Microsoft מרחיבה את Intune Endpoint Privilege Management מעבר להרצת יישומים בהרשאה מוגברת. יכולת חדשה בשם elevation system settings policy מאפשרת למשתמשי Windows רגילים לשנות ערכי IPv4, IPv6 ושרתי DNS במתאמי הרשת שלהם — בלי לקבל חשבון מנהל מקומי ובלי לפרוס כלי נפרד.
העדכון הופיע בסיכום החידושים של Microsoft Security לנובמבר 2026 ובתיעוד Microsoft Learn. הוא מיועד לתרחישים שבהם המשתמש צריך לבצע שינוי נקודתי שבדרך כלל נחסם על ידי UAC, אך צוות ה‑IT אינו רוצה לפתוח הרשאות רחבות יותר.
מה משתנה בפועל?
עד היום, שינוי כתובת IP סטטית או שרת DNS במחשב Windows דרש בדרך כלל הרשאות מנהל. במדיניות החדשה, מנהל Intune מגדיר כלל עבור קטגוריית Network settings ובוחר כיצד תתבצע ההגבהה. המשתמש ניגש לחוויה דרך Company Portal ורואה רק את קטגוריות ההגדרות שהארגון אישר עבור המכשיר.
היכולת תומכת בשינויי IPv4, IPv6 ו‑DNS עבור מתאמי הרשת. כאשר נבחר מצב User confirmed, הארגון יכול לדרוש מהמשתמש הצדקה עסקית, אימות Windows, או את שניהם. ההצדקה נשמרת וזמינה בדוחות, וכך הפעולה הנקודתית נשארת ניתנת לביקורת.
למי זה שימושי?
- עובדים שנעים בין אתרים: משתמש שצריך להגדיר IP סטטי או DNS באתר חדש, לעיתים עוד לפני שהמחשב מחובר לרשת.
- צוותי שטח ותמיכה: ביצוע שינוי רשת מוגדר בלי למסור סיסמת מנהל ובלי לפתוח סשן מרוחק.
- סביבות מבודדות: לפי Microsoft, המדיניות יכולה לאפשר את השינוי גם כשהמכשיר אינו מקוון, לאחר שקיבל את המדיניות מראש.
- ארגוני Zero Trust: צמצום מספר המשתמשים עם Local Admin תוך שמירה על עצמאות תפעולית לפעולות ספציפיות.
מה נדרש להגדרה?
מדיניות System Settings לבדה אינה מספיקה. המכשירים צריכים לקבל גם elevation settings policy שמפעילה את EPM. לאחר מכן יוצרים מדיניות להגבהת הגדרות מערכת, מוסיפים כלל Network settings, בוחרים את סוג ההגבהה ואת דרישות האימות, ומקצים לקבוצות המכשירים או המשתמשים המתאימות.
Microsoft מציינת שהיכולת מופצת בהדרגה וייתכן שעדיין אינה זמינה בכל Tenant. לפני פריסה רחבה כדאי לבדוק את זמינותה, את גרסת רכיב EPM במכשירים ואת חוויית המשתמש ב‑Company Portal.
המלצות ליישום בטוח
- להתחיל בקבוצה מצומצמת: פיילוט עם משתמשי IT או צוותי שטח שמכירים את הגדרות הרשת.
- לדרוש הצדקה ואימות: עבור ארגונים רגישים, הפעלת שתי הבקרות משפרת את העקבות לביקורת ומקטינה שימוש שגוי.
- להגדיר גבולות תפעוליים: לתעד אילו ערכי DNS ו‑IP מותרים לפי אתר, ולהצליב עם בקרות רשת ו‑EDR.
- לנטר דיווחים: לבדוק מי ביצע שינוי, באיזה מכשיר ובאיזו הצדקה, ולזהות חריגות חוזרות.
- לא להתייחס לכך כאל הרשאת מנהל: היתרון המרכזי הוא בדיוק ההפך — הגבהה לפעולה מוגדרת במקום הרשאה קבועה ורחבה.
מבחינת ניהול סיכונים, מדובר בשיפור שימושי: פחות הרשאות מנהל מקומיות ופחות קריאות תמיכה, תוך שמירה על שליטה מרכזית ורישום פעולות. עם זאת, איכות ההטמעה תלויה בהקצאה מדויקת, בדרישות אימות מתאימות ובמעקב אחרי השימוש בפועל.
מקורות
- Microsoft Security Blog: What’s new in Microsoft Security — November 2026
- Microsoft Learn: Manage system settings with Endpoint Privilege Management
תמונה: Christina @ wocintechchat.com / Unsplash, ברישיון Unsplash. דף המקור והרישיון מתועדים בפרטי המדיה.
