Ustawianie uprawnień konta na urządzeniach z systemem Windows 10 lub 11

Ta funkcja jest dostępna w tych wersjach: Frontline Starter, Frontline Standard i Frontline Plus; Business Plus; Enterprise Standard i Enterprise Plus; Education Standard, Education Plus i Endpoint Education Upgrade; Enterprise Essentials i Enterprise Essentials Plus; Cloud Identity Premium. Porównanie wersji

Jako administrator możesz zmienić ustawienie lokalnego poziomu uprawnień administracyjnych, który użytkownik może mieć na urządzeniach z systemem Microsoft Windows 10 lub 11. Możesz na przykład przyznać mu ograniczoną kontrolę lub pełny dostęp. Ten poziom uprawnień jest przyznawany kontu Windows powiązanemu z kontem Google użytkownika, a nie kontu Google użytkownika.

Możesz też przyznać uprawnienia administratora innym istniejącym kontom systemu Windows. Mogą to być konta lokalne na urządzeniu lub konta użytkowników i grup Microsoft Active Directory, nawet jeśli nie zalogowali się jeszcze na urządzeniu.

Zanim zaczniesz

Aby przyznać lokalne uprawnienia administratora, urządzenie musi być objęte usługą zarządzania urządzeniami z systemem Windows.

Ustawianie uprawnień administratora

Zanim zaczniesz: jeśli musisz skonfigurować dział lub zespół dla tego ustawienia, przeczytaj artykuł Dodawanie jednostki organizacyjnej.

To ustawienie pomaga zarządzać lokalnym dostępem administracyjnym dla użytkowników Dostawcy danych uwierzytelniających Google do systemów Windows (GCPW). Użytkownik GCPW może być użytkownikiem standardowym lub administratorem lokalnym.

Aby zastosować te ustawienia uprawnień, system używa dostawcy usług konfiguracji (CSP) Microsoft LocalUsersAndGroups podczas synchronizacji urządzenia. Gdy w konsoli administracyjnej Google jest włączona opcja Zarządzaj lokalnym dostępem administracyjnym do urządzeń, dostawca CSP przetwarza konfigurację, aby przyznać uprawnienia administratora lokalnego użytkownikom GCPW oraz dotychczasowym użytkownikom Active Directory, grupom lub lokalnym użytkownikom systemu Windows uwzględnionym w polu Konta z lokalnym dostępem administracyjnym.

  1. W konsoli administracyjnej Google otwórz Menu  a potem Urządzenia a potem Urządzenia mobilne i punkty końcowe a potem Ustawienia a potem Windows.

    Wymaga uprawnień administratora Zarządzanie urządzeniami mobilnymi.

  2. Kliknij Ustawienia konta.
  3. (Opcjonalnie) Aby zastosować ustawienie na potrzeby działu lub zespołu, z boku wybierz jednostkę organizacyjną.
  4. W polu Wartość wybierz Włączone.

  5. Ustaw uprawnienia konta dla użytkowników GCPW:

    • Aby przypisać użytkownikom konta standardowe bez uprawnień administratora, w polu Typ konta użytkownika wybierz Zwykły użytkownik.

    • Aby przyznać użytkownikom uprawnienia administratorów lokalnych, w sekcji Rodzaj konta użytkownika wybierz Administrator lokalny.

      Ograniczenie systemu Windows: użytkownicy GCPW są dodawani do grupy administratorów po pierwszym zalogowaniu się i zsynchronizowaniu urządzenia. Jednak ustawienie uprawnień do konta zacznie obowiązywać dopiero po następnym zalogowaniu się.

  6. (Opcjonalnie) Aby przyznać uprawnienia administratora lokalnego dotychczasowym użytkownikom Active Directory, grupom Active Directory lub lokalnym kontom użytkowników systemu Windows, dodaj ich w polu Konta z lokalnym dostępem administracyjnym. Użyj tych formatów, rozdzielając wiele wartości przecinkami:

    • Użytkownicy Active Directory: TwojaDomena\użytkownik (na przykład TwojaDomena\jkowalski).
    • Grupy Active Directory: TwojaDomena\grupa (na przykład TwojaDomena\jkowalski, TwojaDomena\administratorzyWin11)
    • Użytkownicy lokalni: nazwa_użytkownika (na przykład lrayes, TwojaDomena\jsmith, rnguyen, TwojaDomena\Win11admins, hcampbell, bkwan)

    Jeśli podasz nazwę konta, które nie istnieje, nowe konto nie zostanie utworzone na urządzeniu. Nieistniejące konta są ignorowane, a pozostałe prawidłowe konta są przetwarzane. Usunięcie nazw użytkowników lub grup z pola Konta z lokalnym dostępem administracyjnym nie powoduje usunięcia ich z grupy administratorów lokalnych. Usunięte nazwy nie zostaną jednak dodane podczas przyszłych synchronizacji urządzeń.

    Ważne: nie zalecamy używania pola Konta z lokalnym dostępem administracyjnym. To pole istnieje tylko ze względów historycznych i prawdopodobnie nie będzie potrzebne.

  7. Kliknij Zapisz. W przypadku jednostki organizacyjnej możesz też kliknąć Zastąp.

    Aby później przywrócić odziedziczoną wartość, kliknij Odziedzicz.

Rozwiązywanie problemów

Jeśli ustawienia administracyjne nie są stosowane zgodnie z oczekiwaniami, możesz przejrzeć dzienniki zdarzeń zarządzania urządzeniami na urządzeniu z systemem Windows, aby uzyskać szczegółowe informacje diagnostyczne.

Aby wyświetlić dzienniki zdarzeń zarządzania urządzeniami:

  1. Na urządzeniu docelowym otwórz Przeglądarkę zdarzeń. Przeglądarkę zdarzeń znajdziesz, wyszukując ją w menu Start systemu Windows.
  2. Kliknij Dzienniki aplikacji i usług a potem Microsoft a potem Windows a potem DeviceManagement-Enterprise-Diagnostics-Provider a potem Administrator.
  3. Przejrzyj zdarzenia związane z dostawcą CSP LocalUsersAndGroups.

Przykładowe logi:

MDM PolicyManager: Set policy string, Policy: (Configure), Area: (LocalUsersAndGroups), EnrollmentID requesting set: (<Enrollment GUID>), Current User: (Device), String: (<GroupConfiguration><accessgroup desc="<Target Group>"<group action="U" /><add member="TEST_DEVICE\test1"/></accessgroup></GroupConfiguration>), Enrollment Type: (0x0), Scope: (0x0), Result: (0x80070534) No mapping between account names and security IDs was done.

Omówienie: rozszerzona ochrona komputera z systemem Windows


Google, Google Workspace oraz powiązane znaki i logotypy są znakami towarowymi firmy Google LLC. Wszystkie inne nazwy firm i produktów są znakami towarowymi należącymi do ich właścicieli.