Changer une adresse IP ou un serveur DNS : une action banale, mais qui déclenche une invite UAC dès que l’utilisateur n’est pas administrateur local. Endpoint Privilege Management (EPM) d’Intune propose désormais une réponse ciblée avec une policy de type « Elevation system settings policy ». Voyons comment elle fonctionne et comment la déployer. 🙂
Le constat : un besoin simple, des réponses souvent mauvaises
Sur un poste Windows, modifier les valeurs IPv4, IPv6 ou DNS d’une carte réseau nécessite des droits d’administrateur.
Pour un utilisateur standard, c’est un mur : l’UAC bloque la modification.
Certains utilisateurs ou administrateurs réseaux doivent parfois saisir une adresse IP statique ou un serveur DNS pour se connecter à une ressource ou réaliser des tests. Face à ce besoin, les réponses habituelles sont :
> accorder des droits d’administrateur local (donc surface d’attaque élargie)
> passer par le support (délais, charge pour le helpdesk)
Elevation system setting policy permet d’autoriser uniquement ces modifications, via EPM, sans droits étendus et sans déploiement d’application séparé. Elle fonctionne même lorsque l’appareil est hors ligne.
Côté utilisateur, tout passe par un point d’entrée unique dans le Portail d’entreprise Windows.
Pas à pas : créer la stratégie
Prérequis important : l’appareil doit aussi recevoir une Elevation Setting Policy qui active EPM. Sans elle, la stratégie de paramètres système n’a aucun effet.
1. Créer le profil
Dans le Centre d’administration Microsoft Intune : Endpoint Security > Endpoint Privilege Management > Policies > Create. Plateforme : Windows. Profil : Elevation system settings policy.
2. Renseigner les informations de base
Un nom explicite et, de préférence, une description : vous vous en remercierez au moment de l’audit.
3. Définir la règle
- Nom de la règle (obligatoire) et description (facultative)
- Paramètre système : « Allow standard users to change network settings »
- Type d’élévation : User confirmed
- Validation : Business Justification or/and Windows authentication.
Enregistrez la règle, puis déployez la sur votre groupe cible.
Côté utilisateur : ce qu’ils verront
Cette partie se passe sur le poste, directement dans le portail d’entreprise. Pensez donc à la documenter pour vos utilisateurs :
Portail d’entreprise Windows > Aide et support, puis vignette Paramètres système > Modifier les paramètres.
- Entrer la business justification si celle ci est paramétrer dans votre profil de configuration.
- EPM – Paramètres réseau affiche les cartes réseaux disponible sur votre poste de travail.
Les détails affichent les valeurs IPv4, IPv6 et DNS actuelles ; l’utilisateur clique sur Modifier dans la section voulue puis Enregistrer.
Mes recommandations
Cette stratégie peut répondre à un vrai irritant du quotidien en respectant le principe du moindre privilège : on n’accorde pas des droits admin, on autorise une action précise, tracée.
Quelques pistes pour le déploiement :
→ Cibler les populations qui en ont réellement besoin (utilisateurs nomades, techniciens terrain) plutôt que toute la flotte.
→ Combiner justification et authentification Windows pour les profils sensibles : la justification alimente les rapports et facilite les revues.
→ Vérifier le prérequis : la stratégie de paramètres d’élévation activant EPM doit être ciblée sur les mêmes appareils.
→ Communiquer : le point d’entrée (Portail d’entreprise > Aide et support) n’est pas intuitif sans une procédure d’accompagnement.
→ Exploiter les rapports EPM pour suivre l’usage réel et ajuster le périmètre.
Aujourd’hui, seuls les paramètres réseau sont couverts mais d’autres catégories pourraient suivre. Stay tuned 😉
Je vous laisse un article sympa de Rudy Ooms à ce sujet : https://patchmypc.com/blog/manage-system-settings-epm-endpoint-privilege-management/