Feu servir la política de gestió d'usuaris d'administrador per implementar sessions d'administrador als vostres dispositius. Aquesta funció es pot aplicar globalment o a grups específics mitjançant Grups de dispositius.
Et permet crear sessions d'administrador, emmagatzemar les seves contrasenyes a Factorial IT i, opcionalment, reduir els privilegis d'altres sessions existents.
Properament: la possibilitat de facilitar l'escalada de privilegis (donant accés temporal d'administrador). Mentrestant, podeu utilitzar eines com Privilegis i MakemeAdmin per a aquestes accions.
Implementar comptes d'administrador a través de controls MDM
Configura la política
- Activa la funció .
- Definiu el nom d'usuari de la sessió d'administrador que voleu crear.
- Estableix la contrasenya del compte:
- Contrasenya aleatòria : generada per dispositiu
- Contrasenya fixa : idèntica en tots els dispositius de destinació
- Trieu si voleu ajustar els drets dels usuaris existents:
- Per defecte : sense canvis
- Opcional : reduir els privilegis per a altres sessions
Ubicacions d'emmagatzematge de contrasenyes
-
Contrasenya aleatòria : emmagatzemada al panell de cada dispositiu
- Equipament > Dispositius > Panell de dispositius
-
Contrasenya fixa : emmagatzemada a la configuració de la funció
- Perfils > Perfil rellevant > Gestió del compte d'administrador
Gestiona els comptes a nivell de dispositiu
Des de la pestanya Usuaris d'un dispositiu, podeu:
- Atorgar drets d'administrador
- Eliminar els drets d'administrador
- Crea una sessió local
- Rotar la contrasenya d'una sessió existent
Aquestes accions permeten una gestió precisa a més de la política global basada en perfils.
Modificar o desactivar la política
Després de l'activació en un perfil, la política no es pot editar directament.
- Per actualitzar-la, desactiveu la política i torneu-la a activar amb la nova configuració.
- La desactivació de la política atura la seva aplicació, però no elimina el compte d'administrador Factorial IT ni la seva contrasenya, que romanen disponibles a Factorial IT.
Casos especials
Eliminació de l'accés d'administrador en un dispositiu amb un token segur actiu
SecureToken és una funció específica de macOS que actua com a clau d'accés. Permet a un compte d'usuari activar i gestionar funcions de seguretat crítiques, com ara el xifratge de FileVault. Actualment, no és possible eliminar els drets d'administrador d'un compte si és l'únic que té un SecureToken al dispositiu. Estem treballant per millorar aquesta gestió per permetre la transferència del SecureToken a un altre compte, en particular al que s'administra a través de Factorial IT.
Casos de dispositius objectiu de polítiques de gestió de comptes d'administrador múltiple
Es poden produir duplicacions de polítiques si activeu la política en un perfil global i en un perfil "específic". En aquest cas, Factorial IT no gestiona el conflicte: l'MDM intenta crear l'usuari sol·licitat només comprovant que el nom del compte no sigui idèntic.
Bones pràctiques
- Prefereix contrasenyes aleatòries per millorar la seguretat a escala.
- Documentar les excepcions de macOS SecureToken en els procediments informàtics interns: regles de SecureToken .
- Eviteu activar polítiques duplicades en perfils superposats per evitar conflictes.