MSP FAQ: jak zarządzać dostępem między dzierżawami bez administratora-boga

Stały dostęp globalnego administratora do każdej dzierżawy klienta to pojedynczy punkt awarii. Model GDAP Microsoftu pokazuje, jak zamiast tego ograniczyć dostęp do poszczególnych klientów.

W tym artykule

Co zmienia GDAP
Stosowanie tego samego modelu poza Microsoft 365
Praktyczna lista kontrolna

Częstym trybem awarii w działalności MSP jest technik lub konto automatyzacji ze stałymi uprawnieniami administratora w każdej dzierżawie klienta — „administrator-bóg”, który zamienia jedno przejęte poświadczenie w naruszenie całej bazy klientów. Model Granular Delegated Admin Privileges (GDAP) Microsoftu, stworzony dla własnego ekosystemu partnerskiego, ilustruje alternatywę.

Bramka obrotowa przy wejściu z czytnikami kart po obu stronach, w tle widoczne windy — Fot.: Globetrotter19 (CC BY-SA 4.0), Wikimedia Commons.

Co zmienia GDAP

Przed GDAP agenci administratorzy partnera mogli bezterminowo przyjmować rolę administratora globalnego w dzierżawie klienta. GDAP zastępuje to dostępem, który jest zarówno granularny — ograniczony do konkretnych ról administracyjnych — jak i czasowy, a także wymaga, aby klient jawnie przyznał ten dostęp, zamiast dziedziczyć go automatycznie. Własne wytyczne ról Microsoftu idą dalej, mapując każde zadanie administracyjne na wbudowaną rolę o najmniejszych uprawnieniach, która może je wykonać, zamiast domyślnie sięgać po szeroką rolę administratora, bo tak jest wygodniej.

Stosowanie tego samego modelu poza Microsoft 365

Wzorzec GDAP uogólnia się na dowolny stos SaaS, którym MSP zarządza w imieniu klienta: każda dzierżawa klienta powinna być własną granicą zarządzania, tożsamości techników i automatyzacji powinny być odrębne, a podwyższony dostęp powinien wygasać, a nie trwać. Wątek na forum MSP z Non-Human Identity Management Group ujmuje leżące u podstaw ryzyko wprost: słaba izolacja dzierżaw zamienia wygodę operacyjną we wspólne ryzyko dla każdego klienta na platformie.

Praktyczna lista kontrolna

Brak stałej roli administratora globalnego lub równoważnej obejmującej wszystkie dzierżawy klientów.
Ograniczanie ról partnera/technika do poszczególnych klientów i ich przegląd w ustalonym harmonogramie.
Utrzymywanie oddzielnej ścieżki awaryjnej z czasowym podniesieniem uprawnień powiązanym ze zgłoszeniem.
Nadanie automatyzacji własnej tożsamości o najmniejszych uprawnieniach, odrębnej od tożsamości technika.
Zachowanie dzienników audytu dla każdej dzierżawy, z możliwością wyszukiwania według klienta.

Wnioski wykraczają poza Microsoft 365: niezależnie od platformy, za pomocą której MSP dociera do dzierżaw klientów, dostęp powinien być ograniczony, czasowy i przypisany do konkretnego klienta — a nie jedną tożsamością administratora otwierającą wszystkie drzwi.

Źródła: Microsoft Learn — Wprowadzenie do GDAP, Non-Human Identity Management Group — zarządzanie wielodzierżawowym SaaS dla MSP.