终端权限管理
最近更新时间：2026年09月23日 09:26:02
策略配置
制定终端权限管理策略，统一管控 Windows 和 macOS 终端的管理员权限及提权行为，帮助企业实现终端权限的最小化管控，降低本地管理员权限滥用带来的安全风险。
1. 登录 iOA 零信任管理平台控制台，在左侧导航栏，选择终端管控 > MDM 管理 > 终端权限管理。
2. 在终端权限管理页面，选择策略配置，单击新建策略。
3. 在新建策略页面，配置相关参数。
3.1 输入策略名称，并输入策略描述等参数。
3.2 单击添加适用范围 ，勾选需管控/排除的用户/终端名称，单击确定。
4. 根据实际需求，选择如下终端权限策略，单击保存。
管理员权限回收
1. 单击![]()
2. 在管理员白名单输入框中，输入需要保留管理员权限的本地账户用户名，单击添加，将账户加入白名单。系统将确保白名单内的本地账户具有管理员权限，并将其余本地账户的管理员权限回收。
说明：
启用管理员权限回收后，白名单外的本地账户管理员权限将被回收，该配置在账户重新登录后生效。
管理员白名单输入本地账户的用户名，系统将确保其具有管理员权限。Azure AD 账户不支持设置白名单。
默认提权规则
说明：
Windows 系统功能，macOS 下无此功能。
1. 单击![]()
2. 配置提权规则，指定匹配方式（哈希值、路径、发布者）、匹配值及提权时段，单击添加，将规则加入提权规则列表。
参数名称 | 说明 |
匹配方式 | 提权规则的匹配维度，支持哈希值、路径、发布者三种方式。 |
匹配值 | 对应匹配方式的具体取值，如应用的哈希值、安装路径或签名发布者。 |
提权时段 | 该提权规则生效的时间窗口，默认为 00:00:00 ~ 23:59:59（全天生效）。 |
用户自助提权
说明：
Windows 系统功能，macOS 下无此功能。
1. 单击![]()
2. 设置提权时间窗口，限定终端用户可自助申请提权的时间范围，默认 00:00:00 ~ 23:59:59。
3. 如需规范化管理，可打开强制用户补充提权原因开关，要求用户在提权时填写提权原因。
4. 在客户端提示问题区域，分别填写中文和 English 的提示问题文案，客户端提示问题建议同时配置中文和英文文案，确保不同语言环境的终端用户均可正常理解。
5. 结合提权记录日志，定期核查用户自助提权行为，及时发现异常提权。
提权日志
提权记录用于查看终端上发生的所有提权行为，支持按提权方式（静默提权、手动提权）筛选，并查看每条提权记录的详细信息，便于管理员审计终端提权行为。
1. 登录 iOA 零信任管理平台控制台，在左侧导航栏，选择终端管控 > MDM 管理 > 终端权限管理。
2. 在终端权限管理页面，选择提权记录。
3. 在提权方式筛选框中，选择全部方式、静默提权或手动提权，查看对应类型的提权记录。
4. 在提权记录列表中，找到目标记录，单击该记录对应行或操作列的查看，查看提权详情。
5. 提权记录列表展示各终端上发生的提权行为，可查看该次提权的详细信息，主要包括设备信息、授权信息等。
6. 提权记录不可删除，系统将完整留存所有提权行为记录，供管理员审计。
7. 建议定期核查静默提权与手动提权记录，重点排查提权原因异常或授权对象异常的记录。