Gestione dei privilegi

In questa sezione:

Informazioni su gestione dei privilegi

Gestione privilegi consente ai reparti IT aziendali di ridurre i privilegi dei controlli di accesso in base al singolo utente, gruppo, applicazione o regola di business. Assicura che gli utenti abbiano solo i diritti necessari per svolgere il proprio lavoro e accedere alle applicazioni e ai controlli richiesti, e nient'altro, garantendo così la stabilità del desktop e migliorando la sicurezza e la produttività.

Con Gestione privilegi, l'accesso alle applicazioni e alle attività viene gestito dinamicamente amministrando i privilegi utente su richiesta, in risposta alle azioni utente. Ad esempio, i privilegi amministratore possono essere applicati a un'applicazione denominata o a un componente del Pannello di controllo per un utente o gruppo di utenti particolare elevando i privilegi di un utente standard al livello di amministratore o riducendo i privilegi di un amministratore a quelli di un account utente standard.

Gestione privilegi consente di creare criteri di gestione dei privilegi riutilizzabili associabili a set di regole, inoltre può elevare o limitare l'accesso a file, cartelle, unità hash file e componenti supportati del Pannello di controllo specifici per un sistema operativo.

Gestione privilegi consente di applicare il principio del minor privilegio. Tale principio richiede che gli utenti ricevano i privilegi minimi richiesti per svolgere il proprio lavoro, in modo che non ricevano tutti i privilegi di un amministratore. L'esperienza non comporta interruzioni per l'utente.

Attività comuni che richiedono privilegi amministrativi

Per svolgere il proprio ruolo, gli utenti potrebbero dover eseguire una serie di attività che richiedono privilegi amministrativi. È necessario fornire una soluzione per consentire l'esecuzione di queste attività; altrimenti l'utente deve svolgere il proprio ruolo senza portare a termine queste attività specifiche. Tali attività possono includere:

  • Installazione delle stampanti
  • Installazione di determinati tipi di hardware
  • Installazione di applicazioni particolari
  • Applicazioni operative che richiedono privilegi amministrativi
  • Modifica dell'ora di sistema
  • Esecuzione di applicazioni legacy

La gestione dei privilegi consente all'utente di eseguire tali attività elevando un utente, in modo che abbia specifici privilegi amministrativi.

Gestione dei privilegi vs esegui come

Molti utenti, in particolare i knowledge worker, utilizzano il comando Esegui come per eseguire le applicazioni. Gli utenti possono eseguire le proprie attività giornaliere con meno privilegi, ma possono anche, laddove richiesto, utilizzare il comando Esegui come per elevare le proprie credenziali, eseguendo un'attività sotto il contesto di un utente diverso. Tuttavia, ciò richiede che un utente disponga di due account: uno per minori privilegi e uno per l'elevazione.

Un problema comune quando si tratta di utilizzare Esegui come è consentire alla password amministratore di diventare nota all'interno di un'organizzazione. Ad esempio, un amministratore potrebbe comunicare la password di amministratore a un utente per consentirgli di utilizzare il comando Esegui come al fine di risolvere un problema sul proprio computer. Sfortunatamente, questo tipo di password passa comunemente di mano in mano, causando rischi imprevisti per la sicurezza.

Un problema aggiuntivo con Esegui come è il modo in cui il software vi interagisce effettivamente. Esegui come esegue un'applicazione o un processo in base al contesto di un utente diverso. Pertanto, tale applicazione o processo non ha accesso all'hive HKEY_CURRENT_USER corretto nel registro di sistema.

Tale hive rappresenta il luogo in cui vengono archiviati tutti i dati di profilo e rappresenta uno spazio protetto. Pertanto, l'applicazione o il processo che viene eseguito nel contesto di un utente diverso non può leggere né scrivere in tale origine, causando il mancato funzionamento di alcune applicazioni. L'esecuzione nel contesto di un utente diverso può anche causare problemi di lettura e scrittura in una condivisione di rete. Ciò si verifica dato che le condivisioni di rete sono basate sull'account nel contesto in cui viene eseguito. Pertanto, il proprio account locale e l'account Esegui come possono non presentare lo stesso accesso alle risorse.

Esegui come e Controllo dell'account utente

Alcuni sistemi operativi presentano funzioni che consentono a un utente di eseguire applicazioni o processi senza privilegi amministrativi. Si tratta del comando Esegui come e del Controllo dell'account utente (UAC).

Anche se tali funzionalità possono essere eseguite dagli utenti senza privilegi amministrativi, richiedono comunque che l'utente abbia accesso a un account amministratore per eseguire attività amministrative. Sfortunatamente, tale limitazione significa che tali funzioni risultano più appropriate per gli amministratori. Consente loro di accedere come un utente standard e utilizzare l'account amministratore per eseguire solo attività amministrative.

Dato che l'utente deve fornire le credenziali affinché un amministratore locale possa usare Esegui come e Controllo dell'account utente, ciò crea una serie di problematiche. Ad esempio:

  • Un utente con accesso a un account amministratore deve essere attendibile, per evitare possibili abusi di tali privilegi.
  • Le applicazioni che vengono eseguite con privilegi amministrativi sono ora in funzione nel contesto di un utente diverso. Ciò può causare problemi, ad esempio, tali applicazioni particolari non hanno accesso al profilo o alle condivisioni di rete dell'utente effettivo, come indicato nella sezione Gestione dei privilegi vs. Esegui come.
  • Sono necessarie due password. Una per l'account standard e una per l'account amministratore. L'utente deve ricordarle entrambi. La sicurezza richiesta per un singolo account è elevata, ancora di più per due account.

Tecnologia

In un ambiente di elaborazione Microsoft Windows, all'interno della procedura di avvio dell'applicazione, quando viene effettuata una richiesta di esecuzione, l'appliczione richiede un token di sicurezza all'interno della procedura di approvazione di avvio dell'applicazione. Tale token riporta i diritti e le applicazioni forniti all'applicazione e tali diritti possono essere utilizzati per interagire con il sistema operativo o altre applicazioni.

Quando Gestione privilegi viene configurato per gestire un'applicazione, il token di sicurezza richiesto viene modificato dinamicamente per elevare o limitare le autorizzazioni, consentendo così all'applicazione di essere eseguita o bloccata.

  1. Il meccanismo di Gestione diritti utenti gestisce le richieste di avvio processo nel modo seguente:
    • Viene definito un Criterio diritti utente nella regola di configurazione, da applicare ad applicazioni o componenti.
    • L'elenco applicazioni può includere file, cartelle, firme o gruppi di applicazioni.
  2. L'elenco Componenti può includere componenti del Pannello di controllo.
  3. Quando viene creato un processo mediante l'avvio di un'applicazione o di altri eseguibili, l'hook di Controllo applicazioni intercetta il processo e interroga l'agente di Controllo applicazioni in merito alla necessità di ottenere diritti elevati o limitati per eseguire il processo.
  4. L'agente conferma se la configurazione assegna diritti elevati o limitati e, se richiesto, l'agente richiede un token utente modificato dall'Autorità di protezione locale (LSA) Windows.
  5. Lo hook riceve il token utente modificato dalla LSA Windows che concede i privilegi necessari. In caso contrario, il processo viene eseguito con il token utente esistente in base alle definizioni dei normali diritti utente.

Vantaggi della gestione dei privilegi

I vantaggi principali della Gestione dei privilegi sono:

  • Elevazione dei privilegi utente per l'esecuzione di applicazioni - Utilizzare la Gestione privilegi per specificare le applicazioni da eseguire con credenziali amministrative. L'utente non dispone di credenziali amministrative ma è in grado di eseguire l'applicazione.
  • Elevazione dei privilegi utente per l'esecuzione di applet del pannello di controllo - Molti utenti di roaming necessitano di eseguire varie attività che richiedono privilegi amministrativi. Ad esempio, per installare le stampanti, per modificare le impostazioni di rete e firewall, per modificare la data e l'ora e per aggiungere e rimuovere i programmi. Tutte queste attività richiedono che determinati componenti vengano eseguiti come amministratore. Utilizzare Gestione dei privilegi per elevare i privilegi per singoli componenti, in modo che l'utente standard non amministrativo possono effettuare le modifiche per eseguire il proprio ruolo.
  • Riduzione dei privilegi per limitare i privilegi delle applicazioni - Per impostazione predefinita, gli utenti presentano determinate credenziali di amministrazione, ma sono obbligati a eseguire specifiche applicazioni come non amministratori. Eseguendo determinate applicazioni come amministratore, ad esempio Internet Explorer, l'utente è in grado di modificare molte impostazioni indesiderate, installare applicazioni e potenzialmente aprire il desktop a Internet. Utilizzare Gestione privilegi per limitare l'utente di livello amministratore dall'eseguire, ad esempio, Internet Explorer in una modalità utente standard, salvaguardando così il desktop.
  • Riduzione dei privilegi per limitare l'accesso alle impostazioni di sistema - Utilizzare Gestione privilegi per fornire a un amministratore di sistema di livello superiore la possibilità di impedire a un utente amministrativo di alterare impostazioni che non dovrebbero modificare, ad esempio, firewall e determinati servizi. Utilizzare Gestione privilegi per ridurre i privilegi amministrativi per determinati processi. Nonostante l'utente abbia privilegi amministrativi, l'amministratore di sistema mantiene il controllo dell'ambiente.

Argomenti correlati

Gestione privilegi impostazioni di configurazione

Gestione privilegi set di regole

Raccolte regole