physar / Classic IT Ops / Konten und Berechtigungen im Lebenszyklus

Konten und Berechtigungen im Lebenszyklus

Eintritt, Wechsel und Austritt als Auslöser statt als Ticket: Rechteanhäufung, Dienstkonten ohne Besitzer und der Nachweis, dass Entzug wirklich stattgefunden hat.

Rechte kommen leicht und gehen schwer

Einführung · 5 Abschnitte · ~15 Min Lesezeit · Stand

Betriebsfrage

Berechtigungen werden vergeben, wenn jemand sie braucht — und bleiben, wenn er sie nicht mehr braucht. Nach wenigen Jahren trägt ein langjähriger Mitarbeiter die Rechte aller Rollen, die er je hatte. Das ist kein Einzelfall, sondern der Normalzustand ohne Lebenszyklus.

Mentales Modell

  1. Eintritt
  2. Wechsel
  3. Austritt

Eintritt und Austritt sind klare Ereignisse mit klarem Auslöser. Der Wechsel ist der Fall, an dem Prozesse scheitern: Neue Rechte kommen hinzu, die alten werden vergessen — weil niemand einen Auslöser für ihren Entzug definiert hat.

Vier Kontenarten

Persönliches KontoGenau einer Person zugeordnet. Handlungen sind zurechenbar.
Administratives KontoGetrennt vom Alltagskonto, damit Alltagstätigkeiten keine erhöhten Rechte tragen.
DienstkontoGehört einem System, nicht einer Person — braucht trotzdem einen menschlichen Besitzer.
GemeinschaftskontoZurechenbarkeit geht verloren. Nur mit begründeter Ausnahme und kompensierender Protokollierung.

Nachweis statt Absicht

  • Ein deaktiviertes Konto ist kein entzogener Zugriff, wenn Zugangsschlüssel, Sitzungen oder Anwendungsberechtigungen weiterleben.
  • Wiederkehrende Überprüfungen brauchen einen Entscheider, der etwas verliert, wenn er blind zustimmt.
  • Ein Dienstkonto ohne benannten Besitzer ist ein Konto, dessen Abschaltung niemand verantworten will.

Route

Gelesen ist nicht geprüft: Im Modul entscheidest du die Fälle selbst und siehst danach, wo dein Urteil trägt.

3 Checks starten →

Modul-Aufbau

EINFÜHRUNGRechte kommen leicht und gehen schwer~15 Min
ADR-001ROLLENWECHSELsolide
ADR-002DIENSTKONTOsenior
FLOW-003MISSION · AUSTRITTSNACHWEISsolide

Quellen

  1. 01csrc.nist.gov/pubs/sp/800/53/r5/upd1/final
  2. 02pages.nist.gov/800-63-3/sp800-63b.html

Verfasst von Julian Zentgraf