Isso é considerado uma prática ruim, tanto para segurança de senha quanto para gerenciamento de identidade. Ter uma lista de senhas em texto puro disponível em qualquer lugar é algo que não deve ser feito, ou, se for feito, precisa ser mantido offline e com controles de acesso rígidos (e auditáveis). A violação de gerenciamento de identidade é que essas listas de senha permitem que os usuários com acesso à lista de senhas personifiquem qualquer pessoa nessa lista sem o conhecimento dessa pessoa .
A política da Microsoft é que, se tal acesso ao perfil local for necessário, essa equipe técnica precisará de acesso:
- Faça o login do usuário.
- Peça à equipe técnica que redefina a senha do usuário .
Em ambos os casos, o usuário está ciente de que sua identidade eletrônica está sendo representada por alguém que não é ele. Sim, isso pode levar a redefinições de senha "desnecessárias", pois o trabalho é feito no perfil local para identificar problemas, mas a diretiva de senha em vigor precisa acomodar essas ações. Isso é um inconveniente para a equipe técnica e não técnica? Sim é.
Considere isso. Se um de seus usuários for pego com algo que não deveria ter em sua estação de trabalho, o tipo de coisa que pode levar à demissão ou processo criminal, ter essa lista de senhas torna impossível provar que eles e apenas eles colocam essa dados lá . Isso se tornará um ponto muito importante se chegar ao tribunal (seja por rescisão injusta ou por defender a acusação criminal). É para sua própria proteção que as senhas precisam ser confidenciais até mesmo dos administradores do sistema.