Ve většině malých firem, kam přijdeme poprvé, pracují zaměstnanci na svých počítačích jako lokální administrátoři. Je to pohodlné – každý si nainstaluje, co potřebuje, a IT nikoho neotravuje. Jenže stejná práva dostane i každý škodlivý program, který uživatel omylem spustí. V tomto článku vysvětlíme, jak odebrat lokální administrátorská práva ve Windows přes Microsoft Intune, jak zvládnout výjimky pomocí Endpoint Privilege Management (EPM) a jak celý přechod provést tak, aby se firma nezastavila.

Proč jsou lokální administrátorská práva problém

Lokální administrátor může na počítači změnit cokoli: vypnout antivir, upravit firewall, nainstalovat ovladač nebo přečíst data ostatních uživatelů. Pokud útočník ovládne účet s těmito právy, získá je také. A ovládnout účet běžného uživatele je díky phishingu překvapivě snadné.

Princip nejnižších oprávnění (least privilege) je proto jedním ze základních bezpečnostních doporučení. Najdete ho mezi kontrolami CIS Controls v8, které výslovně požadují oddělit administrátorské účty od běžné práce. Stejně tak agentura CISA v průvodci obranou proti ransomwaru doporučuje omezit lokální administrátorská práva, protože právě ta umožňují ransomwaru vypnout ochranu a šířit se dál.

Typické dopady administrátorských práv v praxi:

• Malware se nainstaluje bez odporu – nepotřebuje obcházet řízení uživatelských účtů (UAC), stačí mu jedno kliknutí.
• Uživatel vypne ochranu – „antivir mi blokoval program, tak jsem ho vypnul”.
• Neevidovaný software – na počítačích se objevují nelicencované nebo zastaralé aplikace, o kterých IT neví.
• Krádež přihlašovacích údajů – s administrátorskými právy lze z paměti vytáhnout hesla a tokeny dalších účtů.

Bezpečnostní analýzy dlouhodobě ukazují, že velkou část kritických zranitelností ve Windows lze zmírnit právě odebráním administrátorských práv. Pro malou firmu jde o jedno z opatření s nejlepším poměrem cena/výkon.

Kdo je dnes na firemním notebooku administrátorem

Než začnete něco měnit, zjistěte skutečný stav. Na zařízení připojeném do Microsoft Entra ID (dříve Azure AD) mají lokální administrátorská práva obvykle tři skupiny:

• Uživatel, který zařízení zaregistroval – ve výchozím nastavení se ten, kdo notebook při prvním spuštění připojí do Entra ID, stane lokálním administrátorem. Proto má práva téměř každý.
• Globální administrátoři tenanta – role Global Administrator je automaticky lokálním administrátorem na všech připojených zařízeních.
• Role „Microsoft Entra Joined Device Local Administrator” – samostatná role určená pro IT podporu.

Microsoft tyto výchozí skupiny popisuje v dokumentaci správy lokálních administrátorů na zařízeních připojených do Entra ID. K nim se přidávají ručně vytvořené lokální účty z dob, kdy se počítače nastavovaly „na koleni”.

Co potřebujete: licence a předpoklady

Samotné odebrání administrátorských práv zvládnete s licencemi, které většina menších firem už má. EPM je placený doplněk navíc. Přehled:

• Microsoft Intune Plan 1 – součást Microsoft 365 Business Premium, E3 i E5. Stačí na řízení členství ve skupině Administrators a na nastavení Autopilotu.
• Windows 10/11 Pro nebo vyšší, zařízení připojená do Entra ID a zaregistrovaná v Intune.
• Windows LAPS – zdarma, pro bezpečnou správu hesla lokálního administrátorského účtu.
• Endpoint Privilege Management (volitelně) – pokročilá funkce Intune, dostupná přes Intune Suite, samostatný doplněk nebo vybrané balíčky Microsoft 365. V Business Premium není. Microsoft nabízí 90denní zkušební verzi až pro 250 uživatelů.

Pro většinu firem do 20 lidí platí, že EPM nepotřebují hned. Začít lze čistě Intune a LAPS a o EPM uvažovat, až když výjimek přibývá.

Postup odebrání admin práv v Intune krok za krokem

Přechod na standardní uživatele má tři vrstvy: nová zařízení, stávající zařízení a nouzový přístup pro IT. Doporučujeme toto pořadí:

1. Nová zařízení: Autopilot a nastavení Entra ID

V profilu Windows Autopilot nastavte Typ uživatelského účtu na Standardní. Každý nový notebook pak uživatel převezme rovnou bez administrátorských práv.

Zároveň v centru pro správu Entra ID otevřete Zařízení › Nastavení zařízení a u volby, která registrujícího uživatele přidává mezi lokální administrátory, zvolte Žádný nebo jen vybranou skupinu IT. Tím zavřete dveře i pro zařízení připojená ručně.

2. Stávající zařízení: zásada Local user group membership

V centru pro správu Intune přejděte do Zabezpečení koncových bodů › Ochrana účtu a vytvořte profil Local user group membership. Je popsaný v dokumentaci zásad ochrany účtu v Intune.

• Skupina: Administrators.
• Akce: Add (Replace) – nahradí celé členství skupiny vaším seznamem. Všichni ostatní (včetně běžných uživatelů) o práva přijdou.
• Členové: vestavěný účet Administrator spravovaný přes LAPS a skupina IT podpory, případně role pro správu zařízení.

Akce Add (Update) a Remove (Update) členy jen přidávají nebo odebírají a zbytek skupiny nechávají být. Pro úklid je správná volba Replace, ale vyžaduje pečlivou kontrolu seznamu.

3. Nouzový přístup: Windows LAPS

Než komukoli práva odeberete, musí mít IT spolehlivou cestu, jak se na zařízení dostat jako administrátor. K tomu slouží Windows LAPS, který každému počítači nastaví unikátní heslo lokálního administrátora a pravidelně ho mění. Heslo se ukládá do Entra ID a technik ho vyzvedne jen ve chvíli, kdy ho potřebuje.

4. Pilot a postupné rozšíření

Zásadu nejdřív přiřaďte pilotní skupině 2–3 zařízení, ideálně včetně kolegy, který instaluje nejvíc aplikací. Po týdnu provozu rozšiřte na zbytek firmy. Uživatele předem informujte, co se mění a kam se mají obracet, když něco nepůjde.

Endpoint Privilege Management: povýšení bez admin práv

EPM řeší nejčastější námitku: „Ale já přece potřebuji občas něco nainstalovat.” Uživatel zůstane standardním uživatelem, ale konkrétní schválené programy může spustit s administrátorskými právy. Funkci podrobně popisuje přehled Endpoint Privilege Management v Intune.

EPM nabízí několik typů povýšení:

• Automatické – vybraný program se spustí s administrátorskými právy bez dotazu. Vhodné pro důvěryhodné nástroje, například instalátor účetního softwaru.
• Potvrzené uživatelem – uživatel klikne pravým tlačítkem na Spustit se zvýšeným přístupem, případně zadá zdůvodnění nebo se znovu ověří.
• Se schválením podporou – uživatel o povýšení požádá a IT ho schválí v centru pro správu Intune.
• Jako aktuální uživatel – pro aplikace, které potřebují přístup k profilu uživatele. Je méně izolované, proto ho používejte jen tam, kde jiný typ nefunguje.

Důležité je, že EPM uživatele nepřidává do skupiny Administrators. Povýšený proces ve většině případů běží pod izolovaným virtuálním účtem a každé povýšení se zapisuje do reportu. IT tak přesně vidí, co a kdo spouští.

Jak EPM zavést

Microsoft doporučuje postupné nasazení v pěti fázích. Pro malou firmu ho lze zjednodušit takto:

1. Audit – zásadou Elevation settings zapněte klienta EPM a sběr dat. Dva až tři týdny jen sledujte, co uživatelé povyšují.
2. Pravidla – z reportů vytvořte pravidla Elevation rules pro programy, které se opakují. Pravidla važte na vydavatele a certifikát, ne jen na název souboru.
3. Výchozí odpověď – pro vše ostatní nastavte povýšení se schválením podporou, aby uživatel nebyl úplně zablokovaný.
4. Odebrání práv – teprve teď nasaďte zásadu Local user group membership a uživatele převeďte na standardní.

Co dělat s výjimkami bez EPM

Pokud EPM nechcete platit, výjimky se dají zvládnout i jinak. Ve firmách, které spravujeme, se osvědčily tyto postupy:

• Aplikace instalujte centrálně – přes nasazení aplikací v Microsoft Intune a Firemní portál. Uživatel si software vybere z katalogu a instalace proběhne bez jeho administrátorských práv.
• Aktualizace řešte automaticky – většina běžných aplikací se umí aktualizovat bez zásahu uživatele.
• Tiskárny a ovladače nasaďte přes Intune nebo Universal Print, ne ručně.
• Vzácné případy vyřeší technik vzdáleně s heslem z LAPS.

Výjimku si zaslouží jen lidé, kteří administrátorská práva opravdu potřebují každý den – typicky vývojáři. I ti by ale měli mít oddělený účet pro administraci a pro běžnou práci používat standardní účet.

Nejčastější chyby při odebírání admin práv

• Zablokování IT – zásada Replace odebere i technika, protože v seznamu chyběla skupina podpory nebo nefungoval LAPS. Vždy nejdřív ověřte nouzový přístup.
• Nasazení na všechny najednou – bez pilotu se problémy s aplikacemi projeví u celé firmy ve stejný den.
• Zapomenutý Autopilot – stará zařízení jsou vyčištěná, ale každý nový notebook dostane administrátora znovu.
• Příliš široká pravidla EPM – automatické povýšení pro celou složku nebo pro cmd.exe fakticky vrací administrátorská práva.
• Chybějící komunikace – uživatel, který neví, proč se změna děje, si najde obejití. Krátký e-mail s vysvětlením ušetří desítky tiketů.

Jak ověřit, že nastavení funguje

Po nasazení si stav zkontrolujte na třech místech:

• Intune – v přehledu zásady Local user group membership musí být zařízení ve stavu Succeeded.
• Na zařízení – příkaz net localgroup administrators vypíše aktuální členy skupiny. Neměl by tam být žádný běžný uživatel.
• Reporty EPM – pokud EPM používáte, sledujte nepovolená povýšení. Ukazují, jaká pravidla chybí.

Doplňkově se vyplatí zapnout ASR pravidla v Microsoft Defenderu. Spolu se standardními uživateli výrazně ztíží útočníkovi práci, i když se mu podaří uživatele oklamat.

Kolik práce to zabere a kdy si přizvat pomoc

U firmy s 10–30 počítači v Intune zabere technické nastavení zhruba den: Autopilot, nastavení Entra ID, LAPS, zásada pro skupinu Administrators a pilot. Nejvíc času ale padne na zmapování aplikací, které uživatelé instalují sami, a na komunikaci s nimi.

Pokud počítače zatím v Intune nejsou, nebo nemáte jistotu, kdo má kde jaká práva, začněte auditem. Odebírání administrátorských práv dobře zapadá do širšího přístupu Zero Trust pro malé firmy. V rámci naší správy IT to řešíme jako standardní součást zabezpečení každého zařízení.

Často kladené otázky

Nebude zaměstnancům bez admin práv vadit, že si nemohou nic nainstalovat?

Pokud aplikace nasazujete přes Firemní portál, většina lidí rozdíl nepozná. Na zbytek stačí jasný postup, jak požádat o instalaci, případně EPM s povýšením se schválením podporou.

Je Endpoint Privilege Management součástí Microsoft 365 Business Premium?

Ne. EPM je pokročilá funkce Intune, kterou získáte přes Intune Suite, samostatný doplněk nebo vybrané balíčky Microsoft 365. Odebrání administrátorských práv samotné ale zvládnete i s Business Premium.

Jak se IT dostane na počítač, když nikdo nemá administrátorská práva?

Přes Windows LAPS. Každé zařízení má lokální administrátorský účet s unikátním heslem, které se ukládá do Entra ID a pravidelně mění. Technik si ho vyzvedne jen ve chvíli, kdy ho potřebuje.

Platí zásada Local user group membership i pro účty v doméně?

Ano, do seznamu členů můžete zadat uživatele i skupiny z Entra ID nebo z lokální domény. Při akci Replace ale vždy zkontrolujte, že seznam obsahuje i účty IT podpory.

Mohou mít vývojáři administrátorská práva i nadále?

Mohou, ale doporučujeme oddělit administrátorský účet od běžného nebo použít EPM s pravidly pro vývojářské nástroje. Běžná práce, e-mail a prohlížeč by měly vždy běžet bez administrátorských práv.

Shrnutí

Odebrání lokálních administrátorských práv ve Windows přes Intune patří k nejúčinnějším a zároveň nejlevnějším bezpečnostním krokům pro malou firmu. Začněte nastavením Autopilotu a Entra ID pro nová zařízení, zajistěte nouzový přístup přes LAPS a teprve potom zásadou Local user group membership ukliďte stávající počítače. Endpoint Privilege Management pak elegantně vyřeší výjimky, aniž byste museli práva vracet.

Chcete přechod na standardní uživatele provést bez výpadků a nespokojených kolegů? Ozvěte se nám – nastavíme to s vámi a projdeme i zbytek zabezpečení vašich zařízení.