Just Enough Administration (JEA)

[rakli 13]

Hi,

 

hat jemand schon JEA implementiert, https://msdn.microsoft.com/powershell/jea/readme

Das Konzept kling gut, aber es scheint sehr in die Tiefe von Powershell zu gehen.

 

Gruss

 

Rainer

[blub 115]

Die "beschnittenen" Administratoren müssen zumindest mit den übrig gebliebenen Befehlen der Powershell umgehen können, um ihre Aufgaben zu erledigen. Das alleine wird schon schwierig zu erreichen.

Aber nein, außer wagen Gedanken dazu haben wir noch nichts. Aber JIT (just in Time Administration) haben wir schon im Einsatz:-). Das bringt auch schon viel.

[Azharu 119]

Haben wir noch nichtmal angedacht bei uns, gehe sogar davon aus, dass die Kollegen das nichtmal wissen

[NilsK 3.046]

Moin,

 

das Konzept ist spannend, aber die Umsetzung macht es nur für Enterprise-Unternehmen interessant, die ausreichend Ressourcen haben, um eine brauchbare Lösung drumrum zu entwickeln.

 

Wir kennen das ja schon von RBAC, PAM, Dynamic Access, Password Setting Objects, IPSec ...

 

Gruß, Nils

[NorbertFe 2.283]

Alles am Markt super aufgenommene Technologie, die sich aufgrund der besonders gut zu handhabenden Oberfläche, super Verwaltbarkeit und Organisation durchgesetzt haben, meinst du? :)

[NilsK 3.046]

Moin,

 

ja, das fasst es gut zusammen.

 

Gruß, Nils

PS. Ich vergaß noch NAP.

bearbeitet 19. August 2016 von NilsK

[blub 115]

Ansich gibt es die Powershell-Session-Configurations schon mehrere Jahre.

https://technet.microsoft.com/de-de/library/dd819508.aspx

Mit "JEA" hat das Kind nur einen neuen, griffigeren Namen bekommen, zusammen mit noch ein paar Features dazu. Ich sehe JEA nicht als Werkzeug an, um die Security auch in Enterprise Umgebungen merklich zu erhöhen. Es wird natürlich spezielle Anwendungsfälle geben, die von JEA mehr profitieren

 

JIT finde ich dagegen wertvoll und schon lange überfällig. Damit geht Microsoft den Weg, den Großrechner schon 20 Jahre (oder sogar länger ??) beschreiben. Administrationsrechte werden damit  nur noch zeitlich begrenzt per Workflow-Prozess vergeben. Damit eliminiert Microsoft endlich eine Hauptschwachstelle von AD-Windows, dass Domainadministratoren jederzeit und überall alles dürfen.