如何说服大老板他不需要管理员特权？

我发现很多时候，公司中的“大老板”希望能够安装“任何东西”并在他们的计算机中执行任何操作。

当然，我们可以告诉他，这很糟糕，因为IT系统管理员失去了对计算机的控制权，依此类推。

有什么无可辩驳的论据可以说服大老板，最好不要在台式机上拥有管理员权限？

我什至只有一点点成功，就是一个老板，如果他想安装一些东西，他愿意将run作为备用凭据使用。我解释说，即使是系统管理员，大多数时间都使用普通帐户登录系统，然后为他创建自己的管理员帐户，只有在他想执行特殊操作时才能使用。实际上，这非常有效，并且在我进入公司的两年中，他的机器始终保持运转状态。这位相对精明的首席执行官能够理解整个流程，我敢肯定他那里有我不认可的东西，但至少这阻止了他被动地弄乱东西。

告诉他们他们可以具有域管理员所拥有的相同访问权限，然后完全给他们：

• 连接到他们的电子邮件，文档和可用于日常工作的商业应用程序的标准用户帐户。
• 该计算机上的一个单独帐户具有该计算机的管理员特权（类似于管理员的域管理员帐户），但未连接到其电子邮件帐户或需要基于当前登录用户进行身份验证的任何业务应用程序，并且没有设置任何打印机。此帐户应设计合理，以免日常使用。

这个想法是，特权帐户应该被破坏得足够多，以使大多数时候保持标准用户身份登录的痛苦不那么大。老板只会在真正需要特权帐户时才使用特权帐户。大老板几乎总是非常依赖于访问电子邮件和报告系统，因此，如果您可以从特权帐户访问这些文件变得不太方便，那么您的状况就很好。老板有一半的时间反正会忘记证书。

如果仍然不能满足他们的要求，则继续发放完整的域admin / root帐户，但仍将其作为与正常工作帐户分开的帐户进行操作-毕竟，他们是老板。确保该帐户经过了严格审核。在这一点上，他们通常真正想要的只是保险单或对付流氓管理员。他们需要感觉像是要承担责任，只要他们拥有日常工作的标准用户帐户，就不会有问题。

没有，只是让他们知道，当他无可救药地清理计算机时，至少需要3到4个小时来清理计算机。

只是警告。

我只从事合同工作，所以我会按照客户的要求做任何事情，或者，如果我真的不喜欢，我会在合同中行使“救助条款”。

考虑到这一点，当今大多数人都具有某种“恶意软件”体验。我与客户讨论他们通过浏览器漏洞等运行的恶意软件与登录用户帐户具有相同的权限和特权（包括访问其电子邮件和击键，更不用说资源）了。服务器）。

通常，我会收到一个类似“为什么反病毒软件无法处理的问题”之类的问题。然后，我们进行“军备竞赛”演讲，即关于恶意软件人们如何将相同的更新下载到您正在使用的反恶意软件以及如何围绕新的“签名”进行设计的主题。

首先，我解释说我在所有计算机上都使用了有限的用户帐户（并且已经使用了多年）。

这就是说服用户使用受限用户帐户运行的全部内容。在某些情况下，我不得不先让用户体验恶意软件（这种情况总是会发生的），但是由于我的服务通常带有非常明显的附加费用指示，因此通常只发生一次。

我通常将“管理员”级别的用户创建为本地帐户或域帐户（以及受限制的组策略，实际上是向用户帐户授予“权限”），具体取决于用户需要访问多少台计算机。我确保不要在日常用户帐户使用的任何组中命名它，也不要给它访问其Exchange邮箱的权限。我希望“管理员”级别的帐户对于在PC上安装软件/驱动程序以外的任何事物都尽可能无用。

这种策略为我省去了很多麻烦，也为我的客户节省了大量资金。与您进行必要的对话需要“人际交往能力”，而成为承包商当然可以帮助解决问题，但这绝对是一个无法解决的问题。

与其尝试说服他说错，不如说不定，您应该尝试找到某种妥协的方法。也许允许他与来宾虚拟机一起运行VMware的副本，然后他就可以疯狂地运行。尝试使他有能力以一种仍然可以使他拥有稳定的托管系统的方式来完成他认为需要做的事情。

确实，您可能需要确定一个业务案例，即他可以拥有一台可靠的计算机，并且可以在计算机出现故障时进行恢复，或者他丢失了计算机，因为您确切地知道系统上有什么，如何修复以及在哪里进行修复。媒体是。或者，他可以拥有一台自己负责的计算机，并且当计算机损坏时，您不能保证除了格式化+重新安装之外，您还可以执行其他任何操作。

尝试传达风险和您的所作所为，并尝试达成妥协。考虑设置虚拟机，双引导设置或其他可以使他具有所需/想要的灵活性的东西，但仍然可以使他拥有一个稳定的系统。

不幸的是，对签薪水的人您无能为力。:-)

我能给您的最好的（实用）建议是，确保为他的系统准备好良好的备份程序，并让他疯狂。大声笑

真正归结为：

1. 必须有人坐在驾驶员座位上。它是他的公司，所以很明显他是老板。您可以做的最好的事情就是就最佳行动方案（包括任何内容）向他提出建议，然后让他做出“明智的决定”。如果他不听从您的建议，那是个大麻烦……它的HIS错误是因为没有听。

2. 如果他确实听从您的建议，并且有麻烦，那仍然是他的错误，因为他做出了决定。记住，他坐在驾驶座上。

现在...这会让您时不时地有些怪异的表情...甚至是轻笑或笑声。

但是，请务必向您解释，差异是...您可以清理您的混乱情况（免费），并尽力解决这种情况。另一位他付钱给您清理，您保留向他“伸手” 5-10分钟的权利，他同意听。

尝试使其保持在滑稽的一面。

我从来没有遇到过向企业主解释这种逻辑的问题。他们中的大多数人已经知道了。用直截了当（但还是温和的）来解释它很有趣。;-)

告诉他，他应该树立榜样，这是公司其他部门应效仿的榜样。

如果他开始通过“互联网下载”“定制”（最坏的情况）笔记本电脑，那么他的销售总监，财务总监，助理销售总监，销售人员，技术人员，客户服务等。

然后，解释一下：a）商业基础设施的风险增加了（想在互联网上找到所有客户和订单信息），b）在组织中建立了松懈的安全性和专业文化，并且c）支持成本更高并降低了可靠性。

如果他想要一台游戏机，那么请让他在自己的PC上进行操作，而商用PC /笔记本电脑/设备则用于商业目的。

这是长大的东西...

我不明白这里答案的单一性。大奶酪能得到大奶酪想要的东西。

非技术主管是否会自己制造麻烦？

也许-但这是获得第一手能力来炫耀自己的能力并与那名签署支票的家伙进行面对面交流的机会。让才华横溢的年轻管理员与CEO接触是让孩子有时间面对面并简化晋升过程的好方法……“记住上个月挽救了一天的那个人……”

或者，您可以采用脾气暴躁的按部就班的方法，惹恼CEO并让您的老板伤心欲绝。

我完全回避了这个问题，并为CEO买了一台非常昂贵的高端Mac工作站（当时带有大型工作室显示器）。他喜欢排他性，我喜欢他可以遇到的麻烦少的事实。我保持了ssh进入并保持最佳状态的能力，目的只是关注事物。幸运的是他不是笔记本电脑人。

告诉他，很少有医院老板对此进行脑外科手术或任何外科手术。

我认为，与其尝试阻止老板在计算机上安装东西，不如设法使他的计算机在禁用该计算机后不可避免地受到某些病毒的感染，从而防止其对其余IT系统的肆意破坏，这是最好的选择。病毒扫描程序。

如果出现此问题，我猜该组织没有明确的政策来处理此类请求。如果这些措施到位，那将是不可行的，否则他将记录提出特殊要求以获取特权的记录。否则他会问你违反政策。啊

您无能为力。如果有人不了解或者您的老板或组织没有意识到可能的风险，这是没有魔术的论据。您可以采取立场，说不，但这可能会或可能不会奏效，并且可能会导致不良感受。

底线：如果老板不关心以管理员身份运行的用户的偏好待遇或风险，而您（或您的部门）没有公认的拒绝请求的权限，您也可以将其交给他。

您能做的最好的事情就是尝试表达一些礼貌的“这违反最佳技术实践”声明，退缩他的东西，然后让他去镇上。

我发现大多数经理都有两种计算机使用方式中的一种：要么因为要比玩计算机更重要而要做很多事，要么是极度放手；或者他们喜欢闲逛。

无人值守的经理没问题-您可以设置他们的计算机，告诉他们他们可以做什么和不可以做什么，并确保他们在需要安装某些东西（并有尽可能多的选择-例如，例如具有管理员访问权限的本地帐户，通过VPN测试的远程访问权限等）。

以我为例，几乎所有喜欢在计算机上安装或配置内容的经理和副总裁级别的人都在某个时候杀死了他们的计算机，因此锁定它们并没有太大的麻烦。为了让他们感到高兴，我们不得不告诉他们其中的几个本地管理员帐户，但他们知道在不参与我们的情况下做某事的风险，或者至少先问我们一个问题。

但是，总裁不知道他杀死系统时要花多少钱，但是他在我们尝试最后解决方案之前退休了：我们要给他两台计算机，其中一台用我们所有的标准东西锁住安装第二个，他可以安装任何让他看中的东西。他很早就喜欢上了“ netbook”一词的小型笔记本电脑，所以我认为他可以随身携带两个，但只有一个电源。

说明拥有管理特权会使黑客更容易受到黑客的攻击，黑客可能会窃取公司机密，破坏数据或滥用服务或病毒，从而可能破坏数据或使他成为僵尸网络的一部分，从而可能使他们面临计算机刑事指控如果他们参与DoS攻击或类似攻击。

此外，请解释一下，如果它们不小心损坏了某些东西，则在尝试修复计算机时可能会需要几个小时（或几天）而没有计算机。如果他们没有管理特权，那么他们破坏事物的能力将降低。

您首先需要就位的IT策略-技术解决方案始终基于它们，而不是反过来，无论我们对非管理员用户帐户这样的技术设置有多明显。

我想问问他，他认为他不能解决自己拥有的特权。除此之外，请给他管理员权限-打破时他将签署加班支票。

我们所做的就是解释已经提到的内容...如果我们必须清理系统，则意味着他们在这段时间内没有系统。我们还有严格的政策，我们会对此进行快速评估。如果清理将花费一个多小时，或者如果我们无法快速评估感染程度，则只需重新映像系统即可。就行政人员而言，现在的问题是他们所有的玩具都不见了。但是，由于我们不知道系统上的内容或从哪里获得所有安装软件包的信息，您就明白了。您可能没有这种杠杆作用，但值得尝试。

最终，大老板必须对他/她可以接受的事情做出商业决策。从技术上讲，我们可能不同意我们想要的一切，但这不是我们的事。如果我们不能接受上述决定，我们总是可以选择在其他地方就业。

顺便说一句，如果您正在寻找可以解决该问题的资源，请访问以下网站：Threatcode.com。我不知道它的最新信息，但过去一直在吹捧它。

如果您去与签收支票的人说“您不能做到这一点”，那么您将失去工作能力！

像往常一样，您需要转弯才能解决这个问题。只有在您了解他为什么要成为管理员后，才能找到答案。

如果这是技术性的，您也许可以说服他，但是如果这是关于“权力”和成为老板的话，那么您很不走运。很难说服老板，他所需要的特权比他所领导的人要少，这可能意味着从他的角度来看，他们被允许做的事比他更多，这反过来会颠覆正常的等级制度（而且大多数老板都不喜欢这样）。

因此，请谨慎选择您的语言，不要忘记这个问题的人性化方面。

\ computername \ c $到他的PC，读取他的所有文档，将其复制，粘贴到其他位置，然后向他提供一个示例，说明黑客将如何对他的系统进行处理，以及如果感染了他的所有个人信息因为他想浏览奇怪的网站或从某个地方下载免费游戏。

它可能会让您被解雇。我以前遇到过这种情况，这是双赢的局面。我现在在另一个。我为一家公司工作，该公司不会为用户授予本地管理员权限。我们一直都存在病毒/间谍软件/恶意软件的问题。最重要的是，我们的桌面人员是一个菜鸟，但非常自负，就好像他发明了互联网一样。

无论如何，我是网络管理员。我只是阻止了真正糟糕的网站，并试图阻止东西进入我的终端，但愚蠢的用户似乎总能找到办法。太高兴了，我不必为台式机专家介绍太多东西。