Qué vas a conseguir
Que los usuarios dejen de ser administradores locales de su equipo sin que IT reciba una avalancha de tickets: Endpoint Privilege Management (EPM) eleva solo la aplicación concreta (el instalador de un driver, la herramienta de un proveedor) con una regla, con o sin aprobación, y deja registro de todo. Al terminar tendrás la política base, tres reglas y el informe para la reunión.
Antes de empezar
- Licencia Intune Suite o el complemento Endpoint Privilege Management para los usuarios afectados.
- Windows 10 22H2 o 11 con los dispositivos unidos a Entra ID o híbridos y conformes (guía de Intune).
- Un grupo piloto (
sg-epm-pilot) de 20-30 usuarios de IT y de un departamento que instale cosas a menudo, y la lista de lo que hoy hacen con derechos de administrador (pregunta; luego el informe te dirá la verdad). - El compromiso de dirección: la fecha en la que se retira el administrador local. Sin fecha, el piloto no termina nunca.
1. Activar EPM y la política de elevación
Dos decisiones aquí. Denegar todas las solicitudes como respuesta por defecto: lo que no tenga regla, no se eleva (la alternativa, "requerir confirmación del usuario", convierte a cada usuario en administrador con un clic más). Y enviar todas las elevaciones a los informes, porque en las primeras semanas lo importante es saber qué intenta elevar la gente.
Consejo: antes de denegar, dos semanas con la respuesta por defecto en Requerir confirmación del usuario y justificación en el piloto. El informe de elevaciones te dirá exactamente qué reglas necesitas en el paso 3. Es el equivalente al "solo informe" de Conditional Access.
2. Retirar el administrador local
Reemplazar deja en Administradores solo lo que listas: el grupo de IT y la cuenta local que gestiona Windows LAPS (la contraseña rotada que IT usa in situ). El usuario desaparece del grupo en el siguiente check-in. Compruébalo en un equipo: net localgroup Administradores ya no lo lista. Esta política va después de la de EPM, nunca antes.
3. Las reglas de elevación
Get-AuthenticodeSignature "C:\Users\laura.prado\Downloads\DellCommandUpdate.exe" | Select-Object Status, @{n="Publisher";e={$_.SignerCertificate.Subject}}Status Publisher------ ---------Valid CN=Dell Inc, O=Dell Inc, L=Round Rock, S=Texas, C=USGet-FileHash "C:\Tools\vendor\ScannerDiag.exe" -Algorithm SHA256 | Select-Object -ExpandProperty Hash7A3F…C91ETres tipos de regla y cuándo usar cada uno: automática para software firmado de proveedores conocidos, que se eleva sin que el usuario note nada; confirmación del usuario con justificación para herramientas que IT ha revisado pero quiere que queden registradas; aprobación del soporte técnico para lo ocasional: el usuario pide, aparece en Endpoint Privilege Management → Solicitudes de elevación y alguien de IT aprueba desde el portal sin conectarse al equipo. El certificado es mejor que el hash: sobrevive a las actualizaciones del instalador.
4. Lo que ve el usuario
Ejecutar con acceso elevado aparece en el menú contextual en los equipos con la política. Si la aplicación no tiene regla y la respuesta por defecto es denegar, el usuario ve "Tu organización no permite elevar esta aplicación" y el intento queda en el informe: ese es tu dato para la siguiente regla, o para decirle que no.
5. El informe y la reunión
El dato que importa: en 30 días, 30 usuarios necesitaron 412 elevaciones y 14 se denegaron, ninguna de ellas con impacto en el trabajo. Eso, en una diapositiva, es lo que cierra la conversación de "yo necesito ser administrador". Las denegadas repetidas de la misma aplicación son candidatas a regla; las de instaladores descargados de internet no.
6. Lo que revisas cada mes
- Solicitudes de aprobación pendientes de más de un día: el proceso está fallando, no la herramienta.
- Reglas por hash que han dejado de elevar: el instalador se actualizó; cambia a certificado si puedes.
- Equipos del grupo donde
Administradoressigue teniendo al usuario (informe de Pertenencia a grupos locales o la consulta de Graph de la guía siguiente). - Nuevos grupos al despliegue: de 30 a 150 a toda la empresa, un mes por paso, y la fecha de retirada en el calendario.
Siguientes pasos
- Windows LAPS para la cuenta de administrador local que queda: contraseña distinta por equipo, rotada y visible en Intune (
Dispositivos → el equipo → Contraseña de administrador local). - Las elevaciones aprobadas llegan como eventos al registro
Microsoft-Windows-EPMAgent/Operational; con el agente de Sentinel (Nivel 4) tienes la alerta de "elevación fuera de horario". - Lo mismo en macOS no existe en EPM: allí el camino es no dar administrador en el enrolamiento con Jamf y usar su Self Service para lo que requiera privilegios.
¿Falta algo o en tu entorno es distinto? Escríbeme y lo corrijo.
What you'll get
Users stop being local administrators of their device without IT drowning in tickets: Endpoint Privilege Management (EPM) elevates only the specific application (a driver installer, a vendor tool) through a rule, with or without approval, and logs everything. By the end you will have the base policy, three rules and the report for the meeting.
Before you start
- An Intune Suite licence or the Endpoint Privilege Management add-on for the affected users.
- Windows 10 22H2 or 11 with devices Entra joined or hybrid joined and compliant (Intune guide).
- A pilot group (
sg-epm-pilot) of 20-30 users from IT and from a department that installs things often, plus the list of what they do today with admin rights (ask; the report will later tell you the truth). - Management's commitment: the date local admin is removed. Without a date, the pilot never ends.
1. Enable EPM and the elevation settings policy
Two decisions here. Deny all requests as the default response: whatever has no rule does not elevate (the alternative, "require user confirmation", turns every user into an administrator with one more click). And send all elevations to reporting, because in the first weeks what matters is knowing what people try to elevate.
Tip: before denying, spend two weeks with the default response on Require user confirmation with justification in the pilot. The elevation report will tell you exactly which rules you need in step 3. It is the equivalent of Conditional Access's report-only.
2. Remove local admin
Replace leaves in Administrators only what you list: the IT group and the local account managed by Windows LAPS (the rotated password IT uses on site). The user disappears from the group at the next check-in. Check on a device: net localgroup Administrators no longer lists them. This policy goes after the EPM one, never before.
3. The elevation rules
Get-AuthenticodeSignature "C:\Users\laura.prado\Downloads\DellCommandUpdate.exe" | Select-Object Status, @{n="Publisher";e={$_.SignerCertificate.Subject}}Status Publisher------ ---------Valid CN=Dell Inc, O=Dell Inc, L=Round Rock, S=Texas, C=USGet-FileHash "C:\Tools\vendor\ScannerDiag.exe" -Algorithm SHA256 | Select-Object -ExpandProperty Hash7A3F…C91EThree rule types and when to use each: automatic for signed software from known vendors, which elevates without the user noticing; user confirmed with justification for tools IT has reviewed but wants logged; support approved for the occasional case: the user requests, it appears in Endpoint Privilege Management → Elevation requests and someone in IT approves from the portal without connecting to the device. A certificate is better than a hash: it survives installer updates.
4. What the user sees
Run with elevated access appears in the context menu on devices with the policy. If the application has no rule and the default response is deny, the user sees "Your organization doesn't allow you to elevate this application" and the attempt lands in the report: that is your data for the next rule, or for saying no.
5. The report and the meeting
The number that matters: in 30 days, 30 users needed 412 elevations and 14 were denied, none of them with an impact on work. That, on one slide, is what closes the "I need to be an administrator" conversation. Repeated denials of the same application are rule candidates; denials of installers downloaded from the internet are not.
6. What you review each month
- Approval requests pending for more than a day: the process is failing, not the tool.
- Hash rules that have stopped elevating: the installer was updated; move to certificate if you can.
- Devices in the group where
Administratorsstill contains the user (the Local group membership report or the Graph query from the next guide). - New groups in the rollout: from 30 to 150 to the whole company, one month per step, and the removal date in the calendar.
Next steps
- Windows LAPS for the remaining local admin account: a different password per device, rotated and visible in Intune (
Devices → the device → Local admin password). - Approved elevations arrive as events in the
Microsoft-Windows-EPMAgent/Operationallog; with the Sentinel agent (Level 4) you get the "out-of-hours elevation" alert. - There is no EPM for macOS: there the path is not granting admin at Jamf enrolment and using its Self Service for whatever needs privileges.
Is something missing, or different in your environment? Get in touch and I'll fix it.
Tech Career Lab · newsletter
¿Te ha servido? Cada dos semanas envío una idea práctica para perfiles IT: LinkedIn, proyectos, networking y procesos de selección.Found this useful? Every two weeks I send one practical idea for IT professionals: LinkedIn, projects, networking and hiring processes.
Apúntate y llévate las 33 ideasSign up and get the 33 ideas →