Situacija
Kauno kolegija Microsoft 365 naudoja daugiau nei dešimt metų: paštas, Teams, OneDrive, SharePoint dėstytojams, administracijai ir studentams. Darbuotojų vartotojų apie 400, studentų paskyrų – keli tūkstančiai, ir kiekvienais metais jų prisideda. Administravimas buvo vieno IT darbuotojo rankose šalia visų kitų darbų: kompiuterių, auditorijų įrangos, tinklo.
Per metus susikaupė tai, kas susikaupia visur, kur paskyros kuriamos rankomis, o išjungiamos „kai prisimenama“. Buvę studentai turėjo veikiančias paskyras su paštu ir prieiga prie Teams komandų, kuriose buvo studijų medžiaga. Išėję dėstytojai – taip pat, kai kurie su bendrinamomis SharePoint bibliotekomis. Daugiafaktorinis patvirtinimas buvo įjungtas tik tiems, kurie patys to norėjo, o tai buvo mažuma. Licencijos pirktos pagal didžiausią kada nors buvusį skaičių ir nuo tada neperžiūrėtos.
Į mus kreiptasi po dviejų įvykių: kibernetinio saugumo patikrinimo pastabų dėl MFA ir vieno sukčiavimo atvejo, kai iš buvusio studento paskyros buvo išsiųsti laiškai dėstytojams. Kolegijos vadovybė norėjo, kad administravimas vyktų pagal procesą, o ne pagal atmintį, ir kad IT darbuotojas galėtų grįžti prie savo darbų.
Ko reikėjo
- Paskyrų gyvavimo ciklas, susietas su studijų ir personalo sistemomis: priėmimas sukuria, išėjimas išjungia, be rankinio darbo.
- Privaloma MFA visoms paskyroms, su išimčių sąrašu tik auditorijų ir laboratorijų bendroms paskyroms.
- Sąlyginė prieiga: administracinių sistemų prieiga tik iš valdomų įrenginių ir tik iš Lietuvos.
- Licencijų peržiūra ir aiški taisyklė, kokia licencija priskiriama kokiai rolei.
- Perėjimas be pertraukų semestro metu ir be masinių skambučių į IT.
Ką padarėme
1–3 savaitė: auditas ir paskyros kelias
Perėmę Microsoft 365 administravimą, pradėjome nuo nuomininko audito: kiek paskyrų, kada paskutinį kartą prisijungta, kokios licencijos, kas turi administratoriaus teises, kokios bendrinimo nuostatos. Vaizdas buvo numatomas: apie trečdalis paskyrų neprisijungusios daugiau nei metus, dalis jų su mokamomis licencijomis, aštuoni globalūs administratoriai, iš kurių du jau nebedirbo.
Su studijų skyriumi ir personalu nubraižėme paskyros kelią: nuo priėmimo įsakymo iki išbraukimo. Sutarėme, kuri sistema yra tiesos šaltinis kiekvienai rolei, kada paskyra turi būti išjungta, o kada ištrinta.
4–7 savaitė: Entra ID gyvavimo ciklas
Microsoft Entra ID sukonfigūravome taip, kad paskyros būtų kuriamos ir išjungiamos pagal studijų ir personalo sistemų duomenis: naujas įrašas sukuria paskyrą su rolei priskirta licencija ir grupėmis, pasikeitusi būsena per parą išjungia prisijungimą, o po sutarto laikotarpio paskyra archyvuojama ir licencija atlaisvinama. Senas paskyras išjungėme bangomis, kiekvienai bangai prieš savaitę pranešę fakultetams, kad būtų laiko atsiliepti tiems, kam prieiga dar reikalinga. Atsiliepė nedaug.
8–10 savaitė: MFA ir sąlyginė prieiga
MFA įjungėme etapais: pirma administracija ir dėstytojai, po to studentai pagal fakultetus. Kiekvienam etapui paruošėme trumpą instrukciją lietuvių ir anglų kalbomis ir registracijos langą, per kurį vartotojas galėjo įsidiegti programėlę savo laiku. Sąlyginės prieigos taisyklės: studijų ir personalo sistemos tik iš valdomų įrenginių, administratorių paskyros tik su sukčiavimui atsparia MFA, prisijungimai iš neįprastų šalių blokuojami. Sudėtingiausia buvo auditorijų bendros paskyros – joms sukūrėme atskirą taisyklę, ribojančią prieigą kolegijos tinklu.
11–12 savaitė: licencijos ir perdavimas
Licencijas perskirstėme pagal roles: studentams ir dėstytojams švietimo planai, administracijai – pagal faktinį poreikį, bendroms paskyroms – be mokamų licencijų. Administratorių liko trys, visi su atskiromis administravimo paskyromis. IT darbuotojui perdavėme mėnesio ataskaitos formą ir prieigą prie mūsų helpdesk.
Rezultatas
Visos aktyvios paskyros, 100 %, turi privalomą MFA; išimčių sąrašas yra trumpas, dokumentuotas ir peržiūrimas kas ketvirtį. Po pokyčio sukčiavimo laiškų iš kolegijos paskyrų nebuvo užfiksuota.
Mokamų licencijų sumažėjo apie 28 %: dalis atlaisvinta išjungus nenaudojamas paskyras, dalis – pakeitus planus pagal rolę. Sutaupytos lėšos liko kolegijos biudžete kitiems metams.
Prieiga išjungiama per 24 valandas nuo pakeitimo studijų ar personalo sistemoje, be IT darbuotojo įsikišimo. Matuojame pagal Entra ID žurnalus: laikas nuo būsenos pasikeitimo iki paskyros išjungimo.
Anksčiau kiekvieną rugsėjį turėjome savaitę paskyrų kūrimo. Šiemet jos atsirado pačios, ir tai buvo keista.
Ką patartume panašioje situacijoje
- Pradėkite nuo tiesos šaltinio: kol paskyros nesusietos su personalo ir studijų sistemomis, kiekvienas valymas bus laikinas.
- Senas paskyras išjunkite bangomis su išankstiniu pranešimu, o ne vienu metu – bet neatidėliokite dėl to, kad „kas nors gal naudoja“.
- MFA įveskite etapais su instrukcija ir registracijos langu; didžiausia pasipriešinimo dalis dingsta, kai žmonės gali tai padaryti patys.
- Licencijas peržiūrėkite kartu su paskyromis, ne atskirai: dažniausiai tai tas pats sąrašas.
