Helpdesk-Ingenieure benötigen gelegentlich lokale Administratorrechte auf Azure Virtual Desktop-Sitzungshosts, um Probleme zu beheben. Sie müssen diese Anforderungen erfüllen: Bereitstellung einer Just-in-Time-, zeitlich begrenzten Rechteerweiterung für Helpdesk-Ingenieure und Sicherstellung, dass das integrierte lokale Administratorkonto jedes Sitzungshosts ein eindeutiges, automatisch rotiertes Passwort hat, das in Microsoft Entra ID gesichert wird. Welche zwei Aktionen sollten Sie implementieren? Jede richtige Antwort stellt einen Teil der Lösung dar.

Um die Anforderungen zu erfüllen, konfigurieren Sie Windows LAPS (Local Administrator Password Solution) in Intune. Dies sichert die Kennwörter der lokalen Administratorkonten in Microsoft Entra ID und rotiert sie automatisch, was die erste Anforderung an eindeutige, rotierte Kennwörter erfüllt. Für die Just-in-Time-Rechteerweiterung verwenden Sie Microsoft Entra Privileged Identity Management (PIM). PIM ermöglicht eine zeitlich begrenzte Aktivierung von Berechtigungen für eine Sicherheitsgruppe. Diese Gruppe wird dann über eine Intune-Richtlinie „Lokale Benutzer und Gruppen“ zur lokalen Administratorengruppe auf den Sitzungshosts hinzugefügt. Die dauerhafte Zuweisung der Rolle „Virtual Machine Administrator Login“ würde keine Just-in-Time-Aktivierung ermöglichen. Das Hinzufügen der Helpdesk-Gruppe zum Master-Image würde dauerhafte lokale Administratorrechte gewähren, was nicht zeitlich begrenzt ist. Just-In-Time-VM-Zugriff in Microsoft Defender for Cloud steuert den Netzwerkzugriff auf VMs, nicht die lokalen Administratorberechtigungen innerhalb des Betriebssystems.