Tartósan távollévő gépek feletti kontroll visszaszerzése - IT-s szemmel
Milyen nagyszerű lenne, ha az IT-felügyelet az interneten keresztül történhetne!
A céges hálózattól tartósan távollévő gépek menedzselésének kérdése nem újkeletű, több szervezetnek is okozott már fejfájást. Illetve új problémaként felmerült a COVID miatt, hogy sok felhasználó hirtelen távolról kényszerült dolgozni az eszközével.
Mit értünk tartósan távollévő gép alatt?
Olyan laptopokat, amik a felhasználási sajátosságok miatt alig lépnek be a céges hálózatba, legyen az irodai hálózat vagy VPN. Néhány opció:
- orvoslátogatók laptopjai
- biztosítási és egyéb utazó ügynökök laptojai
- alvállakozók, akik kapnak céges laptopot, de nincs igény a belső hálózat elérésre
Kiemelten jó példa a gyógyszeripari cégeknél az orvoslátogatók gépei. Kapnak céges eszközt, használják a levelezést, a munkájukat tudják végezni, az irodába nagyjából sosem mennek be, hálózatra nem csatlakoznak fel.
Mi történik menedzsment szempontból egy ilyen géppel?
- 30 nap után megszűnik a domaines secure channel (“kiesik a domainből”)
- Az előírt group policyk nem futnak le, nem frissülnek
- A startup és logon scriptek nem futnak le
- A wsus/sccm által kezelt frissítések nem települnek a gépre
- Legrosszabb esetben akár az antivirus definiciós frissítések sem jutnak le a gépre (volt példa, ahol tiltották a frissítések internetről letöltését is)
Amint látjuk, ez a helyzet kellemetlen az IT-számára, hiszen ezen gépek felett gyakorlatilag elveszítette a kontrollt. A menedzselhetőség innentől a felhasználótól függ (mikor megy be az eszközzel céges hálózatra, mikor kapcsolja be a VPN-t stb…és milyen rossz az, mikor a céges bérelt vonalon kezd töltődni az akár több GB-os SCCM-csomag ) A kockázat pedig adott: nem kerülnek fel a biztonsági frissítések, az IT nem értesül a gépet érintő incidensekről és lehetne sorolni.
Mi lehet a megoldás?
Toljuk ki a menedzsment határait a céges hálózaton kívülre! Gondoljuk át, hogy milyen nagyszerű lenne, ha az IT-felügyelet az interneten keresztül történhetne! Az orvoslátogatók gépeinek üzemeltetői repesnének az örömtől.
Csináljunk Hybrid Azure AD joint, vagy akár Azure AD joint, Microsoft Endpoint Management (MEM) felügyeleti eszközzel párban. Ezzel a következő lehetőséghez juthatunk (maradva az orvoslátogatók gépeinél):
- Az on-premise domain gépet beléptetjük az AzureAD-ba is (ezt nevezzük Hybrid Azure AD jointnak. Innentől az AAD “ismeri” a gépobjektumot
- Nincs secure channel hiba többé
- A MEM segítségével teljeskörűen tudjuk menedzselni a gépet: frissítések telepítése, scriptek futtatása, VPN, emailfiók konfigurációk leküldése, megfelelőségek ellenőrzése (pl. lemeztitkosítás be van-e még kapcsolva), központi szoftvertelepítések
- Jelentések-leltár futtatása a távoli gépeken, folyamatos státuszriportolással
Láthatjuk, hogy ezzel a megoldással visszakapjuk az elveszett kontrollt a távollévő gépek felett.
Összegzés: érdemes átgondolni a kliensmenedzsment kérdését és válaszolni az új igényekre (céges hálózat nélkül is a kontroll megléte), erre az AzureAD és MEM egy jó alternatíva lehet.
Istvánffy Zoltán
Microsoft Cloud Solution Architect, Microsoft Certified Trainer
Qualysoft Informatikai Zrt.