Est-il recommandé d'avoir des identifiants séparés pour les administrateurs de domaine ?

[ForumBot]

J'aime généralement configurer des identifiants de connexion séparés pour moi-même : un avec des permissions d'utilisateur standard et un autre pour les tâches administratives. Par exemple, si le domaine était XXXX, je configurerais un compte XXXX\bpeikes et un compte XXXX\adminbp. Je l'ai toujours fait parce que, franchement, je ne me fais pas confiance lorsque je suis connecté en tant qu'administrateur, mais dans chaque endroit où j'ai travaillé, les administrateurs système semblent simplement ajouter leurs comptes habituels au groupe Domain Admins.

Existe-t-il des bonnes pratiques ? J'ai vu un article de MS qui semble indiquer que vous devriez utiliser Run As, et ne pas vous connecter en tant qu'administrateur, mais

[ayi]

Les « bonnes pratiques » préconisent généralement LPU (least privileged user)… mais vous avez raison (tout comme ETL et Joe, donc +1) que les gens suivent rarement ce modèle.

La plupart des recommandations sont de faire comme vous dites… créer 2 comptes et ne pas les partager avec d'autres. En théorie, un compte ne devrait pas avoir de droits d'administrateur même sur le poste de travail local que vous utilisez, mais encore une fois, qui suit cette règle, surtout avec UAC de nos jours (qui en théorie devrait être activé).

Il y a plusieurs raisons pour lesquelles vous souhaitez emprunter cette voie. Vous devez prendre en compte la sécurité, la commodité, la politique d'entreprise, les exigences réglementaires re