Bagaimana cara mengelola Windows seperti Linux / Unix: hak administratif berdasarkan keanggotaan grup tanpa kecelakaan dan tanpa berbagi kata sandi Administrator?

Saya membuat beberapa perubahan mendasar ke lingkungan Windows Server 2003/2008. Di sisi Unix, kendala keamanan saya sederhana:

1. Pengguna yang harus memiliki hak admin berada dalam grup khusus ("roda" atau serupa).
2. Ketika para pengguna masuk ke mesin-mesin itu, mereka masih tidak memiliki hak admin, sampai mereka secara eksplisit menjalankan perintah dengan hak admin tersebut ("perintah sudo" atau "su").
3. Bahkan ketika mereka menjalankan perintah dengan "su" (semacam "runas"), mereka masih perlu memasukkan kata sandi: milik mereka.

Dalam sistem ini, saya dapat mengontrol siapa yang memiliki hak admin (berdasarkan keanggotaan grup), mencegah mereka mengeksekusi sesuatu secara tidak sengaja dengan hak admin secara tidak sengaja (dengan memerlukan "su" atau "sudo"), dan tidak pernah mengungkapkan inti "Administrator" (yaitu "root") kata sandi, karena mereka dimintai kata sandinya sendiri.

Bagaimana saya melakukan hal yang sama pada Windows Server? Pilihan yang saya lihat adalah:

1. Tambahkan pengguna ke akun administrator lokal: Tetapi semua yang mereka lakukan adalah sebagai admin, beresiko kesalahan.
2. Mengharuskan mereka untuk melakukan "runas Administrator": Tetapi kemudian mereka harus mengetahui kata sandi Administrator, yang tidak ingin saya bagikan.

Apakah ada solusi di mana saya dapat secara bersamaan: mengontrol siapa yang memiliki akses oleh keanggotaan grup; mencegah mereka secara tidak sengaja melakukan hal-hal yang merusak dengan memerlukan kata sandi terpisah; mencegah mereka mengetahui kata sandi Administrator?

Pertama, hanya administrator yang mendapatkan akses admin jadi kecuali ada alasan BESAR (saya tidak bisa memikirkan yang baik) mengapa mereka membutuhkannya, maka itu harus diserahkan kepada admin; ada saat-saat langka ketika pengguna biasa mendapat admin privs, dan bahkan kemudian saya biasanya skeptis tentang mengapa mereka membutuhkannya.

Kedua, Anda dapat mencapai apa yang ingin Anda lakukan dengan menggunakan Keanggotaan Grup di Windows. Anda tidak mengatakan bahwa Anda menggunakan Active Directory jadi saya tidak yakin apakah Anda memiliki domain dan melakukan itu, tetapi Anda dapat membuat Grup Keamanan dan menambahkan masing-masing akun pengguna ke dalamnya. Lihat disini. Saya tidak akan menambahkan pengguna ke grup administrator lokal di server secara individual karena ini akan berantakan dan sulit untuk dilacak, dan itu akan membuat banyak sakit kepala untuk Anda dan potensi masalah keamanan. Apa yang akan saya lakukan, seperti yang disebutkan di atas, adalah membuat Grup Keamanan dan menambahkan anggota yang Anda ingin memiliki akses admin ke grup ini. Anda akan membuat dua akun pengguna untuk pengguna Anda; satu untuk login biasa, dan kemudian akun ke-2 yang hanya digunakan untuk tindakan yang ditinggikan. Anda akan menambahkan akun pengguna "yang lebih tinggi / istimewa" ke dalam Grup Keamanan, maka, Anda dapat menempatkan grup ini dalam keanggotaan grup lokal yang lebih tinggi di server yang sebenarnya, misalnya Power Users. Ini akan memungkinkan mereka untuk melakukan banyak fungsi tanpa menjadi admin.

Sejauh Run As Administrator, Anda tidak harus melakukan itu sepanjang waktu. Cara terbaik untuk membuat orang lain menjalankan sesuatu tanpa mengetahui Administrator, atau administrator, kata sandi adalah dengan menggunakan Shift + Klik kanan dan kemudian pilih Jalankan sebagai pengguna yang berbeda, atau Klik kanan dan Jalankan sebagai Administrator. Pertama-tama Anda ingin membuat pengguna terpisah untuk mereka yang memiliki hak lebih tinggi, atau hak yang dinaikkan seperti yang disebutkan di atas (pengguna yang ditinggikan ini akan ditambahkan ke Grup Keamanan lagi seperti yang disebutkan di atas) karena kemudian pengguna ini dapat digunakan untuk menjalankan hal-hal yang memerlukan pengangkatan sementara login dengan akun pengguna normal / standar. Lihat tangkapan layar saya:

Itu harus mengurus apa yang ingin Anda lakukan sejauh menjalankan hal-hal seperti admin. Satu catatan terakhir yang mungkin saya tambahkan adalah untuk tetap mengaktifkan UAC. Jika Anda melakukan ini, pengguna harus mengetikkan kata sandi (terangkat) dan bukan kata sandi admin untuk hal-hal yang mereka lakukan di server. Ini adalah rasa sakit ketika Anda harus mengetik banyak, tetapi untuk keamanan itu sangat berharga.

Biarkan akun standar mereka sebagai 'standar'. Buat mereka akun kedua istimewa dan tambahkan ke berbagai grup Administratif. Gunakan 'runas' dengan akun istimewa. (Anda mungkin merasa berguna untuk menonaktifkan login interaktif dengan akun admin, tetapi sekali lagi - ini mungkin akan mengganggu).

Di Server 2003, Anda harus menggunakan Run As... opsi untuk menjalankan sebagai akun dengan hak administratif.

Dengan Server 2008+, Anda menggunakan UAC , dan / atau Run as Administratoropsi yang Anda sarankan. Ini tidak memerlukan mengetahui password untuk yang [lokal] rekening administratif - setiap kredensial administratif akan melakukan.

Jadi, Anda akan menambahkan akun mereka ke grup administrasi lokal, atau lebih baik, dari sudut pandang keamanan, membuat akun administratif terpisah dan menambahkannya ke grup administrasi lokal. Kemudian, ketika mereka perlu menjalankan sesuatu dengan hak administratif, UAC akan meminta kredensial administratif dan / atau mereka menggunakan opsi Run As.../ Run as Administrator.