raport użytkownika

Raport użytkownika to zestawienie aktywności przypisanej do konkretnego konta.

Zestawienie przypisane do konkretnego konta

Raport użytkownika różni się od ogólnego zestawienia zdarzeń tym, że osią jest tożsamość, a nie czas. Buduje się go wokół identyfikatora konta — w Windowsie jest nim SID, niezmienny nawet po zmianie nazwy użytkownika, a w SQL Serverze osobno identyfikator loginu na poziomie instancji i identyfikator użytkownika w konkretnej bazie. Podstawowe dane o koncie pokazuje polecenie net user nazwa /domain albo whoami /all wypisujące komplet grup i przywilejów bieżącej sesji.

Typowa zawartość takiego zestawienia to data ostatniego logowania, lista stacji, z których konto się łączyło, przypisane grupy i role, wykorzystywane licencje aplikacji, udostępnione zasoby oraz operacje wykonane na danych. W środowiskach z katalogiem tożsamości dochodzą jeszcze logowania z podziałem na lokalizacje i urządzenia.

Do czego taki dokument służy w praktyce

Trzy zastosowania powtarzają się najczęściej. Przy odejściu pracownika raport jest listą kontrolną: pokazuje, do czego konto miało dostęp i co trzeba odebrać, zanim zostanie wyłączone. Przy przeglądzie uprawnień ujawnia zjawisko narastania przywilejów — osoba przeszła przez trzy działy, a członkostwo w grupach z każdego z nich zostało. Przy sporze o dane odpowiada na pytanie, kto usunął dokument albo zmienił cenę w kartotece towaru.

Warto odróżnić raport uprawnień od raportu wykorzystania. Pierwszy mówi, co konto może zrobić, drugi — co faktycznie zrobiło. Rozjazd między nimi jest normą: większość kont używa ułamka nadanych uprawnień, co jest najlepszym argumentem za ich ograniczeniem.

Kiedy przypisanie działań do osoby się rozjeżdża

Największym wrogiem takich zestawień są konta współdzielone. Jeden login o nazwie biuro albo magazyn, używany przez cztery osoby, sprawia, że raport jest formalnie poprawny i praktycznie bezużyteczny. Podobnie działa nawyk pracy na koncie administratora albo uruchamiania programu handlowego przez konto serwisowe. Kolejna pułapka to usunięcie i ponowne założenie konta o tej samej nazwie — nowy identyfikator zrywa ciągłość historii, mimo że nazwa się zgadza, a stare wpisy w uprawnieniach pokazują nierozwiązany identyfikator zamiast nazwiska. Trzeba też pamiętać, że data ostatniego logowania w środowisku z wieloma kontrolerami domeny replikuje się z opóźnieniem i potrafi różnić się między serwerami.

Porządkowanie kont przy rotacji pracowników

Firmy zgłaszają się do nas zwykle wtedy, gdy po kilku latach nikt już nie wie, kto ma dostęp do udziałów sieciowych i do bazy programu handlowego. Robimy inwentaryzację kont i uprawnień, likwidujemy loginy współdzielone, rozdzielamy konta usług od kont ludzi i ustawiamy w SQL Serverze role zamiast bezpośrednich nadań. Pracujemy u klienta lub zdalnie, o porze, która nie blokuje sprzedaży.