Teil 1: Policy Kopie erstellen, einmaliges Ausnahme-Gruppen Anlegen und so

Nach dem Anwenden der „Security Baseline for Windows 10 and later“ darf keine „Admin Erhöhung“ (AdminElevation) mehr gemacht werden, um in einer Standard User Anmeldung kurzzeitig AdminRechte auszuüben.

Dazu kann man eine Kopie der Policy anlegen, welche die Elevation erlaubt und diese Policy auf die Computer anwenden, für die man das kurzzeitig ermöglichen will.

Vorgehensweise zum temporären Erlauben von Admin Elevation für Rechner:

Kopie der Policy erstellen:

Diese dann wie folgt benennen:

„allow Admin elevation |  Security Baseline for Windows 10 and later“

Grund der Sicherheitseinschränkung ist folgende Einstellung in der Security Baseline:

Die Security Baselines stellen das auf wie folgt auf „Deny“ ein:

Diese Konfig Einstellung ändern wir IN DER KOPIE (!!) der Policy:

„User Account Control Behavior…“

auf

„Prompt for Credentials“

(default Wert ohne Security Baseline).

Dann müssen wir für die neue Policy in Entra (Identity) noch eine Gruppe erstellen, welcher diese Policy dann zugewiesen wird:

Eine „Ausnahme Gruppe“ zur normalen Policy mit dem „deny“ in Entra (Identity) erstellen:

Namenschema:

„Kundenkürzel | allow Admin elevation | Security Baseline for Windows 10 and later Group“

Also z.B.

„TrinCo | allow Admin elevation | Security Baseline for Windows 10 and later Group“

Diese „Ausnahme“ Gruppe von der Policy mit DENY ausschließen:

und der Ausnahme Gruppe die neue Policy mit „prompt for credentials“ zuweisen:

Teil 2: Computer auf denen kurzzeitig AdminElevation möglich sein soll der Ausnahmegruppe hinzufügen

Den Rechner in Entra (Identity) auf dem die „AdminErhöhung“ kurzzeitig gewünscht ist (und nur den!)

kurzzeitig der Ausnahme Gruppe hinzufügen

und, damit es schneller geht, in der „Unternehmensportal App“ (company portal) auf diesem Rechner einen „Sync“ durchführen:

Dann sollte an diesem Rechner eine Admin Elevation (wie ohne Policy) möglich sein.

Nach Erledigung der Arbeiten nicht vergessen den Computer aus der Ausnahme-Gruppe wieder zu entfernen!