‏تغییر تنظیمات شبکه ویندوز بدون دسترسی ادمین با EPM در Intune

Endpoint Privilege Management یا EPM (یعنی قابلیتی تو Intune که به کاربر عادی اجازه می‌ده یه کار خاص رو با دسترسی بالا انجام بده) معمولاً با یه فایل کار می‌کنه. یه قانون برای یه فایل exe یا MSI یا اسکریپت PowerShell تعریف می‌کنی و EPM فقط همون پروسه رو elevate می‌کنه. نویسنده می‌گه مشکل اینجاست که تنظیمات ویندوز مثل عوض کردن DNS اصلاً فایل جدایی نداره که بشه بهش قانون داد.

اپ Settings ویندوز یه برنامه بزرگه با کلی صفحه و کار مدیریتی. اگه کلش رو elevate کنی، خیلی بیشتر از اون یه کاری که کاربر لازم داره دسترسی دادی. راه‌حل مایکروسافت اینه که برای هر کار، یه محیط جدا و محدود بسازه. فعلاً فقط Network settings به صورت رسمی پشتیبانی می‌شه: IPv4، IPv6، gateway و DNS، با حالت خودکار یا دستی.

مسیر کار این‌طوریه: ادمین تو Intune یه policy از نوع System settings می‌سازه، System setting رو روی Network settings و Elevation type رو روی User confirmed می‌ذاره. بعد کاربر تو Company Portal زیر Help & support یه کاشی به اسم System settings می‌بینه و با زدن Edit settings پنجره مخصوص باز می‌شه. اپ جدایی هم لازم نیست deploy کنی، ولی policy معمولی Elevation settings که EPM رو فعال می‌کنه باید روی دستگاه باشه.

پشت این پنجره EpmElevate.exe هست که تو مسیر نصب EPM Agent قرار داره. به گفته نویسنده، اجرای دستی‌ش راه درستی نیست و جواب نمی‌ده، چون انتظار داره خود EPM با context همون policy اجراش کنه. این نکته امنیتی مهمیه، یعنی کاربر نمی‌تونه ازش به عنوان یه ابزار elevate همه‌کاره استفاده کنه.

موقع ذخیره، ادمین می‌تونه بخواد کاربر دلیل کاری (Business justification) بنویسه، با رمز ویندوز احراز هویت کنه، یا هر دو. دلیل‌ها هم تو گزارش‌های EPM قابل دیدنه. یه مثال کاربردی: لپ‌تاپی که به یه سایت جدید می‌ره و قبل از وصل شدن به شبکه به IP ثابت نیاز داره. اگه policy از قبل روی دستگاه باشه، کاربر بدون اینترنت هم می‌تونه تنظیمو انجام بده.

نویسنده تو بررسی‌هاش یه پیاده‌سازی برای Time Sync هم پیدا کرده که روی همگام‌سازی زمان و NTP تمرکز داره، ولی هنوز رسمی و مستند نیست. به نظرش این نشون می‌ده مایکروسافت می‌تونه همین مدلو برای کارهای مدیریتی دیگه ویندوز هم تکرار کنه.

نکات کلیدی:

• EPM System Settings فعلاً فقط Network settings رو رسماً پشتیبانی می‌کنه: IPv4، IPv6، gateway و DNS.
• نقطه ورود کاربر Company Portal هست و نیازی به deploy یه اپ جدا نیست.
• policy با Elevation type برابر User confirmed ساخته می‌شه و Business justification و Windows authentication اختیاریه.
• EpmElevate.exe فقط از طریق EPM و با context همون policy اجرا می‌شه، نه دستی.
• Time Sync تو کد پیدا شده ولی هنوز به صورت رسمی مستند نشده.