Konta administracyjne, hasła lokalne, logowanie przez katalog, dostęp awaryjny i dostęp dostawców: kto może zrobić wszystko i jak to ograniczyć.
Administrator domeny, który loguje się na stację roboczą, zostawia na niej klucz do całego katalogu. Trzy warstwy, osobne konta i kilka praw użytkownika w zasadach grupy zamykają tę drogę bez dodatkowego oprogramowania.
To samo hasło lokalnego administratora na wszystkich stacjach z jednego obrazu to otwarta droga od pierwszej zainfekowanej maszyny do pozostałych. Windows LAPS rozwiązuje to bez dodatkowych licencji, a kilka zapytań pokazuje, czy ochrona obejmuje całą flotę.
System CI, platforma GitOps, monitoring i baza wiedzy potrafią logować użytkowników kontem domenowym. Bezpośrednie LDAPS i OIDC przez pośrednika, takiego jak Dex lub Keycloak, dają ten sam efekt dla użytkownika i zupełnie inny dla bezpieczeństwa.
Im bardziej wszystko zależy od jednego miejsca logowania, tym bardziej potrzebny jest dostęp, który od niego nie zależy. Konta tylko-chmurowe z kluczami FIDO2, konto w katalogu z dzielonym hasłem, alert przy każdym użyciu i test co kwartał.
Konto VPN dla dostawcy daje mu dostęp do całej sieci, bez zapisu tego, co zrobił, i często na lata po zakończeniu umowy. Bramka z nagrywaniem sesji, konta czasowe w Active Directory i MFA ograniczają dostęp do konkretnych maszyn i konkretnego okna czasu.