Stratégie d’élévation des logiciels

La fonction d’élévation logicielle attribue une identité d’exécution à des logiciels définis pour qu’ils s’exécutent sous cette identité, sans ajouter directement l’utilisateur au groupe des administrateurs locaux. L’exécution sur terminal décrite ici concerne Windows uniquement ; vérifiez séparément les autres plateformes.

L’élévation augmente les actions qu’un logiciel peut effectuer. Limitez les exécutables et les terminaux cibles, utilisez une identité approuvée par l’organisation et commencez par des essais pilotes. L’enregistrement de la stratégie, sa réception par le terminal et l’exécution sous l’identité prévue sont des états distincts.

Pour la gestion des identités, voir Gérer les identités d’exécution.

Préparation

• Vérifiez que la personne chargée de la politique peut gérer les politiques de conformité logicielle ainsi que consulter et sélectionner les identités d’exécution. La création ou modification d’une identité, si nécessaire, est effectuée par une personne disposant des droits correspondants. Identifiez les terminaux, logiciels métier et autorisations nécessaires.
• Obtenez l’emplacement d’installation fiable, le nom du produit et l’empreinte SHA-256 du fichier. Désignez un responsable de leur maintenance lors des mises à jour et vérifiez-les d’abord sur un terminal pilote hors production.
• Choisissez une identité d’exécution selon le principe du moindre privilège. Pour les comptes très privilégiés, évaluez les risques liés au logiciel, aux composants qu’il peut charger, à sa configuration et à son mécanisme de mise à jour. N’utilisez pas de règles larges pour des logiciels non fiables.
• Saisissez et gérez les identifiants uniquement selon une procédure approuvée par l’organisation. Ne les inscrivez pas dans les manuels, tickets, captures d’écran ou communications sans rapport.

Préparer une identité d’exécution

Ouvrez Objects & Templates et sélectionnez Run Identities. Vérifiez si une identité existante répond au besoin métier.

Réutilisez une identité existante adaptée aux besoins métier et au moindre privilège. Si une création ou modification est nécessaire, une personne habilitée suit gérer les identités d’exécution ; évaluez avant toute modification d’une identité partagée les effets sur les politiques qui la référencent. Les identités intégrées et les comptes spécifiés diffèrent par leur exécution et leurs droits ; vérifiez-les avant de choisir.

Configurer l’élévation logicielle

1. Dans Software, ouvrez Policy et créez ou modifiez la stratégie cible. Vérifiez son nom, les terminaux visés et sa période d’application.
2. Activez l’élévation logicielle, ouvrez ses paramètres et ajoutez une règle d’exécution.
3. Dans le champ de l’exécutable, saisissez le nom du fichier cible ou son chemin absolu local Windows. Le nom du fichier doit se terminer par .exe. Privilégiez un chemin et un fichier précis et vérifiés afin d’éviter d’inclure d’autres logiciels portant le même nom.
4. Saisissez l’empreinte SHA-256 hexadécimale de 64 caractères du fichier ; la page accepte également *. Avec *, la vérification de l’empreinte du fichier est ignorée pour cette règle. Évaluez d’abord les risques de remplacement et d’utilisation abusive du chemin ; ce choix ne doit pas être systématique.
5. Renseignez la condition supplémentaire de nom de produit et sélectionnez l’identité d’exécution préparée. Vérifiez les informations de produit du fichier cible ; une condition trop large peut étendre le périmètre.
6. L’ordre des règles peut être modifié. Un terminal Windows vérifie successivement les conditions de chemin, d’empreinte et de nom de produit et utilise l’identité de la première règle correspondante. Si des conditions se recoupent, examinez la position des règles plus larges et testez chaque cas.
7. Enregistrez la fenêtre des règles, puis la stratégie entière. Après réception par le terminal pilote, vérifiez que le logiciel s’exécute comme prévu ainsi que l’identité et les autorisations réellement utilisées.

Si l’identité sélectionnée change ou devient indisponible pendant la configuration, la page peut demander de la sélectionner à nouveau. Une mise à jour logicielle peut modifier l’empreinte du fichier. Après une mise à jour, vérifiez de nouveau la règle, la source du fichier et le résultat pilote ; ne supprimez pas la restriction d’empreinte uniquement pour rétablir l’exécution sans évaluation du risque.

Pour un compte spécifié, vérifiez sa disponibilité, l’heure du terminal et sa connexion à la plateforme. Après une longue période hors ligne ou une modification du compte ou de la stratégie, les conditions d’exécution précédentes peuvent ne plus être valides. Si l’identité spécifiée ne fonctionne pas, vérifiez ces points et contactez l’administration selon la procédure interne ; l’élévation n’est pas garantie dans tous les cas hors ligne.

Un démarrage échoué ou incertain ne signifie pas nécessairement que le programme n’a pas démarré. Avant de réessayer, vérifiez s’il est déjà lancé et sous quelle identité afin d’éviter une double exécution, puis suivez la procédure interne. Dans certains cas d’inapplicabilité ou d’échec, un lancement avec l’identité d’origine peut être tenté ; dans d’autres, le programme peut ne pas démarrer. Une fenêtre affichée ne prouve pas que l’élévation a réussi.

Si seul le nom de l’exécutable est indiqué, des programmes portant ce nom dans différents répertoires locaux peuvent satisfaire la condition de chemin. La condition supplémentaire de nom de produit vaut initialement * pour une nouvelle règle ; conserver * désactive la vérification du nom de produit. Associer un simple nom de fichier à * pour le condensat et le nom de produit peut fortement élargir la correspondance. Privilégiez un chemin précis protégé, un condensat vérifié et un nom de produit approprié, puis testez séparément un programme témoin de même nom. Ces conditions ne remplacent pas l’examen du logiciel et de sa source de mise à jour.

Vérification et résolution des problèmes

1. Sur le terminal pilote, testez le logiciel correspondant et un logiciel témoin qui ne doit pas correspondre. Vérifiez le résultat du lancement, l’identité réelle d’exécution et les opérations métier.
2. Une règle ne peut pas être enregistrée : vérifiez qu’au moins une règle existe, puis contrôlez le chemin .exe, le format SHA-256, le nom du produit et l’identité d’exécution. Vérifiez que l’identité existe toujours et sélectionnez de nouveau une identité modifiée si la page le demande.
3. Le logiciel ne s’exécute pas sous l’identité prévue : vérifiez le périmètre et la réception de la stratégie, le chemin réel, l’empreinte, le nom du produit et l’ordre des règles. Contrôlez ensuite la disponibilité du compte et les messages de la page.
4. Le comportement change après une mise à jour : vérifiez si la version ou l’empreinte a changé. Contrôlez la source d’installation et mettez à jour la règle selon la procédure de l’organisation ; répétez l’essai pilote avant extension.
5. Une identité ne peut pas être supprimée ou sa modification affecte d’autres stratégies : vérifiez ses références et les restrictions applicables aux identités intégrées. Coordonnez-vous avec les responsables des stratégies concernées pour éviter une interruption des opérations.

Ne jugez pas la réussite de l’élévation uniquement au lancement du programme. N’élargissez le périmètre qu’après vérification des résultats et préparation d’une procédure de rétablissement.