segmentacja kont użytkowników

Segmentacja kont użytkowników dzieli profile według roli, uprawnień lub aktywności.

Kryteria podziału i miejsce ich zapisu

Segmentacja kont zaczyna się od decyzji, według czego dzielimy: stanowiska, działu, lokalizacji, typu urządzenia czy poziomu dostępu do danych. W środowisku z kontrolerem domeny nośnikiem tej informacji są atrybuty obiektu użytkownika w katalogu — department, title, physicalDeliveryOfficeName — oraz przynależność do grup. Same jednostki organizacyjne, czyli OU, służą przede wszystkim do przypinania zasad grupowych, a nie do nadawania uprawnień.

W małej firmie bez domeny rolę tę pełnią lokalne grupy Windows, przeglądane poleceniem net localgroup, oraz uprawnienia NTFS na udziałach sieciowych. Podział jest wtedy płytszy, ale zasada zostaje ta sama: uprawnienie przypisuje się grupie, konto wrzuca do grupy.

Grupy zabezpieczeń kontra listy dystrybucyjne

Te dwa typy obiektów bywają mylone, choć służą do czego innego. Grupa zabezpieczeń może być podmiotem na liście kontroli dostępu do folderu czy bazy, grupa dystrybucyjna jest wyłącznie adresem zbiorczym w poczcie. Przypisanie uprawnień do grupy dystrybucyjnej po prostu nie zadziała, a administrator traci godzinę na szukanie przyczyny.

Do wyciągania segmentów służy filtr LDAP albo PowerShell — Get-ADUser -Filter {Department -eq 'Sprzedaz'} -Properties LastLogonDate zwraca gotową listę razem z informacją o ostatnim logowaniu. W nowszych środowiskach chmurowych ten sam efekt daje grupa dynamiczna z regułą opartą na atrybucie, dzięki czemu skład aktualizuje się sam po zmianie stanowiska pracownika.

Konta-widma i uprawnienia narastające przez lata

Największym grzechem jest gromadzenie uprawnień przy zmianie stanowiska. Pracownik przechodzi z magazynu do księgowości, dostaje nowe dostępy, a stare zostają — po trzech latach ma wgląd w praktycznie wszystko. Drugi problem to konta osób, które odeszły z firmy: wyłączone konto blokuje logowanie, ale wciąż figuruje na listach i utrudnia audyt, natomiast konto usunięte bez zabezpieczenia zaszyfrowanych plików potrafi je bezpowrotnie zamknąć.

Osobna kategoria to konta współdzielone, na przykład jeden login recepcja albo kasa. Nie da się wtedy ustalić, kto wprowadził dokument, a każde zdarzenie w dzienniku wskazuje na tę samą tożsamość. Kłopotu przysparzają też grupy zagnieżdżone kilka poziomów w głąb, w których nikt już nie potrafi wskazać źródła konkretnego dostępu.

Uporządkowanie dostępów w sieci firmowej

Zwykle wchodzimy w taką sytuację, gdy firma rośnie z pięciu do dwudziestu stanowisk i dotychczasowy model, w którym każdy widzi każdy folder, przestaje być akceptowalny. Robimy wtedy inwentaryzację kont i faktycznych uprawnień do udziałów, rozdzielamy je na role, a przy programach handlowych przekładamy ten sam podział na uprawnienia w bazie SQL Server, gdzie sprzedawca nie powinien mieć wglądu w moduł kadrowy. Pracujemy również poza godzinami pracy biura, żeby przebudowa dostępów nie zatrzymywała firmy w środku dnia.