Trotz Admin-Account höhere Rechte erforderlich

[Daniel D.]

Ich habe im Verein ein zusätzliches Notebook (Dell Inspiron 14 5405) manuell zu Intune hinzugefügt. Daraufhin habe ich Windows 11 24H2 installiert (ohne Autopilot) und mich mit dem Arbeitskonto eingeloggt.

Wenn ich jetzt einen Druckertreiber installieren möchte, nutze ich bei der Aufforderung den Admin-Zugang, mit dem ich im Tennant und auf den anderen Geräten den gleichen Treiber bereits installiert hatte. Trotzdem sagt er, dass ich höhere Rechte benötige. Warum nur auf dem Laptop? Hängt es an TPM 1.2? Ich verstehe es nicht. Benutzername und Passwort stimmen. Ich bekomme nur nie Admin-Rechte.

 

[Tamron]

Es klingt so als würdest du den Global Admin Account dafür benutzen? Bitte benutze nicht den Global Admin auf Client Geräten für sowas. Das ist eine sehr schlechte Default Einstellung in Intune. Mach es bitte nicht.
Verteile am ehesten LAPS und mach es darüber. Ansonsten verteile einen dedizierten lokalen Admin Account.
Dein Tenant Admin hat nichts auf einem unsicheren Gerät zu suchen.

 

[Daniel D.]

Mache ich, nur sollte es nicht dennoch funktionieren?

 

[Tamron]

ja, vielleicht.
MMn. ist dies irrelevant, weil das so nicht konfiguriert werden darf. Sorry für die doofe Antwort, aber das ist wirklich ein sehr sehr großes Problem.

 

[Daniel D.]

Mit LAPS hat es funktioniert, warum auch immer. Danke für den Hinweis!

 

[Gulp]

Grundsätzlich bedeutet ein Admin Account nicht zwangsläufig immer gleich höhere Rechte zu haben, es bedeutet lediglich sich diese Rechte verschaffen zu können.

Grüsse

Gulp

 

[KadmosIII]

Ich meine mich zu erinnern, dass ein Global Admin in der Standardrolle von MS auch gar keine erhöhten Rechte auf Clients hat. Beim Überfliegen der Rolle und suchen, habe ich gerade dazu auch nichts gefunden.

LAPS sollte hierbei wirklich immer die erste Wahl sein, wenn möglich. Und hat ja auch geklappt, so wie es sollte.

 

[Tamron]

Das ist in der Intune Config drin

How it works
At the time of Microsoft Entra join, the following security principals are added to the local administrators group on the device:

The Microsoft Entra Joined Device Local Administrator and the Global Administrator roles
The user performing the Microsoft Entra join

Und das ist ziemlich schlimm...