Я работаю в небольшой организации с 2 серверами и 30 клиентами. Мы полностью работаем под управлением Windows Server 2003 / XP. Помимо меня, операционному директору и нашей ИТ-консалтинговой компании нужен доступ к учетной записи администратора домена.
Должны ли мы иметь несколько учетных записей администратора домена по какой-либо причине (журнал изменений, безопасность или иное)? Есть ли причины не иметь несколько учетных записей администратора домена?
Каждый пользователь, выполняющий административные действия, должен иметь специальную учетную запись для выполнения этих действий. В среде Windows встроенная (RID 500) учетная запись администратора должна иметь сложный пароль, который должен быть установлен, распечатан и заперт в сейфе и т. Д. На случай чрезвычайных ситуаций.
Общий принцип безопасности звучит так: вы хотите знать, кто выполняет какие (в данном случае административные) действия (т.е. имеет контрольный журнал. Совместное использование учетных записей решает эту проблему.
Кроме того, вы хотите иметь возможность перекрыть доступ человеку в случае нарушения безопасности пароля, прекращения действия и т. Д. Общие учетные записи также не соответствуют этим критериям.
Общие учетные записи общего пользования любого типа следует рассматривать как весьма сомнительную ценность, но общие учетные данные администратора всегда плохой.
re: Специфичные для Windows соображения, такие как ограниченные подключения к удаленному рабочему столу / службам терминалов: будьте любопытны к своим коллегам-администраторам и не оставляйте прерванные сеансы. Я обнаружил, что социальное давление довольно хорошо работает в небольших организациях (то есть часто и громко упоминает тот факт, что администратор XXX не помнит о выходе с серверов). Вы всегда можете отключить отключенные сеансы других пользователей, если вам действительно нужно. Это добавляет, может быть, 30 секунд к попытке подключения. В более крупной организации или, если это становится серьезной проблемой, вы можете рассмотреть возможность использования тайм-аутов отключенного сеанса.
Немного в стороне, но это, вероятно, по теме, поскольку вы упомянули ИТ-консультанта: как ИТ-подрядчик я сам всегда запросить для себя выделенную административную учетную запись, и я требую не знать никаких "общих" административных учетных данных. Он защищает обе стороны и обеспечивает контрольный журнал. Я всегда хочу, чтобы мои клиенты чувствовали, что они могут "заблокировать меня" в любой момент (и действительно иметь эту способность тоже), потому что я считаю, что это посылает мощный сигнал, с которым я уверен в своей способности поддерживать отношения с они основаны на достоинствах моих навыков и ценности, которую я предоставляю, а не на каком-то смутном ощущении, что они «привязаны» ко мне.
Одна из причин не иметь несколько учетных записей:
Если вы все администрируете с помощью удаленного рабочего стола, у вас может быть ограничение на них. Если люди просто закроют сеанс удаленного рабочего стола, не выходя из системы, они быстро отключатся.
Причина иметь несколько учетных записей:
Вы можете увидеть, кто вошел в систему, если произойдет что-то плохое. На самом деле, если у вас хорошая командная среда, тот, кто что-то сделал, просто признает это.
Эван ответил хорошо. Также помните, что вы не должны использовать свою учетную запись администратора для повседневной работы - всегда запускайте команды администратора с помощью runas или аналогичных, если вы запускаете что-то непосредственно на своей рабочей станции.
Для служебных учетных записей вы также можете отключить интерактивный вход в систему, чтобы сделать их более безопасными.
И последнее: убедитесь, что вы включили аудит безопасности на своих серверах и убедитесь, что журнал событий безопасности достаточно велик (я обычно устанавливаю его на 20 МБ или более).