質問

2018年10月22日 13時10分
  • クライアント端末(パソコン)の管理者権限運用に関するご質問

情シスのオープンナレッジ『Syszo』サービス終了のお知らせ

質問

弊社ではクライアント端末として、事前に機種選定を行い、マスタキッティングした端末を配布しています。

利用者はユーザーを管理者権限に追加して利用していますが、皆様の会社ではどの様な運用をされておりますでしょうか?

弊社では、セキュリティ強化のために、ユーザーは管理者権限ではなく、通常の一般ユーザーで運用する事を検討しておりますが、そうした場合、各種ソフトのインストール(プリンタドライバなど)が不可となり、業務が回らなくなるのでは と懸念しております。

上記は一例として、クライアント端末に管理者権限を付与していない場合の運用方法をご教示頂ければ幸いです。

※会社規模は1000名前後で、基本的にADでユーザーを管理しています。
資産管理ソフトはSKYSEAを運用中です。

3件の回答があります

回答

クライアント端末に管理者権限を付与していない場合の運用方法

は私どもは取っていません。理由は

・開発部門がいろいろなソフトを導入するため、同様に営業部門でもお客に製品を提供する際に専用ソフトを利用するため いちいち情シスで行っていては手間がかかる。

・機材に要求されるスペックがピンキリ(製造は値段重視・Excelできればいい、開発部門や営業企画は高スペック要求)なので一括同一機種では合わないので、勝手に購入させている。(ただし機材はすべて申請、ネット接続も申請許可制)

・一人で何台も持つこと(目的はいろいろ)があり、情シスでいちいち要求を聞くのは面倒。

・お客にPCを売ることもあり「パソコンのセットアップくらい自分でできないようでは困る」ので「自分でやれ」を基本にしている。(がいろいろ規制は入れている)

1300人のユーザが居る会社で導入を援助したことがありますが、情シスがセットアップして管理すると20人ほどの情シス員が必要でした(パソコン専属ではないですけど)

よっぽどガチガチにしなければならないとか、ユーザのリテラシイが低い(工場作業者が多い、ただの販売員が多い、事務員が多い)でないなら、ユーザにやらせた方がいいかもしれません。

2018年10月22日 18時08分

回答

セキュリティ面でのご不安、大変よくわかります。情シス業務の負担軽減とのバランスは永遠の課題ですね・・・

以下、弊社の事例ですが会社規模に差があるので本当にご参考程度に・・・

弊社は200人規模で約200台のPCをAD環境で運用しています。
PCは情シスで選定し、基本的なキッティングをしてからユーザーに配布しています。

基本的にユーザーに管理者権限は与えていませんが、管理者権限のないユーザーからソフトのインストールを依頼されることは月に1件あるかないかという程度です。
その際は、リモート接続して管理者権限を入力してあげる、という運用をしています。
(基本的にその前のインストーラーDLやインストール時の設定はお任せ)

ご不安に思われているプリンタドライバなど必須ソフトのインストールですが、メーカーさんによっては管理者権限がないユーザーでもインストールできるような配布ソフトを用意していたり、batファイルで管理者権限インストールを可能にするような方法もあるかと思います。ADでのソフト配布などもしかり。
また、SKYSEAご利用とのことですが、(私は触ったことがないので詳細は分からないのですが)ソフトウェア配布の機能で管理者権限インストールが可能になったり。。。ということはないのでしょうか。

とはいえまずは一部署のみ管理者権限を外し、どれくらいの頻度でソフトウェアのインストールが発生するか、そのうえで情シスの方が管理者権限を入力する必要がある場合をどれほど減らせるかを実験いただくのがよいかと思います。

以上、ご参考になれば幸いです。

2018年10月26日 16時34分
cbx

回答

現職ではないですが、以前の職場環境が似ておりましたので参考になれば。
-PC台数1000台
-AD環境
-ユーザーに管理者権限なし
-SKYSEA導入済み

基本的には情シス側で全てキッティング時に設定をし、ユーザーは渡された状態のまま使用していました。
マスターには全拠点で共通のソフトインストールや設定を行い、プリンタードライバーやネットワーク設定など個別で必要なものは都度という感じです。

cbxさんと同様、導入後にユーザーからソフトインストールなどで管理者権限が必要と言われた場合にはリモートで対応していました。
この際のリモートはSKYSEAの機能を使えばユーザーと画面を共有しながら作業ができます。

またSKYSEAは管理者権限でexeファイルやBatファイルを実行させるスクリプトが保守サイトに公開されていますので、複数台にバックグラウンドでプログラムをインストールさせるといったこともできます。

ちなみにインストーラーを管理者権限で実行したい場合ですが、管理者権限を持っているユーザーでログインする方法以外に「コマンドプロンプトでrunasコマンドを使用する」方法もあります。
こちらはいちいち再ログインしなくてもいいのでユーザーとのやり取りも少なく、時間も短縮できて便利です。

2018年10月29日 13時16分