I mange IT-afdelinger logger administratoren på om morgenen med én konto og bruger den til alt: mail, internet, opgavesystemet og administration af servere og katalog. Det er praktisk, og det er en af de opsætninger, en AD-test kan pege på som et led i en vej til fuld kontrol. Svaret på, hvorfor kontiene skal skilles ad, hviler på en enkel tanke: den konto, der læser mail og besøger hjemmesider, er den mest udsatte, og den bør derfor ikke kunne ændre noget, der er vigtigt.
Adskillelsen koster lidt bekvemmelighed. Til gengæld begrænser den, hvad en enkelt fejl kan føre til.
Hvad fundet beskriver
Rapporten kan beskrive, at en eller flere konti med administratorrettigheder også bruges til daglige opgaver. Det ses ved, at kontoen har en postkasse, er logget på almindelige klienter eller bruges til at tilgå systemer, der ikke har med administration at gøre. Fundet kan også handle om konti fra driftsleverandøren eller MSP’en, der bruges på samme måde.
Fundet står måske ikke alene. Det hænger sammen med for mange administratorer, med administratorer, der logger på almindelige klienter, og med manglende overblik over, hvor de betroede konti bruges. → Privilegerede grupper i Active Directory
Hvorfor det betyder noget
Mail og internet er de mest almindelige veje ind i en organisation. En vedhæftet fil eller en falsk side rammer den konto, der er logget på, og den maskine, den bruges fra. Er kontoen en almindelig brugerkonto, er skaden begrænset til det, brugeren har adgang til. Er det en administratorkonto, kan skaden række til alt, kontoen kan styre.
Microsoft beskriver i sine anbefalinger for at sikre Active Directory to former for adfærd, der øger risikoen for, at loginoplysninger for privilegerede konti bliver stjålet: at logge på med en privilegeret konto fra en computer, der ikke er sikret, og at bruge internettet, mens man er logget på med en privilegeret konto. Begge dele er en del af hverdagen, når én konto bruges til alt.
NCSC i Storbritannien anbefaler tilsvarende, at administratorer ikke bruger privilegerede konti til daglige opgaver som mail og internet, men har en særskilt almindelig konto med en anden adgangskode til det.
Sådan ser en adskillelse ud
Princippet er, at hver person med administratoropgaver har mindst to konti: en almindelig konto til det daglige arbejde og en særskilt konto, der kun bruges til administration.
- Den daglige konto · har postkasse og internetadgang, men ingen administratorrettigheder i kataloget eller på servere.
- Administratorkontoen · har ingen postkasse og bruges ikke til internet. Den bruges kun, når der skal administreres.
- Forskellige adgangskoder · de to konti må ikke dele adgangskode, ellers er adskillelsen kun på papiret.
- Stærkere login · administratorkontoen beskyttes med mere end en adgangskode, hvor det er muligt.
- Begrænsede steder · administratorkontoen bruges fra maskiner, der er beregnet til administration, ikke fra den bærbare, der også bruges til mail. → Administrationsnet
Har en person ansvar for flere niveauer, fx både klienter og domænecontrollere, kan der være brug for flere administratorkonti. Det hører til i den lagdelte model. → Lagdelt administration
Indførelse uden at stoppe driften
Overgangen er mere en ændring af vaner end af teknik, og den lykkes bedst, når den planlægges sammen med dem, det handler om.
- Kortlæg · find alle konti med administratorrettigheder, og notér, om de også har postkasse, bruges på almindelige klienter eller bruges af flere personer.
- Opret de nye konti · hver administrator får en særskilt konto med de rettigheder, opgaverne kræver, og ikke mere. → Mindst mulig adgang i praksis
- Flyt opgaverne · scripts, planlagte opgaver og integrationer, der kører under en persons daglige konto, flyttes til egnede tjenestekonti. → Tjenestekonti
- Fjern rettighederne fra de daglige konti · først når de nye konti virker, og alle ved, hvordan de bruges.
- Følg op · gennemgå efter en periode, om de daglige konti har fået rettigheder igen.
Det tredje punkt er let at overse. Bruges en administrators daglige konto til at køre en opgave i baggrunden, stopper opgaven, når rettighederne fjernes. Afklar det, før ændringen gennemføres. → Rettelser uden at stoppe driften
Når hverdagen bliver lidt besværligere
En indvending kan komme fra administratorerne selv. To konti betyder flere login, en ekstra adgangskode at huske og opgaver, der tager lidt længere tid. Indvendingen er reel, og den skal tages alvorligt, ellers finder folk genveje, der er værre end udgangspunktet.
Gør det derfor let at gøre det rigtige. Sørg for, at de værktøjer, administratorerne bruger, kan startes med administratorkontoen uden at logge den daglige konto af. Forklar hvorfor, med udgangspunkt i det fund, testen gjorde hos jer, ikke i generelle advarsler. Og lad lederen af IT-afdelingen gå forrest: en adskillelse, som chefen selv er undtaget fra, holder ikke længe.
Det hjælper også at aftale, hvad der er tilladt med administratorkontoen. En kort skriftlig regel om, at den ikke bruges til mail, internet eller dokumenter, gør det lettere at følge op, når nogen glider tilbage i gamle vaner.
Leverandører og MSP’er
Har driftsleverandøren konti i jeres katalog, gælder det samme princip for dem. Fælles konti, som flere teknikere deler, gør det umuligt at se, hvem der gjorde hvad, og en konto hos leverandøren, der også bruges til leverandørens egen mail, bærer risikoen med ind i jeres miljø. Stil krav om personlige administratorkonti, der kun bruges til administration hos jer.
For MSP’en selv er spørgsmålet større. Bruges samme konto til at administrere flere kunder, rækker et fund hos én kunde til dem alle. Det er en særskilt problemstilling, som hører til MSP’ens egen indretning. → Fælles administrationskonti hos MSP’en
Det skal I lade være med
- At give administratorkontoen en postkasse. Så bliver den brugt til mail.
- At bruge samme adgangskode til begge konti. Adskillelsen mister sin værdi.
- At logge på almindelige klienter med administratorkontoen. Maskinen bliver en vej til kontoen.
- At fjerne rettigheder fra de daglige konti uden at flytte baggrundsopgaver først.
- At acceptere fælles administratorkonti hos leverandører. Det ses ikke, hvem der handlede.
Hvad kan og ikke kan konkluderes
Testen viser, hvilke administratorkonti der blev brugt til daglige opgaver, og om det indgik i en vej til højere rettigheder i testperioden. Den kan ikke vise, hvordan kontiene bliver brugt i hverdagen efter testen. Adskillelsen holder kun, hvis de nye vaner bliver fastholdt og fulgt op.
Tjekliste til adskilte konti
- ☐ Har alle med administratoropgaver en særskilt administratorkonto?
- ☐ Er administratorkonti uden postkasse og internetbrug?
- ☐ Har de daglige konti mistet deres administratorrettigheder?
- ☐ Bruger de to konti forskellige adgangskoder?
- ☐ Er baggrundsopgaver flyttet væk fra personlige konti?
- ☐ Har leverandørens teknikere personlige administratorkonti?
Kilder
- Microsoft Learn: Best practices for securing Active Directory: login med privilegerede konti på usikrede computere og internetbrug med privilegerede konti øger risikoen for tyveri af loginoplysninger.
- NCSC: Password policy, updating your approach: administratorer bør ikke bruge privilegerede konti til mail og internet, men have særskilte almindelige konti med andre adgangskoder.
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Artikler til IT-afdelingen
Læs også: Privilegerede grupper i Active Directory · Domænecontrollere
→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT
