Yönetici kullanıcıların diğer kullanıcılar olarak giriş yapmasına izin ver

11

Bir yönetici kullanıcının şifreyi geçerek başka bir kullanıcı olarak oturum açmasına izin vermenin iyi bir uygulama olduğunu düşünüyor musunuz? Bu, bir ana parola veya kullanıcı yönetimi "Bu kullanıcı olarak oturum aç" içindeki bir işlevle uygulanabilir.

Yöneticiler bu tür bir işlevi bildirilen bir sorunu yeniden oluşturmayı denemek veya örneğin hibelerin uygun olup olmadığını kontrol etmek istiyorlar.

security problem-solving

— Dan McGrath
kaynak

9

Genel olarak, güvenlik mühendisliğinde, izinleri aynı olsa bile kişilerin paylaşılan bir hesap (veya başka bir kişinin hesabı) olarak oturum açmasına izin vermek iyi bir fikir değildir. Kimlik doğrulama, yetkilendirmeden ayrı bir süreç olmalıdır. Görevler ayrı kullanıcı hesapları altında yapılırsa, bundan sorumludurlar .

— xmm0

1

Mehrdad Afshari'ye +1. İnsanların böyle bir yönetici hakkında konuştuğunu her duyuşumda küfrediyorum.

— Dan McGrath

2

@Mehrdad Afshari ve @Dan McG, hepsi iyi ve doğru, ancak bir yöneticinin günlük bir durumda bir kullanıcı hesabına erişmesi gerektiğinde ne yapmayı öneriyorsunuz ? Kullanıcıdan kimlik bilgilerini girmesini ister misiniz? Bir sorunu doğrulamak veya yeniden oluşturmak için, özellikle hesaplar karmaşık haklara ve 1: 1 tarafsız bir hesapla çoğaltılamayan diğer ayarlara bağlı olduğunda, belirli bir kullanıcının ayarlarına bakmanız gerekir.

— Pekka

4

Yanlış bakıyorsun. Yöneticinin bir kullanıcı ayarını kontrol etmesi gerekiyorsa, kullanıcıdan bu tanı bilgilerini almak için daha iyi araçlar geliştirmemiz gerekir. Örneğin: Windows'taki uygulamanız kilitlenirse, Redmond'da RDPing'de bazı MS yöneticilerinin bir şeyler kontrol etmesini ister misiniz? ?

— Dan McGrath

2

@ Dan: Müşteri bunun için ödeme yapmaya istekli olmayabilir.

15

Hayır, hiç de değil. Bu, görev ayrımını ihlal eder.

Ayrıca kullanıcı eylemlerini göstermek için günlüklere güvenmeye zarar verir.

Gerçekten böyle şeyleri kontrol etmeniz gerekiyorsa, yönetici de kullanıcılar gibi ayarlanmış bir sahte test hesabına sahip olmalıdır. Bu şekilde hibeleri onaylayabilirler, vb. Önce test kullanıcısında doğru çalışır.

Bir yana, yönetici kullanıcılara her zaman bir kullanıcının sahip olduğu tüm haklar verilmemelidir. Örneğin, bir kullanıcının sistemdeki kredi kartı numaralarını görüntülemek için geçerli nedenleri olabilir. Bir yönetici yapmamalıdır; bu veriler işlerinin bir parçası değildir. Bir kez daha, bu görev ayrımıdır.

Uygunsuz hakların verilmesini en aza indirerek maruz kalmanızı en aza indirin. Bu yöneticileri de içermelidir ...

— Dan McGrath
kaynak

2

Eğer geçerli puan varken, ben cevap oldukça çok net olduğunu düşünmüyorum - bazı durumlarda ise en iyi çözüm.

— sleske

11

Güvenlik ve temiz programlama ilkeleri açısından iyi bir fikir değildir. Ancak yönetici için günlük işlerde büyük bir kolaylık olabilir , bu yüzden iyi uygulandığımda bunun için varım.

Bana göre, iyi bir uygulama aşağıdaki gereksinimleri karşılamalıdır:

Sistem sizi söz konusu kullanıcı olarak oturum açar, ancak yönetici olarak oturum açtıysanız şifre kimlik doğrulamasını atlar.
Sistem bir işaret aracılığıyla bunun x kullanıcısı değil, x kullanıcısı olarak oturum açmış bir yönetici olduğunun farkındadır. Herhangi bir kayıt tesisi farkı yansıtacaktır.
Kullanıcı oturum açmasından yönetici düzeyine "çıkış" yapmanın bir yolu yoktur.

Bu aslında güvenliği artırabilir, çünkü yönetici kullanıcıların kimlik bilgilerini aramak ve kullanmak zorunda değildir, bu gerçekte OP'nin nedenlerinden dolayı genellikle böyledir: Bir şey kullanıcının hesabında kontrol edilmesi, test edilmesi vb. .

— Pekka
kaynak

8

Her zaman olduğu gibi ... duruma göre değişir. Kolay bir cevap yoktur ve her iki sistem de pratikte kullanılır (örn. Windows: Yönetici, parola sıfırlamadan Linux olarak kullanıcı olarak oturum açamaz: Yönetici, yerel kullanıcı olarak oturum açabilir su).

Açıkçası, değil ek konfor (sadece belli bir kullanıcı için meydana hatalarını ayıklamak edememek) riskini ağır basar ise karar vermek zorunda böylece yönetici, başka bir kullanıcı daha güvenli bir seçenektir olarak giriş için izin. Böyle bir seçeneği uygulamaya karar verirseniz, bir yöneticinin (veya bir yönetici parolasına sahip olan birinin) izlerini gizleyememesi için sıkı bir günlük kaydı olduğundan emin olun.

Alternatif olarak, Windows'un kullandığı kalıbı kullanabilirsiniz: Yönetici başka bir kullanıcı olarak oturum açamaz, ancak yönetici kullanıcının parolasını sıfırlayabilir. Bu şekilde, bir yönetici erişim kazanabilir, ancak kullanıcı her zaman birinin hesabına eriştiğini bilir .

— Heinzi
kaynak

Nitpick: sudosizi yerel kullanıcı olarak oturum açmaz, yalnızca kullanıcı olarak bir işlem yürütür (la Window'un "Kullanıcı olarak çalıştır"). Yerel kullanıcı olarak oturum açmak için tuşunu kullanın su. Aksi takdirde katılıyorum.

— sleske

@sleske: Elbette, bunu tespit ettiğiniz için teşekkürler. Sabit.

@sleske: mutlaka değil, bak sudo -i.

— liori

'Giriş kabuğu' fikri, shyürütülebilir dosyanın nasıl davrandığıyla ilgili izinlerin verildiği şeyden daha önemlidir. su - userve sudo -u user shaynı erişimi verin; fark, shfarklı başlangıç komut dosyaları çalıştırmasıdır.

— jpaugh

3

PhpBB3, yöneticiler için "Kullanıcı izinlerini test et" işlevine sahiptir ve bu gerçekten yararlıdır. Ayrıca, bu kullanıcıların hesabına müdahale etmenize izin vermez, ancak izinlerine dayanarak sahip oldukları deneyimi elde etmenizi sağlar.

Ama aslında bir başkası olarak giriş yapmak, diğerlerinin de belirttiği gibi bir takım problemlerle gelir.

— back2dos
kaynak

1

Evet, böyle bir işlevsellik sorunlu olabilir, ancak bazen başka bir yol yoktur, bu yüzden gerekli olabilir.

Bazı örnekler:

Unix / Linux'ta bu işlev vardır ( su - <username>bu kullanıcı ile giriş yapmakla aynı sonucu verir, ancak root için şifre gerektirmez)
üzerinde çalıştığım uygulamada da bu var ve bir kullanıcının kişisel ayarları (bizim app birçok vardır) ile hata ayıklama için önemlidir

Belirtildiği gibi, karmaşık ayarlar oturum açmış kullanıcıya bağlıysa (ortam değişkenleri, yollar, bir uygulamadaki kişisel ayarlar) kullanıcının sorununda hata ayıklamanın başka pratik bir yolu yoktur.

Kayıt / denetime gelince: Bu işlevin kullanımı elbette günlüğe kaydedilmelidir. Bunun dışında kötüye kullanmamanız için yöneticinize güvenmeniz gerekir. Ancak bu genel olarak yöneticiler için geçerlidir.

Yöneticilerinizi daha fazla kısıtlamanız gerekiyorsa, "gerçek" yönetici olmadan bir çeşit MAC (zorunlu erişim kontrolü) sistemine ihtiyacınız vardır. Bu mümkün, ancak çok daha karmaşık, bu yüzden bir ödünleşim.

— sleske
kaynak