Gestion des privilèges utilisateur

Dans cette section :

À propos de la gestion des privilèges utilisateur

De nombreux environnements utilisateur sont très restrictifs pour limiter l'accès des utilisateurs aux données sensibles et aux applications clés. Cependant, les utilisateurs ont souvent besoin de privilèges Admin pour remplir leur rôle. Par exemple, il faut des privilèges Admin pour les nombreux systèmes propriétaires, mises à jour système et applications qui autorisent l'installation de pilotes pour les périphériques comme les imprimantes, les analyseurs antivirus, etc. Ainsi, en général, les utilisateurs ont soit des privilèges Admin complets, soit aucun privilège Admin du tout.

Application Control (Contrôle des applications) sécurise et protège de nombreux postes de travail d'entreprise en contrôlant l'accès aux applications et au réseau. Application Control (Contrôle des applications) 8.1 et supérieur étend les fonctionnalités de gestion des stratégies, car il fournit des fonctions complètes de gestion des privilèges utilisateur. La gestion des privilèges utilisateur vous permet de créer des stratégies de privilèges utilisateur réutilisables, que vous pouvez associer à des règles afin d'élever ou de restreindre les droits d'accès aux fichiers, dossiers, lecteurs, signatures, applis Windows Store, groupes d'applications et composants Panneau de configuration pris en charge propres à un système d'exploitation.

La gestion des privilèges utilisateur permet aux départements IT des entreprises de limiter les privilèges de contrôle d'accès sur la base de l'utilisateur, du groupe, de l'application ou d'une règle d'affaires. Cela garantit que les utilisateurs bénéficient uniquement des droits dont ils ont besoin pour travailler. Ils accèdent aux applications et contrôles dont ils ont besoin, rien de plus, ce qui garantit la stabilité du poste de travail, et améliore la sécurité et la productivité. Pour un équilibre parfait entre productivité des utilisateurs et sécurité, il faut contrôler les privilèges utilisateur, non pas au niveau de la session ou du compte, mais au niveau de l'application ou de la tâche indiquée.

Avec la gestion des privilèges utilisateur, l'accès aux applications et aux tâches est géré dynamiquement via la gestion des privilèges utilisateur à la demande, en réponse aux actions de ces utilisateurs. Par exemple, il est possible d'appliquer des privilèges Administrateur à une application donnée ou à un composant Panneau de configuration pour un utilisateur ou un groupe d'utilisateurs particulier, soit en élevant les privilèges d'un utilisateur standard pour en faire un administrateur, soit en réduisant les privilèges d'un administrateur pour qu'il devienne utilisateur standard.

En contrôlant les privilèges utilisateur tout au long de la session utilisateur, le département IT fournit aux utilisateurs l'accessibilité dont ils ont besoin pour travailler, tout en protégeant le poste de travail et l'environnement, et en limitant les coûts de gestion.

La gestion des privilèges utilisateur fournit une approche granulaire pour la délégation des droits Administrateur à des utilisateurs et à des applications, en attribuant les droits au mérite. Vous pouvez déployer ce niveau de contrôle pour élever ou restreindre les privilèges au cas par cas, en fonction de l'approche préférée adoptée dans l'environnement.

La gestion des privilèges utilisateur vous permet de créer une bibliothèque de stratégies réutilisables, que vous pouvez associer à n'importe quelle règle Application Control (Contrôle des applications) disponible afin d'octroyer les privilèges appropriés sur des fichiers, dossiers, signatures et groupes d'applications.Les stratégies de privilèges utilisateur incluent l'appartenance au groupe Utilisateurs du domaine et une plage de privilèges Admin, que vous pouvez appliquer à chaque stratégie.

Si vous générez dynamiquement une nouvelle application à partir d'une application existante avec des privilèges Administrateur, la nouvelle application ne reçoit pas automatiquement les mêmes privilèges. À la place, le système l'évalue pour déterminer si oui ou non elle doit recevoir des privilèges Admin.

Moindres privilèges

De nombreux utilisateurs utilisent leur ordinateur avec des privilèges Administrateur. Les utilisateurs dotés de ces privilèges peuvent introduire des virus, des malwares et des spywares. Cela peut affecter l'ensemble de l'entreprise, en provoquant des failles de sécurité et des périodes d'inactivité. L'accès aux données privées peut aussi être menacé.

La gestion des privilèges utilisateur vous permet d'appliquer le principe des moindres privilèges. Selon ce principe, les utilisateurs bénéficient du niveau de privilèges minimal pour faire leur travail, sans jamais disposer des pleins privilèges Administrateur. L'expérience est transparente pour l'utilisateur.

Pour consulter la définition complète de l'approche des moindres privilèges, consultez le document « Department of Defense Trusted Computer System Evaluation Criteria » (DOD-5200.28.STD), également appelé Livre orange. Vous le trouverez à l'adresse http://csrc.nist.gov/publications/history/dod85.pdf.

Avec la gestion des privilèges utilisateur, les périodes d'inactivité, de même que le nombre des appels passés au support IT en raison de virus ou autres problèmes, diminuent énormément, parce que les ordinateurs sont protégés des problèmes qui surviennent si l'utilisateur possède des privilèges Admin complet. Ainsi, le support IT peut se concentrer sur des tâches plus important, au lieu de passer tout son temps à dépanner les ordinateurs pour identifier les problèmes. Il est également plus facile de contrôler les licences, par exemple en ne laissant les utilisateurs installer que les applications autorisées.

Tâches courantes qui nécessitent des privilèges Administrateur

Pour tenir leur rôle, les utilisateurs peuvent être amenés à effectuer un certain nombre de tâches nécessitant des privilèges Administrateur. Il faut trouver une solution pour autoriser l'exécution de ces tâches ; sinon, l'utilisateur doit tenir son rôle sans exécuter ces opérations spécifiques. Il peut s'agir des tâches suivantes :

  • Installation d'imprimantes
  • Installation de certains équipements matériels
  • Installation d'applications particulières
  • Manipulation d'applications nécessitant des privilèges Admin
  • Changement de l'heure système
  • Exécution d'applications ancienne version

La gestion des privilèges utilisateur permet à un utilisateur d'exécuter ces tâches, via l'élévation de ses privilèges jusqu'à un niveau Administrateur spécifique.

Gestion des privilèges utilisateur et option Exécuter comme

De nombreux utilisateurs, en particulier ceux qui gèrent les connaissances, utilisent la commande Exécuter comme pour exécuter des applications. Ces utilisateurs peuvent effectuer leur travail quotidien avec de moindres privilèges mais ils peuvent aussi, si nécessaire, utiliser la commande Exécuter comme pour élever leurs références d'authentification. L'utilisateur peut ainsi exécuter la tâche dans le contexte d'un autre utilisateur. Cependant, cette procédure nécessite que l'utilisateur possède deux comptes : l'un pour les moindres privilèges, l'autre pour l'élévation.

Un problème courant survient lorsque l'on utilise Exécuter comme : le mot de passe Admin est divulgué à l'ensemble de l'entreprise. Par exemple, un administrateur peut communiquer le mot de passe Admin à un utilisateur pour lui permettre d'utiliser la commande Exécuter comme afin de résoudre un problème sur son ordinateur. Malheureusement, le mot de passe est généralement transmis d'une personne à l'autre, ce qui génère de risques de sécurité non prévus.

Autre problème de l'option Exécuter comme : la façon dont le logiciel interagit réellement avec cette commande. Exécuter comme exécute une application ou un processus dans le contexte d'un autre utilisateur. Par conséquent, l'application ou le processus en question n'a pas accès à la ruche HKEY_CURRENT_USER correcte dans le registre.

Cette ruche est l'endroit où toutes les données de profil sont stockées. Il s'agit d'un espace protégé. Ainsi, l'application ou le processus exécuté dans le contexte d'un autre utilisateur ne peut pas lire ou écrire dans cette source, ce qui empêche certaines applications de fonctionner. L'exécution dans le contexte d'un autre utilisateur peut également provoquer des problèmes de lecture et d'écriture dans un partage réseau. En effet, les partages réseau reposent sur le compte du contexte exécuté. Par conséquent, votre compte local et le compte Exécuter comme risquent de ne pas avoir accès aux mêmes ressources.

Exécuter comme et Contrôle de compte d'utilisateur (UAC)

Certains systèmes d'exploitation, comme Windows 7 et Windows 8, offrent des fonctions qui permettent à un utilisateur d'exécuter des applications ou des processus sans privilèges Administrateur. Il s'agit de la commande Exécuter comme et de l'outil Contrôle de compte d'utilisateur (UAC).

Ces fonctions s'appliquent aussi à Server versions 2008 et 2012.

Bien que ces fonctions permettent effectivement aux utilisateurs d'exécuter une application sans droits d'administrateur, il faut quand même que l'utilisateur ait accès à un compte d'administrateur pour exécuter des tâches d'administration. Malheureusement, cette limitation signifie que ces fonctions conviennent mieux aux administrateurs. Cela leur permet de se connecter en tant qu'utilisateur standard et d'utiliser un compte d'administrateur uniquement pour effectuer les tâches d'administration.

Comme l'utilisateur doit entrer les références d'authentification d'un administrateur local pour utiliser Exécuter comme et UAC, cela crée un certain nombre de difficultés. Par exemple :

  • Vous devez faire confiance à l'utilisateur disposant d'un compte d'administrateur ; il ne doit pas abuser de ces privilèges.
  • Les applications exécutées avec des privilèges Administrateur le sont maintenant dans le contexte d'un autre utilisateur. Cela pose des problèmes. Par exemple, les applications concernées n'ont pas accès au profil ou aux partages réseau de l'utilisateur réel, comme indiqué à la section « Gestion des privilèges et option Exécuter comme ».
  • Deux mots de passe sont nécessaires. L'un pour le compte standard, l'autre pour le compte Administrateur. L'utilisateur doit mémoriser les deux. La sécurité nécessaire pour un seul compte est complexe et c'est encore plus vrai pour deux comptes.

Technologie

Dans un environnement informatique Microsoft Windows, lorsqu'une demande d'exécution est émise, le processus de lancement de l'application demande un jeton de sécurité dans le cadre du processus d'approbation du lancement de cette application. Ce jeton détaille les droits et permissions octroyés à l'application, et ces droits peuvent servir à interagir avec le système d'exploitation ou d'autres applications.

Si la gestion des privilèges utilisateur est configurée pour gérer une application, le jeton de sécurité demandé est modifié dynamiquement pour que les permissions soient élevées ou restreintes, ce qui permet d'exécuter ou de bloquer l'application.

  1. Le mécanisme de gestion des droits utilisateur gère les demandes de démarrage de processus comme suit :
    • Une stratégie de droits utilisateur est définie dans la règle de configuration, et s'applique à des applications ou composants.
    • La liste des applications peut inclure des fichiers, des dossiers, des signatures ou des groupes d'applications.
  2. La liste des composants peut inclure des composants du Panneau de configuration.
  3. Lorsque vous créez un processus en lançant une application ou un autre exécutable, le hook Application Control (Contrôle des applications) intercepte le processus et interroge l'agent pour savoir si des droits élevés ou restreints sont nécessaires pour l'exécution de ce processus.
  4. L'agent indique si la configuration affecte des droits élevés ou restreints, et (si nécessaire) l'agent demande un jeton utilisateur modifié à l'Autorité de sécurité locale Windows (LSA).
  5. Le hook reçoit de Windows LSA le jeton utilisateur modifié qui octroie les privilèges nécessaires. Sinon, le processus s'exécute avec le jeton utilisateur existant, en fonction des définitions de droits de l'utilisateur normal.

Avantages de la gestion des privilèges utilisateur

Principaux avantages de la gestion des privilèges utilisateur :

  • Découverte des applications utilisateur qui nécessitent des privilèges élevés - Utilisez le mode Découverte des privilèges pour surveiller les applications qui nécessitent des privilèges Admin et générer des rapports sur ces applications. Utilisez les données figurant dans ces rapports pour créer vos configurations de gestion des applications.

  • Élévation des privilèges utilisateur pour l'exécution des applications - Utilisez la gestion des privilèges utilisateur pour spécifier les applications à exécuter avec des références d'authentification Admin. L'utilisateur n'a pas de références d'authentification Admin mais il peut exécuter l'application.

  • Élévation des privilèges utilisateur pour l'exécution d'applets du Panneau de configuration - De nombreux utilisateurs en itinérance ont besoin d'effectuer différentes tâches nécessitant des privilèges d'administration. Par exemple, l'installation d'imprimantes, le changement des paramètres du réseau et du pare-feu, le changement de la date et de l'heure, et l'ajout ou la suppression de programmes. Toutes ces tâches nécessitent l'exécution de certains composants en tant qu'administrateur. Utilisez la gestion des privilèges utilisateur pour élever les privilèges de composants spécifiques afin que les utilisateurs standard non-administrateurs puissent apporter les changements nécessaires pour leur travail.

  • Réduction des privilèges pour limiter les privilèges de l'application - Par défaut, les utilisateurs disposent de certaines références d'authentification Admin, mais sont ramenés au niveau non-Administrateur pour une application spécifique. En exécutant certaines applications en tant qu'administrateur, notamment Internet Explorer, l'utilisateur peut changer de nombreux paramètres indésirables, installer des applications et, potentiellement, ouvrir le poste de travail à Internet. Utilisez la gestion des privilèges utilisateur pour empêcher, par exemple, un utilisateur de niveau Administrateur d'exécuter Internet Explorer en mode Utilisateur standard, ce qui préserve le poste de travail.

  • Réduction des privilèges pour limiter l'accès aux paramètres système - Utilisez la gestion des privilèges utilisateur pour donner à un administrateur de haut niveau la possibilité d'empêcher un utilisateur administrateur de modifier des paramètres qu'il ne doit pas changer, comme les pare-feux et d'autres services. Utilisez la gestion des privilèges utilisateur pour réduire les privilèges d'administration pour certains processus. Bien que l'utilisateur dispose de privilèges d'administration, l'administrateur système conserve le contrôle de l'environnement.

Rubriques connexes

Gestion des privilèges utilisateur - Scénarios d'utilisation

Privilèges utilisateur

Mode Découverte des privilèges

Privilèges utilisateur - Composants contrôlés

Auto-élévation

Contrôles système