A TI precisaria da senha de domínio de um usuário?

10

Existe algo que um administrador de domínio do Windows precise fazer ao configurar uma estação de trabalho para um novo usuário que absolutamente não pode ser feito sem a senha da conta de domínio do usuário? Para evitar solicitar as senhas dos usuários, o administrador poderia, teoricamente, alterar a senha, fazer login como usuário e fazer o que quisesse, mas isso realmente lhes daria permissões adicionais que eles ainda não possuem? virtude de ser um administrador de domínio?

ATUALIZAR:

As respostas até agora se referiram a "ajuste" ou alteração do perfil do usuário. No entanto, existe este artigo da Microsoft sobre a modificação do perfil padrão que é aplicado aos usuários quando eles fazem logon pela primeira vez e estas instruções para alterar as configurações de registro do Windows de outro usuário a qualquer momento. O que um administrador alteraria durante o login como usuário que não poderia mudar usando essas ou outras técnicas disponíveis que não envolvem o login como usuário? Apenas "fazer login como usuário" não é um motivo para solicitar ou alterar a senha do usuário. Estou procurando uma razão prática para fazer isso.

windows domain

— Isaac Truett
fonte

2

Minha suspeita antes de fazer essa pergunta foi que, por mais distorcida que a administração do Windows possa às vezes, não havia nada impossível para um administrador que fosse possível para um usuário final menos privilegiado. O motivador para solicitar a senha de um usuário ou alterar sua senha e fazer login com sua conta seria inexperiência ou conveniência; o administrador não sabe fazer algo ou não quer mexer com registros e editar arquivos de configuração manualmente e não possui ferramentas disponíveis para fazer as alterações necessárias.

— Isaac Truett

1

Você pode reescrever esta pergunta, pois primeiro você pergunta sobre as senhas dos usuários e depois muda para o login como usuário. Estes são 2 questões distintas

— Jim B

Que tal instalar um aplicativo que requer acesso ao perfil do Outlook do usuário (como um aplicativo de CRM que usa o Outlook)? Você está à mercê do script de instalação do desenvolvedor de aplicativos.

— gravyface 24/05

@ Jim Na verdade, tentei interromper a avenida de redefinição de senha na segunda frase da minha pergunta original. Se você redefinir a senha de um usuário, agora você possui a senha do usuário. Você não tem a senha antiga. Eu estava recebendo respostas vagas sobre como alterar o perfil de um usuário, por isso forneci links mostrando como você poderia fazer isso sem se passar por ele. Também chamei especificamente de "fazer login como usuário" por não ser uma meta final aceitável, porque isso foi mencionado em um comentário como algo que você não poderia fazer sem solicitar / alterar a senha do usuário.

— Isaac Truett

@gravyface Então, sua resposta é "instalar software mal escrito?" Interessante. Gostaria de publicá-lo como resposta?

— Isaac Truett

12

Não é aceitável nem necessário para um administrador solicitar a senha de um usuário.

Sob as circunstâncias em que pode ser necessário que um administrador efetue login como usuário (e não acredito que tais circunstâncias existam), o usuário deve efetuar login e supervisionar as atividades do administrador.

A razão para isso é a prestação de contas. É de responsabilidade de cada usuário garantir que sua senha seja segura. Se a atividade maliciosa for rastreada até as credenciais do usuário, esse usuário poderá ser responsabilizado. Portanto, eles precisam garantir que suas credenciais permaneçam seguras.

Também é responsabilidade da organização garantir que isso não seja apenas adotado, mas imposto. Houve um caso legal em que alguém em uma organização enviou um email malicioso usando a caixa de correio de outra pessoa. O proprietário da caixa de correio foi finalmente demitido. Embora eles argumentassem que haviam dado sua senha a outra pessoa, a empresa insistia em que era sua responsabilidade manter a integridade de suas credenciais e, portanto, eles eram responsáveis, conforme exigido pela política de TI da empresa. Isso foi anulado por um tribunal quando esse usuário provou que havia uma cultura de compartilhamento de senha endêmica na organização. O tribunal decidiu que, se a empresa não pudesse impor ativamente sua política de TI, não poderia confiar nela para prestar contas nessas circunstâncias.

Dito isto, há claramente um abismo entre teoria e prática. Contratei uma grande empresa multinacional que fornece, entre outras coisas, serviços de consultoria de TI e, como parte do procedimento documentado para uma atualização de SOE, fomos instruídos a solicitar a senha do usuário final.

Pessoalmente, adoto uma abordagem rígida para isso. Não acredito que seja necessário solicitar senhas (ou redefini-las para acessar a conta de um usuário). Se houver uma carga de trabalho muito maior para contornar isso, que assim seja. Não é desculpa para comprometer a segurança. Acho que tenho sorte de não ser gerente e, portanto, não preciso assumir a responsabilidade por essas decisões quando instruído a fazê-lo por alguém do alto escalão.

— Matt
fonte

5

Você está sugerindo seriamente que sabe o que é aceitável ou necessário em todas as situações concebíveis do planeta?

— John Gardeniers

3

Claro que não - se alguém puder me dar um exemplo ao contrário, eu o aceitarei com prazer. Não estou falando de todas as situações concebíveis do planeta, mas, com isso dito, não posso conceber nenhum objetivo que só possa ser alcançado comprometendo as credenciais de login de um usuário.

— Matt

2

Você diz "claro que não", o que invalida completamente a primeira frase da sua resposta. Eu sugiro que você edite de acordo.

— John Gardeniers

7

Talvez eu não estivesse claro. Estou adotando uma abordagem científica. Só porque o sol nasceu todos os dias nos últimos cinco bilhões de anos não significa que posso dizer com absoluta certeza que nascerá amanhã. Mas se você me perguntar: "o sol nascerá amanhã?", Direi sim sem sentir a necessidade de qualificar isso ainda mais. Portanto, considero sua pergunta sobre "toda situação concebível do planeta" uma qualificação igualmente hipotética e abstrata.

— Matt

3

na cabeça, uma nova configuração de usuário vem à mente - e sua mente obviamente está presa aqui. Novo usuário = "Nenhum usuário tem a senha"; portanto, a TI configura o usuário e fornece a senha ao usuário (que muda imediatamente). Eles nunca perguntam ao usuário porque - ah, o usuário neste momento não sabe a senha.

— TomTom

18

Sejamos claros: se você é um administrador de domínio, pode instalar um software - um driver de dispositivo vem à mente - que pode literalmente fazer qualquer coisa. No entanto, existem vários graus de impraticabilidade, variando de "Qual é a chave do Registro para o plano de fundo da área de trabalho, novamente?" até "E então ligamos para a chamada de leitura de arquivo dentro da camada de perfil criptografado, a fim de enganar o Firefox pensando que eles desativaram os cookies do doubleclick.net".

Você está pedindo um absoluto, e acho que é a maneira errada de ver isso, porque a resposta será "Você nunca precisa da senha do usuário, na verdade ", o que é muito enganador. A realidade é que, até que a Microsoft ofereça (ou você instale software de terceiros para permitir) um recurso como * NIX su/ sudo, você nunca será capaz de imitar perfeitamente a conta de um usuário para todos os fins, mantendo uma aparência de sanidade, sem exigir ocasionais uso - note que eu não disse "divulgação!" - de sua senha.

— BMDan
fonte

Um ponto muito justo. Um ponto que eu estava fazendo em minha própria resposta sumariamente excluída foi a de que parece haver uma falta de suporte de ferramentas nessa área.

— Isaac Truett

no que diz respeito ao sudo, o modelo de segurança do Windows impede o uso de um utilitário do tipo sudo, pois significa que você pode executar aplicativos no contexto de outro usuário sem se autenticar como o usuário primeiro (existem maneiras de contornar isso, mas todos eles se esforçam para contornar o modelo de segurança).

— Jim B

1

+1 - Esta resposta cobre bem as realidades, bem como a teoria.

— John Gardeniers

8

Muitos de nós trabalhamos em ambientes onde a divulgação de senhas era necessária por vários motivos. Vou até dizer que todos consideramos uma má idéia. Se isso precisar ser feito, o usuário final precisará consentir, não ser coagido.

Naquela época, como 1998, meu departamento de TI solicitava a senha de um usuário quando estávamos substituindo um PC, para que pudéssemos configurá-la exatamente como na antiga. Até os locais dos ícones. Como estávamos em um ambiente Novell NetWare sem domínio WinNT correspondente, a alteração da senha de rede não mudou a senha local; portanto, precisávamos ter essa senha se desejássemos oferecer esse nível de serviço contínuo.

Isso foi há 13 anos. Você perguntou especificamente sobre os domínios do Windows. No trabalho que acabei de deixar, uma grande universidade, cabia ao usuário final divulgar ou não uma senha ou estar presente para qualquer trabalho que estivesse sendo realizado. Em outras palavras, o usuário final optou por ele em vez de ser forçado pela TI. Certos tipos de executivos muito ocupados, no alto do organograma, geralmente tinham o assistente do administrador para fazer o login, portanto era fácil para as pessoas de TI entrar (o consentimento já havia sido delegado).

No Windows, a única maneira de ajustar manualmente o perfil de um usuário é fazer login como esse usuário. Se esse perfil precisar de ajuste manual por algum motivo (ainda resta uma desinstalação ruim que está atrapalhando a reinstalação ou outras coisas estranhas), a pessoa de TI precisará fazer login como esse usuário. Isso pode ser feito forçando uma alteração de senha administrativa, solicitando que o usuário divulgue sua senha ou solicitando que o usuário efetue o logon da pessoa de TI e deixe a pessoa de TI trabalhar.

— sysadmin1138
fonte

Que tipo de ajuste de perfil você poderia fazer como usuário, modificando o perfil padrão conforme descrito aqui antes de o usuário efetuar login?

— Isaac Truett

Na maioria das vezes, não, ainda há coisas que precisam ser configuradas para esse usuário específico. Por exemplo, antes do Outlook 2007 / Exchange 2007, você precisava configurar o Outlook manualmente para esse usuário. Agora com autodiscover, você poderia considerar deixá-los experimentar por si próprios, mas ainda assim, a maioria dos administradores não teria como usuários só quero que ele para começar quando fazem login.

— KCotreau

@KContreau A Microsoft diz aqui que os perfis do Outlook são armazenados no registro, que um administrador pode editar a partir de sua própria conta. Alguma outra ideia?

— Isaac Truett

4

@IsaacTruett Tecnicamente, tudo pode ser feito diretamente através do regedit ou da edição manual desses arquivos desktop.ini. No entanto, muitas pessoas de TI estão muito mais confortáveis com as ferramentas de interface do usuário. Como atalho, por mais desaconselhável que seja, a pessoa de TI pode solicitar que um usuário faça uma das três coisas que mencionei (faça login, faça uma redefinição de senha ou forneça a senha) e use as ferramentas eles conhecem bem a GUI.

— sysadmin1138

1

@KCotreau @Isaac Tecnicamente, você pode copiar sua seção de registro para o perfil do administrador temporariamente, usar o que for necessário para editá-lo e recolocá-lo. Esta não é uma boa idéia ™ em 99% dos casos. Conheço muito poucas circunstâncias em que é necessário conhecer a senha do usuário atualmente; e todos eles estão relacionados a conveniências idiotas (como o exemplo do Netware SysAdmin1138 deu).

— Chris S

5

Alguns aplicativos durante a instalação exigem a capacidade de fazer alterações ou referenciar o perfil do usuário (ou seja, aplicativos de CRM que se integram ao Outlook) usando variáveis ambientais como% userprofile%, modificando HK_CURRENT_USER e similares.

Embora você possa "fazer engenharia reversa" de uma instalação com ferramentas como procmon e modificar manualmente o perfil, o registro etc. do usuário após o fato, isso é altamente ineficiente, impraticável e propenso a erros.

— gravyface
fonte

1

+1. Eu definitivamente podia ver isso sendo um fator. Como engenheiro de software, eu argumentaria que existem maneiras melhores de escrever processos de instalação do que exigir que o usuário final efetue login durante a instalação. De fato, existem produtos de software existentes que permitem diferentes processos de instalação de usuário único e multiusuário, como o Google Chrome .

— Isaac Truett

@ Isaac, acredito que você ignorou o princípio fundamental da configuração por usuário, que não pode ser resolvido pelo instalador. Tomemos, por exemplo, um pacote que será usado por vários usuários em uma determinada máquina, em que cada usuário precisa / deseja / requer uma configuração diferente e precisa estar em vigor antes que esses usuários comecem a usar o pacote.

— John Gardeniers

@ John / Isaac: Estou assumindo, John, você está falando em concluir essa personalização em nome do usuário? Nesse caso, sim, outro bom ponto para o motivo de você querer ou precisar fazer login como usuário, especialmente se a configuração não puder ser modificada fora do aplicativo (armazenada em formato binário) e estiver vinculada ao usuário conectado no momento.

— Gravyface 24/05

está correto. A redefinição da senha do usuário em tal situação apenas causa problemas e também interfere na capacidade de fazer o que eles estão fazendo em outra máquina.

— John Gardeniers

4

Absolutamente 100% não. Qualquer coisa que precise ser feita com outra conta de usuário deve ser feita redefinindo a senha do usuário, efetuando login e, em seguida, solicitando que o usuário ligue para o suporte técnico ou restaurando a senha para algo que seja útil aos usuários, e informando e configurando a conta para forçar a alteração da senha no próximo login. Embora admitir que trabalhei em ambientes razoavelmente grandes e / ou seguros, a divulgação de sua senha a qualquer pessoa era geralmente motivo para rescisão (e esse deve ser o caso na maioria das situações)

— Jim B
fonte

1

Essa é uma afirmação muito ampla. Existem muitos ambientes em que isso simplesmente não funciona. Eu compraria talvez 98%, mas certamente não 100%.

— John Gardeniers 23/05

1

@ John Você pode oferecer um exemplo específico de algo que é impossível de fazer sem estar conectado como usuário final?

— Isaac Truett

1

@Isaac: existem muitos aplicativos que, durante a instalação, fazem referência a% userprofile% para a colocação de arquivos, talvez façam alterações como instalar barras de ferramentas no Word ou no Outlook etc. etc. etc. mudar, mas por que você se incomodaria?

— Gravyface #

@ john, você pode me dar um exemplo de onde seria impossível redefinir a senha do usuário, conforme explicado? Concordo que há lugares em que os usuários são muito complacentes ou os administradores são preguiçosos, mas ainda não encontrei um lugar em que isso simplesmente não funcionasse.

— Jim B

1

@ Jim, onde trabalho, frequentemente precisamos fazer logon como outros e redefinir senhas simplesmente irrita as pessoas sem uma boa causa. Temos um ambiente em que as senhas (para a maioria dos usuários) não são secretas na empresa. Sei que isso vai contra todos os que trabalham em empresas maiores e foi um verdadeiro choque cultural para mim quando comecei aqui. É uma escolha de gerenciamento, não minha, e é isso.

— John Gardeniers

3

A maioria dessas postagens parece bastante antiga, mas espero que algumas pessoas com conhecimento ainda estejam ativas no tópico, pois esse parece continuar sendo um tópico atual.

Certamente, pode-se argumentar que você nunca precisará solicitar uma senha. Eu preferiria dizer aos meus usuários "nunca compartilhem" ... e sim, na maioria dos casos , a configuração pode ser gerenciada por um administrador para um usuário. Mas a solução de problemas é outro caso.

Apoiamos um programa individual com 2600 alunos e 500 funcionários. Nós lidamos com problemas de software "estranhos" diariamente. Frequentemente, precisamos enfrentar o problema como usuário para resolver o problema (ou determinar com alguma confiança que será necessário recarregar). Absolutamente, tentamos fazer isso com o usuário presente - mas isso nem sempre é prático; eles têm um cronograma para manter.

E os cartões inteligentes? Existe alguma viabilidade no ambiente do AD 2010/2012 de que um cartão inteligente possa estar associado (temporariamente) a uma conta de domínio? Isso permitiria o acesso à conta do usuário em plena realidade, sem expor sua senha especificamente. O cartão pode então ser desativado quando a solução de problemas estiver concluída. Técnicos poderiam utilizar a conta, mas os cartões poderiam ser bem supervisionados.

Usamos leitores de impressão digital há anos, mas o processo de configuração para uma tecnologia específica e a limpeza da impressão simplesmente não é viável. Não tenho certeza de quão complexo seria o processo de "autorizar" e "desativar" um cartão inteligente para um usuário específico, mas parece que poderia ser um compromisso decente.

— JABlaine
fonte

O StackExchange opera em um modelo diferente dos fóruns tradicionais, pois esse não é um tópico de discussão, mas uma pergunta seguida por uma seleção de possíveis respostas. No lado negativo, este também é um mau exemplo de uma pergunta de acordo com nossas Perguntas frequentes .

— Scott Pacote

1

Sim: tudo o que precisa ser feito em seu perfil. Quando isso acontece, você deve saber sua senha ou configurá-la, como disse. Então eles podem mudar quando você terminar.

Se você efetuar login como esse usuário, não estará concedendo permissões adicionais. Você está efetuando login como eles com suas permissões.

— KCotreau
fonte

me derrote. Estava pensando em aplicativos que se integram especialmente ao Outlook.

— gravyface 23/05

Sim, obviamente você não está dando permissões extras ao usuário. A questão é: o que um administrador poderia fazer com as permissões de um usuário individual que ele não poderia fazer com suas próprias permissões de administrador? Então, o que um administrador faria com o perfil de um usuário que ele não poderia fazer com sua própria conta de administrador?

— Isaac Truett

A resposta para sua pergunta, o que o administrador não pode fazer: Basta fazer login como esse usuário. Quando esse usuário efetua login, somente então as alterações podem ser feitas no perfil associado a esse usuário. Quando você efetua login como administrador, efetua login com seu perfil de administrador.

— KCotreau

Eu pensei que interpretou mal a pergunta, mas não, você não precisa da senha do usuário para fazer qualquer coisa no perfil.

— Jim B