Utilisez la stratégie de gestion des utilisateurs administrateurs pour déployer des sessions d'administrateur sur vos appareils. Cette fonctionnalité peut être appliquée globalement ou à des groupes spécifiques via les groupes d'appareils.
Il vous permet de créer des sessions d'administrateur, de stocker leurs mots de passe dans Factorial IT et, en option, de réduire les privilèges des autres sessions existantes.
Prochainement : la possibilité de faciliter l’élévation de privilèges (octroi d’un accès administrateur temporaire). En attendant, vous pouvez utiliser des outils comme Privileges et MakemeAdmin pour effectuer ces actions.
Déployer les comptes d'administrateur via les contrôles MDM
Configurer la politique
- Activez la fonctionnalité .
- Définissez le nom d'utilisateur de la session administrateur à créer.
- Définir le mot de passe du compte :
- Mot de passe aléatoire : généré par appareil
- Mot de passe fixe : identique sur tous les appareils cibles
- Choisissez si vous souhaitez modifier les droits des utilisateurs existants :
- Par défaut : aucune modification
- Facultatif : réduire les privilèges pour les autres sessions
emplacements de stockage des mots de passe
-
Mot de passe aléatoire : stocké dans le panneau de chaque appareil
- Équipement > Appareils > Panneau de configuration
-
Mot de passe fixe : enregistré dans les paramètres de la fonctionnalité
- Profils > Profil concerné > Gestion du compte administrateur
Gérer les comptes au niveau de l'appareil
Depuis l'onglet Utilisateurs d'un appareil, vous pouvez :
- Accorder des droits d'administrateur
- Supprimer les droits d'administrateur
- Créer une session locale
- Changer le mot de passe d'une session existante
Ces actions permettent une gestion fine en complément de la politique globale basée sur les profils.
Modifier ou désactiver la politique
Une fois activée sur un profil, la politique ne peut plus être modifiée directement.
- Pour la mettre à jour, désactivez la stratégie puis réactivez-la avec les nouveaux paramètres.
- La désactivation de cette politique interrompt son application, mais ne supprime pas le compte administrateur Factorial IT ni son mot de passe, qui restent disponibles dans Factorial IT.
Cas particuliers
Suppression de l'accès administrateur sur un appareil doté d'un jeton de sécurité actif
SecureToken est une fonctionnalité spécifique à macOS qui sert de clé d'accès. Elle permet à un compte utilisateur d'activer et de gérer des fonctions de sécurité critiques, telles que le chiffrement FileVault. Actuellement, il est impossible de retirer les droits d'administrateur à un compte si celui-ci est le seul à posséder un SecureToken sur l'appareil. Nous travaillons à l'amélioration de cette gestion afin de permettre le transfert du SecureToken vers un autre compte, notamment celui administré via Factorial IT.
Cas d'appareils ciblés par plusieurs politiques de gestion de comptes d'administrateur
Des doublons de politiques peuvent survenir si vous activez la politique à la fois sur un profil global et sur un profil spécifique. Dans ce cas, Factorial IT ne gère pas le conflit : la solution MDM tente de créer l’utilisateur demandé en vérifiant uniquement que le nom du compte n’est pas identique.
meilleures pratiques
- Privilégiez les mots de passe aléatoires pour renforcer la sécurité à grande échelle.
- Documenter les exceptions macOS SecureToken dans les procédures informatiques internes : règles SecureToken .
- Évitez d'activer des politiques en double sur des profils qui se chevauchent afin de prévenir les conflits.