Sauvegarder l’autorité administrative

plus loin et plus vite.
Il est donc essentiel de suivre quelques-unes des meilleures
pratiques (comme le principe du
moindre privilège) avec des comptes
faisant partie des groupes
Administrator, Domain Admins ou
Enterprise Admins.

Tout d’abord, il faut donner deux
comptes à  chaque administrateur : un
avec l’autorité administrative et un
sans elle. Ordonnez aux administrateurs
de se connecter au compte non
privilégié pour utiliser le e-mail, ouvrir
des documents Microsoft Office, naviguer
sur Internet ou pratiquer d’autres
activités susceptibles d’exécuter un logiciel
malveillant. Le compte administratif
ne doit être réservé qu’aux activités
qui exigent vraiment son autorité
(comme utiliser le snap-in MMC Active
Directory Users and Computers ou le
snap-in Computer Management). Le
meilleur moyen d’aider les administrateurs
à  respecter cette règle est de ne
jamais se connecter avec un compte
administratif, mais de toujours le faire
avec leurs comptes non administratifs.
Quand un administrateur a besoin
d’un accès administratif – par exemple,
pour utiliser le snap-in Active Directory
Users and Computers – il doit appuyer
sur Maj+Ctrl et faire un clic droit sur le
raccourci applicable puis sélectionner
Run as pour ouvrir la boîte de dialogue
Run As Other User qu’illustre la figure
1. Dans cette boîte de dialogue, l’administrateur
entre le nom d’utilisateur, le
mot de passe et le domaine de son
compte administratif puis clique sur
OK pour exécuter le programme choisi
sous le compte administratif. (Sachez
toutefois que le service Runas de
Win2K souffre d’un problème de cohérence
logique. Une explication complète
n’entre pas dans le cadre de cet
article, mais considérez l’exemple suivant.
Si vous utilisez la commande
Runas pour démarrer Microsoft
Outlook sous Administrative Authority
et si un message e-mail entrant lance
une session navigateur, la session navigateur
s’exécutera aussi dans le
contexte de l’administrateur.)