สร้างการอนุมัติผู้ดูแลระบบหลายรายสำหรับแอป Intune ด้วย PowerShell

ในบทช่วยสอนนี้ ฉันจะแสดงวิธีสร้างนโยบายการเข้าถึงการอนุมัติสำหรับผู้ดูแลระบบหลายรายใน Microsoft Intune โดยใช้ Microsoft Graph PowerShell SDK นี่เป็นวิธีที่สมบูรณ์แบบหากคุณต้องการทำให้กระบวนการสร้างของคุณเป็นแบบอัตโนมัติและรักษาผู้เช่าหลายรายให้เป็นมาตรฐานเดียวกันในขณะเดียวกันก็หลีกเลี่ยงข้อผิดพลาดที่อาจเกิดขึ้นจากผู้ใช้

หากคุณต้องการข้ามไปที่สคริปต์ คลิกที่นี่

การอนุมัติแบบหลายผู้ดูแลระบบใน Intune คืออะไร

นโยบายการเข้าถึงการอนุมัติของผู้ดูแลระบบหลายรายใน Intune ช่วยให้คุณมั่นใจได้ว่าผู้ดูแลระบบคนที่สองจะอนุมัติการปรับใช้แอปและสคริปต์ไปยังปลายทางภายใน Intune

ด้วยการสร้างขั้นตอนการทำงานที่ปลอดภัยนี้ คุณจะมั่นใจได้ว่าคุณกำลังปกป้องอุปกรณ์ปลายทางของคุณจากผู้ดูแลระบบที่เป็นอันตรายหรือถูกบุกรุก โดยอนุญาตให้บุคคลอื่น (อาจปฏิบัติตามข้อกำหนดหรือด้านความปลอดภัย) ตรวจสอบได้ว่าแอปหรือสคริปต์ได้รับการอนุมัติ ตรวจสอบ หรือจัดทำเป็นเอกสาร

การอนุมัติของผู้ดูแลระบบหลายรายจะมีผลเมื่อมีการใช้บัญชีผู้ใช้ใดๆ ในผู้เช่าของคุณเพื่อสร้างทรัพยากรที่ได้รับการคุ้มครองโดยนโยบายการเข้าถึง

การอนุมัติแบบหลายผู้ดูแลระบบทำงานอย่างไร

เมื่อคุณสร้างการอนุมัติสำหรับผู้ดูแลระบบหลายรายใน Intune คุณจะกำหนดประเภทของทรัพยากรที่คุณต้องการปกป้อง (ไม่ว่าจะเป็นแอปหรือสคริปต์) จากนั้นคุณกำหนดว่าผู้ใช้รายใดที่สามารถอนุมัติคำขอได้โดยการเลือกกลุ่ม

จากนั้นเมื่อผู้ใช้ไปสร้างแอปหรือสคริปต์ ระบบจะแสดงกล่องข้อความเพื่อกรอกเหตุผลทางธุรกิจสำหรับแอปพลิเคชัน

ผู้ดูแลระบบการอนุมัติจะเข้าสู่ระบบคำขออนุมัติที่มีผู้ดูแลระบบหลายรายและตัดสินใจว่าจะอนุมัติหรือปฏิเสธคำขอ พวกเขายังสามารถเห็นเหตุผลทางธุรกิจจากผู้สร้างได้อีกด้วย

วิธีสร้างนโยบายการเข้าถึงการอนุมัติของผู้ดูแลระบบหลายรายในศูนย์การจัดการ Intune

เมื่อต้องการสร้างนโยบายการเข้าถึงการอนุมัติของผู้ดูแลระบบหลายรายจากภายในศูนย์การจัดการ Intune ให้ทำตามขั้นตอนเหล่านี้:

1. เข้าสู่ระบบ endpoint.microsoft.com

2. จากเมนูด้านซ้าย ให้เลือก การดูแลระบบผู้เช่า

3. เลือก การอนุมัติผู้ดูแลระบบหลายราย

4. เลือกแท็บ นโยบายการเข้าถึง ที่ด้านบน จากนั้นคลิก สร้าง เพื่อเปิดตัวช่วยสร้างนโยบายการอนุมัติสำหรับผู้ดูแลระบบหลายราย

5. ป้อนชื่อที่มีความหมายสำหรับนโยบายการเข้าถึงของคุณ จากนั้นเลือกประเภทโปรไฟล์ที่จะใช้กับนโยบายนี้ คุณสามารถเลือก แอป หรือ สคริปต์

6. ในแท็บผู้อนุมัติ คลิก เพิ่มกลุ่ม และเลือกกลุ่มที่มีผู้ใช้ที่คุณต้องการให้อนุมัติคำขอเข้าถึงได้

7. ในหน้าสุดท้าย คลิก สร้าง จากนั้น คุณจะเห็นนโยบายการอนุมัติแสดงอยู่ในแท็บ นโยบายการเข้าถึง

วิธีสร้างนโยบายการเข้าถึงการอนุมัติของผู้ดูแลระบบหลายรายด้วย PowerShell

หากคุณต้องการปรับใช้นโยบายการอนุมัติจาก PowerShell โดยใช้ Microsoft Graph PowerShell SDK คุณสามารถใช้สคริปต์ด้านล่างซึ่งมีอยู่ในหน้า GitHub ของฉันที่นี่ด้วย

#Author:    Daniel Bradley
#Website:   https://ourcloudnetwork.com
#LinkedIn:  https://www.linkedin.com/in/danielbradley2/

#Define settings
$DisplayName = "test2"  #Enter the desired policy name
$Description = "test1"  #Enter the desired policy description
$PolicyType  = "Apps"  #Enter either 'Apps' or 'Scripts'
$ApproversGroup = "Approval Admins" #Enter the exact name of the approvers groups

#Checks for Microsoft Graph
if (Get-Module -ListAvailable -Name Microsoft.Graph.Devices.CorporateManagement) 
{
} else {
        Install-Module -Name Microsoft.Graph.Devices.CorporateManagement -Scope CurrentUser
        Write-Host "Microsoft Graph Authentication Installed"
}

#Imports Module
Import-Module Microsoft.Graph.Devices.CorporateManagement, Microsoft.Graph.Groups

#Select Beta Profile
Select-MgProfile -Name Beta

#Connect to Microsoft Graph
Connect-MgGraph -Scopes DeviceManagementConfiguration.ReadWrite.All, Group.Read.All

#Store Target group
$targetgroup = Get-MgGroup | Where-Object {$_.DisplayName -eq $ApproversGroup}

#Define the URI
$uri = "https://graph.microsoft.com/beta/deviceManagement/operationApprovalPolicies"

#Define policy parameters
$json = 
@{
  "@odata.type" = "#microsoft.graph.operationApprovalPolicy"
  displayName = "$DisplayName"
  description = "$Description"
  policyType = "$PolicyType"
  approverGroupIds = @($targetgroup.id)
 } | ConvertTo-Json

#Create policy
$companyportal = Invoke-MgGraphRequest -Uri $uri -Body $json -Method POST -ContentType "application/json"

ประสบการณ์ของผู้ใช้เมื่อคุณเปิดใช้งานนโยบายการเข้าถึงของคุณ

เมื่อคุณมีนโยบายแล้ว จะใช้เวลาประมาณ 5 นาทีก่อนที่การเปลี่ยนแปลงจะส่งผลต่อผู้ใช้ปลายทางของคุณ ตรวจสอบให้แน่ใจว่าพวกเขาออกจากระบบเซสชันเบราว์เซอร์ผู้ดูแลระบบและลงชื่อเข้าใช้อีกครั้งด้วย

เมื่อผู้ใช้สร้างสคริปต์หรือการปรับใช้แอปภายใน Intune บนหน้าตรวจสอบ + สร้าง พวกเขาจะเห็นกล่องข้อความต่อไปนี้ทำให้พวกเขาสามารถส่งคำขอเพื่อขออนุมัติได้

สำหรับผู้ดูแลระบบการอนุมัติ เมื่อพวกเขากลับไปที่หน้าการอนุมัติของผู้ดูแลระบบหลายราย พวกเขาจะเห็นคำขอที่ได้รับพร้อมสถานะ ต้องการการอนุมัติ

น่าแปลกที่ผู้อนุมัติจะต้องคลิกข้อความไฮเปอร์ลิงก์ใต้หัวข้อเหตุผลทางธุรกิจเพื่อแสดงตัวเลือกในการอนุมัติคำขอ จากนั้นพวกเขาสามารถป้อนบันทึกที่เกี่ยวข้องและคลิกอนุมัติคำขอ

ขออภัย ขณะนี้ไม่มีตัวเลือกดั้งเดิมสำหรับสร้างการแจ้งเตือนทางอีเมล หรือไม่มีการแจ้งเตือนใดๆ จากภายในศูนย์การจัดการเพื่อแนะนำผู้ดูแลระบบที่อนุมัติเกี่ยวกับคำขอที่ได้รับ อย่างไรก็ตาม สามารถทำได้ง่ายๆ โดยการตรวจสอบบันทึกการตรวจสอบ