Zarządzanie administratorami usługi Windows Intune

Autor: Marek Krupa

Opublikowano: 2011-04-21

Z poprzedniego artykułu dowiedziałeś się, jak zarejestrować komputer w systemie Windows Intune. Poznałeś sposób rejestracji komputerów oraz dowiedziałeś się, jakie zmiany zachodzą w systemie po zainstalowaniu programu instalacyjnego Windows Intune.

Każdy system komputerowy przewiduje różne poziomy dostępu dla różnych użytkowników. Każdy użytkownik powinien otrzymać takie uprawnienia, jakie pozwolą mu wykonywać jego zadania.

Rodzaje administratorów systemu Windows Intune

Windows Intune rozumiany jako kompletny system do zarządzania komputerami klienckimi rozróżnia dwie grupy administratorów:

• administratorzy posiadający dostęp do panelu administracyjnego Windows Intune,
• administratorzy lokalni komputerów zarządzających.

Pierwsza grupa to osoby, których konta dodano do grupy administratorów w Windows Intune.

Druga grupa to administratorzy zajmujący się bezpośrednio administrowaniem zarejestrowanymi w Windows Intune komputerami klienckimi. Do zadań tej grupy będzie należało bieżące monitorowanie systemów, wsparcie użytkowników, czyli rozwiązywanie problemów z systemem, sprzętem i oprogramowaniem, w szczególności rejestrowanie komputerów w Windows Intune. Grupa lokalnych administratorów z punktu widzenia wykonywanych obowiązków nie musi posiadać dostępu do panelu administracyjnego Windows Intune, natomiast powinna otrzymywać powiadomienia o zaistniałych zdarzeniach.

Administratorzy usługi Windows Intune

Zarządzanie administratorami usługi Windows Intune odbywa się w obszarze Administration –>Administrator Management (rys. 1).

**Rys. 1. Zarządzanie administratorami usługi Windows Intune.

Administratorów posiadających dostęp do panelu Windows Intune można podzielić na dwie grupy:

• tenant administrator – właściciel/dzierżawca usługi,
• service administrator – administrator serwisu.

Administratorów serwisu Windows Intune dodaje się za pomocą konsoli administracyjnej.

W celu dodania nowego administratora serwisu należy kliknąć przycisk Add Administrator w obszarze Administrator Management (rys. 1). W oknie dodawania administratora w polu E-mail address wpisujemy e-mail użytkownika, któremu chcemy nadać dostęp do panelu (rys. 2).

**Rys. 2. Formularz dodawania konta nowego administratora.

Warunkiem koniecznym jest, aby dodawany adres poczty elektronicznej był skojarzony z kontem Windows LiveID. W przypadku gdy tak nie będzie, pojawi się stosowny komunikat informujący o błędzie (rys. 3).

**Rys. 3. Błąd dodawania konta administratora.

Obszar Administrator Management umożliwia dodawanie tylko indywidualnych kont administratorów usługi. Administrator typu **dzierżawca usługi (**tenant administrator) nie może być dodawany za pomocą panelu administracyjnego Windows Intune. Tego typu konta należy dodawać za pomocą zewnętrznych usług, jak np. Microsoft Online Services.

Ponieważ ten typ administratora nie jest tworzony poprzez usługę Windows Intune, nie można nim zarządzać ani kasować go za pomocą panelu administracyjnego Windows Intune. Aby zarządzać  administratorami typu dzierżawca, usuwać te konta lub je modyfikować, należy zalogować się na swoje konto w Microsoft Onlince Service Subscription.

Usuwanie administratora

W dowolnej chwili każdy administrator może usunąć konto dowolnego administratora usługi –klikając przycisk Delete Administrator w obszarze Administrator Management (rys. 1). Wcześniej oczywiście należy wybrać konto, które chcemy usunąć. System poprosi jeszcze o potwierdzenie chęci usunięcia konta (rys. 4).

**Rys. 4. Usunięcie konta administratora z usługi.

Po usunięciu konta użytkownik nie będzie już mógł się zalogować do panelu administracyjnego.

Należy pamiętać, że usuwać można tylko konta typu administrator usługi, nie można natomiast usunąć konta typu dzierżawca usługi.

Uprawnienia administratorów usługi Windows Intune

Jeżeli komputer zostanie podłączony do domeny Microsoft Windows, automatycznie grupa administratorów domeny jest dodawana do lokalnej grupy administratorów tego komputera. Skutkuje to tym, że każdy administrator domeny jest równocześnie administratorem na każdym komputerze oraz serwerze członkowskim domeny.

Zasada ta nie działa w Windows Intune. To znaczy, że zarejestrowanie komputera w usłudze nie skutkuje nadaniem żadnych uprawnień lokalnych na komputerach administratorom mającym dostęp do panelu administracyjnego Windows Intune.

Usługa Windows Intune nie przewiduje również decentralizacji uprawnień administracyjnych. To oznacza, że nie można jednemu administratorowi usługi nadać uprawnienia tylko do zatwierdzania aktualizacji, a innemu tylko do zarządzania alertami. Jeżeli jakiś użytkownik zostanie dodany do listy administratorów usługi, to posiada on wszystkie uprawnienia. Każdy administrator posiada pełne uprawnienia do całej usługi.

Administratorzy lokalni

Drugą grupą administratorów są administratorzy lokalni systemów zarejestrowanych w usłudze. Ta grupa administratorów nie musi posiadać dostępu do panelu administracyjnego, natomiast jest wskazane, aby otrzymywali stosowne powiadomienia o zaistniałych zdarzeniach zarejestrowanych w usłudze.

W Windows Intune można zarejestrować konta osób, które będą otrzymywały alerty i powiadomienia. Lista wszystkich adresatów alertów i powiadomień jest widoczna w obszarze Administration –> Alerts and Notifications –>Recipients (rys. 5).

**Rys. 5 Adresaci alertów i powiadomień.

Domyślnie wszyscy administratorzy usługi są odbiorcami alertów i powiadomień – na liście są oni widoczni pod nazwą User. Powiadomienia będą wysyłane na adresy e-mail skojarzone z LiveID.

Warto zauważyć, że na liście odbiorców alertów nie widnieje konto zarejestrowane jako dzierżawca usługi.

Aby dodać nowe konto administratora, na które mają być wysyłane alerty i powiadomienia, należy kliknąć przycisk Add… i wypełnić krótki formularz przedstawiony na rysunku 6.

**Rys. 6. Formularz dodawania adresata alertów i powiadomień.

W formularzu należy wpisać nazwę użytkownika oraz dwukrotnie prawidłowy adres e-mail. Warto zwrócić uwagę, iż podawany w tym miejscu e-mail nie musi być skojarzony z żadnym kontem Windows LiveID. W formularzu można również wybrać język, w jakim będą generowane odpowiednie wiadomości e-mail (na dzień dzisiejszy nie można wybrać języka polskiego).

Po wypełnieniu wszystkich pól i zatwierdzeniu konto nowego adresata alertów i wiadomości pojawi się na liście (rys. 7).

**Rys. 7. Konto nowego adresata alertów i powiadomień.

Podsumowanie

W artykule omówiono typy administratorów z punktu widzenia usługi Windows Intune, przedstawiono też ich uprawnienia oraz czym się różnią.  Pokazano również, jak zarządzać kontami administratorów

W kolejnym artykule zostaną omówione  typy alertów i powiadomień, jakie są dostępne w Windows Intune oraz jak nimi zarządzać.