ฝ่ายไอทีต้องการรหัสผ่านโดเมนของผู้ใช้หรือไม่

มีอะไรที่ผู้ดูแลระบบโดเมน Windows อาจต้องทำในขณะที่กำหนดค่าเวิร์กสเตชันสำหรับผู้ใช้ใหม่ที่ไม่สามารถทำได้อย่างแน่นอนหากไม่มีรหัสผ่านบัญชีโดเมนของผู้ใช้ เพื่อหลีกเลี่ยงการขอรหัสผ่านที่ผู้ดูแลระบบทำได้ในทางทฤษฎีเปลี่ยนรหัสผ่านเข้าสู่ระบบในฐานะผู้ใช้และทำทุกอย่างที่พวกเขาต้องการทำ อาศัยอำนาจในการเป็นผู้ดูแลโดเมน?

UPDATE:

คำตอบที่ได้อ้างถึง "ปรับ" หรือเปลี่ยนโปรไฟล์ของผู้ใช้ แต่มีนี้บทความจากไมโครซอฟท์ในการปรับเปลี่ยนรายละเอียดเริ่มต้นที่ได้รับนำไปใช้กับผู้ใช้เมื่อพวกเขาเข้าสู่ระบบเป็นครั้งแรกและคำแนะนำเหล่านี้สำหรับการเปลี่ยนการตั้งค่ารีจิสทรีของ Windows ของผู้ใช้อื่นในเวลาใดก็ได้ ผู้ดูแลระบบจะเปลี่ยนแปลงอะไรในขณะที่ลงชื่อเข้าใช้ในฐานะผู้ใช้ที่ผู้ดูแลระบบไม่สามารถเปลี่ยนโดยใช้เทคนิคเหล่านี้หรือเทคนิคอื่น ๆ ที่มีอยู่ซึ่งไม่เกี่ยวข้องกับการเข้าสู่ระบบในฐานะผู้ใช้ เพียงแค่ "เข้าสู่ระบบในฐานะผู้ใช้" ไม่ใช่เหตุผลที่ขอหรือเปลี่ยนรหัสผ่านของผู้ใช้ ฉันกำลังมองหาเหตุผลที่เป็นประโยชน์ในการทำเช่นนั้น

ไม่เป็นที่ยอมรับและไม่จำเป็นสำหรับผู้ดูแลระบบในการขอรหัสผ่านของผู้ใช้

ภายใต้สถานการณ์ที่ผู้ดูแลระบบอาจจำเป็นต้องเข้าสู่ระบบในฐานะผู้ใช้ (และฉันไม่เชื่อว่ามีสถานการณ์ดังกล่าวอยู่) ผู้ใช้ควรลงชื่อเข้าใช้และดูแลกิจกรรมของผู้ดูแลระบบ

เหตุผลนี้คือความรับผิดชอบ มันเป็นความรับผิดชอบของผู้ใช้แต่ละคนเพื่อให้แน่ใจว่ารหัสผ่านของพวกเขาปลอดภัย หากกิจกรรมที่เป็นอันตรายถูกตรวจสอบย้อนกลับไปยังข้อมูลรับรองของผู้ใช้ผู้ใช้นั้นสามารถรับผิดชอบได้ ดังนั้นพวกเขาจำเป็นต้องตรวจสอบให้แน่ใจว่าข้อมูลประจำตัวของพวกเขายังคงปลอดภัย

นอกจากนี้ยังเป็นความรับผิดชอบขององค์กรเพื่อให้แน่ใจว่าสิ่งนี้ไม่เพียง แต่นำมาใช้ แต่ถูกบังคับใช้ มีกรณีทางกฎหมายที่บางคนในองค์กรส่งอีเมลที่เป็นอันตรายโดยใช้กล่องจดหมายของคนอื่น เจ้าของกล่องจดหมายถูกยกเลิกในที่สุด ในขณะที่พวกเขาอ้างว่าพวกเขาให้รหัสผ่านแก่คนอื่น บริษัท ยืนยันว่ามันเป็นความรับผิดชอบของพวกเขาในการรักษาความสมบูรณ์ของข้อมูลประจำตัวของพวกเขาและพวกเขาจึงต้องรับผิดชอบตามที่กำหนดโดยนโยบายไอทีของ บริษัท ศาลถูกพลิกคว่ำเมื่อผู้ใช้รายนี้พิสูจน์ว่ามีวัฒนธรรมการแบ่งปันรหัสผ่านภายในองค์กร ศาลตัดสินว่าหาก บริษัท ไม่สามารถเห็นได้ว่าจะบังคับใช้นโยบายด้านไอทีอย่างจริงจังพวกเขาไม่สามารถเชื่อถือได้ภายใต้สถานการณ์เหล่านี้

ที่กล่าวว่ามีช่องว่างระหว่างทฤษฎีและการปฏิบัติอย่างชัดเจน ฉันได้ทำสัญญากับ บริษัท ข้ามชาติขนาดใหญ่ที่ให้บริการด้านคำแนะนำด้านไอทีและเป็นส่วนหนึ่งของขั้นตอนการทำเอกสารสำหรับการอัพเกรด SOE เราได้รับคำสั่งให้ขอรหัสผ่านของผู้ใช้

โดยส่วนตัวแล้วฉันใช้แนวทางที่ยากลำบากนี้ ฉันไม่เชื่อว่าการขอรหัสผ่าน (หรือตั้งค่าใหม่เพื่อเข้าถึงบัญชีผู้ใช้) เป็นสิ่งที่จำเป็น หากมีปริมาณงานเพิ่มขึ้นอย่างมากในการหลีกเลี่ยงปัญหานี้ ไม่มีข้อแก้ตัวที่จะลดความปลอดภัย ฉันเดาว่าฉันแค่โชคดีที่ฉันไม่ได้เป็นผู้จัดการดังนั้นไม่ต้องรับผิดชอบต่อการตัดสินใจเหล่านี้เมื่อได้รับคำสั่งให้ทำโดยคนที่สูงกว่า

มีความชัดเจน: หากคุณเป็นผู้ดูแลระบบโดเมนคุณสามารถติดตั้งซอฟต์แวร์หนึ่งชิ้น - โปรแกรมควบคุมอุปกรณ์คำนึงถึง - ซึ่งสามารถทำสิ่งใด ๆ ได้อย่างแท้จริง อย่างไรก็ตามระดับการทำไม่ได้ต่างกันไปตั้งแต่ "คีย์รีจิสตรีของพื้นหลังเดสก์ท็อปคืออะไร" ไปจนถึง "แล้วเราก็เชื่อมโยงไปยังไฟล์การอ่านการโทรภายในเลเยอร์เข้ารหัสแบบเข้ารหัสเพื่อหลอกให้ Firefox คิดว่าพวกเขาปิดการใช้งานคุกกี้จาก doubleclick.net"

คุณกำลังขอแน่นอนและฉันคิดว่ามันเป็นวิธีที่ผิดในการดูนี้เพราะคำตอบจะเป็น "คุณไม่จำเป็นต้องใช้รหัสผ่านของผู้ใช้จริง ๆ " ซึ่งเป็นเรื่องที่ทำให้เข้าใจผิดมาก ความจริงก็คือว่าจนกว่า Microsoft จะส่งมอบ (หรือคุณติดตั้งซอฟต์แวร์ของบุคคลที่สามเพื่ออนุญาต) ความสามารถเช่น * NIX's su/ sudoคุณจะไม่สามารถเลียนแบบบัญชีผู้ใช้สำหรับวัตถุประสงค์ทั้งหมดได้อย่างสมบูรณ์แบบในขณะที่ยังคงความมีสติ การใช้งาน - โปรดทราบฉันไม่ได้พูดว่า "เปิดเผย!" - รหัสผ่านของพวกเขา

พวกเราหลายคนทำงานในสภาพแวดล้อมที่จำเป็นต้องเปิดเผยรหัสผ่านด้วยเหตุผลต่างๆ ฉันจะพูดต่อไปว่าทุกคนคิดว่าเป็นความคิดที่ไม่ดี หากจำเป็นต้องทำเช่นนั้นผู้ใช้จะต้องยินยอมไม่ถูกบีบบังคับ

ย้อนกลับไปในวันนั้นเช่นปี 1998 แผนกไอทีของฉันเคยขอรหัสผ่านของผู้ใช้เมื่อเราทำการเปลี่ยนพีซีเพื่อให้เราสามารถตั้งค่าได้เหมือนกับพวกเขามีเครื่องเก่า ลงไปที่ตำแหน่งไอคอน เนื่องจากเราอยู่ในสภาพแวดล้อมของ Novell NetWare ที่ไม่มีโดเมน WinNT ที่สอดคล้องกันการเปลี่ยนรหัสผ่านเครือข่ายของพวกเขาไม่ได้เปลี่ยนรหัสผ่านท้องถิ่นของพวกเขาดังนั้นเราจึงจำเป็นต้องมีรหัสผ่านนั้นหากเราต้องการมอบบริการที่ราบรื่นในระดับนั้น

นั่นคือเมื่อ 13 ปีก่อน คุณถามเกี่ยวกับโดเมน Windows โดยเฉพาะ ในงานที่ฉันเพิ่งไปมหาวิทยาลัยขนาดใหญ่มันขึ้นอยู่กับผู้ใช้ว่าจะเปิดเผยรหัสผ่านหรือไม่ กล่าวอีกนัยหนึ่งผู้ใช้ปลายทางเลือกที่จะไม่ใช้มันบังคับ ผู้บริหารประเภทไม่ว่างสูงมากโดยทั่วไปจะมีผังองค์กรที่เป็นผู้ช่วยผู้ดูแลระบบของพวกเขาเข้าสู่ระบบดังนั้นจึงเป็นเรื่องง่ายสำหรับคนไอทีที่จะเข้ามา (ความยินยอมได้รับการมอบหมายแล้ว)

ใน Windows วิธีเดียวในการปรับแต่งโปรไฟล์ของผู้ใช้คือลงชื่อเข้าใช้ในฐานะผู้ใช้รายนั้น หากโปรไฟล์นั้นต้องการการปรับแต่งด้วยมือด้วยเหตุผลบางอย่าง (เหลือการถอนการติดตั้งที่ไม่ดียังคงอยู่ที่ได้รับในทางของการติดตั้งใหม่หรือสิ่งแปลก ๆ ) คนไอทีจะต้องเข้าสู่ระบบในฐานะผู้ใช้ที่ สิ่งนี้สามารถทำได้โดยการบังคับให้เปลี่ยนรหัสผ่านของผู้ดูแลระบบโดยให้ผู้ใช้เปิดเผยรหัสผ่านของตนหรือให้ผู้ใช้เข้าสู่ระบบบุคคลไอทีในฐานะตัวเองและปล่อยให้บุคคลไอทีทำงาน

แอปพลิเคชั่นบางตัวระหว่างการติดตั้งต้องการความสามารถในการเปลี่ยนแปลงหรืออ้างอิงโปรไฟล์ผู้ใช้ (เช่นแอปพลิเคชัน CRM ที่รวมเข้ากับ Outlook) โดยการใช้ตัวแปรสภาพแวดล้อมเช่น% userprofile%, การปรับเปลี่ยน HK_CURRENT_USER และอื่น ๆ

ในขณะที่คุณสามารถ "reverse engineer" ได้อย่างแน่นอนการติดตั้งด้วยเครื่องมืออย่างเช่น procmon และจากนั้นแก้ไขโปรไฟล์ผู้ใช้รีจิสตรีและอื่น ๆ ด้วยตนเองตามความเป็นจริงสิ่งนี้ไม่มีประสิทธิภาพสูงทำไม่ได้และเกิดข้อผิดพลาดได้ง่าย

ไม่ใช่ 100% อย่างแน่นอน สิ่งใดที่ต้องทำด้วยบัญชีผู้ใช้อื่นควรทำโดยการรีเซ็ตรหัสผ่านของผู้ใช้ล็อกอินจากนั้นให้ผู้ใช้โทรไปที่ฝ่ายช่วยเหลือหรือพักรหัสผ่านเป็นสิ่งที่ผู้ใช้แจ้งและตั้งค่าบัญชีให้บังคับให้เปลี่ยนรหัสผ่าน ในการเข้าสู่ระบบต่อไป ในขณะที่ยอมรับว่าฉันได้ทำงานในสภาพแวดล้อมที่มีขนาดใหญ่และปลอดภัยหรือการเปิดเผยรหัสผ่านของคุณให้กับทุกคนมักจะเป็นสาเหตุของการยกเลิก (และนั่นควรเป็นกรณีในสถานการณ์ส่วนใหญ่)

โพสต์เหล่านี้ส่วนใหญ่ดูเหมือนจะค่อนข้างเก่า แต่หวังว่าบางคนที่มีความรู้จะยังคงใช้งานบนเธรดเนื่องจากสิ่งนี้ดูเหมือนจะยังคงเป็นหัวข้อปัจจุบัน

การโต้แย้งสามารถทำได้โดยที่คุณไม่ต้องขอรหัสผ่าน ฉันต้องการบอกผู้ใช้ของฉันว่า "ไม่เคยแชร์" ... และใช่ผู้ดูแลระบบสามารถจัดการการกำหนดค่าในกรณีส่วนใหญ่ได้ แต่การแก้ไขปัญหาเป็นอีกเรื่องหนึ่ง

เราสนับสนุนโปรแกรมแบบตัวต่อตัวที่มีนักเรียน 2,600 คนและพนักงาน 500 คน เราแก้ไขปัญหาซอฟต์แวร์ "แปลก" เป็นประจำทุกวัน บ่อยครั้งที่เราต้องประสบปัญหาในฐานะผู้ใช้เพื่อแก้ไขปัญหา (หรือพิจารณาด้วยความมั่นใจว่าจะต้องมีการโหลดซ้ำ) แน่นอนว่าเราพยายามทำสิ่งนี้กับผู้ใช้ที่มีอยู่ - แต่มันก็ไม่ได้ใช้งานได้จริงเสมอไป พวกเขามีตารางการดูแลรักษา

แล้วสมาร์ทการ์ดล่ะ มีความเป็นไปได้ในสภาพแวดล้อมการโฆษณาปี 2010/2012 ที่สมาร์ทการ์ดสามารถเชื่อมโยง (ชั่วคราว) กับบัญชีโดเมนได้หรือไม่? วิธีนี้จะช่วยให้สามารถเข้าถึงบัญชีของผู้ใช้ได้อย่างแท้จริงโดยไม่เปิดเผยรหัสผ่านโดยเฉพาะ บัตรจะถูกปิดการใช้งานเมื่อการแก้ไขปัญหาเสร็จสมบูรณ์ ช่างเทคนิคสามารถใช้ประโยชน์จากบัญชีได้ แต่การ์ดสามารถดูแลได้ดี

เราใช้เครื่องอ่านลายนิ้วมือมาหลายปีแล้ว แต่กระบวนการในการตั้งค่าสำหรับเทคโนโลยีเฉพาะจากนั้นการล้างสิ่งที่พิมพ์นั้นไม่สามารถทำได้ ฉันไม่แน่ใจว่าขั้นตอนการ "อนุญาต" ซับซ้อนเพียงใดและจากนั้น "ปิดใช้งาน" สมาร์ทการ์ดสำหรับผู้ใช้รายใดรายหนึ่งจะเป็นเช่นนั้น

ใช่: ทุกสิ่งที่ต้องทำกับโปรไฟล์ของพวกเขา เมื่อสิ่งนั้นเกิดขึ้นคุณต้องรู้รหัสผ่านหรือตั้งค่าดังที่คุณกล่าว จากนั้นพวกเขาสามารถเปลี่ยนมันเมื่อคุณทำเสร็จแล้ว

หากคุณเข้าสู่ระบบในฐานะผู้ใช้นั้นคุณจะไม่ให้สิทธิ์เพิ่มเติมแก่พวกเขา คุณกำลังลงชื่อเข้าใช้ด้วยสิทธิ์ของพวกเขา