Utilizza il criterio "Gestione utenti amministratore" per distribuire sessioni amministratore sui tuoi dispositivi. Questa funzionalità può essere applicata a livello globale o a gruppi specifici tramite i Gruppi di dispositivi.

Consente di creare sessioni di amministratore, di memorizzare le relative password in Factorial IT e, facoltativamente, di ridurre i privilegi di altre sessioni esistenti.

Distribuisci account amministratore tramite controlli MDM

Configurare la politica

1. Abilita la funzionalità .
2. Definisci il nome utente della sessione amministratore da creare.
3. Imposta la password dell'account:
   1. Password casuale : generata per dispositivo
   2. Password fissa : identica su tutti i dispositivi target
4. Scegli se modificare i diritti degli utenti esistenti:
   1. Predefinito : nessuna modifica
   2. Facoltativo : ridurre i privilegi per altre sessioni

Posizioni di archiviazione delle password

• Password casuale : memorizzata nel pannello di ciascun dispositivo
  • Attrezzatura > Dispositivi > Pannello dispositivi
• Password fissa : memorizzata nelle impostazioni della funzionalità
  • Profili > Profilo pertinente > Gestione account amministratore

Gestire gli account a livello di dispositivo

Dalla scheda Utenti di un dispositivo, puoi:

• Concedi diritti di amministratore
• Rimuovere i diritti di amministratore
• Crea una sessione locale
• Ruota la password di una sessione esistente

Modificare o disabilitare la policy

• Per aggiornarlo, disattiva il criterio e poi riattivalo con le nuove impostazioni.
• La disattivazione del criterio ne interrompe l'applicazione, ma non elimina l'account amministratore IT Factorial né la sua password, che rimangono disponibili in Factorial IT.

Casi speciali

Rimozione dell'accesso amministratore su un dispositivo con un token sicuro attivo

SecureToken è una funzionalità specifica di macOS che funge da chiave di accesso. Consente a un account utente di attivare e gestire funzioni di sicurezza critiche, come la crittografia FileVault. Attualmente, non è possibile rimuovere i diritti di amministratore da un account se è l'unico con un SecureToken sul dispositivo. Stiamo lavorando per migliorare questa gestione per consentire il trasferimento del SecureToken a un altro account, in particolare quello amministrato tramite Factorial IT.

Casi di dispositivi presi di mira da più policy di gestione degli account amministratore

Possono verificarsi duplicazioni di policy se si attiva la policy su un profilo globale e su un profilo "specifico". In questo caso, Factorial IT non gestisce il conflitto: l'MDM tenta di creare l'utente richiesto verificando solo che il nome dell'account non sia identico.

Buone pratiche

• Preferire password casuali per aumentare la sicurezza su larga scala.
• Documentare le eccezioni di macOS SecureToken nelle procedure IT interne: regole di SecureToken .
• Evitare di attivare policy duplicate su profili sovrapposti per prevenire conflitti.