Administração Apenas Suficiente

Just Enough Administration (JEA) é uma tecnologia de segurança que permite a administração delegada para qualquer coisa gerenciada pelo PowerShell. Com o JEA, você pode:

• Reduza o número de administradores em suas máquinas usando contas virtuais ou contas de serviço gerenciadas por grupo para executar ações privilegiadas em nome de usuários comuns.
• Limite o que os usuários podem fazer especificando quais cmdlets, funções e comandos externos eles podem executar.
• Entenda melhor o que seus usuários estão fazendo com transcrições e logs que mostram exatamente quais comandos um usuário executou durante a sessão.

Por que o JEA é importante?

Contas altamente privilegiadas usadas para administrar seus servidores representam um sério risco de segurança. Se um invasor comprometer uma dessas contas, ele poderá lançar ataques laterais em toda a sua organização. Cada conta comprometida dá a um invasor acesso a ainda mais contas e recursos, e os coloca um passo mais perto de roubar segredos da empresa, lançar um ataque de negação de serviço e muito mais.

Também nem sempre é fácil remover privilégios administrativos. Considere o cenário comum em que a função DNS está instalada na mesma máquina que o Controlador de Domínio Ative Directory. Os administradores de DNS precisam de privilégios de administrador local para corrigir problemas com o servidor DNS. Mas, para fazer isso, você deve torná-los membros do grupo de segurança altamente privilegiado Administradores de Domínio. Essa abordagem efetivamente dá aos administradores de DNS controle sobre todo o seu domínio e acesso a todos os recursos nessa máquina.

A JEA aborda este problema através do princípio do Menor Privilégio. Com o JEA, você pode configurar um ponto de extremidade de gerenciamento para administradores de DNS que lhes dá acesso apenas aos comandos do PowerShell de que precisam para realizar seu trabalho. Isso significa que você pode fornecer o acesso apropriado para reparar um cache DNS envenenado ou reiniciar o servidor DNS sem conceder involuntariamente direitos ao Ative Directory, ou para navegar no sistema de arquivos, ou executar scripts potencialmente perigosos. Melhor ainda, quando a sessão JEA é configurada para usar contas virtuais privilegiadas temporárias, os administradores de DNS podem se conectar ao servidor usando credenciais não administrativas e ainda executar comandos que normalmente exigem privilégios de administrador. O JEA permite remover usuários de funções de administrador local/domínio amplamente privilegiadas e controlar cuidadosamente o que eles podem fazer em cada máquina.

Próximos passos

Para saber mais sobre os requisitos para usar o JEA, consulte o artigo Pré-requisitos .

Exemplos e recurso DSC

Exemplos de configurações de JEA e o recurso JEA DSC podem ser encontrados no repositório JEA GitHub.