Dissertazioni

Nicola Montemurro

Nicola Montemurro

L’argomento della Gestione degli accessi potrà sembrare banale, quanto scontato, ma vi assicuro che mi imbatto spesso in termini onnipresenti come amministratore e account utente standard o normale. In termini di capacità, la differenza tra questi due è abbastanza evidente. Tuttavia, quando si tratta esplicitamente di espressioni come diritti di amministratore, diritti non di amministratore, privilegi di amministratore, privilegi non di amministratore, privilegi elevati, privilegi ridotti, permessi elevati, permessi ridotti, diritti utente standard, permessi utente normali, ecc., allora le cose iniziano a diventare più oscure. Per aumentare ulteriormente la confusione, è anche un’osservazione comune che i diritti, i privilegi e le autorizzazioni sono quasi sempre usati in modo intercambiabile nel contesto di un determinato account, sia esso amministratore o qualsiasi altro utente.

Attraverso questo articolo cercherò di chiarire questa ambiguità nella gestione degli accessi e svelare la somiglianza e le differenze, se ce ne sono, tra questi tre costrutti di controllo degli accessi e la loro relazione con account diversi.

I diritti sono i metodi di autorizzazione con cui un account può accedere a una macchina, ad esempio una workstation o un server. Questo è il motivo per cui vengono anche indicati come diritti di accesso o diritti utente. I diritti vengono assegnati agli account o ai gruppi da un amministratore.

I privilegi sono le operazioni che un account può eseguire sul computer dopo aver eseguito correttamente l’accesso. I privilegi vengono concessi agli account o ai gruppi da un Amministratore.

Le autorizzazioni sono controlli di accesso agli oggetti a protezione diretta e ai relativi attributi. Riferendoci all’ambiente Windows, gli oggetti Active Directory, il registro di sistema, i file e le directory sul file system, i processi, i thread, i servizi, le condivisioni di rete e così via, sono tipi di oggetti a protezione diretta. In sostanza, oggetti diversi hanno attributi diversi e attributi diversi possono avere un set diverso di autorizzazioni. In altre parole, le autorizzazioni controllano quale utente può accedere a quale oggetto e in che modo. Le autorizzazioni vengono assegnati agli account o ai gruppi da un amministratore; Riferendoci all’ambiente *nix, non esistono, letteralmente, gli oggetti perchè tecnicamente sono file, ma sostanzialmente, le regole restano le stesse.

Un amministratore è un account che ha almeno i diritti e i privilegi sufficienti ad assegnare, diritti, privilegi e autorizzazioni agli altri account, oltre che poter elevare ulteriormente i propri; solo un’altro account amministratore può ridurne i diritti, privilegi e le autorizzazioni.

In pratica, un amministratore può assegnare diritti e privilegi a un account e assegnare autorizzazioni per gli oggetti a protezione diretta, in modo che altri account possano lavorare su di essi.

Un utente standard non è altro che un account che dispone di diritti e privilegi minimi.

Spero di aver espresso chiaramente i concetti sull’uso corretto della gestione degli accessi e di aver contribuito a fare un po’ di chiarezza in merito.

La riverenza di Fantozziana memoria

Durante la fase di analisi del sistema informatico di una importante azienda italiana, ho avuto modo di riscontrare che, sul dominio Microsoft, il personale dirigente possedeva un doppio account; il primo di tipo “Utente” e il secondo di tipo “Amministratore di Dominio”, e nel mentre, nel mio immaginario, si faceva strada la voce narrante dei film di Fantozzi che recitava, a seconda degli “scatti” dei dirigenti della Megaditta ItalPetrolCemeTermoTessilFarmoMetalChimica: “Direttor. lup. mann. figl. di putt.” oppure “Natural prestanom om di pagl gran test di cazz”, incuriosito dalla pratica, alla mia richiesta di spiegazioni, mi è stato risposto, “Si è sempre fatto così in modo che i dirigenti abbiano accesso a tutto”.

Ma è davvero necessario che i dirigenti abbiano accesso a tutto?

Per rispondere in modo esaustivo alla domanda occorre capire cosa spinge molti operatori IT a tale riverenza; le motivazioni sono molteplici.

Coloro che gestiscono la piattaforma informatica nelle aziende, piccole o grandi che siano, hanno il “potere” di impedire l’accesso a dati e risorse e, purtroppo, ad alcuni dirigenti, questo non piace, ma occorre capire che controllare l’accesso ai dati, da parte di un amministratore IT equivale a controllare gli accessi ai vari dipartimenti da parte del personale della portineria; rientra nei compiti attribuiti alla mansione. Il più delle volte, questo aspetto, viene sottovalutato o non percepito, considerando l’accesso indiscriminato ai dati o alle risorse, per alcune persone, scontato.

Occorre, da parte del personale IT, capire, a mezzo “interviste” di quali informazioni i dirigenti hanno necessità, strutturare correttamente gli archivi al fine di fornire tali informazioni in modo puntuale, non se ne fanno nulla, dei dati grezzi di produzione o del controllo degli account utente oppure ancora della possibilità di assegnare permessi e privilegi, il più della volte hanno necessità di ricevere report contenenti dati aggregati.

Esistono, comunque i casi in cui il dirigente del tipo “Lei non sa chi sono io” esige l’accesso a tutto, ma fortunatamente, molti altri, persone perbene, capiscono l’importanza del controllo accessi puntuale.

Altro motivo per concedere accessi incondizionati, da parte del personale IT è la pigrizia o l’incapacità a strutturare correttamente i permessi di accesso assegnandoli in modo caotico, “delegando” il dirigente all’uso di una login amministrativa per “saltare” il garbuglio evitando conseguenti rimostranze in merito.

Il perno intorno al quale ruota l’efficacia di un’azienda, come sempre, resta la professionalità e il rispetto di ciascun ruolo.

Negli anni, durante la mia attività di consulente, ho avuto la fortuna incontrare persone volenterose, propositive, efficaci, che nei momenti “difficili” hanno dato il meglio di se, ma che, inevitabilmente, nel lungo periodo hanno mostrato segni di frustrazione, non vedendo riconosciuti i loro meriti da parte dell’azienda; in quei casi, ho detto loro: