【Intune Suite】エンドポイント特権管理を試してみた！

# 1.はじめに

本記事では、***Intune Suite***の１つである **エンドポイント特権管理** (EPM: Endpoint Privilege Management) を取り上げており、簡単な動作確認手順をご紹介します。

# 2.エンドポイント特権管理とは

エンドポイント特権管理の説明をする前に、少しIntune Suiteに関して触れておきます。

## 2-1.Intune Suite

Intune Suiteとは、Intune Plan 1に対するアドオンプランです。
現在提供されている主要なコンポーネントは以下となっています。
試してみたコンポーネントには、リンクを付けていますので、もしよろしければ。

***①リモート ヘルプ***
・クラウドベースで、ユーザの遠隔支援

https://qiita.com/mokonacl/items/5bf7ff953cadc34feb1a

***②エンドポイント特権管理***
・ローカル管理者権限を Just in Time で付与
・本記事でのご説明

***③高度分析(Advanced Analytics)***
・デバイスクエリや、分析ダッシュボードを提供

***④エンタープライズ アプリケーション管理***
・3rd Party アプリの配信と脆弱性、更新の管理

https://qiita.com/mokonacl/items/8866e3df62595eb5b8e9

***⑤クラウド PKI***
・SCEP証明書の発行や失効管理

https://qiita.com/mokonacl/items/2fa17589bb1f98627d8c

<br>

費用感に関しては、以下公式サイトに記載があります。

https://www.microsoft.com/ja-jp/security/business/microsoft-intune-pricing

## 2-2.エンドポイント特権管理とは

エンドポイント特権管理とは、Intuneで管理されたWindows PCにおいて、一般ユーザ（管理者権限を有さないユーザ）において、管理者権限が必要なアプリケーションのインストールに、***一時的な管理者権限の付与***を行えるというものです。

これによって、管理者権限をユーザに与えることなく、Windows PCの運用をすることができます。つまり、権限昇格攻撃のように、一般ユーザを狙って侵入した後、管理者権限を奪取していくという攻撃に対して、有効な対策となります。

### サポート対象
サポートされるOSは、Windows 10 , 11です。
Microsoft Entra Joined / Entra Hybrid Joined をした状態で、Intune登録が必要です。


サポートされている拡張子としては、.exe, .msi, .ps1 等になります。

:::note
***拡張子msiとps1もサポート***
以下、Microsoft Intuneの新機能のページに記載があるように、2024年6月17日の週から、拡張子exeだけではなく、拡張子msiとps1もサポートされました。

>2024 年 6 月 17 日の週 (サービス リリース 2406)
>
>エンドポイント特権管理 (EPM) 昇格規則 で、以前にサポートされていた実行可能ファイルに加えて、Windows インストーラーと PowerShell ファイルの昇格がサポートされるようになりました。 EPM でサポートされる新しいファイル拡張子は次のとおりです。
>
>.msi
>.ps1
:::

https://learn.microsoft.com/ja-jp/mem/intune/fundamentals/whats-new#week-of-june-17-2024-service-release-2406

# 3.手順
### 3-1.テスト環境

今回のテスト用の事前準備は、以下となります。

* Hyper-V上に、Windows 11 PCを準備し、Entra JoinedとIntune登録を実施
* 上記Windows 11 PCに、管理者権限を有さないユーザでサインイン
* 利用するユーザに、EMS E3ライセンスと、Intune Suite (試用版)を適用済み

### 3-2.Intuneによるプロファイルの配信

それでは、対象のWindows 11 PCにIntuneによるプロファイルを適用していきます。
Intune 管理センターに移動し、「エンドポイントセキュリティ >> エンドポイント特権の管理」を選択し、「＋ポリシーの作成」をクリックします。

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/256868/6bc90f3f-ed71-22a4-16d1-0be8ae6551d1.png)
<br>

「Windows 10以降」を選択し、「Elevation setting policy」をクリックします。アプリ単位ではなく、管理者権限を利用するときに、適用させる場合は、Elevation settings policyにします。

* Elevation settings policy：標準ユーザが管理者権限での実行を要求したときに、昇格動作を実施する
* Elevation rules policy : アプリ別に昇格要求の対応方法を管理

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/256868/a9acf479-0fbc-8b28-e83b-e64335ce1ec4.png)
<br>

プロファイルに名前を付けます。

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/256868/7bf68350-a78a-740c-0d98-3c00094d9cf9.png)
<br>

権限昇格時の応答を定義します。
選べる選択肢は、以下となります。権限昇格時には、承認者による承認を必要とさせたいため、「サポートの承認を必須にする」にしています。

* すべての要求を拒否
* ユーザーの確認が必要
* サポートの承認を必須にする
* 構成されていません

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/256868/f4c88f1a-12a6-9c54-2bc5-688f8b574bd8.png)

これで、対象のユーザにプロファイルを割り当てれば、完了です。


### 3-3.テスト用の実行ファイルのダウンロードと作成

テスト用のインストーラは、以下URLからダウンロードしています。

***Wireshark***
wiresharkは、.exe形式のインストーラをダウンロードします。

https://www.wireshark.org/download.html

***Google Chrome Enterprise***
Google Chromeのエンタープライズ版には、.msi形式のインストーラがありますので、ダウンロードします。

https://chromeenterprise.google/intl/ja_jp/browser/download/#windows-tab

***powershell ファイル***

管理者権限が実際に必要というわけではないので、単純なHello Worldのファイルを作成します。
なお、powershell実行時には、スクリプトに対する実行権限の設定が必要となります。必要に応じて、```Set-ExecutionPolicy RemoteSigned```をpowershellで実行しておく必要があります。

ちなみに、スクリプト実行ユーザの確認のため、whoamiを入れています。

```hello.ps1
echo "Hello World!"
whoami
pause
```

### 3-4.テスト用のファイルの実行

***Wireshark***

まずは通常通りインストーラを実行してみます。
すると管理者権限を聞かれましたので、「いいえ」で閉じます。

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/256868/c74d5b5d-739c-127d-1dcd-55613552ebff.png)

次に、対象のインストーラを右クリックし、「管理者特権で実行」を選択します。

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/256868/98b5a7f7-c1bf-973c-fd76-3e2d872620fe.png)

すると、申請画面が出てきますので、申請理由を記載し、「送信」を押します。

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/256868/f48808e9-d0d6-9e99-336b-314c25eb8544.png)

要求送信完了画面となります。

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/256868/700cec00-9873-78a8-b0c9-475d58d4cf89.png)

Intuneに戻り、「昇格要求」を見てみると、先ほどのファイルが確認できます。

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/256868/647a374d-aaca-e165-a867-ce457fb04ff8.png)
<br>

対象のファイルをクリックし、「承認」を押します。

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/256868/1d2fe39b-9ead-9672-b2e8-944b6a213254.png)
<br>

理由の入力画面が出てきますので、「はい」と入力し、承認完了です。

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/256868/a76ef218-f54b-f3a3-daa9-ef4901e6d8b1.png)
<br>

エンドポイントで数分待つと、承認の通知が出てきました。

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/256868/96a0f0f7-b68c-57d2-4055-f2b69036bf79.png)
<br>

再び、対象ファイルを右クリックし、「管理者特権での実行」を押します。
すると、今度は、「続行」を押すことが可能となっています。

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/256868/246df10b-0a36-6e0a-e514-89b8018c3726.png)

残りは通常のWiresharkのインストール画面となります。

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/256868/62ffbd52-7392-3e5f-a5e8-600462aede1c.png)

***Google Chrome Enterprise***

MSI形式となりますが、こちらも問題なく、エンドポイント特権管理が適用できています。

画面遷移は先ほどと、ほぼ一緒です...

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/256868/35554ed9-9e3b-f2e7-ddf7-f4687bcfcbe4.png)

Intuneに戻り、承認をしておきます。

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/256868/c05dc45a-0401-5494-6f5f-18440ce2cd0b.png)
<br>

少し待つと、承認の通知が発生しました。

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/256868/1f37629e-1f0c-1462-0cf3-bbd0cd3abb9f.png)

対象ファイルを右クリックし、「管理者特権での実行」を押します。
「続行」を押すことが可能となっています。

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/256868/57d700ab-4515-5fc5-30dc-7684c9dabf65.png)
<br>

***powershell ファイル***

Powershellのps1形式となりますが、こちらも問題なく、エンドポイント特権管理が適用できています。

画面遷移は先ほどと、ほぼ一緒です...

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/256868/7d97d920-e955-99ac-974d-356b00f8e237.png)

Intuneに戻り、承認をしておきます。

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/256868/c05dc45a-0401-5494-6f5f-18440ce2cd0b.png)
<br>

通知が発生した後は、対象ファイルを右クリックし、「管理者特権での実行」を押します。
「続行」を押すことが可能となっています。

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/256868/a5def7c3-0d54-2f15-587a-d00989e582fe.png)

無事、Hello worldを出力することができました。
気になるところとしては、```whoami```の出力結果となる```mem\azuread_[username]_$```のところでしょうか。
EPMを利用しない場合は、```azuread\[username]```となりますので、管理者特権専用のドメインにあるサービスアカウントのように見えます。

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/256868/0e44298c-5ce8-1e7f-a3c8-c4f57e319a45.png)

# 4.おわりに

Intune Suiteのエンドポイント特権管理を試してみました。
.exe形式に加えて、.ps1や.msiも追加されたため、本格的に利用しやすくなったのではないでしょうか。実運用では、管理者権限を与えず、標準的なソフトはIntuneからの配信にして、その他は、エンドポイント特権管理を利用するとよいかもしれません。