Delegierte Administration

Was ist delegierte Administration?

Delegierte Administration bezeichnet die Praxis, begrenzte Administrationsrechte an Personen ausserhalb der zentralen IT zu vergeben, damit die Führungskraft, die anwendungsverantwortliche Person oder die regionale Leitung mit der grössten Nähe zum System die laufenden Aufgaben übernimmt. Die Delegation ist bauartbedingt begrenzt: Die delegierte Person führt bestimmte Aktionen auf einem bestimmten Geltungsbereich aus und nicht alles, was eine volle Administration könnte.

So funktioniert delegierte Administration

• Ein Geltungsbereich wird festgelegt: eine Organisationseinheit, eine Abteilung, eine einzelne Anwendung oder eine Benutzergruppe.
• Ein begrenzter Satz von Aktionen wird an diesen Bereich geknüpft, etwa Passwörter zurücksetzen oder den Zugang zu einem Tool freigeben.
• Die delegierte Person erhält nur diese Kombination, niemals eine breite eingebaute Administrationsrolle.
• Die Delegation wird an eine Rolle vergeben statt an eine namentlich genannte Person, damit sie Personalwechsel übersteht.
• Die Aktionen delegierter Personen werden getrennt protokolliert, was die Konstruktion prüfbar macht.

Wo Delegation aus dem Ruder läuft

Das Versagen liegt fast nie am Prinzip, sondern am Zuschnitt. Ein Unternehmen beschliesst, dass jede anwendungsverantwortliche Person ihr eigenes Tool verwalten soll, und vergibt dann an jede von ihnen die volle Administrationsrolle, weil ein engerer Zuschnitt mühsam ist. Zwanzig Anwendungen später halten zwanzig Personen unbegrenzte Rechte auf Systemen, die das Sicherheitsteam nicht mehr genau beobachtet. Delegation ohne Geltungsbereich ist keine Delegation, sondern die Verteilung des höchsten Privilegs im Unternehmen.

Beispiele und Anwendungsfälle

Ein Unternehmen mit drei Länderstandorten delegiert die Benutzerverwaltung an je eine lokale IT-Leitung, begrenzt auf die Organisationseinheit des jeweiligen Landes. Lokale Neueinstellungen erhalten ihre Zugriffe am selben Tag und die zentrale IT hört auf, der Engpass zu sein. Die Massnahme, die das ehrlich hält, ist eine wiederkehrende Überprüfung, wer delegierte Rechte hält und auf welchem Geltungsbereich, denn Delegationen überleben verlässlich den Grund ihrer Entstehung. Corma holt diese Administrationsrechte aus allen Anwendungen hervor, damit eine einzige Überprüfung sie alle abdeckt.

Verwandte Begriffe

• Automatisierte Identity Governance und Administration
• Zugriffsanfragen im Self-Service
• IAM-Lösung für IT-Teams

FAQ

Worin unterscheiden sich delegierte Administration und RBAC?

RBAC vergibt Berechtigungen zur Nutzung eines Systems. Delegierte Administration vergibt Berechtigungen zu seiner Verwaltung, auf einem definierten Geltungsbereich, im Auftrag der zentralen IT.

Senkt oder erhöht Delegation das Risiko?

Richtig zugeschnitten senkt sie es, weil sie Engpässe beseitigt und die Zahl der Personen mit globalen Rechten verringert. Ohne Geltungsbereich vervielfacht sie schlicht die Zahl vollwertiger Administrationen.

Wer sollte delegierte Rechte erhalten?

Die Person, die für das System oder die betroffene Gruppe verantwortlich ist, typischerweise eine anwendungsverantwortliche Person, eine Teamleitung oder eine regionale IT-Leitung.

Wie oft sollten Delegationen überprüft werden?

Mindestens so oft wie privilegierte Konten, also quartalsweise für sensible Systeme. Delegationen verschwinden praktisch nie von selbst, wenn ihr Grund entfällt.

Demo anfragen