Ustawianie uprawnień konta na urządzeniach z systemem Windows 10 lub 11

Ta funkcja jest dostępna w tych wersjach: Frontline Starter, Frontline Standard i Frontline Plus, Business Plus, Enterprise Standard i Enterprise Plus, Education Standard, Education Plus i Endpoint Education Upgrade, Enterprise Essentials i Enterprise Essentials Plus oraz Cloud Identity Premium. Porównaj wersje

Jako administrator możesz zmienić ustawienie lokalnego poziomu uprawnień administracyjnych, które użytkownik może mieć na urządzeniach z systemem Microsoft Windows 10 lub 11. Możesz na przykład przyznać mu ograniczoną kontrolę lub pełny dostęp. Ten poziom uprawnień jest przyznawany kontu Windows powiązanemu z kontem Google użytkownika, a nie kontu Google użytkownika.

Możesz też przyznać uprawnienia administracyjne innym istniejącym kontom systemu Windows. Mogą być to konta przypisane do urządzenia lub użytkowników i grup Microsoft Active Directory, nawet jeśli nie zalogowali się jeszcze na urządzeniu.

Zanim zaczniesz

Aby przyznać lokalne uprawnienia administracyjne, urządzenie musi być objęte zarządzaniem urządzeniami z systemem Windows.

Ustawianie uprawnień administracyjnych

Zanim zaczniesz: jeśli musisz skonfigurować dział lub zespół dla tego ustawienia, przeczytaj artykuł Dodawanie jednostki organizacyjnej.

To ustawienie pomaga zarządzać lokalnym dostępem administracyjnym użytkowników dostawcy danych uwierzytelniających Google do systemów Windows (GCPW). Użytkownik GCPW może być zwykłym użytkownikiem lub administratorem lokalnym.

Aby zastosować te ustawienia uprawnień, system używa dostawcy usług konfiguracji (CSP) LocalUsersAndGroups firmy Microsoft podczas synchronizacji urządzenia. Gdy w konsoli administracyjnej Google włączona jest opcja Zarządzaj lokalnym dostępem administracyjnym do urządzeń , dostawca CSP przetwarza konfigurację, aby przyznać uprawnienia administratora lokalnego użytkownikom GCPW oraz istniejącym użytkownikom, grupom lub lokalnym użytkownikom systemu Windows Active Directory, którzy są uwzględnieni w polu Konta z lokalnym dostępem administracyjnym.

  1. W konsoli administracyjnej Google otwórz Menu a potem Urządzenia a potem Urządzenia mobilne i punkty końcowe a potem Ustawienia a potem Windows.

    Wymaga uprawnień administratora Zarządzanie urządzeniami mobilnymi.

  2. Kliknij Ustawienia konta.
  3. (Opcjonalnie) Aby zastosować ustawienie na potrzeby działu lub zespołu, z boku wybierz jednostkę organizacyjną.
  4. W przypadku opcji Wartość wybierz Włączone.

  5. Ustaw uprawnienia konta dla użytkowników GCPW:

    • Aby przypisać użytkownikom konta standardowe bez uprawnień administratora, w przypadku opcji Typ konta użytkownika wybierz Zwykły użytkownik.

    • Aby przyznać użytkownikom uprawnienia administratorów lokalnych, w przypadku opcji Typ konta użytkownika, wybierz Administrator lokalny.

      Ograniczenie systemu Windows: użytkownicy GCPW są dodawani do grupy administratorów po pierwszym zalogowaniu się i zsynchronizowaniu urządzenia. Ustawienie uprawnień konta zacznie jednak obowiązywać dopiero po następnym zalogowaniu.

  6. (Opcjonalnie) Aby przyznać uprawnienia administratora lokalnego istniejącym użytkownikom Active Directory, grupom Active Directory lub lokalnym kontom użytkowników systemu Windows, dodaj ich w polu Konta z lokalnym dostępem administracyjnym. Użyj tych formatów, oddzielając poszczególne wartości przecinkami:

    • Użytkownicy Active Directory: TwojaDomena\użytkownik (np. TwojaDomena\jkowalski)
    • Grupy Active Directory: TwojaDomena\grupa (np. TwojaDomena\jkowalski, TwojaDomena\administratorzyWin11)
    • Użytkownicy lokalni: nazwa_użytkownika (np. anowak, TwojaDomena\jkowalski, zmazur, TwojaDomena\administratorzyWin11, hcampbell, bkwan)

    Jeśli podasz nazwę konta, które nie istnieje, nowe konto nie zostanie utworzone na urządzeniu. Konta, które nie istnieją, są ignorowane, a pozostałe prawidłowe konta są przetwarzane. Usunięcie nazw użytkowników lub grup z pola Konta z lokalnym dostępem administracyjnym nie powoduje usunięcia ich z grupy administratorów lokalnych. Usunięte nazwy nie są jednak dodawane podczas przyszłych synchronizacji urządzeń.

    Ważne: zalecamy, aby nie używać pola Konta z lokalnym dostępem administracyjnym. To pole istnieje tylko ze względów historycznych i prawdopodobnie nie będzie potrzebne.

  7. Kliknij Zapisz. W przypadku jednostki organizacyjnej możesz też kliknąć Zastąp.

    Aby później przywrócić odziedziczoną wartość, kliknij Odziedzicz.

Rozwiązywanie problemów

Jeśli ustawienia administracyjne nie są stosowane zgodnie z Twoimi oczekiwaniami, możesz przejrzeć dzienniki zdarzeń zarządzania urządzeniami na urządzeniu z systemem Windows, aby uzyskać szczegółowe informacje diagnostyczne.

Aby wyświetlić dzienniki zdarzeń zarządzania urządzeniami:

  1. Na urządzeniu docelowym otwórz Podgląd zdarzeń. Podgląd zdarzeń znajdziesz, wyszukując go w menu Start systemu Windows.
  2. Otwórz Dzienniki aplikacji i usług a potem Microsoft a potem Windows a potem DeviceManagement-Enterprise-Diagnostics-Provider a potem Administrator.
  3. Przejrzyj zdarzenia związane z dostawcą CSP LocalUsersAndGroups.

Przykładowe dzienniki:

MDM PolicyManager: Set policy string, Policy: (Configure), Area: (LocalUsersAndGroups), EnrollmentID requesting set: (<Enrollment GUID>), Current User: (Device), String: (<GroupConfiguration><accessgroup desc="<Target Group>"<group action="U" /><add member="TEST_DEVICE\test1"/></accessgroup></GroupConfiguration>), Enrollment Type: (0x0), Scope: (0x0), Result: (0x80070534) No mapping between account names and security IDs was done.

Omówienie: rozszerzona ochrona komputera z systemem Windows


Google, Google Workspace oraz powiązane znaki i logotypy są znakami towarowymi firmy Google LLC. Wszystkie inne nazwy firm i produktów są znakami towarowymi należącymi do ich właścicieli.