vill att inställningen ska gälla för en avdelning eller ett team.
  4. Välj Aktiverad som Värde.

  5. Ange kontobehörigheter för GCPW-användare:

    • Om du vill tilldela användare standardkonton utan administratörsbehörighet väljer du Standardanvändare för Användarkontotyp.

    • Om du vill tilldela användarna lokala administrativa behörigheter väljer du Lokal administratör för Användarkontotyp.

      Windows-begränsning: GCPW-användare läggs till i administratörsgruppen när de har loggat in för första gången och enheten har synkroniserats. Inställningen för kontobehörigheter träder dock i kraft först efter nästa inloggning.

  6. (Valfritt) Om du vill ge lokala administratörsbehörigheter till befintliga Active Directory-användare, Active Directory-grupper eller lokala Windows-användarkonton lägger du till dem i fältet Konton med lokal administrativ åtkomst. Använd följande format och avgränsa flera värden med kommatecken:

    • Active Directory-användare: DinDomän\användare (till exempel DinDomän\jsmith)
    • Active Directory-grupper: DinDomän\grupp (till exempel DinDomän\jsmith, DinDomän\Win11admins)
    • Lokala användare: användarnamn (till exempel lrayes, DinDomän\jsmith, rnguyen, DinDomän\Win11admins, hcampbell, bkwan)

    Om du anger ett kontonamn som inte finns skapas inget nytt konto på enheten. Obefintliga konton ignoreras och de återstående giltiga kontona behandlas. Om du tar bort användar- eller gruppnamn från fältet Konton med lokal administrativ åtkomst tas de inte bort från gruppen Lokal administratör. De borttagna namnen läggs dock inte till vid framtida enhetssynkroniseringar.

    Viktigt! Vi rekommenderar att du inte använder fältet Konton med lokal administratörsåtkomst. Det här fältet finns endast av historiska skäl och behövs troligen inte.

  7. Klicka på Spara. Du kan även klicka på Åsidosätt för en organisationsenhet.

    Om du vill återställa det ärvda värdet senare klickar du på Ärv.

Felsökning

Om administratörsinställningarna inte tillämpas som du tänkt dig kan du granska händelseloggarna för enhetshantering på Windows-enheten för att få detaljerad diagnostisk information.

Så här visar du händelseloggarna för enhetshantering:

  1. Öppna Loggboken på målenheten. Du hittar Loggboken genom att söka efter den i Windows Start-meny.
  2. Öppna Appar och tjänstloggar följt av Microsoft följt av Windows följt av DeviceManagement-Enterprise-Diagnostics-Provider följt av Administratör.
  3. Granska händelserna som rör CSP LocalUsersAndGroups.

Exempel på loggar:

MDM PolicyManager: Set policy string, Policy: (Configure), Area: (LocalUsersAndGroups), EnrollmentID requesting set: (<Enrollment GUID>), Current User: (Device), String: (<GroupConfiguration><accessgroup desc="<Target Group>"<group action="U" /><add member="TEST_DEVICE\test1"/></accessgroup></GroupConfiguration>), Enrollment Type: (0x0), Scope: (0x0), Result: (0x80070534) No mapping between account names and security IDs was done.

Översikt: Förbättrad skrivbordssäkerhet för Windows


Google, Google Workspace och tillhörande märken och logotyper är varumärken som tillhör Google LLC. Alla andra företags- och produktnamn är varumärken som tillhör de företag som de är kopplade till.