Нередко можно прочитать в интернете о таких ситуациях, что админ ушел по плохому, не оставил пароли. То есть такая практика, что пароли от админских учеток знает только админ достаточно широко распространена?  Вроде как собственники по этому поводу возмущаются - они же хозяева и хотят быть свободными.
Но с другой стороны и у админов есть их важная правда в том, что если кроме них кто-то знает пароль, то уже нет гарантий и ответственности. Как пример, админ вечером после рабочего дня ушел домой, собственник приводит третьих лиц, те что-то делают под админской учеткой, даже не то чтобы с целью подставить адммина, а что-то пытаются, на что, например, админ говорил, что нельзя так делать по тем-то и тем-то причинам, а собственник все-равно хочет и поэтому привел третьих лиц, которые обещали это сделать. В итоге третьи лица не сделали, только наломали дров, а админ утром приходит на работу, и собственник ему говорит - вот, у тебя сломалось, исправляй, делай, еще и штраф тебе, что сломалось у тебя и ты подвел все предприятие.
Ведь у других профессий есть такие "гарантийные пломбы", если главный энергетик имеет доступ к оборудованию, которое под замком, то он ставит пломбу, и в случае ее нарушения уже не отвечает, а нарушивший пломбу.
Каким образом аналогично реализовать с админскими учетками? Хранить дубль пароля у собственника, но в опломбированном ящике, конверте и т.д.? Чтобы в случае их повреждения ответственность и гарантийные обязательства переходили на нарушившего пломбу? Может это в электронном виде можно организовать? Например, почтовый ящик, который при входе в него рассылает смс о факте входа и источнике входа или еще что-то более умное?
Как соблюсти баланс между правом собственника и гарантийными обязательствами админа? Ведь на той-же бытовой технике стоит гарантийная пломба - нарушил, теряешь гарантию, а как админа обезопасить от шаловливых ручек собственников и третьих лиц, которых они могут привлечь для помощи своим шаловлимым рукам.

А зачем такие строгие формальности?

как вам тяжело жить, наверное. все время какие то надуманные проблемы.

(2) В большом корпоративном мире именно так

Хранить дубли пароля у собственника не поможет собственнику, т.к. админ может запаролить еще что-нибудь без передачи дубля пароля

Вообще-то руководитель всегда может обязать своего подчиненного выдать пароли. Ждать увольнения не обязательно. Прием-передачу паролей можно увязать и с увольнением как "сдачу дел".

Любой пароль снимается

Все пароли, описание настроек сети и пр. должны где-то быть в любом случае (не только в голове админа), на случай передачи дел другому админу.

пароли в запечатаном конверте. Если кто-то полез под админским паролем - админ имеет право проверить конверт...
это нормально.

(6) Сними мой пароль в моей локально сети. Иной инфы не дам.

Правильнее так - должен быть отдельный пользователь, единственным полномочием которого является возможность смены пароля администратора. И пароль этого пользователя должен находиться в опечатанном конверте в сейфе главбуха.

(9) 8 звездочек?

Вообще-то, логирование действий никто не отменял - если кто-то полез, просто зная пароль, то отвечать всё равно должен тот, кто полез, а не тот, кто пароль ставил.

(11) Больше 10.

Учетка админа должна хранится в конвертике в сейфе. Админы обязаны работать под персонифицированными учетками. Учетка админа не должна иметь дефаултный логин.

Это элементарные правила. Как зубы почистить.

(10)почему именно Главбуха? тогда уж СБ.

И потом, если админ увольняется не передав дела, то даже наличие всех паролей не гарантирует, что всё будет работать как часы - некоторые закладки настолько сложно обнаружить, а переставлять всё и вся никто не будет.

(15) Главбух с сейфом везде есть, в отличие от

(13) ну вот видишь, всего на 2 звездочки ошибся...

(18)не на 2, больше 10, а не 10.

(16) ну, по закладки пока речь не ведем - подразумеваем, что админ в меру порядочный...

(16) Элемент саботажа имеет места быть. Если к саботажу готовиться специально, то высока вероятность исполнения саботажных деструктивных действий, особенно, если уволен единственный носитель знаний администрирования.

(14) Кстати да - пароль от учётки "админа по умолчанию", никто не обязывает сообщать администраторам - они, конечно, его могут поменять, но узнать-то они его не могут.

(17) Да и главбух не везде есть. У меня знакомая работает дома - ведёт бухгалтерию штук 10-ти фирм, т.к. у них своих бухов нету. Правда я не в курсе, оформлена она у них вообще в штат, или по договору работает.

(23) Там где нет главбуха - и админа штатного тоже нет)

(20) Порядочный админ все пароли передаёт, так что с ним обычно проблем нет.

Вообще-то проблем наделать может и обиженный шофер, если у него единственные ключи от автомобиля.

(25) он может заболеть.
"Да, человек смертен, но это было бы ещё полбеды. Плохо то, что он иногда внезапно смертен, вот в чём фокус!"©воланд

(14)"Учетка админа должна хранится в конвертике в сейфе. "

так админ ведь может физически изменить пароль своей учетки без оповещения собственника?

как выглядит процедура закладки в конверт? собственник и админ сидят вместе за сервером, пароль настолько сложный и длинный, что запомнить на память его невозможно? админ напечатал пароль в текстовом редакторе, распечатал его на принтере, задал для учетки, дал в руки собственнику, тот с бумажки вводит пароль учетки и убеждается, что он корректен, вместе закладывают в конверт и опечатывают? так?
повторюсь, это схема рабочая, только если пароль настолько сложен, что прочитав его и введя с бумаги единожды, его невозможно запомнить, так как собственник ведь будет его читать и вводить для проверки. и к тому-же админ не должен иметь возможности сменить свой пароль, а это как обеспечить?

(24) Ну наверно да, потому что она мне постоянно звонит за помощью, а не к тем админам :)

(28) как обеспечить - см (10). Хорошее решение

(28) не свой, а админский (Domain admin)

(0) Пусть "третьи лица" входят под своей учёткой с соответствующими правами.

(28) Админ может изменить пароль любой учётки. В том числе и учётки админа по умолчанию, которую здесь предлагали админу не давать.

Причем тут главбух? Вы еще уборщицу назначьте ответственной за безопасность.

(34) за пожарную. ибо у нее ведро с водой есть...

(28) Пароль вводит собственник и создаёт новую учётку для нового админа - при этом, админ вообще может не присутствовать. А уже получив свою учётку с паролем, скажем 111, админ меняет пароль и начинает работать.

(25)"Порядочный админ все пароли передаёт, так что с ним обычно проблем нет."

то есть? все-таки в процессе эксплуатации пароль знает только он? и передает только при уходе? это считается нормой?
попался собственник, который говорит, ты сопровождай, но я хочу быть свободным и хочу знать все пароли, ведь я собственник и все это оборудование мое. он прав? или здесь все-таки есть такой момент, что своим желанием свободы он нарушает важные права админа? как правильно сформулировать что нарушает собственник своим требованием? и чего он лишается при соблюдении этого требования? любых гарантийных обязательств со стороны админа? или еще чего-то?

(9) При наличии физического доступа то?
Не путаем от кого/чего нужны пароли как защита?

(36) "и начинает работать" // Ага: например, делать (33) :)

(38)+ Другое дело если есть инфа зашифрованная паролем, тут понятно дело траблы и легко не вскрыть совершенно. Но на такие случаи часто предусмотрено заранее разрабами средств шифрования.

(37) Собственник имеет право знать все пароли, админ имеет право уйти от такого собственника.

"попался собственник, который говорит, ты сопровождай, но я хочу быть свободным и хочу знать все пароли, ведь я собственник и все это оборудование мое" - это "закон соответсвия"®. Т.е. к дебильным собственникам идут работать дебильные сотрудники. и наоборот...

(33) Вопрос совершенно не в этом. Тут решаются задачи:

1. Иметь доступ в случае, когда админа переедет трамвай.
2. Иметь в логах действия не обезличенного "Администратор", а "Иванов", "Петров" или "Сидоров".
3. Затруднить хакерские действия с дефаултным логином.

(43) а что, аннушка уже разлила масло? :-)

(0) Какой пароль? с точки зрения безопасности не должно быть учёток типа Admin, root и т.п. чтобы от них пароли передавать. Кому надо - делается доступ с личным паролем.
в экстренном случае любой пароль сбрасывается.
и конечно всё должно логироватся

Не забываем ещё, что из соображений безопасности пароль периодически должен меняться.

(45) Кто будет в экстренном случае сбрасывать пароль, если админ 1?

+(37)то есть требование собственника "быть свободным и знать пароли" удовлетворить можно, но какой перечень обязательств с админа при этом автоматически снимается. то есть о чем оповестить собственника, что мол да - передаю Вам пароли, но это автоматически означает что Вы лишаетесь того-то и того-то в плане обязательств перед Вами, ведь любое право означает соответствующее ограничение. Хочешь быть свободным - будь им, но при этом и с других можешь требовать только симметрично. а не так, что я хочу быть свободным, а остальные чтобы были в таких же обязательствах передо мной как и прежде.

(47) он и будет, или тот кто вместо админа и имеет физический доступ к оборудованию

(47) Любой спец по "Инструкция в сейфа"

(47) всёравно всё в логи попадёт

(49) Физически сервер может быть далеко или нельзя его перезагружать

(7) И на случай внезапной кончины админа от передозировки пива )

кто мешает завести несколько админских учеток, одна будет лежать у директора....

вместо пломбы - логи серверов и видио фиксация

(52) в таких случаях делают несколько учёток, и опять таки не обезличенных

(54)"вместо пломбы - логи серверов"

разве под админской учеткой логи серверов нельзя править? или нужно создавать учетку с админским правами, но с отсутствием прав к логам?

(56) логи надо вести на отдельном сервере куда у админа нет доступа

(54)"и видио фиксация"

ну и как себе такой геморрой представляете? начиная с того, что видеофиксация может "сломаться" в нужный момент, да и каким образом фиксировать? зайдут учеткой удаленно и сделают что нужно.

(57)"логи надо вести на отдельном сервере куда у админа нет доступа"

и у собственника к этому отдельному серверу тоже нет доступа? он стоит в кабинете у третейского судьи, или лично у ВВП?

(56) Те, кому нужна серьезная защита - тут такие вопросы задавать не будут.
а те, кто тут задает такие вопросы - обойдутся паролем в заклееном конверте

+(59)ведь задача этих логов  - чтобы у админа была возможность потом доказать, что кто-то третий заходил под другой админской учеткой, а Вы говорите, что у админа не должно быть доступа к серверу с логами.

(59) можно заблокировать доступ к серваку по физ.интерфейсу, выдернуть админский линк и опломбировать сургучем :) чтобы данные только на вход туда шли

(62) ну и на выход чтобы админ мог чтото доказать, а сервак будет "черным ящиком" на случай подлога

(63)вот это дело, вопрос только в том, за чей счет этот "черный ящик" покупать и настраивать, вроде как это только админу нужно, значит и затраты на его плечи ложатся?

+(64)покупать, настраивать+нести по нему эксплуатационные расходы.

(60)"обойдутся паролем в заклееном конверте"

с нашим героическим прошлым сразу приходят на ум кадры из фильмов, из того-же Адъютант его превосходительства и т.д., когда конверты подержав над паром вскрывают, сургуч свечой греют, а потом обратно заклеивают. хотя сейчас в век современных технологий есть наверное специальные конверты для этого?

то есть практика это распространенная? что собственник, хотя он и хозяин, и владелец всего и вся, жаждущий неограниченных свобод в купленном им за свои деньги, но он не знает пароля, а пароль знает "какой-то там админ, и имеет смелость возражать, что он его не готов назвать?". ведь с одной стороны целый Собственник, полноправный Хозяин, а с другой какой-то сисадмин, то есть в осноной массе Собственники добровольно ограничивают себя в этом праве, понимая, что сисадмин тоже человек и они готовы уважать его права?

(2) Присоединяюсь к мнению.

(66) http://www.siltech.ru/catalog/?group=2

(69)какая прелесть, спасибо!
http://www.siltech.ru/catalog/?id=454
Номерной сейф-пакет сохранности вложений Секъюрпак® - это пластиковый одноразовый пакет с индикаторной лентой, предназначенный для защиты содержимого пакета от несанкционированного доступа без видимых следов и обеспечения сохранности при хранении и транспортировке.

12 степеней защиты Секъюрпак®
При вскрытии индикаторной ленты на ней проявляется контрольная надпись «VOID OPEN», неисчезающая при повторном закрытии.
Благодаря специальному клею при вскрытии с помощью замораживания (до -50°С) на индикаторной ленте проявляется контрольная надпись «VOID OPEN».
На внутреннюю сторону индикаторной ленты термохромной краской нанесены точки, проявляющиеся при попытке несанкционированного доступа путем нагрева ленты (более 60°С) и образующие надпись «STOP».
Многослойное покрытие, нанесенное на индикаторную ленту, при воздействии химических растворителей необратимо меняет структуру и цвет.
Бесшовный нижний край сейф-пакета исключает несанкционированный доступ путем подрезания.
Верхний и боковые швы двойной проварки исключают подрезание и проникновение внутрь сейф-пакета без оставления видимых следов.
Микротекст по краям сейф-пакета деформируется при попытке несанкционированного вскрытия сейф-пакета по шву.
Индивидуальный неповторяющийся буквенно-цифровой номер, дублирующийся на отрывных квитанциях, и штрихкод, соответствующий номеру, исключают возможность подмены сейф-пакета.
Дополнительное нанесение индивидуального номера под индикаторную ленту исключает возможность подмены сейф-пакета и попыток изменения номера на нем.
Специальный рисунок, нанесенный на пленку под индикаторной лентой, облегчает визуальный контроль ее целостности.
Маркерная метка под индикаторной лентой при правильном закрытии видна сквозь него.
Прерывистая волнистая линия по границам информационных полей защищает от проникновения путем подрезания по этим линиям.

А почему никто не ставит себя на место собственника?
Не зря же он такое требует?

Например уволил он предыдущего админа, а тот и пароли не дал да еще и серваки положил, бизнес стоит. Вот вы бы что сделал на месте собственника?

(71) Часто бывает немного другая последовательность - сначала "админ" положил сервак, а потом его увольняют. И пароли, в данном случае, не спасают.

(71)а почему-же проголосовали "1. Пароль должен знать только админ"?

(71)потому и рассматривается вариант с конвертом http://www.siltech.ru/catalog/?id=454

правда непонятно как при этом защитить собственника от того, чтобы админ через 5 минут не изменил пароль на другой.

+(74)через 5 минут после закладки пароля в конверт.

(71) Держать 2х админов минимум

(76)ага, постоянно стравливая их между собой и заставляя стучать друг на друга. разделяй и властвуй, Макиавелли.

А если, не дай бог, на админа кирпич упадет с крыши?

(73) потом что нормальный админ с физическим доступом к серваку, быстро поимеет админский доступ.

(72) откуда статистика? может наоборот? )

Все почему-то на стороне админа(зла) ))
ЗЫ на вопрос так никто и не ответил.

Если админ один единственный и пароль знает только он, то это большой риск этот самый пароль протерять. Надо резервировать. Как именно - абсолютно пофиг и дело вкуса.

чтобы ликвидировать риски ответственности, надо просто:
1. включить аудиты
2. админу ни чего не делать под учеткой Администратор, а работать под своей учеткой

Чего вы вообще мозги парите, есть дискета аварийного восстановления, которая позволяет восстановить утерянный пароль, да и много чего ещё позволяет.
Вот она-то как раз и должна лежать в сейфе, и не в одном экземпляре.

Вот если её нет, то и админ - не очень профессионал, да и контора - тоже.

Что мешает админу перед уходом по плохому изменить админский пароль?

Что мешает иметь другую учётку с админскими правами, чтоб админ не боялся что его подставят?

Проблемы в сабже высосаны из одного места

(83) В нормальный организациях это анреал. Принимающий дела админ тут же меняет пароль на свой и учетная запись старого админа блокируется.
Если паролей несколько - то все они передаются и меняются по списку с подписью сдал - получил - поменял.

Все админские пароли на почте руководства в архиве  с некислым паролем. Пароль от архива есть в запечатанном конверте у собственника, второй у админа. При регламентом изменении паролей руководителю(ям) на почту приходит обновленный архив.

(86)интересный вариант, практикуете его, или-же это концепция?

(87) Пользуюсь.

(88)спасибо за реальный опыт!

(88) Ага, только не учитывается, что "При регламентом изменении паролей руководителю(ям) на почту приходит обновленный архив" может и не произойти (Я это еще в (4) упоминал)

(90) Т.е. не произойти?

(91) Он имеет злой умысел админа. Или придет архив, а там левые пароли. Чтобы уйти от злого умысла пароли должны проверяться, админ резко отстраняться от работы, чтобы не смог напоследок все поменять. Короче, нет серебрянной пули, либо админ с обрезанным доступом, либо берем в админы только нормальных людей и нормально с ними если что расстаемся.

А копии паролей надо где-то держать зашифрованные. Раньше пользовал зашифрованные ексель, потом KeyPass, сейчас вообще на 1С сделал подсистему с шифрованием и доступом различных пользователей к своим паролям.

(92)"Или придет архив, а там левые пароли. Чтобы уйти от злого умысла пароли должны проверяться"

в том-то и дело, что при закладке в конверт такую проверку можно провести, но пароль должен быть настолько сложным, что его невозможно запомнить единичным набором, ибо для проверки Собственник его прочтет и единожды наберет, то есть это должен быть некий бессмысленный набор цифр, букв, символов, без какой-либо логики, которую можно запомнить.

хорошему админу не нужны пароли - все пароли он может снять.

пароли меняют раз в полгода - в хороших организациях.

(94) Угу - особенно от mikrotik'а какого нить, но котором все VPN висят.

Пароли храни в мобильнике - программа NS Wallet.

У меня был случай - выезжали на одно контору. Программист трагически погиб (отличный специалист был..), что как работает и какие пароли - никто не знает. Все было у него.... Пришло понимание того, что учетные записи и основные настройки должны быть доступны в любом случае.

(83) Уголовный кодекс.

(93) http://pasw.ru/ знаков добавляем и вперед - от 32х символов.

100

Раз это распространенная устоявшаяся практика, то как понимаю ее регламент прописывается в договорах на обслуживание, должностных инструкциях и прочих регламентирующих документах? можете процитировать как обычно звучит данный пункт? ведь если, данная процедура не отражена в регламентирующем документе, то какой от нее прок, ну нарушил Собственник пломбу, вскрыл конверт, и что, последствия этого действия должны быть регламентированы документально, или это все на уровне - админ это увидел и тут же пишет заявление по собственному? или опять-таки аутсорсер-админ разрывает договор обслуживания, но на каком основании? значит в договоре должен быть прописан регламент данной процедуры?

(102)то есть это на уровне этикета, или же оформляется юридически?

Как считаете, с какой наглядной аналогией можно сравнить такое требование?
На ум пока пришел только вариант, что ходить по автопроизводителям, предлагать продать авто с гарантией, но с несоблюдением со стороны покупателя норм ТО. мол гарантию мне дайте, но делать я буду все сам по обслуживанию так и тогда, как мне будет удобно.
но как мне кажется не самый наглядный пример, можете помочь более наглядным?
также как антидовод для данного требования то, что это фильтр, который отсекает часть потенциальных Исполнителей, причем как раз адекватных и профессиональных, то есть, требуя такое Заказчик сам себя обкрадывает в плане потенциальных Исполнителей.

>  админ ушел по плохому, не оставил пароли
взял на работу мydака - неси за это ответственность

>  они же хозяева и хотят быть свободными
собственник зависит от людей, или делает всё сам, это нормально

(104) при желании можно дойти до крайней степени безопасности, а значит и бюрократизации, с жесткими регламентами и ответственностью, вскрытие красной кнопки по двум ключам одновременно на расстоянии не менее пяти метров и т.п. - эти принципы давно разработаны, применяются в больших структурах.

только каждый такой выверт накладывает некоторый коэффициент на стоимость системы и снижает гибкость на квадрат этого коэффициента - это надо все просчитывать

(86) + удобнее keepass. Там можно и двухфакторную, и просто БД слать сильно шифрованную.
Но проще работать с нормальными людьми, это значительно снижает операционные издержки.

Обязательно вести документацию.

(0)Все пароли отдаю собственнику в бумажном виде, или в случае невозможности в электронном.
Это его инфраструктура и он должен знать пароль.

Если кто-то будет шастать и творить дела, видно же будет по логам.

(95) Зачем?

Тут просто сама постановка вопроса неправильная.
Если я пользователь Вася с правами админа - я никому не скажу свой пароль, ибо это мой пароль.

Но у собственника должен быть пользователь Коля с правами админа, и пароль от этого пользователя должен быть у собственника.

(111) А тебя постановка вопроса правильная?!
Не работал в конторах где пароли раздают?!
:)

Должен знать админ, может знать еще начальник ИТ отдела

Смысла сообщать его собственнику или хранить под пломбой никакого, т.к. админ может просто его сменить перед "плохим" уходом

(112) Работал.
И что? нехай раздают.

Админ не должен никому сообщать данные своей учетки.
Админ обязан выдать собственнику пароль от админской учетки.

(113) Если сменит - это уже вредительство, тут полицию надо приглашать.

Проблема в том что админ может просто не выйти на работу - заболел, ушел в запой, исдох, или еще по какой уважительной причине.

(115) Шофер тоже не вышел на работу "со своим" автомобилем, а бухгалтер "со своим" сейфом.