idéalement tu as un compte admin spécial pour les domain admins, un pour les serveurs et un pour les admins workstations en plus du compte standard qui a accès au net (pour une personne qui cumule des rôles)

Oui ça se renomme facilement. La convention chez nous c’est prénom.nom

Si compte adm, adm-« première lettre prénom +2premieres du nom »

Oui, pour les interventions du support.

En général on utilise des comptes "adm" pour n'importe quoi de plus sensible en terme d'accès à l'infra qu'un simple compte utilisateur.
Les comptes adm n'ont pas nécessairement les même droits : le compte "adm" du DBA aura un accès sur les (serveurs de) bases de données, le compte "adm" de l'admin virtu aura accès aux hotes de virtu, le tien pourra être admin du domaine/entreprise dans l'AD etc.

L'idée c'est juste de scinder les comptes bureautiques (tout le monde en a un et l'utilise sur son poste de travail, IT y compris) des comptes "avec pouvoir".
Ca permet entre autre que si un utilisateur avec pouvoir se fait compromettre son poste bureautique (cryptolocker ou autre), ca n'aura que les droits de son compte bureautique et donc ca n'ira pas bien loin

idéalement tu as un compte admin spécial pour les domain admins, un pour les serveurs et un pour les admins workstations en plus du compte standard qui a accès au net (pour une personne qui cumule des rôles)

 
Il faut utiliser les groupes restreinds, c'est top . Surtout quand un VIP demande à un jeune techos de le mettre admin. Il le sera que 90 mn, max ^^
les comptes admin sont désactivé par defaut depuis windows 7.
 
Perso je ne l'active pas. Par contre, bien penser à l'activer avant de l'enlever du domaine, sinon bien marron pour ouvrir une session. Car je crois ERD commander ne marche plus  pour reecrire le mot de passe ^^

 
Je comprends bien.
Du coup, vous avez votre compte du domaine + un compte spécifique pour l'administration.
Et pour ceux qui ont accès à des serveurs distants, dont ils peuvent faire de l'administration dessus, mais que ce sont des serveurs de "test" ou "dev". Vous leur collez aussi un nouveau compte ?

Même sans parler de retrait du domaine, tu peux avoir besoin d'un vrai compte local...
Ca m'est arrivé y'a pas longtemps : un serveur qui part en vrille et qui perd sa conf réseau au reboot, une GPO qui interdit l'ouverture de session si un controleur de domaine n'est pas joignable > paf, j'aurais été baisé si y'avait pas de compte local

Avec un AD il y a LAPS qui existe depuis Windows Vista/2008 est qui pas mal pour garder des comptes admins locaux sur les serveurs et clients de façons plutôt sécurisée, pas trop compliquée et sans passer par une solution payante tierce.

me semble que tu ne peux que le désactiver et pas complétement le retirer, mais de toute facon ca peut sauver la vie d'avoir un compte admin local... et ca peut se sécuriser : https://blogs.technet.microsoft.com [...] tion-laps/

Voire même des postes dédiés à l'administration de l'infra... mais tout ca je l'ai encore jamais vu IRL

de ce que j'observe chez mes clients, c'est moins tranché, puisqu'au final on arrive à la limite entre "simple utilisateur" et "utilisateur avec pouvoir"

Une lettre qui change selon le service (z pour les externes) puis première lettre du prénom et première et dernière lettre du nom, suivi de numéro du mois de naissance sur 2 chiffres et année de naissance puis 1 à la fin (2 si égalité, puis 3...).

 
wut ?
 
Du coup vous n'utilisez pas de password, c'est ça ?  

 
wut ?
 
Du coup vous n'utilisez pas de password, c'est ça ?  

Clairement pour 30 PC chez nous, je l'ai viré

 
et bcp de truc qui te paraisse totalement inutile et usine a gaz au debut, une fois que tu as compris pourquoi c'est comme ca, et que tu as avancé dans l'utilisation, tu comprends que ca a été bien pensé et ultra puissant

 
Il faut utiliser les groupes restreinds, c'est top . Surtout quand un VIP demande à un jeune techos de le mettre admin. Il le sera que 90 mn, max ^^
les comptes admin sont désactivé par defaut depuis windows 7.
 
Perso je ne l'active pas. Par contre, bien penser à l'activer avant de l'enlever du domaine, sinon bien marron pour ouvrir une session. Car je crois ERD commander ne marche plus  pour reecrire le mot de passe ^^

Le soft d'avant tournait en fortran ?

 
wut ?
 
Du coup vous n'utilisez pas de password, c'est ça ?  

Ben chez nous ça va être comme ça.
Les équipes vont être autonomes sur leurs serveurs (chacun des serveurs sont sur leur "DMZ" ).
Donc coller un nouveau compte en "adm.xx" à chacun de ces users + leur compte bureau, ça va commencer à faire beaucoup.
D'autant que si on a un tunnel VPN, c'est dommage de ne plus bénéficier de cette authentification automatique..
 
Pour la DMZ de production, je peux tout à fait le concevoir.
Pour l'administration du domaine également.
 

Une lettre qui change selon le service (z pour les externes) puis première lettre du prénom et première et dernière lettre du nom, suivi de numéro du mois de naissance sur 2 chiffres et année de naissance puis 1 à la fin (2 si égalité, puis 3...).

Toute action de type admin sur un serveur = un compte adm
Toute action sur un contrôleur de domaine = un compte sadm
Bureautique = compte standard, le plus simple, prenom.nom c'est très bien pour une petite boîte

L'important, c'est de ne pas avoir d'exceptions. Tout le monde au même régime. Si tu commences à donner des droits admin à des comptes standard pour des prestas/gens du métier tu creuses ta tombe.

Pour le compte admin local, laisser celui par défaut désactivé. Utiliser LAPS et les groupes restreints pour déléguer ce genre de privilèges et les gérer.

Avec ça non seulement tu ne te compliques pas trop la vie, mais tu fais plus sécurisé et mieux géré que 99% des boîtes de France.

pff les VPN avec les partenaires c'est à chaque fois la même histoire   tu leur files la liste détaillée des paramètres et suites de sécurités supportées, ils te disent "OK on met ça en place" (enfin déjà ça c'est quand on a de la chance), au final ça marche pas, tu leur donnes ton message d'erreur assez explicite en leur demandant de regarder ce qu'ils ont dans leurs logs de leur côté, au lieu de faire ça ils sont en PLS et cherchent sur google s'il n'y aurait pas une incompatibilité entre les deux constructeurs de firewalls (IKE et IPSec, standard, allô ), au final tu te retrouves à tenter d'établir le tunnel avec toutes les options possibles testées une par une, tu finis par trouver qu'il ont configuré la moitié des paramètres comme il faut et que l'autre moitié est en mode par défaut, md5, sha1 et compagnie  
A.chaque.fois.  
 
et on n'en est pas encore à la phase d'après, où il faut ouvrir des flux, probalement faire du NAT et que ça manquera pas de ne pas fonctionner parce qu'ils comprennent rien à ce qu'ils font  

pff les VPN avec les partenaires c'est à chaque fois la même histoire   tu leur files la liste détaillée des paramètres et suites de sécurités supportées, ils te disent "OK on met ça en place" (enfin déjà ça c'est quand on a de la chance), au final ça marche pas, tu leur donnes ton message d'erreur assez explicite en leur demandant de regarder ce qu'ils ont dans leurs logs de leur côté, au lieu de faire ça ils sont en PLS et cherchent sur google s'il n'y aurait pas une incompatibilité entre les deux constructeurs de firewalls (IKE et IPSec, standard, allô ), au final tu te retrouves à tenter d'établir le tunnel avec toutes les options possibles testées une par une, tu finis par trouver qu'il ont configuré la moitié des paramètres comme il faut et que l'autre moitié est en mode par défaut, md5, sha1 et compagnie  
A.chaque.fois.  
 
et on n'en est pas encore à la phase d'après, où il faut ouvrir des flux, probalement faire du NAT et que ça manquera pas de ne pas fonctionner parce qu'ils comprennent rien à ce qu'ils font  

pff les VPN avec les partenaires c'est à chaque fois la même histoire   tu leur files la liste détaillée des paramètres et suites de sécurités supportées, ils te disent "OK on met ça en place" (enfin déjà ça c'est quand on a de la chance), au final ça marche pas, tu leur donnes ton message d'erreur assez explicite en leur demandant de regarder ce qu'ils ont dans leurs logs de leur côté, au lieu de faire ça ils sont en PLS et cherchent sur google s'il n'y aurait pas une incompatibilité entre les deux constructeurs de firewalls (IKE et IPSec, standard, allô ), au final tu te retrouves à tenter d'établir le tunnel avec toutes les options possibles testées une par une, tu finis par trouver qu'il ont configuré la moitié des paramètres comme il faut et que l'autre moitié est en mode par défaut, md5, sha1 et compagnie  
A.chaque.fois.  
 
et on n'en est pas encore à la phase d'après, où il faut ouvrir des flux, probalement faire du NAT et que ça manquera pas de ne pas fonctionner parce qu'ils comprennent rien à ce qu'ils font  

Pour les gens qui gerent pleins de comptes par personne (admin/user), ça doit vous faire une belle facture de CAL non ?

me semble que tu ne peux que le désactiver et pas complétement le retirer, mais de toute facon ca peut sauver la vie d'avoir un compte admin local... et ca peut se sécuriser : https://blogs.technet.microsoft.com [...] tion-laps/

pis y a tellement de moyens de forcer le passage aussi

Pour les gens qui gerent pleins de comptes par personne (admin/user), ça doit vous faire une belle facture de CAL non ?

avoir un accès à un serveur ca ne veut pas nécessairement dire avoir du pouvoir dessus, tu peux très bien y accéder et être cantonné à l'utilisation de ton appli bien spécifique... dans ce cas je dirais qu'un compte normal c'est bon