Gérer les identités d’exécution

La fonction d’élévation logicielle attribue une identité d’exécution à des logiciels définis pour qu’ils s’exécutent sous cette identité, sans ajouter directement l’utilisateur au groupe des administrateurs locaux. L’exécution sur terminal décrite ici concerne Windows uniquement ; vérifiez séparément les autres plateformes.

L’élévation augmente les actions qu’un logiciel peut effectuer. Limitez les exécutables et les terminaux cibles, utilisez une identité approuvée par l’organisation et commencez par des essais pilotes. L’enregistrement de la stratégie, sa réception par le terminal et l’exécution sous l’identité prévue sont des états distincts.

Préparation

• Utilisez un compte administrateur autorisé à gérer les stratégies de conformité logicielle et les identités d’exécution. Identifiez les terminaux cibles, les logiciels métier et les autorisations réellement nécessaires.
• Obtenez l’emplacement d’installation fiable, le nom du produit et l’empreinte SHA-256 du fichier. Désignez un responsable de leur maintenance lors des mises à jour et vérifiez-les d’abord sur un terminal pilote hors production.
• Choisissez une identité d’exécution selon le principe du moindre privilège. Pour les comptes très privilégiés, évaluez les risques liés au logiciel, aux composants qu’il peut charger, à sa configuration et à son mécanisme de mise à jour. N’utilisez pas de règles larges pour des logiciels non fiables.
• Saisissez et gérez les identifiants uniquement selon une procédure approuvée par l’organisation. Ne les inscrivez pas dans les manuels, tickets, captures d’écran ou communications sans rapport.

Préparer une identité d’exécution

1. Ouvrez Objects & Templates et sélectionnez Run Identities. Vérifiez si une identité existante répond au besoin métier.
2. Si nécessaire, créez une identité et saisissez son nom, son nom d’utilisateur et son mot de passe avant de l’enregistrer. Respectez le format domaine et utilisateur ou UPN indiqué par la page. Une nouvelle identité utilise un compte spécifié.
3. Revenez à la liste et vérifiez le nom et le compte. Les identités intégrées et les comptes spécifiés ne s’exécutent pas de la même manière. Comprenez leurs autorisations et leur incidence métier avant d’en choisir une ; ne la sélectionnez pas uniquement parce qu’elle dispose de privilèges supérieurs.
4. Lors de la modification d’un compte spécifié existant, laissez le mot de passe vide si vous souhaitez le conserver, conformément aux indications de la page. Le mode d’exécution ne peut pas être modifié à cette étape. Une modification d’identité partagée peut affecter les stratégies qui l’utilisent ; évaluez d’abord le périmètre concerné.
5. Avant une suppression, vérifiez les références dans les stratégies. La suppression est limitée pour les identités intégrées et celles encore utilisées par des stratégies. Ne supposez pas que les références seront automatiquement corrigées.

Pour vérifier l’exécution sous l’identité sélectionnée, contrôlez les paramètres d’élévation applicables au terminal pilote dans Software > Policy. Vérifiez que la règle sélectionne cette identité et que le chemin, le SHA-256 et le nom du produit correspondent à la cible de test. Réutilisez une règle adaptée ; si une modification est nécessaire, une personne autorisée ajuste et enregistre toute la stratégie, puis attend sa réception. Évitez les caractères génériques trop larges sans analyse du risque.

• Stratégie d’élévation des logiciels

Vérification et résolution des problèmes

1. Sur le terminal pilote, testez le logiciel correspondant et un logiciel témoin qui ne doit pas correspondre. Vérifiez le résultat du lancement, l’identité réelle d’exécution et les opérations métier.
2. Une règle ne peut pas être enregistrée : vérifiez qu’au moins une règle existe, puis contrôlez le chemin .exe, le format SHA-256, le nom du produit et l’identité d’exécution. Vérifiez que l’identité existe toujours et sélectionnez de nouveau une identité modifiée si la page le demande.
3. Le logiciel ne s’exécute pas sous l’identité prévue : vérifiez le périmètre et la réception de la stratégie, le chemin réel, l’empreinte, le nom du produit et l’ordre des règles. Contrôlez ensuite la disponibilité du compte et les messages de la page.
4. Le comportement change après une mise à jour : vérifiez si la version ou l’empreinte a changé. Contrôlez la source d’installation et mettez à jour la règle selon la procédure de l’organisation ; répétez l’essai pilote avant extension.
5. Une identité ne peut pas être supprimée ou sa modification affecte d’autres stratégies : vérifiez ses références et les restrictions applicables aux identités intégrées. Coordonnez-vous avec les responsables des stratégies concernées pour éviter une interruption des opérations.

Ne jugez pas la réussite de l’élévation uniquement au lancement du programme. N’élargissez le périmètre qu’après vérification des résultats et préparation d’une procédure de rétablissement.