Yannick LeblancOgni sistema arriva con un’identità che può fare tutto. Esegue la configurazione iniziale, ripristina l’ambiente dopo un guasto e applica le modifiche che nessun ruolo più stretto può raggiungere. In molte organizzazioni è anche l’account con cui qualcuno accede un martedì pomeriggio per aggiungere un utente.
Sono due funzioni diverse. Tenere un account in grado di ricostruire l’ambiente quando l’amministrazione normale fallisce è una capacità di ripristino. Dare ai professionisti IT accesso sufficiente per il lavoro quotidiano è una capacità operativa. Fonderle in un solo ruolo concede molto più accesso di quanto il lavoro quotidiano richieda.
Riservata al ripristino e alle modifiche eccezionali
L’identità più potente dovrebbe restare riservata al ripristino e alle modifiche eccezionali. Un’interruzione del provider di identità, un account amministratore perso, una modifica di configurazione che nessun altro ruolo può completare: è per questi momenti che esiste. Tutto il resto è lavoro ordinario, e il lavoro ordinario ha ruoli più stretti. L’accesso di emergenza, dove un’organizzazione lo mantiene, arriva con regole di conservazione, avvisi e un calendario di prove.
Un account di emergenza resta inutilizzato finché l’amministrazione normale non è disponibile.
Perché i ruoli senza restrizioni non dovrebbero essere usati ogni giorno
Un ruolo di proprietario o di livello root di solito va ben oltre l’amministrazione di routine. A seconda del sistema, può riscrivere le impostazioni di autenticazione, creare altri proprietari, leggere tutto il contenuto memorizzato, modificare i controlli di audit o riportare l’ambiente dopo il guasto del provider di identità.
Impatto più ampio degli errori
Una modifica accidentale fatta con un ruolo senza restrizioni ricade su tutto l’ambiente. Un amministratore con un ruolo ad ambito limitato, che gestisce utenti o configurazione, non raggiunge anche il contenuto sensibile e le impostazioni di ripristino.
Impatto più ampio di una compromissione
Ogni uso di un’identità privilegiata è un’altra occasione perché sessione, credenziali o fattori di autenticazione vengano presi. Usarla meno spesso produce meno occasioni.
Minore rendicontabilità
Quando un solo ruolo ampio copre ogni attività amministrativa, nessuno può dire perché una certa persona avesse una certa capacità. Un’assegnazione ad ambito limitato risponde da sola, perché la capacità è arrivata legata a una responsabilità dichiarata.
Accesso inutile al contenuto
Amministrare informazioni non richiede di leggerle. Un professionista IT può creare casseforti, gestire utenti, assegnare licenze e configurare le impostazioni senza aprire una sola credenziale, un documento o una sessione conservati al loro interno.
Il minimo privilegio vale anche per gli amministratori
Il minimo privilegio tende a essere discusso come regola per gli utenti standard, e il privilegio diventa in silenzio un titolo di lavoro. Il privilegio si attacca al lavoro. Lo stesso amministratore legge la posta, apre ticket e naviga sul Web tra una modifica di configurazione e l’altra, e nulla di questo richiede un’identità di livello proprietario.
Il controllo AC-6 (minimo privilegio) di NIST SP 800-53 richiede alle organizzazioni di concedere solo gli accessi necessari per svolgere le attività assegnate. Lo stesso controllo limita gli account privilegiati a personale o ruoli definiti, e chiede account non privilegiati quando il lavoro non ha bisogno di elevazione.
Vale anche dentro il livello amministrativo. Chi lavora con un ruolo ad ambito limitato resta un amministratore. Ciò che si riduce è l’autorità legata alla sessione, non il ruolo professionale.
Le tre funzioni di un modello amministrativo
L’autorità amministrativa si divide in tre funzioni. Una persona può averne più di una.
Proprietà e ripristino
La proprietà è autorità senza restrizioni sull’ambiente: configurazione iniziale, ripristino e le modifiche eccezionali che nessun ruolo più stretto può completare. Rara, per scelta. Ogni uso dovrebbe essere visibile dopo e spiegabile a chiunque lo chieda.
L’accesso di emergenza è questa funzione con regole operative: fattori di autenticazione conservati, un avviso quando l’account viene usato e un calendario di prove, così il ripristino funziona il giorno in cui conta.
Amministrazione quotidiana
L’amministrazione quotidiana fa funzionare l’ambiente senza ereditare ogni capacità del proprietario: utenti, gruppi, licenze, modelli, integrazioni e i contenitori che tengono le risorse. Leggere ciò che quei contenitori contengono è una concessione distinta, e segue la funzione, non il contenitore.
Amministrazione specializzata
L’amministrazione specializzata divide il resto per responsabilità e ambito: amministrazione degli utenti, audit, consultazione dei registri, proprietà delle casseforti. Ogni assegnazione lega una capacità a una funzione, e i gruppi tengono quel legame allineato all’appartenenza al team e ai processi di directory, invece che a eccezioni individuali.
I ruoli privilegiati si accumulano, e le assegnazioni dirette si sovrappongono a quelle di gruppo. Una revisione utile chiede quale ruolo una persona detiene, che cosa può fare, dove si applica, come è stato assegnato e se la funzione dietro esiste ancora. «Chi è un amministratore?» non arriva così lontano.
Applicare il modello nella piattaforma Devolutions
La piattaforma Devolutions applica questa separazione tramite assegnazioni di ruoli in Devolutions Server 2026.3.
Un Workspace owner mantiene l’accesso senza restrizioni, in modo molto simile al precedente Administrator, e appartiene a proprietà, ripristino e accesso di emergenza. Un Workspace administrator gestisce il Workspace senza ricevere automaticamente l’accesso al contenuto delle casseforti, e copre così il lavoro quotidiano. Auditor, Workspace log viewer, Users administrator e i ruoli a livello di cassaforte portano le funzioni specializzate.
I dettagli di implementazione, incluso il modo in cui i ruoli compaiono nell’interfaccia, sono trattati in Gestire l’accesso con i nuovi ruoli di Devolutions Server 2026.3. Può scaricare l’ultima versione qui.
Conclusione
Un’organizzazione tiene un’identità senza restrizioni perché il ripristino prima o poi ne chiede una. L’amministrazione quotidiana, no. I ruoli ad ambito limitato coprono il lavoro ordinario e lasciano l’account proprietario dove serve di più: inattivo, sorvegliato e pronto.