Когда сотрудник переходит из отдела продаж в закупки, ему нужны новые рабочие ресурсы, а часть прежних прав нужно отозвать. Если доступы выдавали по одному в каждом приложении, администратору придется проверить несколько систем и вспомнить, где есть отдельные учетные записи. Служба каталогов позволяет управлять пользователями и их группами из одного места, если рабочие приложения подключены к каталогу и используют эти группы для назначения прав.

Централизованное управление службой каталогов можно организовать, например, с помощью ALD Pro. Система позволяет вести учетные записи пользователей и компьютеров, управлять группами, применять групповые политики и делегировать отдельные административные полномочия. При внедрении важно разделить две задачи: каталог помогает подтвердить, кто вошел в систему, а доступ к конкретной папке или функции определяется правилами самого ресурса.

Как назначать права через группы

Представим, что отделу закупок нужны общая папка, доступ к системе заявок и возможность согласовывать счета. Эти права не обязательно объединять в одну группу. Папкой могут пользоваться все сотрудники отдела, а согласование счетов требуется только руководителям. Если группы отражают конкретные права, при переводе сотрудника проще снять ненужные разрешения и не затронуть те, которые еще нужны.

• Называйте группы по ресурсу и действию. По названию должно быть понятно, дает ли группа право читать документы, редактировать их или утверждать заявки.
• Назначайте владельца доступа. Руководитель подразделения или владелец приложения решает, кому нужны права, а администратор вносит изменение в каталог.
• Отделяйте временный доступ от постоянного. Если сотрудник подменяет коллегу на две недели, заранее зафиксируйте дату пересмотра или отзыва выданных прав.
• Проверяйте прямые назначения. Исключение пользователя из группы не закроет доступ, если в приложении ему отдельно выдали ту же роль.

Чем групповые политики отличаются от прав доступа

Членство в группе может давать право открыть ресурс, а групповая политика задает параметры рабочей среды. Например, группа определяет, кто может редактировать документы отдела, а политика задает параметры окружения на компьютерах этого отдела. Это разные задачи. Если сотрудник не может открыть папку, стоит проверить его права на ресурс. Если на рабочем месте не применяется настройка, нужно проверить область действия политики и результат ее применения.

Новую политику лучше сначала испытать на небольшой группе компьютеров с типовыми рабочими конфигурациями. Проверьте, что настройка действительно применилась, не нарушила повседневную работу и может быть возвращена к прежнему состоянию. Так проблема обнаружится до того, как изменение затронет весь отдел.

Что проверить при приеме, переводе и увольнении

1. Прием. Создайте персональную учетную запись и назначьте права по рабочей роли. Проверьте вход в нужные сервисы под этой записью. Успешный вход под администратором ничего не говорит о правах нового сотрудника.
2. Перевод. Сравните прежнюю и новую роли. Уберите права, которые больше не нужны, и проверьте, что общие ресурсы, которыми сотрудник продолжает пользоваться, остались доступны.
3. Увольнение. Заблокируйте учетную запись в согласованное время. Отдельно проверьте активные сессии, локальные учетные записи и внешние сервисы, которые не используют каталог. Блокировка доменной записи сама по себе не гарантирует немедленного завершения всех сеансов.

С чего начать внедрение

Возьмите одно подразделение и два-три ресурса, которыми оно пользуется каждый день. Зафиксируйте, кто согласует доступ, через какие группы он выдается и где могут оставаться отдельные учетные записи. Затем на тестовом пользователе проверьте выдачу и отзыв прав. Важно проверить не только появление нужной группы в каталоге, но и результат в самом приложении: открывается ли ресурс после выдачи доступа и перестает ли открываться после отзыва.

Порядок управления доступом можно считать рабочим, когда по каждому ресурсу понятно, кто им пользуется, на каком основании и как отозвать права. Проверка этого процесса на одном подразделении позволяет исправить правила до того, как их придется применять во всей организации.