Situācija
Kauņas (Lietuva) koledža Microsoft 365 izmanto vairāk nekā desmit gadus: e-pasts, Teams, OneDrive un SharePoint pasniedzējiem, administrācijai un studentiem. Ir aptuveni 400 darbinieku lietotāju un vairāki tūkstoši studentu kontu, un katru gadu to kļūst vairāk. Administrēšana bija viena IT darbinieka rokās līdztekus visiem pārējiem pienākumiem: datoriem, auditoriju aprīkojumam, tīklam.
Gadu gaitā koledžā uzkrājās tas, kas uzkrājas visur, kur konti tiek veidoti ar rokām un atslēgti „kad kāds atceras”. Bijušajiem studentiem bija darbojoši konti ar e-pastu un piekļuvi Teams kanāliem ar studiju materiāliem. Tāpat bija aizgājušajiem pasniedzējiem, dažiem – ar koplietojamām SharePoint bibliotēkām. Daudzfaktoru autentifikācija bija ieslēgta tikai tiem, kas to paši vēlējās, un tas bija mazākums. Licences bija nopirktas atbilstoši augstākajam sasniegtajam skaitam un kopš tā laika netika pārskatītas.
Pie mums vērsās pēc diviem notikumiem: kiberdrošības pārbaudes piezīmēm par MFA un pikšķerēšanas gadījuma, kad e-pasti pasniedzējiem tika sūtīti no bijušā studenta konta. Koledžas vadība vēlējās, lai administrēšana notiek pēc procesa, nevis no atmiņas, un lai IT darbinieks varētu atgriezties pie citiem darbiem.
Kas bija nepieciešams
- Kontu dzīves cikls, kas saistīts ar studentu un personāla sistēmām: imatrikulācija izveido kontu, atskaitīšana to atslēdz, bez manuāla darba.
- Obligāta MFA visiem kontiem, ar izņēmumu sarakstu tikai koplietojamajiem auditoriju un laboratoriju kontiem.
- Nosacītā piekļuve: piekļuve administratīvajām sistēmām tikai no pārvaldītām ierīcēm un tikai no Lietuvas.
- Licenču pārskatīšana un skaidrs noteikums, kura licence tiek piešķirta kurai lomai.
- Pāreja bez pārtraukumiem semestra laikā un bez zvanu plūdiem uz IT.
Ko mēs izdarījām
1.–3. nedēļa: audits un konta ceļš
Pēc Microsoft 365 administrēšanas pārņemšanas mēs sākām ar vides auditu: cik kontu, kad katrs pēdējo reizi pieteicies, kādas licences, kam ir administratora tiesības, kādi ir koplietošanas iestatījumi. Aina bija tāda, kādu gaidījām: aptuveni trešā daļa kontu gadu un ilgāk nebija pieteikušies, daži no tiem ar apmaksātām licencēm, un bija astoņi globālie administratori, no kuriem divi tur vairs nestrādāja.
Kopā ar studiju daļu un personāla daļu mēs uzzīmējām konta ceļu no imatrikulācijas rīkojuma līdz izslēgšanai no reģistra. Vienojāmies, kura sistēma katrai lomai ir patiesības avots, kad konts jāatslēdz un kad jādzēš.
4.–7. nedēļa: Entra ID dzīves cikls
Mēs konfigurējām Microsoft Entra ID tā, lai konti tiktu izveidoti un atslēgti pēc datiem studentu un personāla sistēmās: jauns ieraksts izveido kontu ar lomai atbilstošu licenci un grupām, mainīts statuss atslēdz pieteikšanos vienas dienas laikā, un pēc saskaņota termiņa konts tiek arhivēts un licence atbrīvota. Vecos kontus atslēdzām vilņiem, nedēļu pirms katra vilņa paziņojot fakultātēm, lai tie, kam piekļuve vēl bija vajadzīga, paspētu atsaukties. Atsaucās nedaudzi.
8.–10. nedēļa: MFA un nosacītā piekļuve
MFA ieslēdzām pa posmiem: vispirms administrāciju un pasniedzējus, tad studentus pa fakultātēm. Katram posmam sagatavojām īsas instrukcijas lietuviešu un angļu valodā un reģistrācijas logu, kurā lietotāji varēja iestatīt lietotni sev ērtā tempā. Nosacītās piekļuves noteikumi: studentu un personāla sistēmas tikai no pārvaldītām ierīcēm, administratoru konti tikai ar pret pikšķerēšanu izturīgu MFA, un pieteikšanās no neparastām valstīm tiek bloķēta. Visgrūtākie bija koplietojamie auditoriju konti, kuriem izveidojām atsevišķu noteikumu, kas ierobežo piekļuvi ar koledžas tīklu.
11.–12. nedēļa: licences un nodošana
Licences pārdalījām pēc lomām: izglītības plāni studentiem un pasniedzējiem, administrācijai – pēc faktiskās vajadzības, un koplietojamiem kontiem apmaksātu licenču nav. Palika trīs administratori, visi ar atsevišķiem administratīvajiem kontiem. IT darbiniekam nodevām ikmēneša atskaites veidni un piekļuvi mūsu palīdzības dienestam.
Rezultāts
Visiem aktīvajiem kontiem, 100 %, ir obligāta MFA; izņēmumu saraksts ir īss, dokumentēts un tiek pārskatīts katru ceturksni. Kopš izmaiņām nav fiksēts neviens pikšķerēšanas e-pasts no koledžas kontiem.
Apmaksāto licenču skaits samazinājās aptuveni par 28 %: daļu atbrīvoja, atslēdzot neizmantotos kontus, daļu – nomainot plānus atbilstoši lomām. Ietaupījums nākamajos gados palika koledžas budžetā.
Piekļuve tiek atslēgta 24 stundu laikā pēc izmaiņām studentu vai personāla sistēmā, IT darbiniekam neiesaistoties. Mēs to mērām pēc Entra ID žurnāliem: laiks no statusa maiņas līdz konta atslēgšanai.
„Katru septembri mums bija konta veidošanas nedēļa. Šogad tie vienkārši parādījās, un tas likās dīvaini.”
Ko mēs ieteiktu līdzīgā situācijā
- Sāciet ar patiesības avotu: kamēr konti nav saistīti ar personāla un studentu sistēmām, katra sakopšana būs pagaidu.
- Vecos kontus atslēdziet vilņiem ar iepriekšēju brīdinājumu, nevis visus uzreiz, bet neatlieciet to tikai tāpēc, ka „varbūt kāds to izmanto”.
- MFA ieviesiet pa posmiem ar instrukcijām un reģistrācijas logu; lielākā daļa pretestības izzūd, kad cilvēki to var izdarīt paši.
- Licences pārskatiet kopā ar kontiem, nevis atsevišķi: vairumā gadījumu tas ir viens un tas pats saraksts.
