Инженерам службы поддержки иногда требуются права локального администратора на хостах сеансов Azure Virtual Desktop для устранения неполадок. Вы должны выполнить следующие требования: предоставить инженерам службы поддержки повышение прав «точно в срок» (just-in-time) с ограничением по времени, а также обеспечить, чтобы встроенная учетная запись локального администратора каждого хоста сеансов имела уникальный, автоматически ротируемый пароль, резервная копия которого хранится в Microsoft Entra ID. Какие два действия следует реализовать? Каждое правильное действие представляет часть решения.

Для обеспечения уникальных, ротируемых паролей локальных администраторов и их резервного копирования в Microsoft Entra ID необходимо настроить Windows LAPS (Local Administrator Password Solution) через Intune. Это соответствует требованию по управлению паролями встроенной учетной записи локального администратора. Для предоставления инженерам службы поддержки прав локального администратора «точно в срок» (JIT) и с ограничением по времени следует использовать Microsoft Entra Privileged Identity Management (PIM). PIM позволяет активировать членство в группе безопасности, которая затем добавляется в группу локальных администраторов на хостах сеансов с помощью политики Intune «Локальные пользователи и группы». Назначение роли Virtual Machine Administrator Login на уровне подписки предоставляет слишком широкие и постоянные права. Добавление группы Helpdesk в мастер-образ не обеспечивает JIT-доступ и ротацию паролей. Включение Just-In-Time VM access в Microsoft Defender for Cloud контролирует доступ к виртуальной машине, но не управляет правами локального администратора внутри ОС.