A Microsoft 365 rendelkezésre áll, az Edge napi használatban van, a jelszavak pedig gyorsan elmenthetők. Az üzleti tervezéshez azonban pontosan el kell különíteni a személyes böngészőadatok szinkronizálását, a hitelesítő adatok központi kiosztását és a közös céges hozzáférések szerepkörös kezelését. Ezek különböző feladatok.
A webhelyre való bejelentkezés még nem munkahelyi profil
A böngésző egyszerre tartalmazhat magán- és céges profilt. A böngészőbe bejelentkezett fiók befolyásolja, hová szinkronizálódnak az adatok. Ez különbözik az éppen megnyitott webhely fiókjától. Egy céges portál megnyitása magánprofilban nem helyez automatikusan minden mentett jelszót vállalati felügyelet alá.
A tudatosan beállított munkahelyi profil ellenőrizhető hozzárendelést biztosít. Konkrétan ellenőrizni kell a megfelelő céges identitást, a felügyeletet és a szinkronizálás engedélyezését. A Microsoft ezeket a rétegeket az Edge identitás- és profildokumentációjában ismerteti (külső hivatkozás).
A személyes szinkronizálás ugyanazon személy eszközeit kapcsolja össze
Az Edge többek között kedvenceket, beállításokat és jelszavakat szinkronizálhat a bejelentkezett eszközök között. Az engedélyezett és aktív adattípusok a fióktípustól, a szolgáltatás feltételeitől, a licenctől és a szabályzatoktól függnek. A „van Microsoft 365-ünk” nem elég: az alkalmazott csomag és bérlő pontos lehetőségeit kell ellenőrizni.
A személyes szinkronizálás megkönnyíti a saját munkaeszközök közötti váltást. Nem jelent automatikus, szerepkör alapú megosztást más munkatársakkal. Közös beszállítói fióknál ezért külön tisztázandó a jogosult csoport hozzáférése, valamint a változások és kilépések kezelése. Műszaki hivatkozás: Microsoft: vállalati szinkronizálás az Edge-ben (külső hivatkozás).
Az Edge rendszergazdai úton is kioszthat hitelesítő adatokat
Hiányos lenne általánosan kijelenteni, hogy az Edge egyáltalán nem tud közös hitelesítő adatokat biztosítani. A Microsoft külön funkcióként dokumentálja a Secure Password Deployment lehetőséget az Edge felügyeleti szolgáltatásában. Az IT célzottan hozzárendelheti az adatokat, és elérhetővé teheti őket webes bejelentkezések kitöltéséhez. Ez különbözik a személyes jelszavak szinkronizálásától.
A jelenlegi dokumentáció Microsoft 365 Business Premium, E3 és E5 csomagokat, valamint Cloud Policies alapú konfigurálást említ. A Microsoft felügyelt Windows-eszközök munkahelyi profiljában írja le a használatot. Bevezetés előtt ellenőrizendők a támogatott platformok, a csoport-hozzárendelések és a bérlő elérhető funkciói; ebből nem következik minden eszközre vagy csomagra érvényes támogatás.
Ez a kiosztás megfelelő lehet egy konkrét, korlátozott felhasználáshoz. A bejegyzésekkel, mellékletekkel, több alkalmazással, megosztási folyamatokkal, helyettesítéssel és a megoldásból való kilépéssel kapcsolatos további igényeket külön kell felmérni. Források: Microsoft: Secure Password Deployment (külső hivatkozás).
A jelszó elrejtése nem garantál teljes titkosságot
A rendszergazdai úton kiosztott adatok megjelenítése, szerkesztése és exportálása korlátozható a böngésző felületén. Ebből nem ígérhető, hogy a jogosult személy technikailag semmilyen körülmények között nem szerezheti meg a titkot. A Microsoft maga is jelzi ezt a korlátot a központi jelszókiosztásról szóló cikkében (külső hivatkozás).
Munkatárs távozásakor ezért a célfiók állapota is számít. A böngészős hozzárendelés visszavonása, a munkamenet lezárása és a szükséges beszállítói jelszócsere külön lépések. Ha a portál személyes felhasználókat támogat, ezt a lehetőséget szerepköreivel és tiltási folyamataival együtt be kell vonni a tervezésbe.
Minden böngészőszabályzat egy konkrét feladatot old meg
A felügyelt Edge-profilok az erre szolgáló felügyeleti utakon és szabályzatokkal, például Csoportházirenddel, Intune-nal vagy az Edge felügyeleti szolgáltatásával vezérelhetők. A gyártó konkrét leírása alapján kell ellenőrizni a támogatott platformot és profiltípust. Egy beállított kapcsoló önmagában nem igazolja a meglévő adatok teljes állapotát.
Fontos példa a PasswordManagerEnabled: a Microsoft dokumentációja szerint az új jelszavak mentésének letiltása után a korábban mentettek továbbra is használhatók. Egy adattípus kizárása a szinkronizálásból sem bizonyítja minden régebbi helyi másolat eltávolítását. A pilotban ezért együtt kell ellenőrizni a meglévő adatokat, a kívánt szabályt és a tényleges eredményt.
Microsoft: jelszómentés vezérlése (külső hivatkozás) · Microsoft: szinkronizált adattípusok korlátozása (külső hivatkozás).
| Feladat | Jellemző felügyeleti hatókör | Előzetes ellenőrzés |
|---|---|---|
| Személyes böngészőjelszavak | Mentés, kitöltés és megfelelő szinkronizálás egy személy profiljában. | Megfelelő profil, engedélyezett fiók és meglévő adatok. |
| Rendszergazdai Edge-kiosztás | Hozzáférések célzott kiosztása az erre szolgáló felügyeleti szolgáltatással. | Licenc, csoportok, eszközök és tényleges kiosztás. |
| Közös vállalati széf | Szükséges közös bejegyzések, szerepkörök és átadások a termék funkciói szerint. | Konkrét megosztási jogok, helyreállítás és kilépés. |
| Identitás és MFA | A céges fiók és a kapcsolódó szolgáltatások bejelentkezésének védelme. | További jogosultságok és munkamenetek a célportálon. |
Az Entra ID és az MFA az identitásréteget védi
A jól védett céges identitás a munkahelyi profil és a kapcsolódó szolgáltatások alapja. Az MFA és a megfelelő bejelentkezési szabályzatok védhetik ezt a hozzáférést. Nem hoznak azonban automatikusan személyes fiókokat, megfelelő szerepköröket vagy tesztelt helyreállítási utat egy külső beszállítói portálon.
Az identitás bejelentkezését, a hitelesítő adatok tárolási helyét és a tényleges portál jogosultságait ezért külön dokumentáljuk. Ez eszközcserekor, helyettesítéskor és a hibát elhárító személy meghatározásakor is segít. Megfelelő csapatszéf egészítheti ki a választott böngészős út lehetőségein túlmutató közös funkciókat.
Példa: Microsoft 365 és közös beszerzési portál
Egy feltételezett vállalkozás Microsoft 365-öt használ az együttműködéshez. Egy beszállító beszerzési portálja csak egy közös fiókot ismer. A könyvelés és helyettesítője számára először rögzíteni kell a hozzáférés üzemi gazdáját, jogosult felhasználóit és a helyreállítási üzenetek címzettjét.
Ezután megfelelő változatokat próbálunk ki: rendszergazdai Edge-kiosztást a kijelölt eszközökön vagy vállalati széfet a szükséges szerepkörökkel és átadásokkal. A tartalék eszköz és egy tesztfelhasználó távozása is a teszt része. Egyetlen személy magán szinkronizálási fiókja nem válhat észrevétlenül a cég egyetlen helyreállítási útjává.
Induljunk a meglévő eszközökkel, és célzottan egészítsük ki őket
A DAXS segít a profilok és licencek ellenőrzésében, a személyes és közös hozzáférések kívánt kezelésének meghatározásában és egy áttekinthető pilotban. Az eredmény lehet megfelelően felügyelt meglévő böngészőfunkció vagy kiegészítő jelszókezelés. A konkrét munkafolyamat és az egyértelmű üzemi felelősség dönt.
Egyeztetés a böngésző- és jelszókezelésről · Munkahelyek és identitások tervezése · Felhős és saját üzemeltetésű jelszókezelők összehasonlítása · Közös céges hozzáférések és kilépések rendezése
Gyakori kérdések
Elég az Edge személyes szinkronizálása a könyvelés közös hozzáféréséhez?
Ugyanazon személy több eszközének szinkronizálása nem ilyen csoportos megosztás. A rendszergazdai kiosztást és a csapatszéfet külön kell értékelni.
Kioszthat az Edge központilag közös hitelesítő adatokat?
A Microsoft meghatározott feltételekkel dokumentálja a Secure Password Deployment funkciót. A platformot, licencet, felügyeleti utat és szükséges funkciókat konkrétan kell ellenőrizni.
Törli a jelszómentés letiltása a meglévő jelszavakat?
Az említett Edge-szabályzat megakadályozza az új mentést, de a meglévő jelszavakat nem távolítja el automatikusan. A kívánt tisztításhoz saját, ellenőrzött folyamat kell.
