Cree aprobaciones de múltiples administradores para aplicaciones de Intune con PowerShell

En este tutorial, le mostraré cómo crear políticas de acceso de aprobación de múltiples administradores en Microsoft Intune utilizando el SDK de Microsoft Graph PowerShell. Esto es perfecto si desea automatizar su proceso de compilación y mantener a varios inquilinos con el mismo estándar y, al mismo tiempo, evitar posibles errores de los usuarios.

Si desea saltar al guión, haga clic aquí.

¿Qué son las aprobaciones de múltiples administradores en Intune?

Las políticas de acceso de aprobación de múltiples administradores en Intune le permiten garantizar que un segundo administrador apruebe la implementación de aplicaciones y scripts en puntos finales dentro de Intune.

Al crear este flujo de trabajo seguro, se asegura de proteger sus puntos finales de administradores maliciosos o comprometidos; lo hace permitiendo que una segunda persona (tal vez en cumplimiento o seguridad) valide que la aplicación o script esté aprobado, validado o documentado.

Las aprobaciones de múltiples administradores se aplican cuando cualquier cuenta de usuario de su inquilino se utiliza para crear un recurso protegido por una política de acceso.

¿Cómo funcionan las aprobaciones de múltiples administradores?

Cuando crea una aprobación de múltiples administradores en Intune, define qué tipo de recurso desea proteger (ya sea una aplicación o un script). Luego define qué usuarios pueden aprobar las solicitudes seleccionando un grupo.

Luego, cuando un usuario vaya a crear una aplicación o script, se le presentará un cuadro de texto para completar la justificación comercial de la aplicación.

Luego, el administrador de aprobación iniciará sesión en sus solicitudes de aprobación de múltiples administradores y decidirá si aprueba o rechaza la solicitud. También podrán ver la justificación comercial del creador.

Cómo crear una política de acceso de aprobación de múltiples administradores en el centro de administración de Intune

Para crear una política de acceso de aprobación de múltiples administradores desde el centro de administración de Intune, siga estos pasos:

1. Inicie sesión en endpoint.microsoft.com.

2. En el menú de la izquierda, seleccione Administración de inquilinos.

3. Seleccione Aprobación de múltiples administradores.

4. Seleccione la pestaña Políticas de acceso en la parte superior y luego haga clic en Crear para iniciar el asistente de creación de políticas de aprobación de múltiples administradores.

5. Ingrese un nombre significativo para su política de acceso y luego seleccione un tipo de perfil al que se aplicará esta política. Puede seleccionar Aplicaciones o Scripts.

6. En la pestaña Aprobadores, haga clic en Agregar grupos y seleccione el grupo que incluye los usuarios que desea que puedan aprobar las solicitudes de acceso.

7. En la página final, haga clic en Crear. Luego verá la política de aprobación enumerada en la pestaña Políticas de acceso.

Cómo crear una política de acceso de aprobación de múltiples administradores con PowerShell

Si desea poder implementar la política de aprobación desde PowerShell utilizando el SDK de Microsoft Graph PowerShell, puede usar el siguiente script que también está disponible en mi página de GitHub aquí.

#Author:    Daniel Bradley
#Website:   https://ourcloudnetwork.com
#LinkedIn:  https://www.linkedin.com/in/danielbradley2/

#Define settings
$DisplayName = "test2"  #Enter the desired policy name
$Description = "test1"  #Enter the desired policy description
$PolicyType  = "Apps"  #Enter either 'Apps' or 'Scripts'
$ApproversGroup = "Approval Admins" #Enter the exact name of the approvers groups

#Checks for Microsoft Graph
if (Get-Module -ListAvailable -Name Microsoft.Graph.Devices.CorporateManagement) 
{
} else {
        Install-Module -Name Microsoft.Graph.Devices.CorporateManagement -Scope CurrentUser
        Write-Host "Microsoft Graph Authentication Installed"
}

#Imports Module
Import-Module Microsoft.Graph.Devices.CorporateManagement, Microsoft.Graph.Groups

#Select Beta Profile
Select-MgProfile -Name Beta

#Connect to Microsoft Graph
Connect-MgGraph -Scopes DeviceManagementConfiguration.ReadWrite.All, Group.Read.All

#Store Target group
$targetgroup = Get-MgGroup | Where-Object {$_.DisplayName -eq $ApproversGroup}

#Define the URI
$uri = "https://graph.microsoft.com/beta/deviceManagement/operationApprovalPolicies"

#Define policy parameters
$json = 
@{
  "@odata.type" = "#microsoft.graph.operationApprovalPolicy"
  displayName = "$DisplayName"
  description = "$Description"
  policyType = "$PolicyType"
  approverGroupIds = @($targetgroup.id)
 } | ConvertTo-Json

#Create policy
$companyportal = Invoke-MgGraphRequest -Uri $uri -Body $json -Method POST -ContentType "application/json"

La experiencia del usuario final una vez que haya habilitado su política de acceso

Una vez que haya implementado su política, pasarán unos 5 minutos antes de que el cambio afecte a sus usuarios finales. Asegúrese de que cierren sesión en sus sesiones del navegador de administrador y vuelvan a iniciar sesión también.

Cuando un usuario crea una secuencia de comandos o una implementación de aplicación dentro de Intune, en la página Revisar y crear verá el siguiente cuadro de texto que le permitirá enviar su solicitud para aprobación.

Para el administrador de aprobación, cuando regrese a la página de aprobaciones de múltiples administradores, verá la solicitud recibida con el estado Necesita aprobación.

Curiosamente, el aprobador deberá hacer clic en el texto con hipervínculo debajo del encabezado Justificación comercial para tener la opción de aprobar la solicitud. Luego pueden ingresar algunas notas relevantes y hacer clic en Aprobar solicitud.