Prosjekter for minste privilegium går ut fra én person per enhet. Nesten alle IT-miljøer har maskiner som bryter med den antakelsen: kiosken i resepsjonen, PC-en på laboratoriet, terminalen på produksjonslinjen, den bærbare PC-en som tre personer deler i en turnus. Heving av rettigheter på delte enheter står sjelden i prosjektplanen, og maskinene ender opp med å bære unntaket ingen ville skrive.
Problemet med felles administratorkontoer
Unntaket tar som regel samme form. Noen oppretter en felles lokal administratorkonto «for de delte maskinene», påloggingsinformasjonen sirkulerer blant dem som trenger den, og maskinen faller helt ut av rettighetsmodellen. Enhetene med flest brukere ender opp med de løseste rettighetene.
Hvorfor heving av rettigheter på delte enheter virker vanskelig
Vanskeligheten føles strukturell. Hvis en policy knyttes til en person, og maskinen ikke har én bestemt person, har policyen ingenting å knytte seg til. Det resonnementet holder bare så lenge du lar maskinen være utgangspunktet for kontrollen.
Samtidig samler den delte maskinen alle egenskapene du helst vil unngå. Felles påloggingsinformasjon står utenfor alle rutiner for nyansatte og ansatte som slutter, så ingen tilbakekaller den når de som kjente den, går videre. Delte enheter står også åpent – ved en resepsjonsdisk, på en arbeidsbenk i verkstedet, i en korridor – der hvem som helst kan nå et tastatur med faste administratorrettigheter. Og når en hendelse berører en av disse maskinene, viser loggen den felles kontoen i stedet for en person, og det gjør et spørsmål på fem minutter til en etterforskning.
Ingenting av dette følger av at maskinvaren deles. Det følger av en nødløsning.
Det er ikke maskinen som er utgangspunktet for kontrollen
Det er identiteten. Når folk logger på med Entra ID-autentisering, tar personen ved tastaturet med seg sitt eget omfang for heving av rettigheter, og maskinen slutter å være det som avgjør.
CapaOne Privilege Manager, en del av CapaOne-plattformen for endepunktadministrasjon, definerer hvem som kan heve hva, hvor og under hvilke betingelser – per bruker, gruppe, enhet eller program. På en delt enhet er det den første dimensjonen som gjør jobben. Laboratorieteknikeren som logger på klokken åtte, og servicedeskteknikeren som logger på klokken fire, har ulikt omfang på den samme maskinvaren, fordi policyen følger kontoen og ikke inventarnummeret.
Dette er et annet spørsmål enn det de fleste rettighetsprosjekter stiller. Et eget innlegg handler om rettighetsglidning etter et rollebytte, der rettighetene glir ut etter hvert som noens jobb endrer seg over tid. Her er aksen rom i stedet for tid: den samme personen på flere maskiner, og flere personer på hver av dem.
To designvalg betyr mer på delte enheter enn noe annet sted.
Konfigurer innstillingene per bruker
Unngå å basere deg på ett enkelt omfang for heving som gjelder hele enheten. Kombiner enhetskonteksten med bruker- eller gruppebaserte policyer, slik at ulike personer har ulike rettigheter på det samme endepunktet. Den kombinasjonen er kravet hele tilnærmingen hviler på, og det er også den som får modellen til å fungere: I det øyeblikket innstillingene skiller mellom brukere, oppfører den delte maskinen seg som et hvilket som helst annet endepunkt i rettighetsmodellen din.
Avvisningsregler gjør nytte for seg her
Avvisningsregler dekker kommandoskall og usignerte installasjonsprogrammer. På en bærbar PC med én bruker er den beskyttelsen fornuftig. På en maskin i en offentlig korridor er de forskjellen mellom en avgrenset heving av rettigheter og en administrativ konsoll til generell bruk som står ubevoktet.
Dette trenger delte enheter fortsatt fra deg
Tre praktiske hensyn består etter endringen, og ingen av dem taler mot modellen.
Delte enheter står ofte på svakere nettverk – en produksjonsterminal på et overbelastet nettsegment, en kiosk på gjestenettet. Bestem bevisst hvordan disse maskinene skal oppføre seg når forbindelsen faller ut, i stedet for å la dem arve innstillingen du valgte for bærbare PC-er. Fysisk eksponering tilsier et kortere tidsvindu for heving enn det du ville satt på en bærbar PC som bor i noens veske. Og serverne bak disse arbeidsstasjonene hører hjemme i den samme samtalen: Privilege Manager kjører på Windows-klienter og Windows Server, så filserveren som laboratorie-PC-en kommuniserer med, omfattes av den samme modellen i stedet for en egen.
Privilege Manager fungerer med Microsoft Intune, eller helt uten. Plattformen står på egne ben og autentiserer mot Entra ID uansett.
Sjekkliste for rettigheter på delte enheter
Gå gjennom denne én gang per lokasjon, og én gang til etter hver endring i hvem som bruker maskinene.
- Identifiser de delte endepunktene. Kiosker, laboratoriemaskiner, produksjonsterminaler og arbeidsstasjoner som brukes i turnus. Tell dem før du planlegger noe.
- Finn de felles administratorpåloggingene. Se etter lokale kontoer som mer enn én person logger på med, og etter passord som ligger i en skuff eller på en lapp.
- Avgrens heving av rettigheter per bruker eller Entra ID-gruppe. Bestem hvilke personer som trenger hvilke rettigheter, og la gruppemedlemskapet bære beslutningen i stedet for en regel per maskin.
- Legg til enhetskonteksten i tillegg. Delte maskiner kan ha egne betingelser ved siden av identitetsomfanget – de to virker sammen i stedet for å erstatte hverandre.
- Forhåndsgodkjenn bare det arbeidet krever. Forhåndsgodkjenning skjer etter navnet på den kjørbare filen eller programbanen, så hold listen til oppgavene folk faktisk utfører på den maskinen.
- Sett avvisningsregler for verktøy med høy risiko. Kommandoskall og usignerte installasjonsprogrammer hører hjemme på den listen, og hvert dokumenterte unntak bør navngi arbeidet som krever det.
- Forkort tidsvinduet for heving. En maskin i en offentlig korridor fortjener en strammere varighet enn en bærbar PC som bor i noens veske.
- Bekreft at en hendelse kan spores til en person. Utfør én heving, hent ut loggen, og sjekk at den viser den enkelte personen og ikke en felles konto. Gjør den ikke det, betyr ingenting annet på denne listen noe.
Dette får du igjen
Den felles administratorpåloggingen forsvinner, og med den kontoen som ingen rutine for ansatte som slutter, noen gang var innom.
Revisjonsloggen endrer karakter. Hver hevingshendelse har det samme settet med felt – bruker, endepunkt, navnet på den kjørbare filen og programbanen, tidspunkt, varighet, utfall – og hele loggen kan eksporteres til CSV. På en delt enhet svarer disse feltene på spørsmålet som faktisk betyr noe etter en hendelse: ikke hvilken maskin, men hvilken person.
Og unntakslisten blir kortere. Delte enheter slutter å være kategorien du håndterer for seg, og det betyr at å fjerne faste lokale administratorrettigheter blir en beslutning du kan ta for hele IT-miljøet, ikke bare for det meste av det.
Hvor du bør begynne
Tell maskinene i IT-miljøet ditt som mer enn én person logger på, og sjekk hvor mange av dem som fortsatt har en lokal administratorkonto som noen opprettet som en nødløsning. Det tallet er som regel høyere enn teamet forventer, og det er det tydeligste stedet å begynne, fordi hver av disse maskinene har en pålogging som står utenfor alle prosessene du ellers stoler på.
Book en demo av CapaOne-plattformen for endepunktadministrasjon for å se policydesign for delte enheter, eller start en gratis prøveperiode og test modellen på ett delt endepunkt.