一直不能以管理员身份登录？

20

在我工作的办公室中，IT人员的其他三名成员始终使用属于域管理员组成员的帐户登录其计算机。

我对使用管理员权限（本地或域）登录非常担心。因此，对于日常的计算机使用，我使用的帐户仅具有常规的用户特权。我也有一个属于Domain admins组的帐户。当我需要执行需要在我的计算机，一台服务器或另一位用户的计算机上提高特权的操作时，可以使用此帐户。

最佳做法是什么？网络管理员是否应该一直以整个网络的权限登录（或者甚至是本地计算机）？

windows security best-practices

— 戳
source

我一直认为那是愚蠢的。我从未听说有这样做的充分理由。也许在Windows上为父母提供了有限的帐户，但我们正在谈论帐户的使用

曾经有一个孩子到处乱跑点击他们PC上的东西吗？如何不小心删除主要数据共享而不是mp3文件夹。

— Barfieldmv

1

有人请在这个问题上添加“ windows”标签

— JoelFan 2011年

@Barfieldmv，这个问题是关于工作环境的，而不是您休息室中的PC。孩子们不应放在附近，可以从备份中还原意外删除。

— John Gardeniers

36

绝对的最佳实践是Live User，Work Root。您每隔5分钟在Server Fault上单击一次刷新时登录的用户应该是普通用户。用于诊断Exchange路由问题的管理员应该是Admin。实现这种分离可能很困难，因为至少在Windows中它需要双重登录会话，这意味着以某种方式需要两台计算机。

虚拟机为此可以很好地工作，这就是我解决的方法。
我听说过一些组织将登录的帐户限制为内部托管的某些特殊VM，而管理员则依靠RDP进行访问。
UAC有助于限制管理员可以执行的操作（访问特殊程序），但是连续的提示可能就像必须远程进入另一台其他计算机来执行所需的操作一样令人讨厌。

为什么这是最佳做法？部分原因是因为我是这样说的，其他很多人也这样做。SysAdminning没有以任何确定的方式设置最佳实践的中心机构。在过去的十年中，我们发布了一些IT安全最佳实践，建议您仅在实际需要提升特权时才使用它们。最佳实践是通过系统管理员在过去40多年的经验中确定的。LISA 1993的论文（链接），SANS的示例论文（链接，PDF），SANS的“关键安全控制”的一部分对此进行了介绍（链接）。

— sysadmin1138
source

6

请注意，在Windows 7中，管理员帐户受限制得多，并且不需要双重登录会话。UAC的效果很好。在Vista中，它的工作效率大大降低。

— Ricket

6

@Ricket，我不同意关于UAC的评论，至少对于管理员而言。我已在工作站上将其关闭，因为几乎所有使用的软件都会导致UAC提示我进行许可。那太令人烦恼了，让我放慢了脚步，它的积极因素远大于消极因素。如您所说，要“很好地”工作，我们应该能够告诉它总是允许或禁止指定的软件，但是它并不那么灵活。简而言之，这是一种不成熟且经过深思熟虑的尝试，试图将一天中可能成为有价值的安全组件。

— John Gardeniers

1

^请注意，以上注释中链接的TechNet文章较旧，写在Vista之前（因为它引用其代号“ Longhorn”）。但是对于XP用户来说，这是非常有效的。@John，我想每个人的里程都各不相同，但是我从来没有收到UAC弹出窗口，而是使用了很多软件。唯一的例外是安装程序（duh）和烦人的Java更新程序。Vista的情况要差得多，因此，如果您从Windows 7开始就没有尝试过UAC，我绝对建议您重新打开它，否则我猜您只是在使用过时的/写得不好的软件。几乎没有任何软件可以提示管理员许可...

— Ricket

1

@Ricket，我们显然使用非常不同的软件。我认为我们还执行非常不同的任务。仅仅因为您使用的软件不会触发UAC，并不意味着该软件适用于其他人使用的软件。随着经验的积累，您将学到这些。我说的是事实。你为什么质疑它？

— John Gardeniers

1

@基思·斯托克斯（Keith Stokes）：您对可怜的腻子做了什么操作，以提示您输入UAC？腻子不需要抬高即可运行！

— 埃文·安德森

12

由于这是Windows域，因此他们使用的帐户可能具有对所有工作站的完全网络访问权限，因此，如果发生问题，它可以在几秒钟内遍及整个网络。第一步是确保所有用户都按照“ 最少用户访问”的原则进行日常工作，浏览网络，编写文档等。

然后，我的做法是创建一个域帐户，并在所有工作站上为该帐户授予管理员权限（PC-admin），并为服务器管理工作分配一个单独的域帐户（server-admin）。如果您担心服务器之间是否可以互相通信，则可以为每台计算机设置单独的帐户（<x> -admin，<y> -admin）。一定要尝试使用另一个帐户来运行域管理员作业。

这样，如果您正在使用PC-admin帐户在受感染的工作站上执行某项操作，并且它抓住了您拥有管理员权限尝试通过网络访问其他计算机的机会，那么它将无能为力。讨厌您的服务器。拥有此帐户也意味着它无法对您的个人数据做任何事情。

不过，我必须说，在一个地方，我知道员工遵循LUA原则工作的地方，在我看到的三年中，他们没有受到适当的病毒侵扰。在同一地点的另一个部门，每个人都有本地管理员，而IT人员则有服务器管理员，因此爆发了几次疫情，其中一次由于清理通过网络传播而花费了一周的IT时间。

设置确实需要一些时间，但是如果遇到问题，则可能节省大量资金。

— 伊恩·哈兰（Iain Hallam）
source

我以这种方式行事，并在日常工作中使用域帐户，并在需要时提升为特权管理员域帐户。我的其他同事嘲笑我，我迫不及待想看到他们的工作站以令人讨厌的方式影响某些事情，所以我可以说我告诉过你。

— songei2f 2011年

1

单独处理单独任务是最好的方法。最小特权原则是游戏的名称。将“管理员”帐户的使用限制为必须以“管理员”身份完成的任务。

— 利亚姆
source

1

Windows和* nix之间的意见有所不同，但是您提到的域管理员使我觉得您在谈论Windows，所以这就是我要回答的内容。

在工作站上，通常不需要管理员，因此在大多数情况下，您的问题的答案为否。但是，有很多例外情况，并且确实确实取决于人在机器上执行的操作。

在服务器上，这是一个充满争议的话题。我个人的观点是，我仅登录服务器以执行管理工作，因此以用户身份登录然后使用run-as运行每个单独的工具没有任何意义，坦率地说，这一直是一个真正的难题。在您知道什么以及大多数工作上，这只会使管理员的生活变得过于困难和耗时。因为大多数Windows管理员工作都是使用GUI工具完成的，所以对于在命令行上工作的Linux管理员来说，并没有某种程度的安全性。在这里，一个简单的错字可能会使他急忙寻求昨晚的备份磁带。

— 约翰·加迪尼尔
source

+1，“您以什么方式登录服务器”是争论的焦点。

— sysadmin1138

1

我的生活很简单...该帐户具有独特的名称，并且都有不同的密码。

God Account-域管理员可以完成所有服务器端工作

用于管理PC的demigod帐户-无权共享/服务器-仅拥有PC的权限

虚弱的用户-我在自己的PC上授予高级用户权限，但我什至在其他PC上都没有这些权利

分离的原因很多。应该没有争执，那就去做吧！

— cwheeler33
source

我喜欢三个级别的特权分离，但是要让其他人实践您的讲道肯定是令人头疼的。

— songei2f 2011年

在某些环境中，这可能是一个艰难的挑战。但是，如果您可以向决策者证明自己，那么他们将帮助您使其成为遵循的政策。当存在免费和简单的解决方案时，没有Exec愿意放弃他们的公司。

— cwheeler33 2011年

您忘记了＃4：审核上帝记录的用户，否则它将独立于所有其他帐户。因此，如果某个黑客使您的上帝复仇，您就会知道那是怎么回事。

— Parthian Shot

0

冒着被否决的风险，我不得不说这取决于管理员的工作流程。就我个人而言，我在工作时在工作站上所做的绝大多数工作都需要这些管理员凭据。您已经拥有诸如域管理工具，第三方管理控制台，映射的驱动器，命令行远程访问工具，脚本等内置的东西。必须为您打开的几乎每件事输入凭据，这将是一场噩梦。

我的网络浏览器，电子邮件客户端，IM客户端和PDF查看器通常不需要管理员权限。从我登录到注销为止，大多数事情都保持打开状态。因此，我使用管理员凭据登录，然后使用低特权帐户运行所有低特权应用程序。这样麻烦就少了，我也不会因此而感到不安全。

— 瑞安·博尔格（Ryan Bolger）
source

以低特权运行，实际上对安全性没有多大作用，因为系统已经使用管理员帐户运行。您给自己的孩子一种虚假的安全感。反之，请以用户身份登录，然后以管理员身份运行。如果您想让自己成为高级用户登录，请不要一直以管理员身份运行。

— 利亚姆

+1就像我在回答中所说的那样，“它的确确实取决于人在机器上正在做什么”。尽管有所有的理论和所谓的“最佳实践”，但有时以用户身份登录根本没有意义。至少在Windows世界中没有。

— John Gardeniers

我很确定Windows 7中没有高级用户权限。goo.gl/fqYbb

— Luke99 2011年

@Liam没有冒犯，但是您说低priv的RunAs并没有太大作用。它恰好应该做的是阻止特定进程（及其子进程）执行任何特权较高的操作。对于那些不需要提升特权的应用程序来说，这是完美的选择，并且通常也容易成为恶意软件的最大攻击目标。

— Ryan Bolger