Seminar One Identity Safeguard Privilege Manager for Windows: Administration

Dauerhafte lokale Administratorrechte sind bequem, aber sicherheitstechnisch ein offenes Scheunentor. Das Seminar zeigt, wie Anwendungen gezielt mit den notwendigen Rechten ausgeführt werden, ohne Benutzern pauschale Administratorrechte zu belassen.

Zielsetzung

Die Teilnehmenden erstellen, testen und verteilen fein abgestufte Regeln, gestalten einen kontrollierten Self-Service und werten Elevation-Ereignisse für Betrieb und Revision aus.

Zielgruppe

Windows- und Endpoint-Administratoren, Active-Directory- und Gruppenrichtlinienverantwortliche, Security Engineers und Workplace-Teams.

Voraussetzungen

Gute Kenntnisse in Windows-Clientadministration, Active Directory, Gruppenrichtlinien, Benutzerkontensteuerung und Softwareverteilung.

Seminarinhalte

Architektur und Bereitstellung

• Server, Datenbank, Verwaltungskonsole, Client und Active-Directory-Integration einordnen.
• Editionen und Funktionsgrenzen bei der Planung von Regeln und Self-Service berücksichtigen.
• Server- und Clientkommunikation, Ports, Berechtigungen und Pilot-GPO vorbereiten.

Privilege-Elevation-Regeln

• Regeln nach ausführbarer Datei, Ordnerpfad, Installer und weiteren geeigneten Kriterien erstellen.
• Sicherheitsgruppen, Tokenänderungen, Integritätsstufen und Validierungslogik gezielt einsetzen.
• Zu breite Pfadregeln, veränderbare Dateien und andere Umgehungsmöglichkeiten vermeiden.

Blacklist und Anwendungskontrolle

• Blacklist-Regeln von Elevation-Regeln abgrenzen und Prioritäten verstehen.
• Unerwünschte Anwendungen kontrolliert blockieren und Auswirkungen vor dem Rollout testen.
• Ausnahmen, Änderungsprozess und Rückfallverfahren nachvollziehbar gestalten.

Self-Service und Instant Elevation

• Benutzeranforderungen mit Genehmigung und daraus entstehenden Regeln abbilden.
• Instant Elevation für klar definierte vertrauenswürdige Gruppen und Anwendungsfälle begrenzen.
• Benutzeroberfläche, Begründung, Laufzeit und Supportverfahren auf den Betriebsprozess abstimmen.

Test, Reporting und Betrieb

• Regeln lokal oder remote testen und Konflikte mit GPO-Vererbung systematisch untersuchen.
• Elevation-, Anforderungs- und Anwendungsberichte für Kontrolle und Optimierung nutzen.
• Clientzustand, Datensammlung, Servererreichbarkeit, Regelimport und Regelexport in ein Runbook aufnehmen.

Praxis und Übungen

Im Labor werden ein Pilot-GPO, mehrere Elevation- und Blacklist-Regeln, ein Self-Service-Fall und ein Instant-Elevation-Szenario umgesetzt, getestet und anhand der Berichte bewertet.