Sadece Yeterli Yönetime (JEA) Genel Bakış

Just Enough Management (JEA), PowerShell tarafından yönetilen her şey için yetkilendirilmiş yönetime olanak tanıyan bir güvenlik teknolojisidir. JEA ile şunları yapabilirsiniz:

• Normal kullanıcılar adına ayrıcalıklı işlemler gerçekleştirmek için sanal hesapları veya grup tarafından yönetilen hizmet hesaplarını kullanarak makinelerinizdeki yönetici sayısını azaltın.
• Hangi cmdlet'leri, işlevleri ve harici komutları çalıştırabileceklerini belirterek kullanıcıların yapabileceklerini sınırlayın.
• Bir kullanıcının oturumu sırasında tam olarak hangi komutları yürüttüğünü gösteren transkriptler ve günlüklerle kullanıcılarınızın ne yaptığını daha iyi anlayın.

JEA neden önemlidir?

Sunucularınızı yönetmek için kullanılan yüksek ayrıcalıklı hesaplar ciddi bir güvenlik riski oluşturur. Bir saldırganın bu hesaplardan birini ele geçirmesi halinde kuruluşunuz genelinde yan saldırılar başlatabilir. Güvenliği ihlal edilen her hesap, saldırganın daha fazla hesaba ve kaynağa erişmesini sağlar ve saldırganı şirket sırlarını çalmaya, hizmet reddi saldırısı başlatmaya ve daha fazlasına bir adım daha yaklaştırır.

Yönetici ayrıcalıklarını kaldırmak da her zaman kolay değildir. DNS rolünün Active Directory Etki Alanı Denetleyicinizle aynı makineye yüklendiği ortak senaryoyu düşünün. DNS yöneticileriniz, DNS sunucusuyla ilgili sorunları düzeltmek için yerel yönetici ayrıcalıklarına ihtiyaç duyar. Ancak bunu yapmak için onları yüksek ayrıcalıklara sahip Alan Adı Yöneticileri güvenlik grubunun üyeleri yapmalısınız. Bu yaklaşım, DNS Yöneticilerine etki alanınızın tamamı üzerinde etkin bir kontrol ve o makinedeki tüm kaynaklara erişim olanağı sağlar.

JEA bu sorunu En Az Ayrıcalık ilkesiyle çözmektedir. JEA ile, DNS yöneticileri için yalnızca işlerini yapmak için ihtiyaç duydukları PowerShell komutlarına erişmelerini sağlayan bir yönetim uç noktası yapılandırabilirsiniz. Bu, zehirlenmiş bir DNS önbelleğini onarmak veya DNS sunucusunu istemeden Active Directory hakları vermeden yeniden başlatmak veya dosya sistemine göz atmak veya tehlikeli olabilecek komut dosyalarını çalıştırmak için uygun erişimi sağlayabileceğiniz anlamına gelir. Daha da iyisi, JEA oturumu geçici ayrıcalıklı sanal hesapları kullanacak şekilde yapılandırıldığında, DNS yöneticileriniz yönetici olmayan kimlik bilgilerini kullanarak sunucuya bağlanabilir ve yine de genellikle yönetici ayrıcalıkları gerektiren komutları çalıştırabilir. JEA, kullanıcıları geniş ayrıcalıklı yerel/etki alanı yöneticisi rollerinden çıkarmanıza ve her makinede neler yapabileceklerini dikkatli bir şekilde kontrol etmenize olanak tanır.

Sonraki adımlar

JEA kullanımına ilişkin gereksinimler hakkında daha fazla bilgi edinmek için Önkoşullar makalesine bakın.

Örnekler ve DSC kaynağı

Örnek JEA yapılandırmaları ve JEA DSC kaynağı JEA GitHub deposunda bulunabilir.