通过第一篇的阐述，我们已经获悉权限管理的升和降同样重要，不能一刀切。 Ivanti就拥有针对EPM功能的产品Application Manager，其前瞻性的设计——不但能够降权，还会帮用户考虑在某些情况下提升权限。

那么Ivanti又是如何具体做到权限升降的自如结合呢？下面由我继续为大家进行解读。

Ivanti最大的秘诀在于Application Manager在架构上并不像传统的一些解决方案必须依赖于微软的“域”，而是单独开展服务。加域其实是限制了你的功能，你很难去做策略的提升。而没有域的限制，不仅有利于企业全局的管控，对用户来讲也是很大的一个扩展。

GDPR Compliance

我们把Windows策略研究得非常细、非常透，它有哪些功能，每一个字段、每一个服务的位置，我们都很清楚，然后用我们自己的代码去控制激活这个功能所需要的权限。我们可以把权限的帐号和密码预先输入在某一个位置下，当这个员工是相应的用户时，他就可以用管理员去执行起这个任务了。简单来说Application Manager就是把一些权限细化到每一条操作里面去了，特定用户在进行某些操作时是可以享有管理员权限的。

但当这些操作完成后，该用户就不再拥有管理员权限了。Application Manager脱离了Windows这套管理的域，又单独为每个权限、每个细致的条目设立了一个策略，相当于重写了一次Windows主机的用户策略，因此能对每一个主机都有掌控，可以让他的权限降下来，也可以按照需求升上去。

而这一系列细致的、独立的策略，也使得Application Manager的权限管理不仅仅局限于传统的软件控制，而是实现了对整个Windows系统层面的把控。无论是更改日期和时间，设置字体大小、桌面背景分辨率，还是设置打印机等等，都可以进行权限控制和管理。因此，它是基于一个比软件的安装和使用更加广阔的应用场景。