Fundet lyder enkelt: for mange konti er medlem af de grupper, der giver fuld kontrol over Active Directory. Bag det kan der ligge en lang historik af gode grunde. En konsulent skulle have adgang til en opgradering, en driftsmedarbejder havde brug for at oprette brugere, og en tjenestekonto ville ikke virke uden. Medlemskaberne blev aldrig fjernet igen. Svaret på, hvad I gør, hviler på et enkelt princip fra Microsofts egne anbefalinger: de mest betroede grupper skal som udgangspunkt være tomme i hverdagen, og det daglige arbejde skal klares med smallere rettigheder.
Det er ikke en rettelse, der laves på en eftermiddag. Men den kan laves i trin, og hvert trin mindsker risikoen.
Hvilke grupper fundet handler om
Active Directory har tre indbyggede grupper med de højeste rettigheder: Enterprise Admins, Domain Admins og Administrators i domænet. Medlemmer af dem kan ændre alt i kataloget og dermed styre alle maskiner og konti, der hører til.
Fundet kan også omfatte andre grupper. Nogle indbyggede grupper har rettigheder, der i praksis kan føre til samme kontrol, og måske er der oprettet egne grupper, som har fået brede rettigheder over tid. Rapporten bør nævne, hvilke grupper testeren betragtede som privilegerede, og hvorfor.
Medlemskab kan være indirekte. En konto kan være medlem af en gruppe, som er medlem af en anden, som er medlem af Domain Admins. Den slags kæder er svære at se i de daglige værktøjer, og de er en almindelig årsag til, at listen over administratorer er længere, end nogen troede.
Hvorfor medlemskaberne vokser
Microsoft skriver i sin vejledning om administrative modeller med mindst mulig adgang, at gennemgange af AD-installationer igen og igen finder konti med rettigheder langt ud over, hvad det daglige arbejde kræver. Årsagerne er ikke nødvendigvis forsømmelse. De er driftens hverdag:
- Hurtige løsninger · en opgave skulle løses nu, og den hurtigste vej var et medlemskab.
- Leverandører og konsulenter · eksterne fik adgang til et projekt og beholdt den.
- Tjenestekonti · et program krævede høje rettigheder ved installationen, og ingen skar dem ned bagefter. → Tjenestekonti
- Én konto til alt · administratorer bruger samme konto til mail, internet og administration. → Én konto til alt
- Manglende delegering · der findes ingen smallere roller, så alle, der skal lave noget, får det hele.
Det sidste punkt kan være nøglen. Så længe der ikke findes roller til de daglige opgaver, vil medlemskaberne vokse igen.
Hvad fundet betyder
En konto med medlemskab af de højeste grupper er det mest værdifulde mål i kataloget. Jo flere sådanne konti der er, og jo flere steder de bruges, jo flere veje er der til fuld kontrol. Hver ekstra administrator øger altså ikke risikoen lidt, men åbner endnu en mulig vej. Microsoft nævner netop for mange brugere i privilegerede grupper som en opsætning, der fremmer overforbrug.
I rapporten kan fundet derfor stå sammen med andre: en administrator, der var logget på en almindelig klient, eller en tjenestekonto med høje rettigheder. Det er sammenhængen, der afgør alvoren.
Bed testeren om at skelne mellem to slags konti i fundet: dem, der er medlem af grupperne, og dem, der faktisk blev brugt eller kunne bruges som led i en vej. Den første liste viser omfanget af oprydningen. Den anden viser, hvor I skal starte. En konto, der er medlem af Domain Admins og samtidig bruges til daglig på en almindelig klient, er et mere akut problem end en sjældent brugt konto, der kun findes på papiret.
Sådan skærer I ned
Microsofts anbefaling er, at Enterprise Admins og Domain Admins ikke har brugerkonti som faste medlemmer til daglig, og at medlemskab kun bruges ved opbygning, gendannelse eller tidsbegrænset, når der er brug for det. Vejen derhen kan deles op.
- Kortlæg · lav en liste over alle direkte og indirekte medlemmer, og find ud af, hvem de tilhører, og hvad de bruger rettighederne til.
- Fjern det oplagte · konti, der tilhører stoppede medarbejdere, afsluttede projekter eller tidligere leverandører, fjernes først.
- Lav smallere roller · opgaver som oprettelse af brugere eller nulstilling af adgangskoder får deres egne roller med kun de rettigheder, der skal til. → Mindst mulig adgang i praksis
- Adskil konti · de, der stadig skal administrere, får en særskilt konto til det. → Lagdelt administration
- Gør adgangen tidsbegrænset · medlemskab af de højeste grupper gives, når det skal bruges, og fjernes igen. → Tidsbegrænsede administratorrettigheder
Skær aldrig en konto ned uden at vide, hvad den bruges til. Især tjenestekonti kan stoppe et system, hvis rettighederne fjernes uden forberedelse. Test ændringen, hav en vej tilbage, og aftal med systemejeren, hvornår den gennemføres.
Hold det nede
Når grupperne er skåret ned, skal de holdes nede. Det kræver en fast gennemgang af medlemskaberne, hvor ejeren af hver privilegeret konto bekræfter, at den stadig er nødvendig. Det kræver også, at ændringer i grupperne bliver registreret og set af nogen. Microsoft anbefaler at overvåge følsomme objekter i kataloget for ændringer, og de privilegerede grupper er blandt de vigtigste.
Indret processen, så det er lettere at bede om en tidsbegrænset rettighed end at få et fast medlemskab. Ellers vender de gamle vaner tilbage. Gør det også til en del af aftalen med leverandører og konsulenter, at adgang til de højeste grupper gives til en bestemt opgave og fjernes, når opgaven er løst. Oprydningen kan indgå i en samlet plan for AD efter testen. → Oprydning i Active Directory efter testen
Det skal I lade være med
- At fjerne medlemskaber uden at kende brugen. Et system eller en integration kan stoppe.
- At stoppe ved de direkte medlemmer. Indirekte medlemskaber skal også med.
- At skære ned uden at lave smallere roller. Medlemskaberne vokser igen.
- At lade administratorer beholde én konto til alt. Den daglige konto bliver en vej til kataloget.
- At glemme overvågning af grupperne. Nye medlemmer skal ses, når de kommer til.
Hvad kan og ikke kan konkluderes
Testen viser, hvem der var medlem af de privilegerede grupper i testperioden, og om medlemskaberne kunne bruges som led i en vej til kontrol. Den kan ikke vise, hvilke medlemskaber der er nødvendige for jeres drift. Det skal afklares internt. En kortere liste på testtidspunktet siger heller intet om, hvordan den ser ud et halvt år senere, hvis ingen holder øje.
Tjekliste til de privilegerede grupper
- ☐ Er alle direkte og indirekte medlemmer kortlagt med ejer og formål?
- ☐ Er konti uden aktuelt formål fjernet?
- ☐ Findes der smallere roller til de daglige opgaver?
- ☐ Har administratorer særskilte konti til administration?
- ☐ Er medlemskab af de højeste grupper tidsbegrænset?
- ☐ Bliver ændringer i grupperne registreret og set efter?
Kilder
- Microsoft Learn: Implementing least-privilege administrative models: ingen faste daglige medlemmer i Enterprise Admins og Domain Admins, midlertidigt medlemskab og overprivilegerede konti i AD-installationer.
- Microsoft Learn: Best practices for securing Active Directory: de tre indbyggede grupper med højeste rettigheder, for mange brugere i privilegerede grupper og overvågning af følsomme objekter.
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Artikler til IT-afdelingen
Læs også: Lagdelt administration · Active Directory-test i dybden
→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT
