Wenn ein Mitarbeiter Ihre Organisation verlässt, löschen oder deaktivieren Sie sein Active Directory-Konto? Unsere SOP besteht darin, das Exchange-Postfach zu deaktivieren, zu exportieren / zu bereinigen und dann, nachdem "einige Zeit" verstrichen ist (normalerweise vierteljährlich), das Konto zu löschen.
Gibt es eine Notwendigkeit für diese Verzögerung? Warum sollte ich das Konto nach dem Exportieren und Löschen des Postfachs nicht sofort löschen?
Antworten:
Sobald sie aufhören, kommen sie normalerweise nicht mehr zurück. Ich sehe keinen Grund, an alten Konten festzuhalten. Folgendes machen wir:
Dateien:
Emails:
Wir deaktivieren die Konten. Ihre "Beschreibungen" werden aktualisiert, um das Datum der Abreise anzugeben, und sie werden in der AD-Hierarchie in einen Ordner verschoben, je nachdem, in welchem Abfahrtszustand sie sich befinden (gegangen + E-Mail-Weiterleitung, gegangen + Vorarchivierung, archiviert).
Wir haben eine große Menge komplexer Dateien und Ordnerhierarchien. Wenn Sie das Konto aus Active Directory löschen, werden in Dateien / Ordnern mit expliziten benutzerspezifischen ACLs diese ACL-Daten als SID angezeigt. Und ich habe keine Möglichkeit gefunden, anhand einer SID herauszufinden, um welches Konto es sich handelte - weil das Konto gelöscht wurde.
Auf diese Weise können Personen, die sich auf seltsame Weise mit Eigentums- / Berechtigungsproblemen befassen, die Eigentumsrechte und Berechtigungen von Personen anzeigen (und löschen), die nicht mehr anwesend sind.
Update, viel später: Ich habe von einem Kollegen erfahren, der gerade eine Prüfung von Microsoft durchführt, dass Konten in Ihrer AD eine Lizenz "pro Arbeitsplatz" erfordern (wenn Sie auf diese Weise schwingen), ob es sich um eine reale Person handelt und ob oder nicht nicht die Person ist noch anwesend. Es gibt also ein Argument für die Löschung!
Hier bei mir bei Higher Ed haben wir eine Deaktivierungs- und Aufbewahrungsfrist von 2 Wochen.
Manager, die Zugriff auf Benutzerverzeichnisdaten anfordern, erhalten eine CD und keinen direkten Zugriff. Zu oft in der Vergangenheit besagten Manager, dass sie nur das Benutzerverzeichnis als weiteren Dateispeicher verwenden.
Manager, die Zugriff auf E-Mails anfordern, erhalten einen PST-Export des Postfachs und keinen direkten Zugriff.
Manager, die sich beschwerten, dass der 20-jährige Veteran der Abteilung der einzige Ansprechpartner für eine bestimmte kritische Funktion war, und daher den Namen beibehalten müssen, damit kritische E-Mails nicht zurückgeworfen, sondern in die Hände genommen werden. Wir versuchen, eine Abwesenheitsregel für das deaktivierte Postfach zu erstellen, die besagt, dass die Person das Postfach verlassen hat. Wenden Sie sich stattdessen an Person B. Wir haben dann ein hartes Löschdatum für dieses Konto festgelegt, um sicherzustellen, dass die Welt weiß, dass Person A nicht mehr hier ist. Wir werden diese E-Mail-Adresse NICHT in eine andere Mailbox schreiben, wenn wir Ihnen helfen können. Wir sind nicht immer erfolgreich.
Manchmal war dieser 20-jährige Veteran die wichtigste Sekretärin für ein Gebiet und daher ein Delegierter von so ziemlich jedem, der einen Kalender hatte, der verwaltet werden musste. Sobald ein solches Konto deaktiviert wird, erhält jeder, der einen Termin an die verwalteten Kalender sendet, ungewöhnliche Unzustellbarkeitsnachrichten. Durch die vorübergehende erneute Aktivierung des Kontos werden die Unzustellbarkeitsnachrichten gestoppt, während die Desktop-Mitarbeiter die Delegierten von Hand aus allen Postfächern entfernen. Es kann einige Tage dauern, bis die Desktop-Mitarbeiter mit den Eigentümern der genannten Kalender verhandelt haben, um die erforderlichen Einstellungen vorzunehmen. Das Konto wird dann wieder deaktiviert und nach 2 Wochen gelöscht. Dies ist eine "Funktion" von Exchange, die ich besonders nicht mag.
Ich bin kein Fan davon, ein AD-Konto sofort zu löschen, nachdem ein Mitarbeiter oder Auftragnehmer das Unternehmen verlassen hat. Ich habe festgestellt, dass es am besten ist, mindestens 30 Tage lang zu deaktivieren und dann die deaktivierten Konten 1-2 Mal pro Jahr zu löschen.
Es gibt mehrere Gründe, warum Sie ein Konto nicht sofort löschen möchten:
1- Forensik. Wenn Ihre Organisation rechtliche Schritte gegen einen Mitarbeiter oder Auftragnehmer einleiten muss, benötigen Sie das Originalkonto (SID).
2- Automatisierte Aufgaben - Benutzer, insbesondere IT-Mitarbeiter, richten in der Regel automatisierte Aufgaben ein, um beispielsweise Jobs auszuführen, Berichte zu automatisieren, Dienste zu recyceln usw. Sie werden gebunden, wenn Sie das Benutzerkonto löschen, bevor Sie feststellen, dass es komplex ist Jobs oder Aufgaben, die an die IDs gebunden sind. Sie können das Konto nicht einfach mit demselben Namen neu erstellen, da die SID nicht dieselbe ist und bei den automatisierten Aufgaben nicht der sichtbare Name des Kontos angezeigt wird.
Wenn Sie diese Option zuerst deaktivieren, können Sie das Konto jederzeit wieder aktivieren, das Kennwort ändern oder wiederherstellen und wieder in Betrieb gehen, bis Sie den Auftrag auf ein legitimes Dienstkonto übertragen bekommen.
Wir haben ziemlich strenge Prüfungsanforderungen und werden oft gebeten zu beweisen, dass ein Benutzer deaktiviert war und wann. Aus diesem Grund wird das Konto in der Regel deaktiviert, wenn wir erfahren, dass sie das Unternehmen verlassen haben. Verschieben Sie die deaktivierten Konten in ihre eigene Organisationseinheit und aktualisieren Sie die Beschreibung mit dem Datum, an dem sie noch verfügbar sind (dies ist auch nützlich, wenn wir Personen deaktivieren möchten, die für einen längeren Zeitraum verschwunden sind, und sie bei ihrer Rückkehr wieder aktivieren möchten).
Sobald sie für 6 Monate gegangen sind, löschen wir sie.
Wenn sie länger als 3 Monate weg sind, lösche ich ihre Konten. Alle unsere Systeme verfügen über eine GPO-erzwungene Desktop- und Ordnerumleitung für "Eigene Dateien / Desktop" usw. Nach dem Löschen archiviere ich diese auf meinem Archivvolume auf dem Dateiserver.
Ich bin pedantisch, wenn es darum geht, rollenbasierte Sicherheitsgruppen für A / D für alles zu verwenden. Es gibt also keine Benutzer, die Berechtigungen für das Dateisystem haben oder irgendetwas anderes, das implizit angewendet wird. Das Einrichten erfordert einige Überlegungen und ein wenig Kopfzerbrechen. Ich empfehle jedoch, dies zu tun, da das Verwalten von Berechtigungen in einem Windows-Netzwerk damit zum Kinderspiel wird.
Für den Austausch exportiere ich das Postfach mit ExMerge und speichere die PST-Datei im archivierten Ordner. Anschließend richte ich die Weiterleitung oder die Weiterleitung von Nachrichten ein, je nach der Rolle der Person, die noch übrig ist.
An der Universität, an der ich studiert habe und für die ich gearbeitet habe, gelten folgende Richtlinien:
Beim Löschen von Computerkonten kann ein sehr großes Problem auftreten: das Gesetz.
Nach der EU- Datenschutzrichtlinie schreiben einige Mitgliedstaaten (insbesondere Polen) vor, niemals dieselbe Benutzer-ID anderen Personen zuzuweisen und gleichzeitig zu protokollieren, wem und wann der Zugriff gewährt wurde und wann der Zugriff widerrufen wurde.
Kurz gesagt: Wenn Sie mit personenbezogenen Daten arbeiten, wenden Sie sich an einen Anwalt / eine Rechtsabteilung.
Ich habe zwei Beratungskunden, bei denen ich hauptberuflich beschäftigt war. Meine Personalnummer und alles ist gleich, und ich bin mir ziemlich sicher, dass sie niemals AD-Konten löschen - sie deaktivieren sie einfach - als ich zurückkam, haben sie mich einfach wieder eingestellt.
Das einzige Problem, das ich dort sehe, ist, dass alle meine Gruppenmitgliedschaften und Zugriffe, die mit meiner SID verknüpft sind (ich glaube nur AD-Gruppenmitgliedschaften), immer noch vorhanden sind. Wenn ich also mit reduzierter Kapazität zurückkommen sollte, würde ich diese Mitgliedschaften überprüfen ein kritischer Schritt sein.
Unabhängig davon, ob Sie löschen und neu erstellen oder ob Sie deaktivieren und aktivieren, müssen ALLE anderen Systeme, die auf dieses Benutzerkonto verweisen, gelöscht werden, wenn der Name des Sama-Kontos unverändert bleibt.
Ich arbeite als Remote-Support-Techniker (Elevated HelpDesk) für ein Fortune 500-Energieversorgungsunternehmen. Als Teil unseres Geschäfts haben wir alle Arten von Szenarien, angefangen von Auftragnehmern, die zu dem 20-jährigen Veteranen kommen und gehen, wie oben beschrieben. Nach dem, was ich gesehen habe, ist unsere Politik verkürzt und trocken.
Alle Konten haben die letzte Ticketnummer sowie Datum und Art der Änderung im Beschreibungsfeld. ZB Change Order 123456 Created on 00/00/00 by the access manager
Terminated on 00/00/00oderRe-enabled on 00/00/00 by Manager's Name
Unmittelbar nach Bekanntwerden einer Diskrepanz deaktiviert der HelpDesk das Konto. Bei Bestätigung oder automatisch nach einer festgelegten Zeit setzt der Benutzer die OU für deaktivierte Konten auf und fügt drei Tilden und das Kündigungsdatum ( ~~~00/00/00) in den Anzeigenamen ein, damit sich sowohl IT- als auch Endbenutzer schnell auf einen Blick identifizieren können. Der Benutzer ist kein Einzelgänger im Unternehmen .
Ich kann keine Informationen darüber geben, was mit den Daten passiert. Ich arbeite nicht in dieser Abteilung. Aber ich weiß, dass der Account nach einer Motte komplett verschwunden ist.
Diese Konzepte der Daten- und Aufbewahrung, bei denen die Organisation dennoch vor einem verärgerten Mitarbeiter geschützt wird, sollten Teil der IT-Richtlinien einer Organisation sein. Die Zeit zwischen den einzelnen Schritten ist jedoch von Unternehmen zu Unternehmen unterschiedlich.
Es hilft uns wirklich beim Desktop, insbesondere bei der Behebung von Messaging-Problemen.
Hoffe das hilft
Wir haben Leute, die sich routinemäßig zurückziehen und dann zwischen einer Woche und sechs Monaten später zurückkehren. Bei der Deaktivierung der Konten gab es ein Problem, an das ich mich nicht erinnern kann ... möglicherweise im Zusammenhang mit E-Mails? Noch eine Warnung? Stattdessen haben wir unsere Vorgehensweise geändert, sodass das Passwort auf eine Art Kauderwelsch zurückgesetzt wird und eine Notiz in das Beschreibungsfeld eingefügt wird, in der die Situation genau beschrieben wird, damit alle anderen Benutzer, die ihre Benutzerinformationen bearbeiten, sie als Referenz kennen.
Das Konto wird schließlich unabhängig von dem Zeitpunkt, zu dem sie ihren Abschluss haben sollen, ausgerollt.
Hin und wieder das Konto löschen ... Ich würde sagen, es ist eine Angelegenheit der Politik, aber das Zurückhalten hat auch den Vorteil, auf Nummer sicher zu gehen, falls es einen Fehler gibt oder sich die Situation ändert. Oder es hat Auswirkungen auf das einfache Löschen der Daten, und plötzlich muss jemand auf bestimmte Dateien oder Informationen oder E-Mails zugreifen können. Für uns ist es nur einfacher, Teile des Kontos für eine Weile zu behalten, bis feststeht, dass es nicht mehr benötigt wird, und später weniger Aufwand und Kopfschmerzen verursacht.