En test af Active Directory kan give en række fund, der hver for sig ser overskuelige ud: for mange administratorer, gamle konti, tjenestekonti med brede rettigheder, delegeringer, ingen kan forklare. Tilsammen er de et oprydningsprojekt, og det går lettere, når det planlægges som ét. Planen hviler på to valg: en rækkefølge, hvor de rettigheder, der giver mest adgang, kommer først, og en ejer for hvert trin, så oprydningen ikke stopper, når den første entusiasme er brugt. De enkelte fundtyper er beskrevet for sig. Her handler det om at samle dem.
Før første trin: ejerskab og overblik
Oprydning kræver, at nogen kan svare på, om en konto, en gruppe eller en computer skal være der. Microsoft anbefaler i sin vejledning om at vedligeholde et sikkert katalog, at alle data i Active Directory har en udpeget ejer, og at ejerskabet bør fastlægges, når objektet oprettes, fordi det kan være svært eller umuligt at finde bagefter.
Det betyder, at første trin er administrativt, ikke teknisk.
- Projektejer · en person med mandat til at træffe beslutninger, også når en afdeling er uenig.
- Ejere i forretningen · hvem kan bekræfte, at en konto eller gruppe stadig bruges?
- Overblik · en liste over de objekter, testen pegede på, og de typer objekter, der skal gennemgås.
- Kommunikation · servicedesk og afdelinger ved, at der ryddes op, og hvem de skal kontakte.
Uden ejere bliver hvert spørgsmål en undersøgelse, og projektet går i stå.
Læg også en grov tidsplan med et delmål for hvert trin. Trinene kan overlappe, men rækkefølgen skal holde: det er fristende at begynde med de mange gamle konti, fordi de giver hurtige resultater, men de højeste rettigheder fjerner mere risiko pr. ændring.
Trin 1: de højeste rettigheder
Begynd med de grupper og konti, der giver adgang til hele kataloget. Microsoft nævner tre indbyggede grupper med de højeste rettigheder og anbefaler at fjerne fast medlemskab af højt privilegerede grupper og i stedet give midlertidigt medlemskab, når det er nødvendigt. → Privilegerede grupper i Active Directory
Grunden til at starte her er enkel. En misbrugt konto i en af disse grupper giver adgang til alt andet, så hver konto, der fjernes, mindsker den største risiko. Gennemgå også grupper, der har fået høje rettigheder på anden vis, fx gennem delegering eller indlejrede medlemskaber.
De personer, der mister et fast medlemskab, skal stadig kunne udføre deres arbejde. Aftal derfor, hvordan de får adgang, når de har brug for den, før medlemskabet fjernes, og sørg for, at administratorer har en særskilt konto til administration, adskilt fra den konto, de bruger til mail og internet. Nødadgang til kataloget skal være beskrevet, så oprydningen ikke låser alle ude.
Trin 2: tjenestekonti
Tjenestekonti kører programmer og integrationer og kan have flere rettigheder end nødvendigt, fordi de blev sat op til at virke. De er svære at rydde op i, fordi en fejl kan stoppe et forretningssystem. → Tjenestekonti
Find ejeren af hver konto, find ud af, hvad den skal kunne, og stram den i samarbejde med systemets ejer og eventuelt leverandøren. Konti, ingen kan knytte til et system, er kandidater til at blive deaktiveret, ikke slettet, så de kan genoprettes, hvis noget stopper.
Trin 3: inaktive konti og gamle computere
Konti fra fratrådte medarbejdere, testkonti fra afsluttede projekter og computere, der ikke har været på nettet i lang tid, er en del af den flade, testen kunne bruge. → Inaktive konti og gamle computere i kataloget
Arbejd i to skridt: deaktivér først, og slet senere, når en aftalt periode er gået uden henvendelser. Det giver en vej tilbage. Konti, der skal bevares af andre grunde, fx af hensyn til arkiv, skal have en ejer og en begrundelse. Se også på, hvorfor kontiene blev liggende. Hvis IT ikke får besked, når en medarbejder stopper, eller når et projekt slutter, vil de samme fund komme igen, uanset hvor grundigt der ryddes op nu.
Trin 4: delegering, gruppepolitikker og lokale administratorer
De næste fund ligger i de rettigheder, der er sværere at se. Delegerede rettigheder over brugere og computere, rettigheder til at ændre gruppepolitikker og lokale administratorkonti med samme adgangskode på mange maskiner kan alle give en vej til højere adgang.
- Delegering · hvem kan ændre hvad i kataloget, og er der tildelinger, ingen kan forklare? → Delegerede og arvede rettigheder
- Gruppepolitikker · hvem kan ændre politikker, der gælder mange maskiner? → Gruppepolitikker som testområde
- Lokale administratorer · er adgangskoderne forskellige og styret centralt? → Lokale administratorkonti
Dette trin kræver mest viden om miljøet og tager længst tid. Det kan godt løbe parallelt med trin 3, hvis der er folk til det. Notér for hver ændring, hvad der var før, så en rettighed, der viser sig at være nødvendig, kan gives tilbage på samme måde.
Trin 5: vedligehold, så det ikke vokser igen
En oprydning uden vedligehold er en midlertidig rettelse. Microsoft beskriver, at forretningsejere med faste mellemrum bør bekræfte, at konti, grupper og programmer stadig er gyldige, og at netop de personer, der kender dataene bedst, er bedst til at opdage afvigelser.
Gør det til en fast rutine. Nye konti oprettes kun med en ejer. Medlemskab af de højeste grupper gennemgås jævnligt. Inaktive konti fanges, før de bliver mange. Rutinen er det, der gør næste test til en sammenligning frem for en gentagelse. → Gør rettelserne permanente
Det skal I lade være med
- At starte med de nemme konti. Begynd med de højeste rettigheder.
- At slette i stedet for at deaktivere. Hav en vej tilbage.
- At rydde op uden ejere i forretningen. Så kan ingen bekræfte, hvad der skal blive.
- At ændre tjenestekonti uden systemets ejer. Et forretningssystem kan stoppe.
- At stoppe, når testens fund er lukket. Uden vedligehold vokser kataloget igen.
Hvad kan og ikke kan konkluderes
En gennemført oprydning viser, at de konti, grupper og rettigheder, der er gennemgået, er bragt ned til det, I har besluttet. Den viser ikke, at kataloget er sikkert som helhed, og den retter ikke svagheder i opsætningen af domænecontrollere eller i den hybride forbindelse til cloud. En retest kan bekræfte, at de veje, testeren brugte, er lukket. Den kan ikke garantere, at der ikke findes andre.
Tjekliste til oprydningen
- ☐ Har projektet en ejer med mandat?
- ☐ Er der ejere i forretningen for konti, grupper og systemer?
- ☐ Er de højeste rettigheder gennemgået først?
- ☐ Har hver tjenestekonto en ejer og en beskrivelse?
- ☐ Deaktiveres der, før der slettes?
- ☐ Er delegering, gruppepolitikker og lokale administratorer gennemgået?
- ☐ Er der en fast rutine for bekræftelse og gennemgang bagefter?
Kilder
- Microsoft Learn: Best practices for securing Active Directory: tre indbyggede grupper med de højeste rettigheder, fjernelse af fast medlemskab af højt privilegerede grupper og midlertidigt medlemskab, når det er nødvendigt.
- Microsoft Learn: Maintaining a more secure environment: udpeget ejer for alle data i kataloget fra oprettelsen og jævnlig bekræftelse af konti, grupper og programmer fra forretningsejerne.
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Artikler til IT-afdelingen
Læs også: Active Directory-test i dybden · Lagdelt administration
→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT
