Blog

V cloudovém světě Microsoft 365 a Google Workspace existuje jedna role, která vládne všem. Říká se jí Global Admin (nebo Super Admin). Kdo má tento účet, je digitálním bohem. Může číst e-maily ředitele, smazat všechny zálohy, změnit bankovní čísla na fakturách.

Problém je, že v mnoha firmách má tuto roli polovina IT oddělení a někdy i šéf marketingu, "aby ho nic nebrzdilo". Je to nejrychlejší cesta k likvidaci firmy.

Jak nastavit Princip nejnižších nutných práv (Least Privilege) v cloudu a nezbláznit se z toho?

Proč "jeden admin vládne všem" nefunguje

Pokud má útočník heslo běžného uživatele (Franta z obchodu), může napáchat škodu v rámci Frantových e-mailů. Pokud má heslo Global Admina, hra skončila. Útočník má plnou kontrolu nad celou firmou (tzv. Kingdom Keys). Nemusí nic hackovat, prostě se přihlásí a vypne vám firmu.

Zlaté pravidlo: Váš běžný účet (ten, na kterém čtete e-maily a píšete ve Wordu) by NIKDY neměl být Global Admin.

Role-Based Access Control (RBAC): Klíče jen od jedné místnosti

Cloudové služby umožňují přidělovat role jako lego kostičky. Dáváte lidem jen to, co potřebují.

Jak to nastavit v Microsoft 365?

Místo Global Admina použijte tyto role:

• User Administrator: Pro kolegy, kteří resetují hesla a zakládají nové lidi. Nemohou ale sahat na nastavení serverů.

• Exchange Administrator: Pro ty, co řeší e-maily, antispam a distribuční skupiny.

• SharePoint Administrator: Pro správce souborů a intranetu.

• Billing Administrator: Pro účetní, aby mohli stáhnout faktury za licence, ale neviděli do e-mailů.

• Global Reader: Skvělá role pro auditory nebo junior IT – mohou se podívat na nastavení ("read-only"), ale nemohou nic změnit (rozbít).

Jak to nastavit v Google Workspace?

Google to má podobně. Místo Super Admina vytvořte Vlastní role (Custom Roles):

• Help Desk Admin: Reset hesel a správa zařízení.

• Services Admin: Může zapínat/vypínat aplikace (Meet, Calendar), ale nedostane se k datům.

• Groups Admin: Správa e-mailových skupin.

Koncept "Break-Glass" účtu (Nouzové kladívko)

Možná si říkáte: "A co když se něco pokazí a my toho Global Admina budeme fakt potřebovat?" Ano, potřebujete ho. Ale ne na denní práci.

Zavedťe tzv. Break-Glass Account (Účet pro případ nouze):

1. Vytvořte jeden účet (např. admin-emergency@firma.cz), který je Global Admin.

2. Nastavte mu extrémně složité heslo (30+ znaků).

3. Nastavte mu MFA, která nezávisí na vašem mobilu (fyzický klíč v trezoru).

4. Přihlašovací údaje dejte do fyzické obálky do sejfu ředitele.

5. Použijte ho jen tehdy, když hoří (např. když selže přihlašování pro všechny ostatní).

6. Nastavte alarm: Jakmile se tento účet přihlásí, celé IT vedení musí dostat SMS/e-mail, že se něco děje.

Závěr

Mít 5 Global Adminů je pohodlné, ale nezodpovědné. Udělejte si inventuru.

• Běžní IT správci by měli mít jen specifické role (Exchange/User/SharePoint).

• Počet Global Adminů by měl být maximálně 2 až 4 (a neměli by se používat pro čtení pošty).

Bezpečnost není o tom, že nikomu nevěříte. Je o tom, že až někdo z kolegů klikne na špatný odkaz (a to se stane), hacker získá jen klíče od úklidové komory, ne od trezoru.