จัดการตัวตนที่ใช้รัน
การยกระดับสิทธิ์ซอฟต์แวร์กำหนดบัญชีที่ใช้รันให้ซอฟต์แวร์ที่ระบุ เพื่อให้ซอฟต์แวร์ที่ตรงเงื่อนไขทำงานด้วยบัญชีนั้นโดยไม่ต้องเพิ่มผู้ใช้เข้าในกลุ่มผู้ดูแลระบบภายในเครื่องโดยตรง การทำงานบนอุปกรณ์ที่อธิบายที่นี่จำกัดเฉพาะ Windows ให้ตรวจสอบแพลตฟอร์มอื่นแยกต่างหาก
การยกระดับสิทธิ์เพิ่มสิ่งที่ซอฟต์แวร์ทำได้ จึงควรจำกัดไฟล์ปฏิบัติการและอุปกรณ์เป้าหมาย ใช้บัญชีที่องค์กรอนุมัติ และตรวจสอบบนอุปกรณ์นำร่องก่อน การบันทึกนโยบาย การได้รับนโยบาย และการรันด้วยบัญชีที่ตั้งใจเป็นคนละสถานะ
การเตรียมการ
- ใช้บัญชีผู้ดูแลระบบที่มีสิทธิ์จัดการนโยบาย Software และบัญชีที่ใช้รัน ระบุอุปกรณ์เป้าหมาย ซอฟต์แวร์ธุรกิจ และสิทธิ์ที่จำเป็นจริง
- เตรียมตำแหน่งติดตั้งที่เชื่อถือได้ ชื่อผลิตภัณฑ์ และ SHA-256 ของไฟล์ กำหนดผู้รับผิดชอบการดูแลข้อมูลเมื่ออัปเดตซอฟต์แวร์ และตรวจสอบก่อนในสภาพแวดล้อมนำร่องที่ไม่ใช่งานจริง
- เลือกบัญชีที่ใช้รันตามหลักสิทธิ์น้อยที่สุด สำหรับบัญชีที่มีสิทธิ์สูง ให้ประเมินความเสี่ยงจากซอฟต์แวร์ ส่วนประกอบที่โหลดได้ การตั้งค่า และกลไกอัปเดต อย่าใช้กฎกว้างกับซอฟต์แวร์ที่ไม่น่าเชื่อถือ
- ป้อนและดูแลข้อมูลรับรองผ่านกระบวนการที่องค์กรอนุมัติเท่านั้น อย่าใส่ข้อมูลรับรองในคู่มือ ทิกเก็ต ภาพหน้าจอ หรือการสื่อสารที่ไม่เกี่ยวข้อง
เตรียมบัญชีที่ใช้รัน
- เปิด Objects & Templates และเลือก Run Identities ตรวจสอบว่าบัญชีที่มีอยู่เหมาะกับความต้องการทางธุรกิจหรือไม่
- หากจำเป็น ให้สร้างบัญชีและป้อนชื่อ ชื่อผู้ใช้ และรหัสผ่านก่อนบันทึก ใช้รูปแบบโดเมนและผู้ใช้หรือ UPN ตามที่หน้าระบุ บัญชีที่สร้างใหม่ใช้บัญชีที่ระบุ
- กลับไปยังรายการและตรวจสอบชื่อกับบัญชี บัญชีในตัวและบัญชีที่ระบุมีวิธีทำงานต่างกัน ก่อนเลือกให้เข้าใจสิทธิ์และผลกระทบทางธุรกิจ อย่าเลือกเพียงเพราะมีสิทธิ์สูงกว่า
- เมื่อแก้ไขบัญชีที่ระบุเดิม หากต้องการเก็บรหัสผ่านเดิมให้เว้นว่างตามคำแนะนำบนหน้า ไม่สามารถเปลี่ยนโหมดการรันระหว่างแก้ไขได้ การเปลี่ยนบัญชีที่ใช้ร่วมกันอาจกระทบนโยบายที่อ้างอิง จึงควรประเมินขอบเขตก่อน
- ตรวจสอบการอ้างอิงในนโยบายก่อนลบ บัญชีในตัวและบัญชีที่ยังถูกนโยบายอ้างอิงมีข้อจำกัดในการลบ อย่าสมมติว่าการอ้างอิงจะถูกแก้ไขโดยอัตโนมัติ
หากต้องการตรวจว่าซอฟต์แวร์ทำงานด้วยตัวตนที่เลือก ให้ตรวจการตั้งค่ายกระดับที่ใช้กับเครื่องทดลองใน Software > Policy ยืนยันว่ากฎเลือกตัวตนนั้นและเส้นทางโปรแกรม SHA-256 กับชื่อผลิตภัณฑ์ตรงกับเป้าหมายทดสอบ ใช้กฎเดิมที่เหมาะสมซ้ำได้ หากต้องแก้ไขให้ผู้มีสิทธิ์จัดการนโยบายปรับและบันทึกนโยบายทั้งหมด แล้วรอเครื่องรับ หลีกเลี่ยงเงื่อนไขอักขระแทนที่กว้างโดยไม่ได้ประเมินความเสี่ยง
ตรวจสอบและแก้ไขปัญหา
- บนอุปกรณ์นำร่อง ทดสอบทั้งซอฟต์แวร์ที่ควรตรงและซอฟต์แวร์เปรียบเทียบที่ไม่ควรตรง ตรวจสอบผลการเริ่ม บัญชีที่ใช้รันจริง และการทำงานทางธุรกิจ
- บันทึกกฎไม่ได้: ตรวจสอบว่ามีกฎอย่างน้อยหนึ่งข้อ และตรวจสอบเส้นทาง
.exeรูปแบบ SHA-256 ชื่อผลิตภัณฑ์ และบัญชีที่ใช้รัน ยืนยันว่าบัญชียังมีอยู่ และเลือกบัญชีที่เปลี่ยนอีกครั้งหากหน้าร้องขอ - ซอฟต์แวร์ไม่รันด้วยบัญชีที่ต้องการ: ตรวจสอบขอบเขตและการได้รับนโยบาย เส้นทางโปรแกรมจริง แฮช ชื่อผลิตภัณฑ์ และลำดับกฎ จากนั้นตรวจสอบความพร้อมของบัญชีและข้อความบนหน้า
- พฤติกรรมเปลี่ยนหลังอัปเดต: ตรวจสอบว่าเวอร์ชันหรือแฮชเปลี่ยนหรือไม่ ตรวจสอบแหล่งติดตั้งและปรับกฎตามกระบวนการองค์กร แล้วทดสอบนำร่องอีกครั้งก่อนขยาย
- ลบบัญชีไม่ได้หรือการเปลี่ยนกระทบนโยบายอื่น: ตรวจสอบการอ้างอิงและข้อจำกัดของบัญชีในตัว ประสานผู้รับผิดชอบนโยบายที่ได้รับผลกระทบเพื่อไม่ให้งานเดิมหยุดชะงัก
อย่าตัดสินว่าการยกระดับสิทธิ์สำเร็จจากการที่โปรแกรมเริ่มได้เพียงอย่างเดียว ขยายขอบเขตหลังตรวจสอบผลและเตรียมขั้นตอนกู้คืนแล้วเท่านั้น
วันที่อัปเดต