Inżynierowie helpdesku sporadycznie potrzebują uprawnień administratora lokalnego na hostach sesji Azure Virtual Desktop, aby rozwiązywać problemy. Musisz spełnić następujące wymagania: zapewnić podniesienie uprawnień just-in-time, ograniczone czasowo dla inżynierów helpdesku oraz upewnić się, że wbudowane konto lokalnego administratora każdego hosta sesji ma unikalne, automatycznie rotowane hasło, którego kopia zapasowa jest przechowywana w Microsoft Entra ID. Które dwie akcje należy zaimplementować? Każda poprawna odpowiedź stanowi część rozwiązania.

Aby zapewnić podniesienie uprawnień just-in-time i ograniczone czasowo, należy użyć Microsoft Entra Privileged Identity Management (PIM). PIM pozwala na aktywację uprawnień tylko wtedy, gdy są potrzebne, i na określony czas, co spełnia wymaganie just-in-time. Grupa zabezpieczeń, której członkostwo jest zarządzane przez PIM, może być następnie dodana do lokalnej grupy Administratorzy na hostach sesji za pomocą zasad Intune „Użytkownicy i grupy lokalne”. Dla unikalnych, automatycznie rotowanych haseł dla wbudowanego konta lokalnego administratora, którego kopia zapasowa jest przechowywana w Microsoft Entra ID, należy skonfigurować Windows LAPS w Intune. Windows LAPS (Local Administrator Password Solution) automatyzuje zarządzanie hasłami lokalnych kont administratorów, rotuje je okresowo i bezpiecznie przechowuje w Microsoft Entra ID. Pozostałe opcje są nieprawidłowe: Przypisanie roli Virtual Machine Administrator Login na stałe nie zapewnia ograniczenia czasowego ani just-in-time. Dodanie grupy Helpdesk do lokalnej grupy Administratorzy w obrazie głównym nadaje stałe uprawnienia, co jest sprzeczne z wymaganiem just-in-time i ograniczonym czasowo. Włączenie dostępu Just-In-Time VM w Microsoft Defender for Cloud dotyczy dostępu do maszyny wirtualnej, a nie zarządzania uprawnieniami lokalnego administratora na poziomie systemu operacyjnego.