Discussion :

[amdrssi]

Bonjour,

Je travaille actuellement sur un projet donc l'objectif est de supprimer ou de diminuer sensiblement le nombre de Local Admin sur des postes Windows XP Workstation.

Il y a différentes populations dont les principales sont :
- développeurs
- testeurs
- support
- ...

Concernant la population des développeurs, qui effectuent beaucoup de paramétrages sur leur machine, la tâche n'est pas simple.

Ces stations de travail sont intégrées dans un domaine. Actuellement je n'ai pas de visibilité à propos de la version des serveurs, mais apparemment ce serait du Windows 2003. (Donc pas possible d'utiliser les GPP)

Si vous avez déjà travaillé sur ce sujet :
- quelles sont les best practice ?
- quel est votre retour d'expérience ?
- quels problèmes avez-vous rencontré concernant la population des développeurs ?
- quelles solutions techniques/process avez-vous étudié ?
- quelles solutions techniques/process avez-vous mis en place ?
- quelles sont les bonnes politiques concernant le développement dans ce contexte, qui permettrait de diminuer le nombre de Local Admin ?
- quels sont les points à surveiller ?
- dans le cas ou plusieurs solutions techniques seraient à mettre en place, quels sont les points positifs et négatifs ?

Merci par avance pour vos retours.

AM

[cortex024]

Bonjour,

honnêtement, par expérience, réduire trop de droit pour un développeur, c'est un véritable enfer et en général improductif!

Ce qui peut par contre être fait, c'est via les group policies limiter certaines choses, et avoir une bonne gestion de droits pour tout ce qui est externe au poste en lui-même.

avec de la sécurité et des droits clairs au niveau du partage de source, de l'accès éventuel au serveur (hormis le serveur de dev) ou publication vers ceux-ci pour moi c'est ok.

local admin ne veut pas dire domain admin. à part un peu foutre le souk sur sa machine, et éventuellement créer une pseudo faille de sécurité générale il ne peut pas arriver grande chose de fâcheux.


- un compte local admin pour les dev, ce même compte n'ayant peu ou pas de droits ailleurs
- dans le cas où un dev doit avoir des accès serveurs, un autre compte s'impose

voilà pour la partie dev dans laquelle j'ai pu un peu voir diverses stratégies et leurs avantages/inconvénients. le reste, j'ai moins d'exp