הגדרת הרשאות לחשבון במכשירי Windows 10 או Windows 11

התכונה הזו נתמכת במהדורות הבאות: Frontline Starter,‏ Frontline Standard ו-Frontline Plus,‏ Business Plus,‏ Enterprise Standard ו-Enterprise Plus,‏ Education Standard,‏ Education Plus ו-Endpoint Education Upgrade,‏ Enterprise Essentials ו-Enterprise Essentials Plus,‏ Cloud Identity Premium. השוואה בין המהדורות

אדמינים יכולים לשנות את ההגדרה של רמת ההרשאות האדמיניסטרטיביות המקומיות שמשתמש יכול לקבל במכשירי Microsoft Windows 10 או 11. לדוגמה, אתם יכולים לאפשר שליטה מוגבלת או גישה מלאה. רמת ההרשאה הזו ניתנת לחשבון Windows שמשויך לחשבון Google של משתמש, ולא לחשבון Google של משתמש.

אפשר גם להעניק הרשאות אדמין לחשבונות Windows קיימים אחרים. החשבונות האלה יכולים להיות מקומיים למכשיר או משתמשים וקבוצות של Microsoft Active Directory, גם אם הם עדיין לא נכנסו למכשיר.

לפני שמתחילים

כדי לתת הרשאות אדמין מקומיות, המכשיר צריך להיות בניהול מכשירי Windows.

הגדרת הרשאות אדמין

לפני שמתחילים: אם צריכים להגדיר מחלקה או צוות עבור ההגדרה הזאת, עוברים אל הוספת יחידה ארגונית.

ההגדרה הזו עוזרת לכם לנהל את הרשאות האדמין המקומיות למשתמשי Google Credential Provider for Windows‏ (GCPW). משתמש GCPW יכול להיות משתמש רגיל או אדמין מקומי.

כדי להחיל את הגדרות ההרשאות האלה, המערכת משתמשת בספק שירותי התצורה (CSP) LocalUsersAndGroups של מיקרוסופט במהלך אירוע הסנכרון של המכשיר. כשההגדרה ניהול גישת אדמין מקומית למכשירים מופעלת במסוף Google Admin, ספק שירותי ה-CSP מעבד את ההגדרה כדי להעניק הרשאות אדמין מקומיות למשתמשי GCPW ולמשתמשי Active Directory, לקבוצות או למשתמשי Windows מקומיים שכלולים בשדה חשבונות עם גישת אדמין מקומית.

  1. במסוף Google Admin, נכנסים לתפריט ואז מכשירים ואז ניידים ונקודות קצה ואז הגדרות ואז Windows.

    כדי לעשות את זה צריך הרשאת אדמין לניהול מכשירים ניידים.

  2. לוחצים על הגדרות חשבון.
  3. (אופציונלי) כדי להחיל את ההגדרה רק על מחלקה או על צוות, בצד, בוחרים יחידה ארגונית.
  4. בשדה Value, בוחרים באפשרות Enabled.

  5. הגדרת הרשאות החשבון למשתמשי GCPW:

    • כדי להקצות למשתמשים חשבונות רגילים ללא הרשאות אדמין, בוחרים באפשרות משתמש רגיל בסוג חשבון משתמש.

    • כדי להקצות למשתמשים הרשאות אדמין מקומיות, בוחרים באפשרות אדמין מקומי בסוג חשבון המשתמש.

      מגבלה ב-Windows: משתמשי GCPW מתווספים לקבוצת האדמינים אחרי שהם נכנסים לחשבון בפעם הראשונה והמכשיר שלהם מסתנכרן. עם זאת, ההגדרה של הרשאות החשבון שלהם תיכנס לתוקף רק אחרי הכניסה הבאה שלהם.

  6. (אופציונלי) כדי לתת הרשאות אדמין מקומיות למשתמשים קיימים ב-Active Directory, לקבוצות ב-Active Directory או לחשבונות משתמשים מקומיים ב-Windows, מוסיפים אותם בשדה Accounts with local administrative access. משתמשים בפורמטים הבאים ומפרידים בין כמה ערכים באמצעות פסיקים:

    • משתמשי Active Directory: YourDomain\user (לדוגמה, YourDomain\jsmith)
    • קבוצות ב-Active Directory: YourDomain\group (לדוגמה, YourDomain\jsmith, YourDomain\Win11admins)
    • משתמשים מקומיים: שם המשתמש (לדוגמה, lrayes, ‏ YourDomain\jsmith, rnguyen, ‏ YourDomain\Win11admins, ‏ hcampbell, ‏ bkwan)

    אם תזינו שם של חשבון שלא קיים, לא ייווצר חשבון חדש במכשיר. המערכת מתעלמת מחשבונות לא קיימים ומעבדת את החשבונות התקינים שנותרו. הסרת שמות של משתמשים או קבוצות מהשדה Accounts with local administrative access (חשבונות עם גישת אדמין מקומית) לא מסירה אותם מקבוצת האדמינים המקומית. עם זאת, השמות שהוסרו לא יתווספו במהלך סנכרון עתידי של המכשיר.

    חשוב: מומלץ לא להשתמש בשדה Accounts with local administrative access. השדה הזה קיים רק למטרות היסטוריות, ולא סביר שתצטרכו אותו.

  7. לוחצים על שמירה. לחלופין, אפשר ללחוץ על שינוי מברירת המחדל לגבי יחידה ארגונית מסוימת.

    אם מאוחר יותר רוצים לשחזר את הערך שעבר בירושה, לוחצים על ירושה.

פתרון בעיות

אם הגדרות הניהול לא מוחלות כמו שרציתם, תוכלו לבדוק את יומני האירועים של ניהול המכשיר במכשיר Windows כדי לקבל מידע מפורט לצורך אבחון.

כדי לראות את יומני האירועים של ניהול המכשירים:

  1. במכשיר היעד, פותחים את Event Viewer. כדי למצוא את הכלי Event Viewer, מחפשים אותו בתפריט 'התחלה' של Windows.
  2. עוברים אל Applications and Services Logs (יומני אפליקציות ושירותים) ואז Microsoft ואז Windows ואז DeviceManagement-Enterprise-Diagnostics-Provider (ספק אבחון לניהול מכשירים – ארגוני) ואז Admin (אדמין).
  3. בודקים את האירועים שקשורים ל-CSP LocalUsersAndGroups.

יומנים לדוגמה:

MDM PolicyManager: Set policy string, Policy: (Configure), Area: (LocalUsersAndGroups), EnrollmentID requesting set: (<Enrollment GUID>), Current User: (Device), String: (<GroupConfiguration><accessgroup desc="<Target Group>"<group action="U" /><add member="TEST_DEVICE\test1"/></accessgroup></GroupConfiguration>), Enrollment Type: (0x0), Scope: (0x0), Result: (0x80070534) No mapping between account names and security IDs was done.

סקירה כללית: אבטחת מחשב משופרת ל-Windows


‫Google‏, Google Workspace וסימנים וסמלי לוגו קשורים הם סימנים מסחריים של Google LLC. כל שמות החברות והמוצרים האחרים הם סימנים מסחריים של החברות שאליהן הם משויכים.