Жизненный цикл учётной записи: приём, увольнение и права

Коротко: Новым сотрудникам быстро нужны подходящие учётные записи и права, уходящие должны сразу всё потерять; чёткая процедура с контрольным списком предотвращает бреши в безопасности и хаос.

Подробнее: Жизненный цикл учётной записи (joiner – mover – leaver) — основной процесс управления идентификацией и доступом (IAM). Ошибки здесь приводят к осиротевшим учётным записям, накоплению прав и утечкам данных.

Подробности

Joiner (приём/onboarding)

• До первого дня: подготовить оборудование (образ), создать учётную запись (Active Directory/Entra ID/Google), почту, группы/роли по профилю должности (RBAC), ПО, телефон, доступы.
• Безопасно передать начальный пароль (одноразовый пароль, смена при первом входе, настройка MFA).
• Обучение: защита данных, ИТ-безопасность, политики (подпись).
• Наименьшие привилегии: только необходимое.
• Контрольный список + заявка о том, кто что делает; документирование.

Mover (изменение)

При смене отдела/роли: забрать старые права, выдать новые (не только добавлять: иначе возникнет накопление привилегий), скорректировать почтовые ящики/группы, назначить заместителей, регулярно пересертифицировать права (руководители подтверждают ежегодно).

Leaver (уход/offboarding)

• Определить время (дата ухода, при напряжённых увольнениях — возможно, немедленно).
• Отключить учётную запись (не удалять сразу: сохранить данные/ящик), сменить пароли/доступы, отозвать MFA/токены/ключи безопасности, VPN, облачные сервисы, SaaS, Git, SSH-ключи серверов.
• Забрать устройства, передать данные, пересылка/автоответ для почты, пропуска/ключи.
• Сменить общие учётные данные (вики, соцсети, магазин).
• Сроки удаления (GDPR), обязанности по хранению.
• Проверить служебные учётные записи и API-ключи, созданные этим человеком.

Инструменты и проверка

• Службы каталогов: Active Directory, Entra ID, LDAP, SSO/SAML/OIDC, SCIM (автоматическое предоставление), кадровые системы как источник.
• Автоматизация (PowerShell, рабочие процессы joiner), самостоятельный сброс пароля.
• Журналы для прослеживаемости (аудит).
• Выборочные проверки: может ли ушедшая учётная запись всё ещё войти? Список осиротевших учётных записей.
• Небольшие команды/клубы: та же дисциплина: список, у кого какой доступ (сервер, домен, магазин, соцсети), менеджер паролей с общим доступом.
• Экзамен (IHK): назвать шаги, объяснить ролевую концепцию (RBAC), обосновать риски.

См. также: Пользователи, группы и права на файлы в Linux, Принцип наименьших привилегий, Групповые политики и Active Directory