システム管理者が新規参入者のパスワードを知っていても、ユーザーとして行動してもかまいませんか（採用直後）。
どういうわけか この他の質問 に関連しています。私は次のケースを扱っています。中規模の大企業（オンプレミスの従業員約200人）が、新しく採用されたすべての従業員（会社での初日の直前）に次の手順を適用しています。
- ユーザーのパスワードを生成します（最初のログイン時の変更ではありません）。
- 彼らは自分のラップトップにログインします（最終ユーザーになりすます）
- 彼らはいくつかの構成を適用します（たとえば、すべてが機能することを確認するためにOutlookの電子メールにアクセスします）
- 彼らはもう一度パスワードを変更します（今回は最初のログイン時に変更します）
- ラップトップはユーザーに配達されます
この手順はIT企業でも非常に一般的であるようです。
「ユーザー名で」の初期構成が絶対に必要か、または単に便宜上の理由で指示されただけなのかはわかりません（完全に機能するラップトップは非ITユーザーに配信され、ITへの多くの要求を防ぎ、問題）、しかし臭いがいくつかあります：
- 管理者に私のパスワードを絶対に教えてはいけない場合（引用された質問に回答されているため）、その会社での仕事の最初でも、管理者が私のパスワードを知っている必要はありません。
- 管理者が自分のパスワードを知っていることを受け入れることができます（最初にアカウントを作成したとき、またはリセットしたとき）。これは、初回ログイン時の変更パスワードであれば（以前に使用されていなかった証拠があるため）。とにかく、ほとんどのレガシーシステム（ADなど）では、管理者が自由にパスワードをリセットできると考えています（たとえば、ユーザーに通知せずに、または最初のログインで変更を強制することなくパスワードをリセットできます）。それは認められた慣行ですか？これは、たとえばGoogleで起きていることとはまったく異なるようです（誰も私のパスワードを知らないため、アクティビティが検出されると通知されます）。
編集：「コンピューターはあなたのものではなく、雇用主のコンピューターであり、会社のコンピューターに個人情報を持っているべきではない」という多くのコメントに答えるために、それは問題ではないことを指摘したいと思います個人情報情報ですが、会社の事業に関する情報を予約しています。したがって、私の血液分析結果を医師から受信するために会社のメールを使用してはいけないことが正しい場合、会社について予約された情報の一部が従業員Aと従業員Bの間で交換されることは完全に一般的です。
管理者に自分のパスワードを教えてはいけない場合（引用された質問に回答されているため）、その会社での仕事の最初でも、管理者が自分のパスワードを知っている必要はありません。
このルールの主な理由の1つは、管理者がメールなどの機密データにアクセスしてはならないことです。最初はアカウントに関連付けられたデータがないため、これは問題ではありません。
ユーザーのパスワードを生成します（最初のログイン時の変更ではありません）。
シングルサインオンパスワードを使用すると、構成を変更する前に通常のパスワードを要求されます。そのため、設定にアクセスする前にパスワードが必要です。
とにかく、ほとんどのレガシーシステムでは、管理者がパスワードを自由にリセットできると思います。それは認められた慣行ですか？
これは認められた慣行です。古いシステムではなく、Office 365のような新しいシステムでも、管理者はユーザーに通知せずにユーザーのパスワードをリセットできます。ただし、そのようなリセットはシステムに記録され、管理者は問題の責任を負います。
また、すべての構成を管理者レベルで変更できるわけではないことにも注意してください。ユーザーによってのみ実行できるものもあります。すべてのユーザーに一連の手順を実行するように指示するのではなく、事前に実行しています。
パスワードの共有に関するその他の懸念事項はここでは適用されません。
- パスワードはあなたのものではないため、パスワードの再利用は重要ではありません。
- パスワードに関連付けられている個人情報はありません。
コメントに答えるために、
「最初の時点ではアカウントに関連付けられたデータがない」と私は思う最初にログインする前）
作成者 Diego Pascotto
設定する前に、管理者は誰でもメールIDを共有しないでください。 Outlookの設定時にメールボックスがアクティブ化されている必要があります。メールIDは、シングルサインインパスワードが設定された後にのみ共有されます。 James Snell でも指摘されているように、アカウントの作成から数分以内にメールを受信することはほとんどありません。
有能な会社には、自動化により、いつでも新しいユーザーとしてログインすることなくこれらのことを処理するイメージ、手順があります。
中小企業は自動化に常に投資しません。会社が年間約10名のスタッフを雇い、それぞれが異なる役割を持つ場合、自動化をもたらし、それを維持するために必要な労力は、手動の労力よりも大きくなります。自動化は、大量に繰り返し実行されるジョブがある場合にのみ、努力する価値があります。つまり、自動化に必要な労力は、手作業に必要な労力よりも少なくなければなりません。
管理者がいつでもあなたのアカウントへの監視されていないアクセスを持っている場合;彼らはあなたの名前で何かを設定することができました-彼らへのいかなる返還も防ぎました。
KMonkey による
ユーザーがシングルサインオンパスワードを使用してパスワードをリセットするまで、アカウントがユーザーに引き渡されないことが明らかであるため、この間に管理者が実行したアクションをリンクして管理者に戻すことができます。
小さな会社では、新しい従業員のマシンをセットアップする管理者が、会社のメールとドキュメントサーバーの管理者でもある可能性があります。その場合、管理者は既にあなたのマシンにアクセスする必要なく、いつでもあなたのメールを読んだりメールを送信したりすることができます。
これが事実である場合、ここでは新しいセキュリティの問題はありませんが、実際には少し不必要です。理論的には、管理者はアクティブなパスワードを使用してアカウントにログインする必要はありません。代わりに、管理者アカウントとしてログインして、そこから実行する必要があるほとんどすべての操作を実行できます。
実際には、ITチームが新しいマシンを再現可能、正確、かつ確実に毎回セットアップできるほど十分に慣れていない限り、ユーザーがログインしてセットアップをテストし、より簡単ないくつかの構成を実行することは非常に簡単です。管理者としてログインしているときに効果をシミュレートするのではなく、実際のユーザーとして実行する。多くのエンタープライズシステムは、管理者が別のユーザーのパスワードをリセットしたり、ユーザーのパスワードなしで別のユーザーを偽装したりできるように設計されています。多くの場合、これは監査を可能にするためにログに記録されますが、小規模な会社では、同じ管理者がシステムにアクセスできる可能性があります。監査ログを改ざんできます。
「管理者に自分のパスワードを絶対に教えない」という格言の主な理由は、ユーザーがソーシャルエンジニアリングの犠牲になるのを防ぐためです。なぜなら、ユーザーが本当の管理者が実際にパスワードを必要としないか尋ねないように常に言われると、管理者になりすました人だけがパスワードを尋ねる必要があるという自動応答。 2番目の理由は、多くの人がパスワードを再利用することです。その場合、彼らは彼らが理解するよりもはるかに多くを共有するかもしれません。これらのどちらもこの状況では適用されません。
私は別の方向からこの質問に取り組みます。
あなたの質問は、アカウントが作成された時点での新しいユーザーの責任またはプロパティ、あるいはその両方であるという前提に基づいていますが、実際にはそうではありません。
アカウントが作成されると、ユーザーではなくIT部門に属します。
説明する初期設定は、新しいユーザーがアカウントを所有するbeforeの前に行われます。
アカウントに新しいユーザーの名前が付いていても、これは変わりません。管理者はDonald Duckのアカウントを作成し、後で名前を新しいユーザーの名前に変更できます。
ユーザーはアカウントを所有し、ログインして自分のパスワードを割り当てたときにのみ責任を負います。それがアカウントの引き継ぎです。
配達のためにピザを注文するとします。店はあなたの名前を書き留め、ピザの調理を始めます。彼らはそれの上に間違ったトッピングを置くか、それを燃やすか、それを落とす可能性があります。彼らはあなたのピザにアクセスできるので、これはセキュリティ上の懸念ですか？いいえ、まだピザではありません。まだお渡ししておりません。ショップがミスをした場合、彼らはそれを修正する責任があります。
あなたがそれの代金を払って配達を受けたら、それはあなたの責任になります。落としたり、近所に投げたりした場合、ピザ屋は責任を負いません。
メールの問題に関しては、ユーザーが最初にログインする前にアカウントにメールが存在する場合、それは問題ではありません。それは彼のメールではないためです。メールはありませんとにかく安全ではないので、何人でも簡単に見ることができます。また、ほとんどの管轄区域では、企業の電子メールは個人ではなく会社の所有物です。
管理者がユーザーとして行った構成は許容できるプラクティスですか？
はい、そうです。
すべてのプラクティスと同様に、それはコンテキストに依存します。しかし、一般的に言えば、これは一般的で許容できる慣行であり、国家の秘密を守るときのように、管理者に対する基本的なレベルの信頼があり、超高レベルのセキュリティの必要性がない場合に限られます。
一般的なルールにもかかわらず、最初はアカウントに機密データが含まれていないため、問題はありません。メールが届く可能性のある短い時間枠がありますが、パスワードを変更する前に、これは通常、a）である可能性が非常に低く、b）本当に機密データが含まれているため、通常は問題とは見なされません。
とにかく、多くの会社が、作業マシン上のメールやファイルにアクセスする権利を保持していますであることに注意してください。 倫理的な企業はそのアクセスを保護しますが、あなたが存在するか、少なくとも2人の管理者があなたのアカウントにログインするときに、彼らが管理タスクに沿ってのみ行動することを確認してください、例えばウイルスを削除したり、休暇中に完全に必要なファイルを探したりします。この短期間に、同じアカウントが新しいアカウントに直接アクセスできるのと同じ保護手段が講じられている可能性があります。
あなたは一般的にあなたの管理部門を信頼する必要があることに注意してください-彼らはとにかく壊れたシステムを単にインストールするかもしれません。ただし、契約とアカウントを最初から管理していたときからの最初のパスワード変更のタイムスタンプから明らかであるため、短い時間枠内でのなりすましのリスクは最小限です。
これ以上の安全策がなくても、その慣行が受け入れられるかどうか。 4目の原則は、会社/ジョブのセキュリティニーズによって異なります。より重要なセキュリティは、より厳格なセーフガードの必要性です。より多くの人がこれらのプロセスを自動化して、マシン/アカウントを破損したり、データに一時的にアクセスしたりする機会を最小限に抑えることを目指します。後者は、パスワードをリセットした後でメールアドレスをアクティブにするだけでも実現できることに注意してください。
一般的に、あなたが行うすべてのことには個人アカウントを使用することをお勧めします。ログには誰が何をしたかが表示されます。そのため、管理者はすべて「root」または「Administrator」でログインするだけでなく、独自のアカウントを持っています。誰が何をしたかを確認でき、すべての管理者のパスワードを変更せずに管理者の資格情報を簡単に取り消すことができます。
ユーザーは安全なパスワードを選択するのに苦労しています。彼らがいくつかの強力なパスワードを覚えており、それらをすべてに使用している場合は、おそらく平均以上のユーザーと見なすことができます。管理者がユーザーのパスワードを知っている場合、ユーザーのプライベートアカウント（個人のメール、音楽ストリーミングサービスなど）にログインできる可能性があります。管理者は常にユーザーに成り代わることができます。管理者はパスワードをリセットできます。また、パスワードを知らなくても、そのユーザーとしてログインすることも可能です。 UNIXライクなシステムでは、コマンドsu johnを実行して、johnとしてログインできます。通常のユーザーであれば、johnのパスワードを要求されます。 rootの場合は、パスワードを必要とせず、johnとしてログインします。これは最初の段落で述べた理由により推奨されませんが、多くのシステムで完全に可能です。
関連情報の最後の部分は、それを必要とするユーザーからの設定が簡単であることです。 JohnがOutlookを必要とする場合は、スクリプトを記述して、最初のログイン時に実行されるようにスケジュールできます。ただし、小規模な組織では、Johnとして一度ログインし、Outlookを手動でセットアップする方が効率的です。特にWindowsはスクリプトを作成するのに適していません。ほとんどは可能ですが、確立されておらず、グラフィカルユーザーインターフェイス（GUI）からしかアクセスできないものもあります。
結論として、これが確立された手順であると仮定すると、私はそれにリスクがないと思います。管理者はとにかく任意のユーザーとしてログインできるため、管理者はそれを介してそれ以上の特権を獲得することはありません。また、ユーザーの個人パスワードも学習していません。唯一の問題は、ログに間違った名前でアクティビティが一時的に表示されることですが、悪意のある管理者には何のメリットもありません。悪意のある行為を実行する他の（簡単な）方法は1,000通りあります。
許容できるが理想的ではない
これが受け入れられるためには、文書化された手順の一部である必要があります。これは、振る舞いの理由を説明し、不正行為の非難を排除するのに役立ちます。
文書は通常、サインオフ時またはその他の方法で確定されたときに承認されるため、これにより実務の公式承認も確立されます。
より良いアイデア...
ユーザーの資格情報を使用して実行する必要があるアクションがある場合は、プロセスを自動化することをお勧めします。自動化は、スクリプト、セットアップウィザード、またはセルフサービスポータルの形式をとることができます。
これには複数の利点があります。
1つ目は、設定ミスを防ぐためにユーザーの操作が最小限に抑えられることです。第二に、管理者の「タッチ時間」が短縮されます。 3番目に、設定は人的エラーやデプロイメント間の不整合の影響を受けません。そして、最後に、アカウントの使用についてのあなたの懸念は解消されます。
警告
自動化に必要な追加のスキルがあり（手動インストールと比較して）、組織にはそれらのスキルがない場合があります。一部のプラットフォームでは自動化が困難ですが、これは以前ほど問題ではありません。あるいは、企業は自動化のメリットを理解していないだけかもしれません。
ここでは、雇用主が所有するポータブルPCと、ある意味で雇用主が提供して支払った電子メールアカウントが従業員のものであるという誤った想定があるようです。彼らはしません！ their機器を操作し、-theirデータを処理するために雇用され、支払われている状況です。 （同上、sysadmins）。
したがって、プライバシーを確実にする唯一の方法は、個人的に所有しているハードウェアで個人的な問題を処理することです。モバイルネットワークに接続されている携帯電話は、おそらく、仕事中のデバイスです。雇用主がインターネットへの接続の個人的な使用を全面的に許可している場合、Gmailなどの外部電子メールサービスの個人アカウントとの安全な（https）通信は、雇用主が信頼しない限り、ほぼ同じくらい安全です。雇用主が所有するPCにキーストロークロガーをインストールしてプライベートパスワードを傍受したり、雇用主が後で画面を見ることができるようにスクリーンレコーダーをインストールするなど、露骨に不道徳なことを行います。 EUでは、雇用主の方針（あなたが知っていて、雇用契約の一部である）が警告しない限り、これは露骨に違法です。特に機密性の高い環境で作業している場合を除いて、違法となる可能性があります（その場合、雇用主のハードウェアの個人使用は、セキュリティ上の理由から禁止されています）。
Sysadminsは、そのポリシーに従って資産を維持するために雇用主から支払われます。これらの政策は法律を遵守すべきである。したがって、EUでは、雇用主が実行するために必要なアクションを回避して、電子メールに関するプライバシーが期待されています。したがって、システム管理者は、メールサーバーシステムを管理するために「プライベート」電子メールを確認する必要があるかもしれませんが、重大な不正行為や犯罪を明らかにしない限り、自分が見たものを明らかにしたり、行動したりしてはなりません。彼は確かに、雇用主が設定し、従業員が知っているポリシーの範囲外の電子メールを故意に見るべきではありません。
しかし、不良または破損したシステム管理者には特権が与えられるため、彼から身を守るためにできることは何もありません。雇用主を完全に信用していない場合は、最低限、ハードウェアを私的な目的で使用しないでください。これらのハードウェアは、公にされた場合に害を及ぼす可能性があります。最大で、あなたは新しい仕事を探しているべきです！
ちなみに、私は小さな会社のシステム管理者で、説明したようにPCをセットアップします。以前の雇用主では、それはs.o.pでした。新しく構成したPCからシステム管理者の会社の電子メールアカウントに1通の電子メールを送信し、それに返信し、返信を削除して、すべてが正常に機能していることを確認します。それもs.o.pでした。システム管理者から新しく作成された従業員のアカウントに、より長い電子メールを送信します。通常、組織への歓迎と、開始に関する標準的な情報を提供します。彼らが初めてログインしてパスワードをリセットした後、彼らを待っているでしょう。
この質問は、「ITがどのように機能したいか」と「実際に機能する方法」との二分法を指摘しているように感じます。
歴史のある時期に、私はIT担当者が幹部用にラップトップをセットアップしたに違いない。彼らがラップトップを渡したとき、それが動かなかったり、追加のセットアップが必要だったりしたとき、幹部はおしっこしました。それで、彼らは怒鳴られます、そしてそれはおそらく、いくつかのポリシーが「ログインして、ハンドオフの前に完全にセットアップされて機能していることを確認する」ことから始まったときでしょう。
これは理想的ですか？いいえ。しかし、ITが企業内で物事を円滑に実行するために提供する宿泊施設の量に驚かされることはありません。
それは一種の請負業者を雇うのに似ていますが、雇用者に悪い知らせを与え続けている場合は廃業になります。まあ、IT部門は物事を本通りに実行し続け、彼らを雇う人々を動揺させ、最終的に取り替えられます。 。
多くの場合、ITは卵殻の上を歩いており、その戦いを選択して選択する必要があります。
奇妙なプログラムの後セットアップを行うためにラップトップをセットアップしてそれにログインし、ハンドオフの前にすべてが動作するように再確認（QA）します...これは、ITが誰もが簡単にできるように譲歩したものです。 IT管理者だけがそれをしている限り、それは「安全な賭け」でした。
しかし、幹部が誰かに彼らにログインして仕事をするように頼むとき（それには、管理者は本を知らずに誰かのために料理することに夢中になってしまう可能性があります）。または、幹部/マネージャがITに保護を目的としたポリシーを緩和するように要求するユーザーを自分自身から保護するか、サーバーをウイルスから保護します（例：「私のコンピューターの横にあるポストイットにパスワードを保持させてください」...ええと、いいえ。）
あなたはあなたの戦いを選んで選ぶ必要があります。 1日中ポリシーを確認することができます。実際、ポリシーを掘り下げると、IT部門が物事をスムーズに実行し続けるために行っているすべての小さな慰めを見ることにイライラします。
これに関するもう1つの問題は、IT部門が慰めを与えるときに、ルールを曲げる意思のあるグループと見なされる可能性があるということです。そのため、一部の人々はルールをそれほど真剣に受け取らないか、破壊するまで曲げることを期待します。
したがって、ITは、ブルースリーのJeet Kun Do哲学によく似ており、「水のように」です。あなたはあなたが主な目的を満足させながら物事をスムーズに進めるためにあなたが働いている会社のニーズと欲求を満たしたいです。しかし、誰かがあなた自身や会社にとって明らかに悪い方向にあなたを押した場合、あなたはまた、起訴される力になりたいです。
これが、企業で微妙なバランスを取る行為がある理由です。 ITの信頼できる人を雇いたい。私が信頼している平凡なIT従業員には、お金を横領する方法を見つけたり、夜間にサーバーに仕事を請け負ったりする方法を心配しているロックスターが欲しいと思っています。
一方、私はまた、幹部スタッフがIT全体を歩くことができると考えてほしくない。 ITに対処することは、警察に対処することのようです。彼らは、傲慢であることに反対するのに十分な力を持っていることを信頼できる必要がありますが、彼らの力を乱用していないことも十分に信頼できる必要があります。
だから、tl; dr ...学問的/理想的な見方からは理想的に見えないが、おそらく過去の偽物から生まれ、現在IT部門のケアとして機能しているポリシーに行き詰まっていると思います盲目的に引き渡す前に物事をQAするのに十分です。
他の回答がIMOに欠けているものは次のとおりです。
このプロセスが自動化されていないのはなぜですか？
ユーザーアカウントのプロビジョニング（オペレーティングシステムに関係なく）は、管理者が何度も繰り返し行う必要があることではありません。ユーザーアカウントの初期構成とソフトウェアのプロビジョニングは、自動化によって実行できます。ユーザーアカウントのそれぞれのパスワードの設定も自動的に行われます。これは「最初に使用した後の変更」である必要があります。この自動化プロセスは定期的に確認する必要があり、4つの目の原則に従って実装する必要があります。
管理者がマシンで行うすべてのことはloggedである必要があります。管理者がプロビジョニングの前にシステム上を自由に移動するだけの場合、「悪い管理者」シナリオが発生する可能性があります。
編集：
この回答は会話を刺激したので、以下を追加しましょう。
Windowsイメージを会社のハードウェアにプロビジョニングするためのいくつかのツールを次に示します。Windows8の場合は Microsoft Deployment Toolkit で、 System Center Configuration Manager はWindows 10です。これらのツールは公式のMicrosoftツールです、それらは（私が知る限り）無料であり、一見するとかなりよく文書化されています。そこで、会社のハードウェアにWindows 8/10をプロビジョニングするためのすべてのプロセスを簡単に実装および文書化できます。マシンへのすべての管理者アクセスは、これらのようなツールを介して行われる必要があり、ロギングサーバーで記録される必要があります。そうすれば、単一の管理者が単一のマシンを操作する可能性が少なくなります。
管理者がすべてのマシンを手動で処理する場合、1）操作が可能であり、2）エラーが発生する可能性があります。自動化されたプロセスは確認および監査できますが、手動のプロセスは制御できません。
このようなツールへの取り組みは、企業環境でオペレーティングシステムとユーザーアカウントをより安全にプロビジョニングするためのステップです。
あなたは新車を買う。少なくとも年に1回、メンテナンス（オイルチェックなど）のために整備士に持ち込みます。私たちのほとんどは、整備士に鍵を与え、何かをするために行きました（ショッピング、コーヒーなど）。彼らはあなたの車に完全にアクセスできます。彼らは何でもできる。あなたはそれをあなたがプライベート/オフィスのラップトップを中に残したり忘れたり、いくつかの個人的なドキュメントを忘れたりする可能性がある大きな問題だと思いますか... ??
車のメンテナンスと同様に、アカウントの準備も必要です。あなたは座って、彼らが何をしているのかを知っていることを見て、そのふりをするか、彼らが彼らが専門家であり彼らが何をしているのかを知っていると信じて自分でそれをさせることができます。
新しいジョブに移動する場合は、古いジョブに残っているメールボックス全体が新しいジョブで空になることについて、もっと心配します。
なぜ自分が偏執的であるかを確実に理解している限り、偏執的であることはまったく問題ありません。
これは、GDPRのジョークを思い出させます。
医師のオフィスで、看護師は次のように言っています。