Intune EPM: quitar el administrador local y elevar solo lo que hace falta

Qué vas a conseguir

Que los usuarios dejen de ser administradores locales de su equipo sin que IT reciba una avalancha de tickets: Endpoint Privilege Management (EPM) eleva solo la aplicación concreta (el instalador de un driver, la herramienta de un proveedor) con una regla, con o sin aprobación, y deja registro de todo. Al terminar tendrás la política base, tres reglas y el informe para la reunión.

Antes de empezar

• Licencia Intune Suite o el complemento Endpoint Privilege Management para los usuarios afectados.
• Windows 10 22H2 o 11 con los dispositivos unidos a Entra ID o híbridos y conformes (guía de Intune).
• Un grupo piloto (sg-epm-pilot) de 20-30 usuarios de IT y de un departamento que instale cosas a menudo, y la lista de lo que hoy hacen con derechos de administrador (pregunta; luego el informe te dirá la verdad).
• El compromiso de dirección: la fecha en la que se retira el administrador local. Sin fecha, el piloto no termina nunca.

1. Activar EPM y la política de elevación

Dos decisiones aquí. Denegar todas las solicitudes como respuesta por defecto: lo que no tenga regla, no se eleva (la alternativa, "requerir confirmación del usuario", convierte a cada usuario en administrador con un clic más). Y enviar todas las elevaciones a los informes, porque en las primeras semanas lo importante es saber qué intenta elevar la gente.

Consejo: antes de denegar, dos semanas con la respuesta por defecto en Requerir confirmación del usuario y justificación en el piloto. El informe de elevaciones te dirá exactamente qué reglas necesitas en el paso 3. Es el equivalente al "solo informe" de Conditional Access.

2. Retirar el administrador local

Reemplazar deja en Administradores solo lo que listas: el grupo de IT y la cuenta local que gestiona Windows LAPS (la contraseña rotada que IT usa in situ). El usuario desaparece del grupo en el siguiente check-in. Compruébalo en un equipo: net localgroup Administradores ya no lo lista. Esta política va después de la de EPM, nunca antes.

3. Las reglas de elevación

›Get-AuthenticodeSignature "C:\Users\laura.prado\Downloads\DellCommandUpdate.exe" | Select-Object Status, @{n="Publisher";e={$_.SignerCertificate.Subject}}Status Publisher------ ---------Valid  CN=Dell Inc, O=Dell Inc, L=Round Rock, S=Texas, C=US›Get-FileHash "C:\Tools\vendor\ScannerDiag.exe" -Algorithm SHA256 | Select-Object -ExpandProperty Hash7A3F…C91E

Tres tipos de regla y cuándo usar cada uno: automática para software firmado de proveedores conocidos, que se eleva sin que el usuario note nada; confirmación del usuario con justificación para herramientas que IT ha revisado pero quiere que queden registradas; aprobación del soporte técnico para lo ocasional: el usuario pide, aparece en Endpoint Privilege Management → Solicitudes de elevación y alguien de IT aprueba desde el portal sin conectarse al equipo. El certificado es mejor que el hash: sobrevive a las actualizaciones del instalador.

4. Lo que ve el usuario

Ejecutar con acceso elevado aparece en el menú contextual en los equipos con la política. Si la aplicación no tiene regla y la respuesta por defecto es denegar, el usuario ve "Tu organización no permite elevar esta aplicación" y el intento queda en el informe: ese es tu dato para la siguiente regla, o para decirle que no.

5. El informe y la reunión

El dato que importa: en 30 días, 30 usuarios necesitaron 412 elevaciones y 14 se denegaron, ninguna de ellas con impacto en el trabajo. Eso, en una diapositiva, es lo que cierra la conversación de "yo necesito ser administrador". Las denegadas repetidas de la misma aplicación son candidatas a regla; las de instaladores descargados de internet no.

6. Lo que revisas cada mes

• Solicitudes de aprobación pendientes de más de un día: el proceso está fallando, no la herramienta.
• Reglas por hash que han dejado de elevar: el instalador se actualizó; cambia a certificado si puedes.
• Equipos del grupo donde Administradores sigue teniendo al usuario (informe de Pertenencia a grupos locales o la consulta de Graph de la guía siguiente).
• Nuevos grupos al despliegue: de 30 a 150 a toda la empresa, un mes por paso, y la fecha de retirada en el calendario.

Siguientes pasos

• Windows LAPS para la cuenta de administrador local que queda: contraseña distinta por equipo, rotada y visible en Intune (Dispositivos → el equipo → Contraseña de administrador local).
• Las elevaciones aprobadas llegan como eventos al registro Microsoft-Windows-EPMAgent/Operational; con el agente de Sentinel (Nivel 4) tienes la alerta de "elevación fuera de horario".
• Lo mismo en macOS no existe en EPM: allí el camino es no dar administrador en el enrolamiento con Jamf y usar su Self Service para lo que requiera privilegios.

¿Falta algo o en tu entorno es distinto? Escríbeme y lo corrijo.