Yannick LeblancAlle systemer leveres med én identitet, der kan alt. Den udfører den indledende konfiguration, gendanner miljøet efter en fejl og laver de ændringer, ingen smallere rolle kan nå. I mange organisationer er det også den konto, nogen logger ind med en tirsdag eftermiddag for at tilføje en bruger.
Det er to forskellige opgaver. At beholde en konto, der kan genopbygge miljøet, når den normale administration svigter, er en gendannelsesevne. At give IT-professionelle nok adgang til at udføre deres daglige arbejde er en driftsopgave. Hvis man slår dem sammen i én rolle, uddeler man langt mere adgang, end det daglige arbejde kræver.
Forbeholdt gendannelse og exceptionelle ændringer
Den mest magtfulde identitet bør være forbeholdt gendannelse og exceptionelle ændringer. Et udfald hos identitetsudbyderen, en mistet administratorkonto, en konfigurationsændring, som ingen anden rolle kan gennemføre: Det er de øjeblikke, den findes til. Alt andet er almindeligt arbejde, og almindeligt arbejde har smallere roller. Nødadgang, hvor en organisation opretholder den, kommer med regler for opbevaring, alarmering og en testplan.
En break-glass-konto forbliver ubrugt, indtil den normale administration ikke er tilgængelig.
Hvorfor ubegrænsede roller ikke bør bruges hver dag
En ejer- eller root-rolle rækker som regel langt ud over den rutinemæssige administration. Afhængigt af systemet kan den omskrive godkendelsesindstillinger, oprette andre ejere, læse alt gemt indhold, ændre revisionskontroller eller bringe miljøet tilbage, efter at identitetsudbyderen er fejlet.
Større konsekvens af fejl
En utilsigtet ændring foretaget gennem en ubegrænset rolle rammer hele miljøet. En administrator med afgrænset omfang, der administrerer brugere eller konfiguration, når ikke også følsomt indhold og gendannelsesindstillinger.
Større konsekvens af kompromittering
Hver brug af en privilegeret identitet er endnu en mulighed for, at dens session, legitimationsoplysninger eller godkendelsesfaktorer bliver taget. Jo sjældnere den bruges, jo færre muligheder opstår der.
Svagere ansvarlighed
Når én bred rolle dækker alle administrative opgaver, kan ingen sige, hvorfor en bestemt person havde en bestemt evne. En afgrænset tildeling svarer på det af sig selv, fordi evnen kom knyttet til et angivet ansvar.
Unødvendig adgang til indhold
At administrere information kræver ikke, at man læser den. En IT-professionel kan oprette bokse, administrere brugere, tildele licenser og konfigurere indstillinger uden at åbne en eneste legitimationsoplysning, et dokument eller en session, der er gemt i dem.
Mindste privilegium gælder også for administratorer
Mindste privilegium bliver ofte omtalt som en regel for almindelige brugere, hvilket stille og roligt forvandler privilegium til en jobtitel. Privilegium knytter sig til arbejdet. Den samme administrator læser e-mail, åbner sager og browser på nettet mellem konfigurationsændringer, og intet af det kræver en identitet på ejerniveau.
Kontrol AC-6 (Least Privilege) i NIST SP 800-53 kræver, at organisationer kun tildeler den adgang, der er nødvendig for at udføre de tildelte opgaver. Den samme kontrol begrænser privilegerede konti til defineret personale eller definerede roller og kræver ikke-privilegerede konti, når arbejdet ikke kræver rettighedsforhøjelse.
Det gælder også inden for det administrative lag. En person, der arbejder gennem en rolle med afgrænset omfang, er stadig administrator. Det, der bliver mindre, er den myndighed, der er knyttet til sessionen, ikke jobbet.
De tre funktioner i en administrativ model
Administrativ myndighed deles i tre funktioner. Én person kan have mere end én af dem.
Ejerskab og gendannelse
Ejerskab er ubegrænset myndighed over miljøet: indledende konfiguration, gendannelse og de exceptionelle ændringer, ingen smallere rolle kan gennemføre. Sjælden med vilje. Hver brug bør være synlig bagefter og kunne forklares over for den, der spørger.
Break-glass er denne funktion med driftsregler knyttet til: opbevarede godkendelsesfaktorer, en alarm, når kontoen bruges, og en testplan, så gendannelsen virker den dag, det betyder noget.
Daglig administration
Den daglige administration driver miljøet uden at arve alle ejerens evner: brugere, grupper, licenser, skabeloner, integrationer og de containere, der rummer ressourcer. At læse, hvad de containere rummer, er en separat tildeling, og den følger jobbet snarere end containeren.
Specialiseret administration
Specialiseret administration deler resten efter ansvar og omfang: brugeradministration, revision, logvisning, boksejerskab. Hver tildeling knytter én evne til én jobfunktion, og grupper holder den kobling på linje med teammedlemskab og katalogprocesser i stedet for individuelle undtagelser.
Privilegerede roller hober sig op, og direkte tildelinger overlapper med gruppetildelinger. En nyttig gennemgang spørger, hvilken rolle en person har, hvad den kan, hvor den gælder, hvordan den blev tildelt, og om funktionen bag den stadig findes. „Hvem er administrator?“ rækker ikke så langt.
Anvendelse af modellen i Devolutions-platformen
Devolutions-platformen anvender denne adskillelse gennem rolletildelinger i Devolutions Server 2026.3.
En Workspace owner beholder ubegrænset adgang, meget lig den tidligere Administrator, og hører til ejerskab, gendannelse og break-glass. En Workspace administrator administrerer Workspace uden automatisk at få adgang til indholdet i boksene, hvilket dækker det daglige arbejde. Auditor, Workspace log viewer, Users administrator og roller på boksniveau bærer de specialiserede funktioner.
Implementeringsdetaljerne, herunder hvordan rollerne ser ud i brugerfladen, er dækket i Administration af adgang med de nye roller i Devolutions Server 2026.3. Du kan downloade den seneste version her.
Konklusion
En organisation beholder en ubegrænset identitet, fordi gendannelse før eller siden kræver en. Den daglige administration gør ikke. Roller med afgrænset omfang dækker det almindelige arbejde og lader ejerkontoen ligge der, hvor den gør mest gavn: i tomgang, overvåget og klar.