Microsoft 365 on käytössä, Edgeä käytetään päivittäin ja salasanat tallentuvat nopeasti. Yrityksen suunnittelussa on silti erotettava henkilökohtaisten selaintietojen synkronointi, tunnusten keskitetty jakelu ja yhteisten yritystunnusten roolipohjainen hallinta. Ne ovat eri tehtäviä.
Verkkosivulle kirjautuminen ei vielä ole työprofiili
Selaimessa voi olla sekä yksityinen että yrityksen profiili. Selaimeen kirjautunut tili vaikuttaa siihen, minne tiedot synkronoidaan. Se on erotettava avoimella verkkosivulla käytetystä tilistä. Yritysportaalin avaaminen yksityisessä selainprofiilissa ei siirrä kaikkia tallennettuja salasanoja automaattisesti yrityksen hallintaan.
Tietoisesti määritetty työprofiili tekee kohdistuksesta jäljitettävän. Tarkistetaan, onko profiili kirjautunut oikealla yritysidentiteetillä, hallittu ja hyväksytty synkronointiin. Microsoft kuvaa nämä tasot Edgen identiteetti- ja profiilidokumentaatiossa (ulkoinen linkki).
Henkilökohtainen synkronointi yhdistää saman henkilön laitteet
Edge voi synkronoida esimerkiksi suosikkeja, asetuksia ja salasanoja kirjautuneiden laitteiden välillä. Sallitut ja käytössä olevat tietotyypit riippuvat tilistä, palvelun edellytyksistä, lisenssistä ja käytännöistä. ”Meillä on Microsoft 365” ei riitä: käytetyn palvelupaketin ja vuokraajan tarkat ominaisuudet tarkistetaan.
Henkilökohtainen synkronointi helpottaa vaihtamista omien työlaitteiden välillä. Se ei tarkoita automaattista roolipohjaista jakoa muille työntekijöille. Yhteistä toimittajatiliä varten selvitetään lisäksi valtuutetun ryhmän pääsy sekä muutosten ja lähtöjen käsittely. Tekninen lähde: Microsoft: Edgen yrityssynkronointi (ulkoinen linkki).
Edge voi jakaa tunnuksia myös ylläpidon kautta
Yleinen väite, ettei Edge voisi lainkaan tarjota yhteisiä tunnuksia, olisi puutteellinen. Microsoft dokumentoi erillisen toiminnon, Secure Password Deployment Edgen hallintapalvelussa. IT voi kohdistaa tunnuksia valituille käyttäjille ja tarjota ne verkkokirjautumisen täyttämiseen. Toiminto on erotettava henkilökohtaisten salasanojen synkronoinnista.
Nykyinen dokumentaatio mainitsee Microsoft 365 Business Premiumin, E3:n ja E5:n sekä määrityksen Cloud Policies -käytännöillä. Microsoft kuvaa käytön työprofiilissa hallituilla Windows-laitteilla. Ennen käyttöönottoa tarkistetaan tuetut alustat, ryhmäkohdistukset ja vuokraajan käytettävissä olevat ominaisuudet; tästä ei seuraa yleistä tukea jokaiselle laitteelle tai paketille.
Tämä jakelu voi sopia tiettyyn rajattuun käyttötapaukseen. Muut tarpeet, kuten merkinnät, liitteet, useat sovellukset, jakamisprosessit, sijaisuudet ja ratkaisusta poistuminen, arvioidaan erikseen. Lähteet: Microsoft: Secure Password Deployment (ulkoinen linkki).
Salasanan piilottaminen ei takaa täydellistä salassapitoa
Ylläpidon jakamien tunnusten näyttämistä, muokkausta ja vientiä voidaan rajoittaa selaimen käyttöliittymässä. Tästä ei pidä luvata, ettei valtuutettu käyttäjä voisi missään tilanteessa teknisesti saada salaista tietoa selville. Microsoft itse kuvaa rajan artikkelissaan salasanojen keskitetystä jakelusta (ulkoinen linkki).
Työntekijän lähtiessä myös kohdetilin tila on siksi tärkeä. Selainkohdistuksen peruminen, istunnon päättäminen ja tarvittava salasananvaihto toimittajan palvelussa ovat eri vaiheita. Jos portaali tukee henkilökohtaisia käyttäjiä, tämä vaihtoehto rooleineen ja estomenettelyineen otetaan suunnitelmaan.
Jokainen selainkäytäntö ratkaisee tietyn tehtävän
Hallittuja Edge-profiileja ohjataan tarkoitetuilla hallintatavoilla ja käytännöillä, kuten ryhmäkäytännöllä, Intunella tai Edgen hallintapalvelulla. Valmistajan tarkasta kuvauksesta selvitetään käytännön alustat ja profiilityypit. Asetettu valitsin ei yksin osoita olemassa olevien tietojen täydellistä tilaa.
Tärkeä esimerkki on PasswordManagerEnabled: Microsoftin mukaan aiemmin tallennettuja salasanoja voi edelleen käyttää, vaikka uusien tallentaminen estetään. Tietotyypin poistaminen synkronoinnista ei myöskään todista kaikkien vanhojen paikallisten kopioiden poistuneen. Pilotissa tarkistetaan siksi yhdessä nykyiset tiedot, haluttu sääntö ja todellinen tulos.
Microsoft: salasanojen tallennuksen hallinta (ulkoinen linkki) · Microsoft: synkronoitavien tietotyyppien rajaaminen (ulkoinen linkki).
| Tehtävä | Tyypillinen hallinnan laajuus | Tarkista etukäteen |
|---|---|---|
| Henkilökohtaiset selainsalasanat | Tallennus, automaattitäyttö ja sopiva synkronointi yhden henkilön profiilissa. | Oikea profiili, sallittu tili ja olemassa olevat tiedot. |
| Edgen ylläpidollinen jakelu | Tunnusten kohdistaminen tarkoitetun hallintapalvelun kautta. | Lisenssi, ryhmät, laitteet ja todellinen jakelu. |
| Yhteinen yritysholvi | Tarvittavat yhteiset merkinnät, roolit ja luovutukset tuotteen ominaisuuksien mukaan. | Täsmälliset jakamisoikeudet, palautus ja poistuminen. |
| Identiteetti ja MFA | Yritystilin ja yhdistettyjen palveluiden kirjautumisen suojaus. | Lisäoikeudet ja istunnot kohdeportaalissa. |
Entra ID ja MFA suojaavat identiteettitasoa
Hyvin suojattu yritysidentiteetti on työprofiilin ja yhdistettyjen palveluiden perusta. MFA ja sopivat kirjautumiskäytännöt voivat suojata tätä pääsyä. Ne eivät automaattisesti luo ulkoiseen toimittajaportaaliin henkilökohtaisia tilejä, sopivia rooleja tai testattua palautusreittiä.
Identiteetin kirjautuminen, tunnusten säilytyspaikka ja varsinaisen portaalin oikeudet dokumentoidaan erikseen. Erottelu auttaa myös laitevaihdoissa, sijaisuuksissa ja sen määrittämisessä, kuka voi ratkaista häiriön. Sopiva tiimiholvi voi täydentää yhteiskäyttötoimintoja, jotka ylittävät valitun selainratkaisun.
Esimerkki: Microsoft 365 ja yhteinen ostoportaali
Eräs kuvitteellinen yritys käyttää Microsoft 365:tä yhteistyöhön. Toimittajan ostoportaalissa on vain yksi yhteinen tili. Kirjanpitoa ja sen sijaista varten kirjataan ensin käytön toiminnallinen omistaja, sallitut käyttäjät ja palautusviestien kohde.
Sen jälkeen kokeillaan sopivia vaihtoehtoja: Edgen ylläpidollinen jakelu tarkoitetuille laitteille tai yritysholvi tarvittavine rooleineen ja luovutuksineen. Myös varalaite ja testikäyttäjän lähtö testataan. Yhden henkilön yksityisestä synkronointitilistä ei saa huomaamatta tulla yrityksen ainoaa palautusreittiä.
Aloita nykyisistä välineistä ja täydennä tarpeen mukaan
DAXS auttaa tarkistamaan profiilit ja lisenssit, määrittämään henkilökohtaisten ja yhteisten tunnusten käsittelyn sekä toteuttamaan rajatun pilotin. Tuloksena voi olla sopivasti hallittu nykyinen selainominaisuus tai täydentävä salasanojen hallinta. Ratkaisevia ovat todellinen työnkulku ja selkeä toiminnallinen vastuu.
Keskustele selainten ja salasanojen hallinnasta · Suunnittele työasemat ja identiteetit · Vertaa pilvessä ja itse ylläpidettyjä salasananhallintaratkaisuja · Järjestä yhteiset yritystunnukset ja työntekijöiden lähdöt
Usein kysyttyä
Riittääkö Edgen henkilökohtainen synkronointi kirjanpidon yhteiseen käyttöoikeuteen?
Saman henkilön laitteiden synkronointi ei ole tällaista ryhmäjakoa. Ylläpidon jakelu ja tiimiholvi arvioidaan erikseen.
Voiko Edge jakaa yhteisiä tunnuksia keskitetysti?
Microsoft dokumentoi tähän Secure Password Deploymentin tietyin edellytyksin. Alusta, lisenssi, hallintatapa ja tarvittavat ominaisuudet tarkistetaan konkreettisesti.
Poistaako tallennuksen estäminen aiemmat salasanat?
Mainittu Edge-käytäntö estää uuden tallennuksen mutta ei poista aiempia salasanoja automaattisesti. Haluttu siivous tarvitsee oman tarkistetun menettelyn.
