Infrastruktur / Arbeitsplatz / Admin By Request
Lokale Administratorrechte entziehen, ohne dass dabei ein Benutzer abgemeldet wird.
Die Frage ist nicht, ob man sie herausnehmen soll. Es geht darum, was am nächsten Tag passiert.In den meisten Netzwerken, die wir kennenlernen, ist ein Teil der Nutzer lokaler Administrator seines Rechners – manchmal sogar alle. Jeder weiß, dass das ein Problem ist, und das Projekt kommt nicht in Gang, weil die eigentliche Frage nicht technischer Natur ist: Es geht darum, wer die Anfragen beantwortet, wie lange es dauert und was man um 19 Uhr an einem Freitag macht.
Diese Rechte abschaffen: Drei Gründe, warum dies noch nicht geschehen ist
Sie haben nichts mit der Auswahl einer Software zu tun. Diese Probleme müssen zuerst angegangen werden, und genau deshalb zieht sich dieses Projekt in vielen Unternehmen in die Länge, obwohl sich alle im Grundsatz einig sind.
Niemand weiß, wer was installiert
Die Rechte wurden im Laufe der Jahre aus guten, punktuellen Gründen vergeben, und niemand hat mehr die Liste. Sie einfach ohne genaues Wissen zu entziehen, bedeutet, jemanden zu sperren, von dem man nicht wusste, dass er jede Woche einen Treiber installieren musste.
Man misst erst, bevor man irgendetwas entfernt.
Die Befürchtung, dass die IT-Abteilung überlastet sein könnte
Wenn jede Installation zu einem Ticket wird, verbringt das Team seine Tage damit, Anfragen zu genehmigen. Es ist diese berechtigte Angst, die das Projekt blockiert, und sie lässt sich durch Regeln lösen, nicht durch das Produkt: Die meisten Anfragen erfordern keinen menschlichen Eingriff.
Was vorhersehbar ist, läuft automatisch ab, über den Rest wird entschieden.
Niemand möchte derjenige sein, der Nein sagt
Einem Geschäftsführer, einem Ingenieur oder jemandem, der nachts arbeitet, ein Recht zu entziehen, ist in erster Linie ein politisches und erst in zweiter Linie ein technisches Thema. Eine schriftlich festgelegte Regel, die für alle gleichermaßen gilt, ist besser als eine Einzelfallentscheidung, für die niemand die Verantwortung übernehmen will.
Die Regel schützt auch denjenigen, der sie anwendet.
Was am nächsten Tag passiert
Das ist der Teil, der in den Produktbeschreibungen nicht erwähnt wird, weil es sich nicht um ein Produktproblem handelt. Schon in der ersten Woche treten vier verschiedene Situationen auf, die jeweils anders gehandhabt werden müssen. Diese Situationen vorauszusehen, ist entscheidend für den Erfolg des Projekts.
Eine ganz gewöhnliche Installation, mitten am Tag
Eine bekannte Software, ein bekannter Benutzer, ein auf dem neuesten Stand befindlicher Rechner. Die Anfrage wird automatisch bearbeitet: Sie wird automatisch genehmigt, die Datei wird vor der Ausführung geprüft und der Vorgang wird im Protokoll festgehalten.
Das macht den Großteil der Anfragen aus, und genau das entscheidet darüber, ob Ihr Team überlastet ist oder nicht.
Eine Software, die niemand kennt
Hier muss jemand eine Entscheidung treffen. Die Anfrage enthält alle notwendigen Informationen für eine Entscheidung – wer, was, von welchem Rechner aus und was die Analyse der Datei ergeben hat – und nicht nur eine Nachricht, in der es heißt: „Ich möchte etwas installieren“.
Was mit Ihnen zu klären ist: Wer entscheidet und innerhalb welcher Frist er eine Antwort geben wird.
19 Uhr an einem Freitag, und niemand geht ran
Genau das ist der Grund, warum Projekte scheitern, denn dadurch wird eine endgültige Umgehung ermöglicht. Die Lösung besteht nicht darin, die Tür offen zu lassen: Es handelt sich um eine zeitlich begrenzte Sitzung, die der Benutzer selbst auslöst, mit einer schriftlichen Begründung und einem vollständigen Protokoll der währenddessen durchgeführten Aktionen.
Niemand wird ausgebremst, und nichts gerät aus dem Blickfeld.
Diejenigen, die jeden Tag installieren
Die Entwickler, die Testingenieure, die Mitarbeiter in den Werkstätten. Wenn man ihnen wie den anderen die Rechte entzieht, macht man sie zu den ersten Gegnern des Projekts. Für sie gilt eine eigene, weiter gefasste Regel, die auf die gleiche Weise festgelegt wurde.
Eine abweichende Regel ist keine Ausnahme: Sie ist schriftlich festgehalten, mit Datum versehen und lässt sich nachlesen.
Dieses Tool verwaltet nicht Ihre Stellen. Es verwaltet, wer dort welche Berechtigungen hat.
Software bereitstellen, Einstellungen vornehmen, Festplatten verschlüsseln, die Rechner auf dem neuesten Stand halten: Das ist die Aufgabe der Geräteverwaltung. Beide Aufgaben fallen oft unter denselben Auftrag, doch es handelt sich um zwei unterschiedliche Bereiche, von denen keiner den anderen ersetzen kann.
Fragen, die uns gestellt werden
In dieser Reihenfolge, so ziemlich jedes Mal. Die beschriebenen Mechanismen werden vom Herausgeber dokumentiert, und wir überprüfen sie vor jedem Vorschlag noch einmal.
| Die Frage | Die Antwort |
|---|---|
| Soll man einen Server einrichten? | Nein. Ein Client auf den Rechnern, ein Online-Portal. Sie müssen nichts bei sich hosten, nichts nach außen veröffentlichen und somit auch nichts zusätzlich warten oder sichern. |
| Was sieht man bei einer Installation? | Wer, was, wann, von welchem Rechner aus, mit welcher Begründung und was die Analyse der Datei vor der Ausführung ergeben hat. Das Protokoll ist das eigentliche Ergebnis des Projekts – es ist das, was man nach einem Vorfall noch einmal durchliest, und es lässt sich im Nachhinein nicht mehr rekonstruieren. |
| Werden meine Nutzer warten müssen? | Bei den allermeisten Anfragen nicht: Sie werden ohne menschliches Eingreifen bearbeitet. Was das Nutzererlebnis bestimmt, ist Ihre Regel, nicht das Produkt – und diese Regel legen wir gemeinsam mit Ihnen fest, bevor wir irgendetwas implementieren. |
| Und die Macs? Und die Server? | Derselbe Mechanismus und dasselbe Protokoll auf Windows, auf macOS und auf den Servern – alles über dasselbe Portal. So muss man nicht drei verschiedene Vorgehensweisen anwenden und an drei verschiedenen Orten suchen. |
| Ersetzt das unser Antivirenprogramm? | Nein, und man sollte es auch nicht so darstellen. Die Analyse bezieht sich auf die Datei, die gerade mit erhöhten Rechten ausgeführt werden soll. Ihr üblicher Schutz bleibt bestehen und funktioniert weiterhin. |
| Was macht er denn nicht? | Er trifft keine Entscheidungen an Ihrer Stelle. Er wendet die von Ihnen festgelegten Regeln an: Ist diese zu weit gefasst, streicht er sauber jene Rechte, die Sie nicht hätten vergeben sollen. Er führt keine Softwareinstallationen durch, ersetzt nicht die Verwaltung Ihres Softwarebestands und wird niemals beurteilen, ob eine unbekannte Software es verdient, bei Ihnen installiert zu werden – diese Entscheidung bleibt Ihnen überlassen. |
In der letzten Zeile geht es um das Produkt selbst, nicht um die Produkte anderer Anbieter. Das ist die einzige Art von Aussage, die wir uns erlauben: Wir äußern uns nicht zu Lösungen, die wir nicht herstellen und deren Produktpalette sich jedes Quartal ändert.
Wie läuft ein Auftrag ab?
Vier Schritte. Der erste dauert länger als die anderen drei, und das ist normal: Er entscheidet darüber, ob der Rest reibungslos verläuft.
Man misst, was sich tatsächlich festsetzt
Der Kunde wird in den Beobachtungsmodus versetzt: Niemand verliert seine Rechte, und über mehrere Wochen hinweg wird erfasst, was tatsächlich installiert ist, von wem und in welchen Abständen. Diese Erfassung ersetzt alle Vermutungen.
Fast immer zeigt sich, dass die überwiegende Mehrheit der Installationen auf eine kleine Liste bekannter Programme zurückzuführen ist.
Wir erstellen die Regel gemeinsam mit Ihnen
Was von selbst abläuft, was eine Entscheidung erfordert, wer entscheidet, in welchem Zeitraum und was außerhalb der Bürozeiten zu tun ist. Das ist eine organisatorische Diskussion, keine Frage der Konfiguration.
Sie umfasst eine Seite, wurde von der Geschäftsleitung genehmigt und gilt für alle gleichermaßen.
Die Rechte werden schrittweise entzogen
Zunächst ein Pilotprojekt, das gemeinsam mit Ihnen ausgewählt wird, und erst nach dessen Auswertung wird fortgefahren. Jede nachfolgende Phase profitiert von den Erkenntnissen der vorherigen – fast immer handelt es sich dabei um Anpassungen der Vorgehensweise, nicht des Produkts.
Die betroffenen Personen werden vorab informiert und erhalten eine dreizeilige Anleitung zum weiteren Vorgehen.
Man liest die Zeitung noch einmal durch und strafft den Text
Einen Monat später berichtet die Zeitung, was tatsächlich gefordert wurde. Es ist an der Zeit, das, was zu weit gefasst war, einzugrenzen und das, was hinderlich war, zu erweitern – auf der Grundlage von Fakten, nicht von Eindrücken.
Diese Überprüfung findet einmal jährlich statt: Ein Park verändert sich, und eine einmal festgelegte Regel veraltet mit der Zeit.
Was Sie wissen sollten, bevor Sie sich festlegen
Drei Fragen, die wir selbst beim ersten Treffen stellen. Jeder muss sich darauf einstellen; keine davon ist ein Grund, davon Abstand zu nehmen.
Ein Tool ist kein Ersatz für eine Entscheidung
Wenn die schriftliche Regel fast alles zulässt, erhalten Sie eine sehr umfassende Aufstellung von Rechten, die Sie eigentlich nicht hätten gewähren dürfen. Das Produkt wendet die Regel an; es trifft keine Entscheidung.
Aus diesem Grund gibt es Schritt 02, der gemeinsam mit Ihrer Geschäftsleitung durchgeführt wird – und nicht nur mit Ihrer IT-Abteilung. Eine Seite, die freigegeben wurde, und der Rest folgt.
Einige ältere Programme erfordern permanente Zugriffsrechte
Eine Fachanwendung, die bei jedem Start in einen Systemordner schreibt, funktioniert unter einem normalen Benutzer nicht. Das kommt zwar selten vor, ist aber möglich und wird in Schritt 01 erkannt.
So wird es gemacht: Diese Maschinen werden nach eigenen Regeln isoliert, der Rest des Bestands läuft weiter, und die Softwareaktualisierung wird separat geplant – ohne das gesamte Projekt aufzuhalten.
In den ersten Wochen ist Präsenz gefragt
Ungewöhnliche Anfragen kommen alle am Anfang. Wenn in dieser Phase niemand schnell reagiert, kommen die Nutzer zu dem Schluss, dass das neue System ihnen im Weg steht, und diesen Eindruck kann man nicht mehr wettmachen.
Wir sind in der ersten Welle dabei, und die Fristvereinbarung wird vor Beginn schriftlich festgehalten. Das ist von Anfang an im Budget vorgesehen und wird nicht nachträglich hinzugefügt.
Verwandte Themen
Wer das Recht hat, etwas aufzustellen, ist eine Frage; wer das Recht hat, das Gelände zu betreten, ist eine andere, und diese wird an anderer Stelle behandelt.
Die Stellenverwaltung mit Intune
Software bereitstellen, Einstellungen vornehmen, Festplatten verschlüsseln, die Rechner auf dem neuesten Stand halten. Diese beiden Aufgaben fallen oft im Rahmen desselben Auftrags an.
Seite lesen IdentitätMicrosoft Entra ID
Die Administratorkonten Ihres Verzeichnisses, also diejenigen, die Benutzer anlegen und Berechtigungen vergeben können – ein Thema, das sich vom Systemadministrator eines Rechners unterscheidet.
Seite lesen DepartementInfrastruktur und Cloud
Was das Team tut, das die Arbeitsplätze, Server, E-Mail-Systeme und Verzeichnisse einrichtet: Was es übernimmt und was nicht.
Zum DepartementFangen wir damit an, zu messen, ohne etwas wegzulassen
Nach einigen Wochen der Beobachtung in Ihrem Park verliert niemand seine Rechte, und Sie erhalten eine Liste dessen, was tatsächlich bei Ihnen installiert wird. Diese Bestandsaufnahme zeigt, ob das Projekt einfach ist oder nicht – und sie ist eine Diskussion wert, auch wenn Sie sich anschließend entscheiden, nichts zu unternehmen.
Renens, Sion, Châtel-Saint-Denis. +41 21 806 37 15 — [email protected]