Control de acceso basado en roles

Use el control de acceso basado en rol en el centro de administración de Microsoft Intune para administrar quién tiene acceso a los recursos de la organización y qué pueden hacer con esos recursos.

Roles integrados

Windows Autopatch permite que el control de acceso basado en rol use el acceso con privilegios mínimos para distribuir y delegar la administración de Windows Update en Microsoft Intune.

Los permisos definidos en los roles de administrador de revisiones automáticas de Windows o lector de revisiones automáticas de Windows se usan para administrar grupos de revisiones automáticas, solicitudes de soporte técnico, mensajes de revisión automática e informes de revisión automática.

Para administrar las directivas de actualización y los informes de Windows Update, se requiere el permiso Configuración del dispositivo. Este permiso está disponible en roles integrados, como los roles de Administrador de perfiles y directivas.

Roles de Administrador de perfiles y directivas

Los roles de Administrador de perfiles y directivas incluyen permisos de configuración de dispositivos para administrar directivas de Intune, incluidas las siguientes directivas de actualización:

• Actualizar anillos
• Actualizaciones de calidad
• Actualizaciones de características
• Actualizaciones de controladores

Administrador de revisiones automáticas de Windows

El rol Administrador de revisiones automáticas de Windows administra todos los aspectos de Windows Autopatch:

• Grupos de revisiones automáticas
• Informes de revisión automática
  • Estado de actualización de calidad y características e informes de tendencias
• Solicitudes y mensajes de soporte técnico

Lector de revisiones automáticas de Windows

El Lector de revisiones automáticas de Windows puede ver los datos de Windows Autopatch disponibles en Microsoft Intune, pero no puede realizar cambios.

Actualizar roles de directiva

Para administrar la actualización de calidad de Windows, los anillos de actualización, la actualización de características de Windows, la actualización de controladores, Aplicaciones Microsoft 365 y las directivas de Microsoft Edge, el usuario debe tener permisos de configuración de dispositivos completos. La tabla siguiente es la lista completa de roles de administración de actualizaciones:

Para administrar correctamente Windows Autopatch como un rol con privilegios inferiores, el usuario debe tener permisos de Administración autopatch y permisos de administrador de directivas y perfiles.

roles de Microsoft Entra

Los siguientes roles de Microsoft Entra pueden acceder a las características de Windows Autopatch a través del portal de Microsoft Intune.

Roles personalizados

Puede crear dos roles personalizados que incluyan los permisos necesarios para un rol de trabajo específico.

Para lograr una administración de actualizaciones sin problemas, asegúrese de que los grupos asignados al rol personalizado Despache automático también sean miembros del rol Policy & Profile Manager o un rol personalizado con permisos equivalentes.

Vaya a Roles de administración> deinquilinos>Create Custom roleWindows Autopatch (Creación de un rol > personalizado deWindows Autopatch) para crear un rol personalizado.

Ámbitos

Windows Autopatch admite Intune etiquetas de ámbito y grupos con ámbito que se usarán para la administración de actualizaciones distribuidas. Use Microsoft Intune para crear y administrar etiquetas de ámbito.

• Windows Autopatch admite Intune ámbito para grupos de revisiones automáticas, asignaciones de roles de revisión automática, directivas de actualización e informes.
• Los mensajes de revisión automática, la compatibilidad y los contactos Administración no admiten ámbitos.
• Los grupos de revisiones automáticas creados por administradores con ámbito se asignan a las mismas etiquetas de ámbito que el usuario.
• Solo los administradores con ámbito, con las mismas etiquetas de ámbito asignadas, pueden editar y administrar grupos de autopatch.
• Al crear grupos de autopatch y asignar etiquetas de ámbito, las directivas de actualización creadas heredan las mismas etiquetas de ámbito.
• Los dispositivos asignados a grupos de revisiones automáticas no heredan las etiquetas de ámbito de grupo de revisión automática. Use Intune para asignar la etiqueta de ámbito a los dispositivos.

Permisos para grupos de revisiones automáticas

Los grupos de revisiones automáticas crean grupos Microsoft Entra y actualizan directivas y asignan las directivas al grupo como parte de su flujo de trabajo. Para completar correctamente el flujo de trabajo, se requieren ambos permisos. La opción para crear grupos de autopatch solo está disponible cuando el usuario tiene ambos permisos habilitados.

1. Configuración del dispositivo, todos los permisos
2. Grupo de revisiones automáticas de Windows, todos los permisos

Los grupos de revisiones automáticas de Windows a los que se asignan etiquetas de ámbito solo son visibles para los usuarios con esas etiquetas de ámbito exactas. Esto garantiza que el administrador de TI pueda administrar las implementaciones basadas en anillos mediante grupos de autopatch y no se vea afectado por discrepancias de ámbito.

Cuando al usuario se le asignan grupos con ámbito, solo pueden asignar grupos con ámbito para su distribución en anillos de implementación.

Administradores con ámbito y grupos de revisiones automáticas

En Intune administradores con ámbito, solo un usuario administrador al que se le asignan etiquetas de ámbito específicas y grupos con ámbito, solo puede asignar directivas a grupos con ámbito.

Administradores con ámbito y flujo de trabajo de grupo de revisiones automáticas

Como parte del flujo de trabajo de creación de grupos de revisiones automáticas, Windows Autopatch crea grupos de Microsoft Entra y actualiza directivas para la configuración de implementación seleccionada. Para asignar las directivas de actualización a los anillos de implementación recién creados, debe incluir el grupo autopatch como un grupo con ámbito en el rol que contiene los permisos de configuración del dispositivo.

En la tabla siguiente se explica el flujo de trabajo de alto nivel:

Asignación de etiquetas de ámbito a grupos de revisiones automáticas

1. En el centro de administración de Microsoft Intune, vaya a Gruposde revisiones automáticasde administración> de inquilinos >y seleccione un grupo. Todos los anillos y directivas del grupo autopatch tienen el mismo ámbito.
2. En la opción Agregar grupo a anillo, seleccione los grupos de Microsoft Entra que se asignarán al grupo Autopatch. Solo los grupos con objetos de ámbito están disponibles para la selección.
3. Vaya a Ámbito de propiedades>(etiquetas)>Editar>Seleccione etiquetas> de ámbito y seleccione las etiquetas que desea agregar al perfil. Puede asignar un máximo de 100 etiquetas de ámbito a un objeto.
   1. La sección Grupo de ámbito se muestra cuando el servicio detecta los grupos de autopatch creados antes de los controles de acceso basados en rol. Esto indica que se crea un grupo de Microsoft Entra, que se puede agregar como un grupo con ámbito. Un administrador con ámbito puede administrar este grupo de autopatch si se incluye en su ámbito.
   2. Siga los pasos descritos en la sección Flujo de trabajo Administradores con ámbito y grupo de revisiones automáticas para asignar grupos con ámbito.
4. Seleccione Revisar y guardar.

Problemas conocidos

Windows 365 Enterprise ofrece a los administradores de TI la opción de registrar dispositivos con Windows Autopatch como parte de la creación de la directiva de aprovisionamiento de Windows 365. Debe ser un administrador de servicios Intune para completar esta acción.

Solución de problemas general