Et katalog husker alt, hvad det har fået at vide, og glemmer kun det, nogen aktivt sletter. Derfor kan en AD-test finde konti, der tilhører fratrådte medarbejdere, afsluttede projekter og leverandører, der ikke længere er i huset, og computerobjekter for maskiner, der for længst er kasseret. Svaret på, hvad I gør ved det, hviler på ejerskab: en konto uden en ejer, der kan stå inde for den, bør ikke være aktiv.
Fundet er ikke nødvendigvis det mest dramatiske i rapporten. Men det er et af dem, der fortæller mest om, hvordan kataloget bliver passet i hverdagen, og det er et af de få fund, hvor IT-afdelingen kan vise synlige fremskridt inden for kort tid.
Hvilke konti fundet handler om
Inaktive konti er ikke én type. Rapporten kan samle flere grupper under samme overskrift, og de skal behandles forskelligt.
- Fratrådte medarbejdere · konti, der stadig er aktive, selv om personen er stoppet.
- Midlertidige konti · praktikanter, vikarer, konsulenter og projektdeltagere, hvor slutdatoen ikke blev fulgt op.
- Leverandørkonti · konti oprettet til support eller installation, som ikke er lukket, da opgaven var løst.
- Testkonti · konti fra tidligere test, opgraderinger eller migreringer. → Oprydning efter testen
- Fælles og funktionskonti · konti til mødelokaler, kantine eller en afdeling, som ingen bestemt person ejer.
- Computerobjekter · maskiner, der ikke har været på netværket i lang tid, eller som er udskiftet uden at blive fjernet fra kataloget.
Hver gruppe har sin egen grund til at blive hængende, og hver kræver sin egen faste rutine for at forsvinde igen.
Hvorfor de er et problem
En aktiv konto, som ingen bruger, er en konto, som ingen savner, hvis den bliver misbrugt. Ingen undrer sig over et login, ingen reagerer på en ændring af adgangskoden, og ingen opdager, at kontoen pludselig bruges fra et nyt sted. Har kontoen beholdt sine rettigheder fra en tidligere rolle, kan den give adgang til data eller systemer, som en nuværende medarbejder ikke har.
Fundet vejer tungere, når inaktive konti har høje rettigheder. En gammel administratorkonto eller en tjenestekonto til et system, der er lukket ned, men stadig er medlem af en privilegeret gruppe, er en oplagt vej, som ingen holder øje med. → Privilegerede grupper i Active Directory
Microsoft beskriver i sin vejledning om at vedligeholde et mere sikkert miljø, hvordan data i kataloget uden en udpeget ejer fører til systemer og konti, der udgør en risiko, men ikke kan fjernes, fordi ingen ved, hvem de tilhører. Det er præcis den situation, fundet beskriver.
Krav, der kan gælde jer
For virksomheder, der er omfattet af PCI DSS, stiller krav 8 blandt andet krav om, at adgang for fratrådte brugere fjernes straks, og at inaktive brugerkonti fjernes eller deaktiveres inden for 90 dage, sådan som Microsoft Learn gengiver kravet. Andre standarder og kunders krav kan have deres egne regler. Kravene er udgangspunktet for jeres egen regel, men de afgør ikke, hvad der er rigtigt for jer. Testen kan vise, hvordan kataloget ser ud, men ikke om I opfylder en bestemt standard.
Før I rydder op
Den største risiko ved oprydning er at lukke noget, der stadig bruges. En konto, der ser inaktiv ud, kan være en tjenestekonto, der kun bruges ved årsafslutning, eller en nødkonto, der skal ligge klar. → Nødadgangskonti
Forbered derfor oprydningen i tre trin.
- Saml listen · tag udgangspunkt i rapportens fund, og suppler med jeres egen opgørelse af konti, der ikke har været brugt i en periode, I selv fastsætter.
- Find ejeren · for hver konto: hvem i virksomheden kan sige, om den skal bruges? For medarbejderkonti er det lederen, for tjenestekonti systemejeren, for leverandørkonti den, der har aftalen.
- Deaktivér før sletning · en deaktiveret konto kan genaktiveres, hvis noget holder op med at virke. Slet først, når en aftalt periode er gået uden klager.
Konti, der stod i et fund med høje rettigheder, bør ikke vente på den samlede proces. De deaktiveres eller fratages rettighederne med det samme, og deres adgangskoder betragtes som kendte. → Skal adgangskoder nulstilles efter testen?
Hold kataloget rent bagefter
En engangsoprydning løser fundet, men ikke årsagen. Inden næste test vil der være nye konti fra nye fratrædelser, projekter og leverandører, medmindre processen ændres.
- Ejer ved oprettelse · ingen konto oprettes uden en navngiven ejer, sådan som Microsoft anbefaler for alle data i kataloget.
- Slutdato på midlertidige konti · vikarer, konsulenter og leverandører får en konto, der udløber af sig selv.
- Kobling til personaleprocessen · fratrædelser i HR udløser lukning af kontoen, ikke en mail, der kan glemmes.
- Fast gennemgang · ejerne bekræfter med faste mellemrum, at deres konti stadig skal bruges. Microsoft beskriver netop løbende bekræftelse fra ejerne som en måde at opdage afvigelser på.
- Computere med · maskiner, der kasseres eller udskiftes, fjernes også fra kataloget.
Er driften lagt ud, så afklar, hvem der gør hvad. Driftsleverandøren kan lukke en konto, men kun virksomheden ved, at en medarbejder er stoppet. Uden en fast besked fra HR eller lederen til leverandøren bliver kontoen stående, uanset hvor god leverandørens egen rutine er. Gør beskeden til et punkt i fratrædelsesprocessen, og bed om en kvittering, når kontoen er lukket.
Bruger I også Entra ID, skal processen dække begge kataloger. En konto, der er lukket lokalt, men stadig er aktiv i skyen, er kun halvt lukket. → Hybrid identitet
Oprydningen kan med fordel indgå i den samlede plan for kataloget efter testen. → Oprydning i Active Directory efter testen
Det skal I lade være med
- At slette konti i ét hug. En tjenestekonto eller nødkonto kan se inaktiv ud uden at være det.
- At vurdere konti alene ud fra seneste login. Ejeren afgør, om kontoen skal bruges.
- At lade inaktive konti beholde deres rettigheder. Det er de rettigheder, der gør fundet alvorligt.
- At glemme computerobjekter og leverandørkonti. De falder uden for den normale personaleproces.
- At nøjes med en engangsoprydning. Uden ændret proces er fundet tilbage ved næste test.
Hvad kan og ikke kan konkluderes
Testen viser, hvilke inaktive konti og computerobjekter testeren fandt i testperioden, og om nogle af dem havde rettigheder, der kunne bruges. Den kan ikke afgøre, hvilke konti der stadig har et formål, og den siger intet om, hvor hurtigt nye konti bliver lukket fremover. Det kræver jeres egen proces og opfølgning.
Tjekliste til inaktive konti
- ☐ Er alle inaktive konti fra rapporten tildelt en ejer?
- ☐ Er konti med høje rettigheder deaktiveret eller frataget rettigheder med det samme?
- ☐ Deaktiveres konti, før de slettes?
- ☐ Har midlertidige og leverandørkonti en slutdato?
- ☐ Udløser en fratrædelse automatisk lukning af kontoen i begge kataloger?
- ☐ Er gamle computerobjekter fjernet?
Kilder
- Microsoft Learn: Maintaining a more secure environment: ejer for alle data i kataloget fra oprettelsen, risiko ved konti og systemer uden ejer og løbende bekræftelse fra ejerne.
- Microsoft Learn: Microsoft Entra ID and PCI-DSS Requirement 8: gengivelse af PCI DSS krav 8.2.5 og 8.2.6 om straks at fjerne adgang for fratrådte brugere og om inaktive brugerkonti inden for 90 dage.
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Artikler til IT-afdelingen
Læs også: Adgangskodepolitikken i Active Directory · Hybrid identitet
→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT
