Devo ter várias contas de administrador de domínio?

Question

Eu trabalho em uma pequena organização com 2 servidores e 30 clientes. Somos completamente o Windows Server 2003 / XP. Além de mim, o diretor de operações e nossa empresa de consultoria de TI precisam ter acesso a uma conta de administrador de domínio.

Devemos ter várias contas de administrador de domínio por qualquer motivo (alteração de registro, segurança ou outro)? Existem razões para não ter várias contas de administrador de domínio?

    

Answer 1

Cada usuário que executa atividades administrativas deve ter uma conta dedicada para realizar essas atividades. Em um ambiente Windows, a conta de Administrador interna (RID 500) deve ter uma senha complexa definida, impressa e bloqueada em um cofre, etc. para emergências.

Um princípio geral de segurança é o seguinte: Você quer saber quem está executando as atividades (administrativas, neste caso) (ou seja, ter uma trilha de auditoria. O compartilhamento de contas explode fora da água.

Além disso, você quer ser capaz de cortar o acesso de um indivíduo em caso de violação de segurança de senha, rescisão, etc. As contas compartilhadas também não atendem a esses critérios.

Contas compartilhadas de uso comum de qualquer tipo devem ser consideradas altamente duvidosas em valor, mas as credenciais de administração compartilhada são sempre ruins.

re: Considerações específicas sobre o Windows, como conexões limitadas de Serviços de Área de Trabalho Remota / Terminal: seja próximo de seus colegas administradores e não deixe sessões desconexas por aí. Descobri que a pressão social funciona razoavelmente bem em pequenas organizações (ou seja, mencionando com frequência e em voz alta o fato de que o admin XXX não lembra de fazer logoff de servidores). Você sempre pode inicializar as sessões desconectadas de outros usuários se realmente precisar. Acrescenta, talvez, 30 segundos para uma tentativa de conexão. Em uma organização maior, ou se se tornar um grande problema, você pode considerar a implementação de tempos limite de sessão desconectados.

Um pouco à parte, mas que provavelmente está no tópico desde que você mencionou um consultor de TI: Como um empreiteiro de TI eu sempre solicito uma conta de administração dedicada para mim e exijo não conhecer credenciais de administração "compartilhadas". Ele protege ambas as partes e fornece uma trilha de auditoria. Eu sempre quero que meus clientes sintam que podem "me trancar" a qualquer momento (e realmente ter essa capacidade também), porque acredito que envia uma mensagem poderosa de que estou confiante em minha capacidade de manter o relacionamento com com base nos méritos de minhas habilidades e no valor que eu ofereço, não baseado em algum sentimento vago de que eles estão "presos" a mim.

    

Answer 2

Um motivo para não ter uma conta compartilhada:
Se você administrar tudo usando a área de trabalho remota, poderá ter um limite para isso. Se as pessoas simplesmente fecharem a sessão da área de trabalho remota sem fazer logout, elas ficarão amarradas rapidamente.

Um motivo para ter uma conta compartilhada:
Você pode ver quem estava logado quando se algo de ruim acontece. Realmente, se você tem um bom ambiente de equipe, quem fez alguma coisa simplesmente admitiu isso.

    

Answer 3

A resposta de Evan é boa. Lembre-se também de que você não deve usar sua conta de administrador para o trabalho do dia-a-dia - sempre execute comandos de administração com runas ou similares se estiver executando algo diretamente em sua estação de trabalho.

Para contas de serviço, você também pode desativar o logon interativo para torná-las mais seguras.

Um último ponto, certifique-se de ativar a auditoria de segurança em seus servidores e certifique-se de que o log de eventos de segurança seja grande o suficiente (normalmente, defino-o como 20 MB ou mais)