जब कोई कर्मचारी आपके संगठन को छोड़ता है, तो क्या आप अपने सक्रिय निर्देशिका खाते को हटाते हैं या अक्षम करते हैं? हमारा SOP एक्सचेंज मेलबॉक्स को अक्षम, निर्यात / शुद्ध करना है, और फिर "कुछ समय" बीत जाने के बाद (आमतौर पर तिमाही), खाते को हटा दें।
क्या उस देरी की कोई जरूरत है? अपने मेलबॉक्स को निर्यात और शुद्ध करने के बाद, मुझे उस समय और उस खाते को क्यों नहीं हटाना चाहिए?
जवाबों:
एक बार जब वे छोड़ देते हैं, तो वे आमतौर पर वापस नहीं आते हैं। मुझे पुराने खातों को लटकाने का कोई कारण नहीं दिख रहा है। यहाँ हम क्या करते हैं:
फ़ाइलें:
ईमेल:
हम खातों को निष्क्रिय कर देते हैं। उनके "विवरण" प्रस्थान की तारीख को इंगित करने के लिए अद्यतन हो जाते हैं, और वे एडी पदानुक्रम में एक फ़ोल्डर में चले जाते हैं जो प्रस्थान की स्थिति पर निर्भर करता है कि वे (चले गए ईमेल कहीं आगे चले गए, पूर्व-संग्रह, संग्रहीत)।
हमारे पास बड़ी मात्रा में जटिल फाइलें और फ़ोल्डर पदानुक्रम हैं। यदि आप सक्रिय निर्देशिका से खाते को हटाते हैं, और स्पष्ट प्रति-उपयोगकर्ता ACL के साथ फ़ाइल / फ़ोल्डर में वह ACL डेटा होगा जो SID के रूप में प्रदर्शित होता है। और मुझे किसी SID से यह पता लगाने का कोई तरीका नहीं मिला कि यह किस खाते की थी - क्योंकि खाता हटा दिया गया है।
इस तरह से जब लोग स्वामित्व / अनुमतियों के मुद्दों को देख रहे हैं जो अजीब तरह से व्यवहार कर रहे हैं, तो हम उन लोगों की स्वामित्व और अनुमतियां देख सकते हैं (और हटा सकते हैं) जो अब मौजूद नहीं हैं।
अपडेट, बहुत बाद में: मैंने एक सहकर्मी से सीखा जो Microsoft से एक ऑडिट से गुजर रहा है कि आपके विज्ञापन में "प्रति-सीट" लाइसेंस की आवश्यकता है (यदि आप इस तरह से झूल रहे हैं), तो वे एक वास्तविक व्यक्ति हैं या नहीं या नहीं व्यक्ति अभी भी मौजूद नहीं है। तो हटाने के लिए एक तर्क दिया जाना चाहिए!
यहां हायर एड के मेरे स्थान पर हमारे पास 2 सप्ताह की पॉलिसी के लिए एक अक्षम और रिटेन है।
उपयोगकर्ता-निर्देशिका डेटा तक पहुंच का अनुरोध करने वाले प्रबंधकों को एक सीडी दी जाती है, प्रत्यक्ष पहुंच नहीं। एफएआर भी अक्सर अतीत में कहा जाता है कि प्रबंधक केवल उपयोगकर्ता-निर्देशिका का उपयोग किसी अन्य फ़ाइल स्टोर के रूप में करते हैं।
ईमेल तक पहुंच का अनुरोध करने वाले प्रबंधकों को मेलबॉक्स का पीएसटी निर्यात दिया जाता है, न कि सीधे पहुंच।
शिकायत करने वाले प्रबंधकों ने कहा कि विभाग के 20 साल के बुजुर्ग एक निश्चित महत्वपूर्ण कार्य के लिए संपर्क के एकमात्र बिंदु थे, और इसलिए उन्हें नाम रखने की आवश्यकता है ताकि महत्वपूर्ण मेल बाउंस न हो, अपने हाथों को पकड़े रहें। हम विकलांग मेलबॉक्स पर एक ऑफ़िस नियम लागू करने का प्रयास करते हैं, जिसमें कहा गया है कि व्यक्ति ने छोड़ दिया है और कृपया इसके बजाय व्यक्ति बी से संपर्क करें। फिर हम भविष्य में उस खाते के लिए एक हार्ड डिलीट-डेट निर्धारित करते हैं ताकि यह सुनिश्चित हो सके कि दुनिया को पता है कि व्यक्ति ए अब नहीं है। हम उस ईमेल पते को किसी अन्य मेलबॉक्स पर नहीं डालते हैं यदि हम उसकी सहायता कर सकते हैं। हम हमेशा सफल नहीं होते हैं।
कभी-कभी उस क्षेत्र के लिए 20 साल के वयोवृद्ध प्रमुख सचिव सहायता थे, और इसलिए एक कैलेंडर के साथ बहुत अधिक सभी का एक प्रतिनिधि था जिसे प्रबंधन की आवश्यकता थी। जैसे ही एक खाता जैसे कि अक्षम हो जाता है, किसी को भी प्रबंधित कैलेंडर में अपॉइंटमेंट भेजने वाले को असामान्य उछाल वाले संदेश मिलेंगे। अस्थायी रूप से खाते को फिर से सक्षम करने से बाउंस संदेशों को रोक दिया जाता है, जबकि डेस्कटॉप कर्मचारी गुजरते हैं और सभी मेलबॉक्सेज़ से प्रतिनिधि हटाते हैं। डेस्कटॉप कर्मचारियों को उक्त कैलेंडर के मालिकों के साथ बातचीत करने और आवश्यक सेटिंग्स करने में कुछ दिन लग सकते हैं। खाता फिर से अक्षम है और सामान्य 2 सप्ताह के विलोपन के अधीन होगा। यह एक्सचेंज की एक 'विशेषता' है जो मुझे विशेष रूप से पसंद नहीं है।
मैं किसी कर्मचारी या ठेकेदार के कंपनी छोड़ने के बाद तुरंत AD खाता हटाने का प्रशंसक नहीं हूं। मैंने पाया है कि कम से कम 30 दिनों के लिए अक्षम करना और फिर वर्ष में 1-2 बार अक्षम खातों को हटाना सबसे अच्छा है।
ऐसे कुछ कारण हैं जिनके कारण आप किसी खाते को तुरंत हटाना नहीं चाहते हैं:
1- फोरिक्स। यदि आपके संगठन को किसी कर्मचारी या ठेकेदार के खिलाफ कानूनी कार्रवाई करने की आवश्यकता है, तो आपको मूल खाते (SID) की आवश्यकता होगी।
2- ऑटोमैटिक टास्क- यूजर्स, खासकर आईटी वर्कर, रनिंग जॉब, ऑटोमैटिक रिपोर्ट, रिसाइकल सर्विसेज आदि जैसे सोचने के लिए ऑटोमैटिक टास्क सेटअप करते हैं। अगर आपका कॉम्प्लेक्स होने से पहले ही यूजर अकाउंट डिलीट कर देते हैं तो आपकी बाइंड होने वाली है। नौकरी या कार्य आईडी के लिए बंधे। आप बस उसी नाम से खाते को फिर से नहीं बना सकते क्योंकि SID समान नहीं होगी और यही स्वचालित कार्य खाते के दृश्यमान नाम को नहीं देखते हैं।
यदि आप पहले अक्षम करते हैं, तो आप हमेशा खाते को फिर से सक्षम कर सकते हैं, पासवर्ड बदल सकते हैं या पुनर्प्राप्त कर सकते हैं, और व्यवसाय में अपनी पीठ को तब तक काम कर सकते हैं जब तक कि आपको एक वैध सेवा खाते में काम न मिल जाए।
हमारे पास बहुत सख्त ऑडिट आवश्यकताएं हैं, और अक्सर यह साबित करने के लिए कहा जाता है कि उपयोगकर्ता अक्षम था, और कब। इससे निपटने के लिए हम खाते को निष्क्रिय कर देते हैं जब हमें बताया जाता है कि वे छोड़ चुके हैं। अक्षम किए गए खातों को अपने स्वयं के OU में ले जाएं, और उनके द्वारा छोड़ी गई तिथि के साथ विवरण को अपडेट करें (यह हमें उन लोगों को अक्षम करने के लिए भी काम में आता है जो लंबे समय तक गायब हो जाते हैं और वापस आने पर उन्हें फिर से सक्षम करते हैं)।
एक बार जब वे 6 महीने के लिए चले गए तो हम उन्हें हटा देते हैं।
यदि वे 3 महीने से अधिक समय के लिए चले गए हैं, तो मैं उनके खातों को हटा देता हूं। हमारे सभी सिस्टमों में GPO लागू डेस्कटॉप और फ़ोल्डर पुनर्निर्देशन के लिए My Documents / Desktop आदि हैं, इसलिए मैं उन्हें हटाने के बाद फ़ाइल सर्वर पर मेरे संग्रह वॉल्यूम पर संग्रहीत करता हूं।
मैं सब कुछ के लिए ए / डी पर भूमिका आधारित सुरक्षा समूहों का उपयोग करने के बारे में पंडित हूं, इसलिए कोई उपयोगकर्ता नहीं हैं जिनके पास फ़ाइल सिस्टम की अनुमति है या कुछ और जो कथित रूप से लागू किया गया है, इसलिए कोई भी उपयोगकर्ता को हटाने वाला कोई बड़ा व्यक्ति नहीं है। इसे स्थापित करने में थोडा विचार किया जाता है और सिर खुजलाया जाता है - लेकिन मैं वास्तव में इसे करने की सलाह देता हूं, क्योंकि यह विंडोज नेटवर्क पर एक सेंचुरी को मैनेज करने की अनुमति देता है।
विनिमय के लिए, मैं एक्समर्ज़ के साथ मेलबॉक्स को निर्यात करता हूं, और संग्रहीत फ़ोल्डर के साथ। Pst डाल देता हूं, फिर उस व्यक्ति की भूमिका के आधार पर संदेशों को अग्रेषित करना या बाउंस करना सेटअप करता है।
विश्वविद्यालय में मैंने जिस नीति में भाग लिया और काम किया, वह निम्नलिखित है:
कंप्यूटर खातों को हटाने के साथ एक बहुत बड़ी समस्या हो सकती है: कानून।
यूरोपीय संघ डेटा संरक्षण निर्देश के तहत कुछ सदस्य राज्यों (विशेष रूप से पोलैंड) को किसी और को उसी उपयोगकर्ता आईडी को कभी भी असाइन करने की आवश्यकता नहीं होती है और उसी समय, लॉग का उपयोग कब और किसने किया और कब पहुंच रद्द कर दी गई थी, इसका लॉग इन रखें।
संक्षेप में: यदि आप व्यक्तिगत डेटा के साथ सौदा करते हैं, तो एक वकील / कानूनी टीम से बेहतर पूछें।
मेरे दो परामर्शदाता हैं जिनमें से मैं एक पूर्णकालिक कर्मचारी हुआ करता था। मेरे कर्मियों की संख्या और सब कुछ समान है, और मुझे पूरा यकीन है कि वे कभी भी एडी खातों को नहीं हटाते हैं - वे बस उन्हें अक्षम करते हैं - जब मैं वापस आया तो उन्होंने मुझे बस बहाल कर दिया।
एकमात्र मुद्दा जो मैं देख रहा हूं वह यह है कि मेरे सभी समूह सदस्यता और पहुंच जो मेरे SID (AD समूह सदस्यता, केवल मुझे लगता है) से जुड़ी हुई हैं, इसलिए अभी भी हैं, अगर मुझे कम क्षमता में वापस आना चाहिए था, तो उन सदस्यता की समीक्षा करना एक महत्वपूर्ण कदम हो।
फिर, इस बात की परवाह किए बिना कि क्या आप हटाते हैं और फिर से बनाते हैं या क्या आप अक्षम करते हैं और सक्षम करते हैं, यदि samaccountname समान रहता है, तो अन्य सभी सिस्टम जो उस उपयोगकर्ता खाते को संदर्भित करते हैं, को रगड़ना होगा।
मैं एक फॉर्च्यून 500 ऊर्जा उपयोगिता के लिए एक दूरस्थ सहायता (एलिवेटेड हेल्पडेस्क) तकनीशियन के रूप में काम करता हूं। हमारे व्यवसाय की प्रकृति को देखते हुए, हमारे पास ठेकेदारों से लेकर सभी प्रकार के परिदृश्य हैं जो ऊपर वर्णित के रूप में 20 साल के बुजुर्गों के लिए आते हैं और जाते हैं। मैंने जो कुछ देखा है उससे हमारी नीति की काट सूखी हुई है।
सभी खातों में अंतिम टिकट संख्या और विवरण क्षेत्र में दिनांक और प्रकार का परिवर्तन होता है। जैसे Change Order 123456 Created on 00/00/00 by the access manager
Terminated on 00/00/00याRe-enabled on 00/00/00 by Manager's Name
विसंगति की सूचना पर तुरंत हेल्पडेस्क खाते को निष्क्रिय कर देता है। एक निश्चित समय के बाद पुष्टि होने पर या स्वचालित रूप से उपयोगकर्ता द्वारा अक्षम किए गए खातों में OU और तीन टिल्ड और विज्ञापनों की समाप्ति तिथि ( ~~~00/00/00) दोनों को प्रदर्शित करने के लिए आईटी और अंतिम उपयोगकर्ताओं को एक नज़र में उपयोगकर्ता को जल्दी से पहचानने की अनुमति देता है, कंपनी के साथ कोई अकेला नहीं है ।
मैं डेटा के बारे में जानकारी नहीं दे सकता। मैं उस विभाग में काम नहीं करता। लेकिन मुझे पता है कि एक कीट के बारे में खाता पूरी तरह से चला गया है।
डेटा और प्रतिधारण की ये अवधारणाएं, अभी भी असंतुष्ट कर्मचारी से संगठन की रक्षा करते हुए किसी भी संगठन की आईटी नीतियों का हिस्सा होना चाहिए। लेकिन कंपनी द्वारा प्रत्येक चरण के बीच का समय अलग-अलग होगा।
यह वास्तव में डेस्कटॉप में हमारी मदद करता है खासकर जब मैसेजिंग समस्या का निवारण करता है।
उम्मीद है की यह मदद करेगा
हमारे पास ऐसे लोग हैं जो नियमित रूप से निकासी करते हैं और फिर एक हफ्ते से छह महीने बाद कहीं भी लौट जाते हैं। जब हम उन खातों को निष्क्रिय कर देंगे जिनमें हमारे पास कुछ समस्या थी जिसे मैं अब की प्रकृति को याद नहीं कर सकता ... संभवतः संबंधित ईमेल? कुछ और चेतावनी? हमने इसके बजाय अपनी प्रक्रिया को बदल दिया ताकि पासवर्ड को कुछ हद तक जीवंतता के लिए रीसेट कर दिया जाए और एक नोट को विवरण क्षेत्र में रखा जाए ताकि स्थिति का विवरण दिया जा सके ताकि कोई अन्य उपयोगकर्ता जानकारी संपादित करने के लिए इसे संदर्भ के लिए जान सके।
अंत में यह पता चलता है कि स्नातक होने के बाद उन्हें कोई फर्क नहीं पड़ता।
खाते को तब और वहां से हटाना ... मैं कहूंगा कि यह नीति की बात है, लेकिन बंद रखने से भी "इसे सुरक्षित रूप से खेलने" का लाभ होता है, जब कोई गलती या स्थिति में बदलाव होता है। या डेटा को हटाने के लिए इसमें कोई सुधार नहीं है और अचानक किसी को कुछ फ़ाइलों या सूचना या मेल, आदि तक पहुंच की आवश्यकता होती है ... लेकिन अगर आपको पुरानी जानकारी और व्हाट्सएप को पुनर्स्थापित करने के लिए नीतियां हैं तो अन्य साधनों के माध्यम से नियंत्रित किया जा सकता है। हमारे लिए बस कुछ समय के लिए खाते के कुछ हिस्सों को संभाल कर रखना आसान है, जब तक यह तय नहीं हो जाता है कि अब इसकी आवश्यकता नहीं होगी, कुछ प्रयास और सिरदर्द को कम करता है।