Життєвий цикл облікового запису: прийом, звільнення та права

Коротко: Новим працівникам швидко потрібні відповідні облікові записи та права, ті, що йдуть, мають одразу втратити все; чітка процедура з контрольним списком запобігає шпаринам у безпеці та хаосу.

Докладніше: Життєвий цикл облікового запису (joiner – mover – leaver) — основний процес керування ідентичністю та доступом (IAM). Помилки тут призводять до осиротілих облікових записів, накопичення прав і витоків даних.

Подробиці

Joiner (прийом/onboarding)

• До першого дня: підготувати обладнання (образ), створити обліковий запис (Active Directory/Entra ID/Google), пошту, групи/ролі за профілем посади (RBAC), ПЗ, телефон, доступи.
• Безпечно передати початковий пароль (одноразовий пароль, зміна під час першого входу, налаштування MFA).
• Навчання: захист даних, ІТ-безпека, політики (підпис).
• Найменші привілеї: лише потрібне.
• Контрольний список + заявка про те, хто що робить; документування.

Mover (зміна)

Під час зміни відділу/ролі: забрати старі права, видати нові (не лише додавати: інакше виникне накопичення привілеїв), скоригувати поштові скриньки/групи, призначити заступників, регулярно пересертифіковувати права (керівники підтверджують щороку).

Leaver (відхід/offboarding)

• Визначити час (дата відходу, за напружених звільнень — можливо, негайно).
• Вимкнути обліковий запис (не видаляти одразу: зберегти дані/скриньку), змінити паролі/доступи, відкликати MFA/токени/ключі безпеки, VPN, хмарні сервіси, SaaS, Git, SSH-ключі серверів.
• Забрати пристрої, передати дані, пересилання/автовідповідь для пошти, перепустки/ключі.
• Змінити спільні облікові дані (вікі, соцмережі, магазин).
• Строки видалення (GDPR), обов’язки зберігання.
• Перевірити службові облікові записи та API-ключі, створені цією особою.

Інструменти та перевірка

• Служби каталогів: Active Directory, Entra ID, LDAP, SSO/SAML/OIDC, SCIM (автоматичне надання), кадрові системи як джерело.
• Автоматизація (PowerShell, робочі процеси joiner), самостійне скидання пароля.
• Журнали для простежуваності (аудит).
• Вибіркові перевірки: чи може звільнений обліковий запис усе ще ввійти? Список осиротілих облікових записів.
• Невеликі команди/клуби: та сама дисципліна: список, у кого який доступ (сервер, домен, магазин, соцмережі), менеджер паролів зі спільним доступом.
• Іспит (IHK): назвати кроки, пояснити рольову концепцію (RBAC), обґрунтувати ризики.

Див. також: Користувачі, групи та права на файли в Linux, Принцип найменших привілеїв, Групові політики та Active Directory