Cómo configurar varias aprobaciones de administrador en Intune
En esta publicación, aprenderá cómo configurar múltiples aprobaciones de administrador en Intune. Puede usar las políticas de acceso para requerir varias aprobaciones administrativas (MAA) sobre los recursos de Intune.
Revisaremos el proceso paso a paso para comprender qué son las aprobaciones de administradores múltiples en Intune, quién puede crear y aprobar políticas MAA en Intune y cómo crear una política de acceso, enviar una solicitud y obtener una aprobación.
Múltiples aprobaciones de administrador es una nueva característica introducida en la versión del servicio Microsoft Intune de noviembre (2211). Con MAA, puede configurar políticas de acceso que protejan configuraciones específicas, como aplicaciones o scripts para dispositivos. Esta función se encuentra actualmente en versión preliminar pública. Puede probar esta nueva característica en su inquilino de Intune y enviar comentarios a Microsoft. Microsoft anunciará pronto la disponibilidad general de esta función.
Si está utilizando Configuration Manager, puede aprobar solicitudes de aplicaciones para usuarios y aprobar solicitudes de aplicaciones SCCM por correo electrónico. Las aprobaciones de administrador múltiple en Intune son más avanzadas y ofrecen muchas más funciones.
- ¿Qué es la Aprobación Administrativa Múltiple (MAA)?
- ¿Quién puede crear y aprobar solicitudes?
- Paso 1: crear una política de acceso para MAA en Intune
- Paso 2: envíe una solicitud
- Paso 3: aprobar solicitudes
- Paso 4: Supervise el estado de sus solicitudes
¿Qué es la Aprobación Administrativa Múltiple (MAA)?
Para ayudar a protegerse contra una cuenta administrativa comprometida, use políticas de acceso de Intune para exigir que se use una segunda cuenta administrativa para aprobar un cambio antes de aplicarlo. Esta capacidad se conoce como aprobación administrativa múltiple (MAA).
Con MAA, puede configurar políticas de acceso para proteger ciertas configuraciones en un dispositivo, como aplicaciones o scripts. Las políticas de acceso especifican qué está protegido y qué grupo de cuentas puede aprobar modificaciones a esos recursos.
Cuando cualquier cuenta del inquilino cambia un recurso protegido por una política de acceso, Intune no hará efectivo el cambio hasta que una cuenta diferente lo apruebe explícitamente. Los cambios solo pueden ser aprobados por administradores que forman parte de un grupo de aprobación al que se le ha otorgado un recurso protegido mediante una política de protección de acceso. Los aprobadores también pueden rechazar las solicitudes de cambio.
Actualmente, las políticas de acceso en Intune solo se admiten para los siguientes recursos:
- Aplicaciones: se aplica a las implementaciones de aplicaciones, pero no a las políticas de protección de aplicaciones.
- Scripts: se aplica a la implementación de scripts en dispositivos que ejecutan macOS o Windows.
¿Quién puede crear y aprobar solicitudes?
Para crear una política de acceso MAA, a la cuenta se le debe asignar el rol Administrador de servicios de Intune o Administrador global de Azure . Solo estos dos roles tienen permisos para crear políticas MAA en Intune.
Para aprobar políticas MAA, una cuenta debe estar en el grupo asignado a la política de acceso para un tipo específico de recurso. Asegúrese de que el usuario sea parte del grupo que puede aprobar solicitudes antes de probar las aprobaciones del administrador en Intune.
Cómo configurar varias aprobaciones de administrador en Intune
Ahora seguiremos los pasos para configurar múltiples aprobaciones de administrador en Intune. Hay muchos pasos necesarios para lograr que funcionen las aprobaciones administrativas múltiples. Revisaremos cada paso y entenderemos cómo configurar las aprobaciones del administrador en Intune.
Paso 1: crear una política de acceso para MAA en Intune
Realice los siguientes pasos para crear una política de acceso para múltiples aprobaciones administrativas en Intune:
- Inicie el navegador e inicie sesión en el Portal de Intune.
- Vaya a Administración de inquilinos > Administración de múltiples administradores > Políticas de acceso y seleccione Crear.
En la página Conceptos básicos, proporcione un Nombre y una Descripción opcional. Para el tipo de perfil, hay dos opciones disponibles: Aplicaciones y Scripts. Seleccione Aplicaciones de las opciones disponibles. Cada política admite un único tipo de perfil. Haga clic en Siguiente.
En la página Aprobadores, seleccione Agregar grupos y luego seleccione un grupo como grupo de aprobadores para esta política. No se admiten configuraciones más complejas que excluyan grupos. Haga clic en Siguiente.
En la página Revisar + Crear, revise la política de acceso y luego guarde los cambios. Después de que Intune aplique esta política, las configuraciones para el tipo de perfil protegido necesitarán la aprobación de más de un administrador.
En la esquina superior derecha de la consola se puede ver un mensaje que indica que se crearon con éxito varias aprobaciones de administrador. Todas las políticas de acceso que haya creado aparecerán en la hoja Administrador de inquilinos > Aprobación de múltiples administradores de la consola de Intune.
Paso 2: envíe una solicitud
Una vez creada la política de acceso para MAA, entra en acción de inmediato. Cuando un administrador edita o crea un nuevo objeto para un área protegida por una política de acceso, ve una opción en la superficie Guardar + Revisar donde puede ingresar una descripción del cambio como justificación comercial.
Cuando las aplicaciones están protegidas por una política de acceso, cualquier cambio introducido en las aplicaciones existentes o agregar nuevas aplicaciones requerirá una justificación comercial. El solicitante puede agregar notas adicionales sobre qué cambios se realizaron y por qué. Sólo después de agregar la justificación comercial, el aprobador puede aprobar la solicitud o rechazarla.
Para probar esto, puede agregar una nueva aplicación a Intune o editar cualquier aplicación existente y realizar algunos cambios. Por ejemplo, puede modificar la descripción de la aplicación, agregar/eliminar tareas, etc. Una vez que haya terminado de realizar cambios en la aplicación, haga clic en Revisar y guardar.
El solicitante ahora ve el siguiente mensaje “Antes de que este recurso pueda actualizarse, otro administrador debe aprobarlo. Antes de poder enviar esta solicitud, debe ingresar su justificación comercial.“
Antes de poder guardar los cambios en la última página, complete el campo Justificación comercial con información antes de enviar la solicitud. Una vez que haya terminado de agregar la justificación comercial, haga clic en Guardar.
Nota: Cuando haya una solicitud para el mismo objeto que ya esté pendiente de aprobación, no podrá enviar su solicitud. Intune muestra un mensaje para alertarle sobre esta situación.
El administrador que envió la solicitud ahora ve una notificación en la consola de Intune "Solicitud de cambio enviada" que confirma que se envió la solicitud de aprobación.
Paso 3: aprobar solicitudes
La solicitud debe aprobarse después de que el administrador la haya enviado. Estos son los pasos que debe seguir para encontrar solicitudes para aprobar:
En el centro de administración de Intune, vaya a Administración de inquilinos > Administración de administradores múltiples > Solicitudes recibidas. Seleccione el enlace de justificación comercial de una solicitud para abrir la página de revisión, donde puede obtener más información sobre la solicitud y gestionar la aprobación o el rechazo.
Después de revisar los detalles, ingrese los detalles relevantes en el campo Notas del aprobador y luego seleccione Aprobar solicitud o Rechazar solicitud. Un ejemplo de cómo se vería una solicitud de aprobación de múltiples administradores. El ejemplo ilustra que el cambio solicitado es actualizar información sobre la aplicación de Windows. Los cambios se resaltan y el administrador tiene la capacidad de aprobar o rechazar la solicitud y agregar notas del aprobador.
Después de aprobar una solicitud, Intune procesa el cambio y actualiza el estado a Completado después de que se haya aplicado correctamente. El estado de la solicitud puede cambiar a Aprobado por un tiempo limitado si la actualización del recurso tarda en procesarse.
Paso 4: Supervise el estado de sus solicitudes
Un administrador que haya enviado una solicitud de cambio puede ver el estado de sus solicitudes en el centro de administración de Microsoft Endpoint Manager yendo a Administración de inquilinos > Aprobación de múltiples administradores y viendo el cuadro "< páginaMis solicitudes”.
Algunas cosas importantes a tener en cuenta aquí:
- Puede cancelar una solicitud antes de que se apruebe seleccionándola en la página "Mis solicitudes" y luego seleccionando Cancelar solicitud.
- Cuando ya hay una aprobación pendiente para un objeto, no se puede enviar una nueva solicitud para él.
- Las acciones para las solicitudes y el proceso de aprobación se registran en los registros de auditoría de Intune.
Estados de aprobación de varios administradores de Intune
La tabla enumera todas las condiciones de estado que están disponibles para una solicitud enviada por administradores.
- Needs approval
Esta solicitud está pendiente de acción por parte de un aprobador.
- Approved
Intune está procesando esta solicitud.
- Completed
Esta solicitud se ha aplicado con éxito.
- Rejected
Esta solicitud fue rechazada por un aprobador.
- Cancelled
Esta solicitud fue cancelada por el administrador que la envió.
- Expired
La solicitud ha caducado.
En la imagen siguiente, puede ver cómo un administrador que también es aprobador ve los diferentes estados.
Conclusión
La aprobación de múltiples administradores de Intune es una característica fantástica. Dada la importancia de proteger las políticas, esto podría ser una gran adición a sus procesos de cambio para acelerar las operaciones de políticas. Este es un buen comienzo y creo que la misma función se agregará a las políticas de seguridad, los perfiles de configuración de dispositivos, los perfiles de configuración de aplicaciones y los perfiles de protección de aplicaciones una vez que esté lista para su disponibilidad general.