在 Surface Hub 上設定非全域管理員帳戶

Windows 10 團隊版 2020 更新引入了對配置具有有限權限的非全域管理員帳戶的支持，以僅管理加入 Microsoft Entra 域的 Surface Hub 設備上的設置應用程序。 這可讓 IT 系統管理員將系統管理員許可權的範圍特別限定為 Surface Hub，以降低整個 Microsoft Entra 網域中不必要的存取風險。

Windows 10 團隊版 2020 更新 2 引入了對 LocalUsersAndGroups CSP 的支持，現在是推薦的方法。 雖然 RestrictedGroups CSP 仍受支援，但已取代。

摘要

建立非全域管理員帳戶的程式牽涉到下列步驟：

1. 在 Intune 中，建立包含指定 Surface Hub 系統管理員的安全性群組。
2. 使用 PowerShell 來取得 Microsoft Entra 群組的 SID。
3. 使用 Microsoft Entra 群組 SID 建立 XML 檔案。
4. 建立包含非全域系統管理員安全性群組所管理的 Surface Hub 裝置的安全性群組。
5. 建立自定義組態配置檔，以包含 Surface Hub 裝置的安全性群組為目標。

建立 Microsoft Entra 安全性群組

首先，建立包含系統管理員帳戶的安全性群組。 然後為 Surface Hub 裝置建立另一個安全性群組。

建立管理員帳戶的安全性群組

1. 透過 Microsoft Intune 系統管理中心登入 Intune，選取 [群組][新增群組>]>，然後在 [群組類型] 底下，選取 [安全性]。

2. 輸入群組名稱，例如 Surface Hub 本機管理員，然後選取 [建立]。

   

3. 開啟群組，選取 [成員]，然後選擇 [ 新增成員 ] 以新增指定的管理員帳戶。 若要深入瞭解如何在 Intune 中建立群組，請參閱 新增群組以組織使用者和裝置。

建立 Surface Hub 裝置的安全性群組

1. 重複上述程式，為 Hub 裝置建立個別的安全性群組，例如 Surface Hub 裝置。

   

使用 PowerShell 取得 Microsoft Entra 群組 SID

1. 以提升的帳戶權限啟動 PowerShell (以 管理員身分執行) ，並確保您的系統已設定為執行 PowerShell 腳本。 若要深入瞭解，請參閱 關於執行原則。

2. 安裝 Azure PowerShell 模組。

3. 登入您的 Microsoft Entra 租使用者。

   Connect-AzureAD
   

   注意

   Azure AD 和 MSOnline PowerShell 模組自 2024 年 3 月 30 日起已被取代。 若要深入瞭解，請閱讀 淘汰更新。 在此日期之後，這些模組的支援僅限於 Microsoft Graph PowerShell SDK 的移轉協助和安全性修正。 已淘汰的模組將繼續運作至 2025 年 3 月 30 日。

   建議您移轉至 Microsoft Graph PowerShell，以與Microsoft Entra識別碼互動 (先前稱為 Azure AD) 。 如需常見的移轉問題，請參閱 移轉常見問題集。

   請注意，1.0 版。x 的 MSOnline 可能會在 2024 年 6 月 30 日之後出現中斷。

4. 當您登入租用戶時，請執行下列 Commandlet。 它會提示您「請輸入 Microsoft Entra 群組的物件識別碼」。

   function Convert-ObjectIdToSid
   {    param([String] $ObjectId)   
        $d=[UInt32[]]::new(4);[Buffer]::BlockCopy([Guid]::Parse($ObjectId).ToByteArray(),0,$d,0,16);"S-1-12-1-$d".Replace(' ','-')
   
   }
   

5. 在 Intune 中，選取您稍早建立的群組，並複製物件識別碼，如下圖所示。

   

6. 執行下列 commandlet 以取得安全性群組的 SID：

   $AADGroup = Read-Host "Please type the Object ID of your Azure AD Group"
   $Result = Convert-ObjectIdToSid $AADGroup
   Write-Host "Your Azure Ad Group SID is" -ForegroundColor Yellow $Result
   

7. 將物件識別碼貼到 PowerShell 命令中，按 Enter，然後將 Microsoft Entra 群組 SID 複製到文字編輯器中。

建立包含 Microsoft Entra 群組 SID 的 XML 檔案

1. 將以下程式碼複製到文字編輯器中：

   <GroupConfiguration>
   <accessgroup desc = "S-1-5-32-544">
       <group action = "U" />
       <add member = "AzureAD\bob@contoso.com"/>
       <add member = "S-1-12-1-XXXXXXXXXX-XXXXXXXXXX-XXXXXXXXXX-XXXXXXXXXX"/>
   </accessgroup>
   </GroupConfiguration>
   

2. 將以 S-1-12-) 1 開頭的預留位置 SID (取代為您的Microsoft Entra群組 SID，然後將檔案儲存為 XML，例如 Microsoft Entra ID-local-admin.xml。

   注意

   您也可以使用其使用者主體名稱 (UPN 直接新增使用者，) ：
   <member name="AzureAD\user@contoso.com" />

建立自訂組態設定檔

1. 在 Microsoft Intune 中，移至 [裝置>組態配置檔] [>建立配置檔]。

2. 選取平台的 \[Windows 10 和更新版本\]。 對於設定檔，請選擇 Templates>Custom Create（範本自訂>建立）。

3. 提供名稱和描述，然後選取 [ 下一步]。

4. 在 [ 組態設定>OMA-URI 設定] 底下，選取 [新增]。

5. 新增名稱並使用下列 OMA-URI：

    ./Device/Vendor/MSFT/Policy/Config/LocalUsersAndGroups/Configure
   

   注意

   RestrictedGroups/ConfigureGroupMembership 原則設定允許新增或取代本機群組成員。 不過，它無法選擇性地新增或移除成員，而不取代整個群組。 針對 Windows 10 團隊版 2020 Update 2，建議使用 LocalUsersAndGroups 設定。 不支援將這兩個原則設定套用至 Surface Hub，而且可能會產生無法預期的結果。

6. 在 [資料類型] 底下，選取 [字串 XML] ，然後瀏覽以開啟您在上一個步驟中建立的 XML 檔案。

   

7. 選取 \[儲存\]。

8. 選取 [ 選取要包含的群組 ]，然後選擇 您稍早 (Surface Hub 裝置) 建立的安全性群組。 選取 [下一步]。

9. 在適用性規則下，視需要新增規則。 否則，請選取 [下一步]，然後選取 [建立]。

若要深入瞭解使用 OMA-URI 字串的自定義組態配置檔，請參閱 在 Intune 中使用 Windows 10 裝置的自定義設定。

管理 Surface Hub 的非全域系統管理員

新設定的 Surface Hub 本機管理員 安全性群組的成員現在可以登入 Surface Hub 上的 [設定] 應用程式並管理設定。