Come posso gestire Windows come Linux / Unix: diritti amministrativi per l'appartenenza al gruppo senza incidenti e senza condividere la password dell'amministratore?

Sto apportando alcune modifiche fondamentali a un ambiente Windows Server 2003/2008. Sul lato Unix, i miei vincoli di sicurezza sono semplici:

1. Gli utenti che dovrebbero avere diritti di amministratore appartengono a un gruppo speciale ("ruota" o simile).
2. Quando tali utenti accedono a tali macchine, non dispongono ancora dei diritti di amministratore, fino a quando non eseguono esplicitamente un comando con tali diritti di amministratore ("comando sudo" o "su").
3. Anche quando eseguono il comando con "su" (una specie di "runas"), devono comunque inserire una password: la propria.

In questo sistema, posso controllare chi ha i privilegi di amministratore (per appartenenza al gruppo), impedire loro di eseguire accidentalmente qualcosa con privilegi di amministratore (richiedendo "su" o "sudo") e non rivelare mai un "Amministratore" di base (es. "root"), poiché sono richiesti per la propria.

Come faccio a fare l'equivalente su Windows Server? Le opzioni come la vedo io sono:

1. Aggiungi utente all'account degli amministratori locali: ma tutto ciò che fanno è come amministratore, rischiando errori.
2. È necessario che facciano "runas Administrator": ma devono conoscere la password dell'amministratore, che non voglio condividere.

Esiste una soluzione in cui posso simultaneamente: controllare chi ha accesso tramite l'appartenenza al gruppo; impedire loro di fare accidentalmente cose dannose richiedendo una password separata; impedire loro di conoscere la password dell'amministratore?

Prima di tutto, solo gli amministratori dovrebbero ottenere l'accesso come amministratore, quindi a meno che non ci sia un ENORME (non riesco a pensarne uno buono) per cui ne hanno bisogno, quindi dovrebbe essere lasciato agli amministratori; ci sono rare occasioni in cui un utente normale ottiene i privilegi di amministratore, e anche allora di solito sono scettico sul perché ne hanno bisogno.

In secondo luogo, è possibile realizzare ciò che si desidera fare utilizzando l'appartenenza al gruppo in Windows. Non hai detto che stavi utilizzando Active Directory, quindi non sono sicuro che tu abbia un dominio e lo stia facendo, ma puoi creare gruppi di sicurezza e aggiungere singoli account utente a loro. Vedere qui. Non aggiungerei utenti al gruppo degli amministratori locali sul server individualmente in quanto questo diventerà disordinato ed è difficile tenere traccia della strada, e causerà molto mal di testa per te e potenziali problemi di sicurezza. Quello che farei, come accennato in precedenza, è creare un gruppo di sicurezza e aggiungere i membri a cui si desidera avere accesso come amministratore a questo gruppo. Dovresti creare due account utente per i tuoi utenti; uno per l'accesso regolare e quindi un secondo account utilizzato solo per azioni elevate. Dovresti aggiungere l'account "superiore / privilegiato" degli utenti nel gruppo di sicurezza, quindi puoi inserire questo gruppo in un'appartenenza al gruppo locale elevata sul server effettivo, ad esempio Power Users. Ciò consentirà loro di svolgere molte funzioni senza essere amministratori.

Per quanto riguarda Esegui come amministratore, non devi farlo tutto il tempo. Il modo migliore per fare in modo che le persone eseguano le cose senza conoscere la password dell'amministratore o di qualsiasi amministratore è utilizzare Maiusc + clic con il pulsante destro del mouse, quindi selezionare Esegui come utente diverso oppure Fare clic con il pulsante destro del mouse ed Esegui come amministratore. Per prima cosa, vorrai creare un utente separato per loro che abbia diritti più elevati o diritti elevati come menzionato sopra (questo utente elevato verrà aggiunto di nuovo al gruppo di sicurezza come menzionato sopra) in quanto quindi questo utente potrebbe essere utilizzato per eseguire cose che richiede l'elevazione per tutto il tempo durante l'accesso con un account utente normale / standard. Vedi il mio screenshot:

Questo dovrebbe occuparsi di ciò che vuoi fare per quanto riguarda l'esecuzione di cose come admin. Un'ultima nota che potrei aggiungere è di mantenere UAC attivo. In tal caso, agli utenti verrà richiesto di digitare la loro password (elevata) e non una password dell'amministratore per le cose che fanno sul server. È un dolore quando devi scriverlo molto, ma per sicurezza ne vale la pena.

Lascia il loro account standard come "standard". Creare un secondo account privilegiato e aggiungerlo ai vari gruppi amministrativi. Usa "runas" con l'account privilegiato. (Potresti trovare utile disabilitare gli accessi interattivi con l'account admin, ma poi di nuovo - questo probabilmente diventerà fastidioso).

In Server 2003, è necessario utilizzare l' Run As...opzione per eseguire come account con privilegi di amministratore.

Con Server 2008+, usi UAC e / o l' Run as Administratoropzione che hai suggerito. Questo non richiede conoscere la password per il [locale] account amministrativo - eventuali credenziali amministrative faranno.

Quindi aggiungeresti i loro account ai gruppi amministrativi locali, o meglio, dal punto di vista della sicurezza, crei account amministrativi separati e li aggiungi ai gruppi amministrativi locali. Quindi, quando devono eseguire qualcosa con privilegi amministrativi, l'UAC richiederà credenziali amministrative e / o useranno l' opzione Run As.../ Run as Administrator.