Bekijk Volledige Versie : Medewerker laten inloggen
Hallo,
Wij hebben hier een nieuwe medewerker en willen hem graag admin toegang geven tot enkele Directadmin webservers.
Echter mag hij hier vanuit thuis niet in.
Hij zou dan de wachtwoorden moeten hebben, dus deze zou hij thuis ook kunnen gebruiken.
Heeft iemand van jullie hier een slimme oplossing voor?
Ik zit zelf te denken om dit met Lastpass en een yubikey te doen, de yubikey blijft altijd hier, dus thuis kan hij dit dan nooit gebruiken.
Zou dit een goede optie zijn, of heeft iemand iets beters/gemakkelijkers?
Groeten Tim
Alleen toegang geven vanuit een bepaald ip of ip range?
Hallo,
Kan dit voor 1 bepaalde admin ingesteld worden dan?
Ik wil er zelf wel vanuit huis op kunnen namelijk.
CharlieRoot
15/09/14, 14:48
Hallo,
Kan dit voor 1 bepaalde admin ingesteld worden dan?
Ik wil er zelf wel vanuit huis op kunnen namelijk.
IP block zodat je alleen vanaf (bijv) kantoor in kan loggen en dan een VPN servertje in dat IP segment zetten waar jij alleen bij kan?
Dus je vertrouwt hem wel genoeg om de wachtwoorden te geven, maar niet genoeg om de wachtwoorden te geven?
Als hij kwaad wil kan hij dat ook wel vanaf kantoor.
CharlieRoot
15/09/14, 18:44
Dus je vertrouwt hem wel genoeg om de wachtwoorden te geven, maar niet genoeg om de wachtwoorden te geven?
Als hij kwaad wil kan hij dat ook wel vanaf kantoor.
Zo ongewoon is dit niet hoor.. wij beveiligen dit ook. Vanaf kantoor is veel minder mogelijk omdat er daar meer mensen aanwezig zijn (en dus op je scherm kijken)
Zo ongewoon is dit niet hoor.. wij beveiligen dit ook. Vanaf kantoor is veel minder mogelijk omdat er daar meer mensen aanwezig zijn (en dus op je scherm kijken)
Dat is dan schijnveiligheid, want als hij iets wil dan is er vast wel een onbewaakt moment dat niemand kijkt.
Je kan beter met een goede ACL werken dat hij gelimiteerde rechten heeft.
CharlieRoot
18/09/14, 10:43
Dat is dan schijnveiligheid, want als hij iets wil dan is er vast wel een onbewaakt moment dat niemand kijkt.
Je kan beter met een goede ACL werken dat hij gelimiteerde rechten heeft.
Het is maar net hoever je wilt gaan. We hebben een Syslog server dus iedereen weet - alles is terug te vinden. Hiernaast wil ik niet dat mensen vanaf huis onbeperkt toegang hebben om veiligheidsoverwegingen die verder gaan dan het vertrouwen in een enkel persoon. Een IP restrictie zorgt hier in dit geval dus voor.
Zeker een whitelist kan wel helpen, maar een blacklist lijkt mij hier niet op zijn plaats.
En TS geeft impliciet aan dat het een nieuwe medewerker, en dus niet 100% te vertrouwen is.
Voor een goede beveiling is een ACL en logging eigenlijk een must. Maar logging sluit niet uit dat je geen ACL nodig hebt.
wellicht ook een idee om te limiteren wanneer wel / niet ingelogd mag worden? tussen bepaalde tijden wel en daarbuiten niet?