Des droits d'administration gérés proprement.
Trois comptes administrateur locaux par appareil, mis sous séquestre dans un Key Vault dédié à votre tenant. Des accès support qui expirent d'eux-mêmes. Des clés de récupération affichées et renouvelées depuis la page de l'appareil. Et des rôles qui donnent à chacun exactement ce dont son travail a besoin, chaque étape étant consignée dans votre journal d'audit.
- 3 comptes admin par appareil
- Séquestre vérifié toutes les heures
- 178 permissions granulaires
- Chaque consultation auditée
Example data. Last check of escrow: 23 minutes ago.
Trois comptes, trois usages
Un compte admin local partagé, c'est ainsi que les mots de passe finissent sur des post-it. L'agent RealmJoin gère trois comptes par appareil, chacun avec son public et sa durée de vie.
| Compte | Qui peut l'utiliser | Durée de vie | Conçu pour |
|---|---|---|---|
| Urgence | Supporters et Advanced Supporters | Toujours présent ; un mot de passe manquant est signalé | Le moment où plus rien d'autre ne fonctionne |
| Support | Le helpdesk sur demande, les jetons de ticket, les propriétaires avec SelfLAPS | Expire de lui-même, 12 heures par défaut | Sessions à distance, installations, dépannage |
| Privilégié | Advanced Supporters | Renouvelé à la demande | Travaux d'administration planifiés |
Restreignez qui voit quoi, par groupe de propriétaires d'appareils. Avec Restrict.LAPS, les mots de passe des appareils de direction peuvent être réservés à un groupe de support VIP, quel que soit le rôle détenu par ailleurs. Le portail explique chaque décision : ouvrez un appareil et il vous indique qui peut voir ses mots de passe, et pourquoi. Essayez la vérification
Fonctionnement du séquestre
- L'agent définit le mot de passe sur l'appareilL'agent définit le mot de passe sur l'appareilDes préréglages déterminent le format du mot de passe, y compris des phrases de passe à base de listes de mots que l'on peut réellement taper quand on les dicte au téléphone.
- Il est chiffré avant de partirIl est chiffré avant de partirL'appareil chiffre le mot de passe avec le certificat RealmJoin de votre tenant.
- Il arrive dans le Key Vault de votre tenantIl arrive dans le Key Vault de votre tenantRealmJoin le stocke comme secret dans le Key Vault dédié à votre tenant et refuse les clés de tout autre coffre.
- Chaque consultation est contrôlée et consignéeChaque consultation est contrôlée et consignéeLes rôles, les restrictions et les règles SelfLAPS décident qui peut voir quel compte. Chaque consultation est inscrite au journal d'audit avec qui, quand et pour quel appareil.
- Le séquestre est vérifié toutes les heuresLe séquestre est vérifié toutes les heuresRealmJoin contrôle chaque appareil actif et signale les mots de passe manquants et les secrets orphelins avant que quiconque en ait besoin.
SelfLAPS et tickets
POST /laps/request # support account, expiry per tenantPOST /laps/retrieve # password once it's escrowed
Windows LAPS dans Intune, sur la même page
Si vous utilisez déjà Windows LAPS via Intune, RealmJoin affiche et renouvelle les mots de passe gérés par Intune, pour Windows comme pour les Mac inscrits via Apple Business Manager. Aucun agent n'est nécessaire, et il s'agit d'une permission optionnelle que vous n'accordez que si vous le souhaitez.
- Nom d'utilisateur, mot de passe, dernière mise à jour et expiration
- Rotation depuis la page de l'appareil
- Audité dans sa propre catégorie
Des clés de récupération sans ticket vers l'administrateur Entra
Un portable verrouillé à 7 h 30 relève du helpdesk, pas d'une escalade. Les Supporters voient les clés de récupération BitLocker et FileVault sur la page de l'appareil, puis les renouvellent pour que la clé lue à voix haute perde sa valeur. Chaque consultation et chaque rotation sont auditées.
- Clés BitLocker par volume, clés FileVault pour les Mac
- Rotation pour les deux, directement depuis l'appareil
- Permission optionnelle, accordée seulement si vous l'utilisez
Neuf rôles, mappés sur des groupes que vous avez déjà
Attribuez chaque rôle à des groupes de sécurité Entra ou à des rôles d'annuaire. Un Global Administrator est reconnu comme tel, et les rôles d'application Admin et Auditor fonctionnent aussi.
Exemple de mappage dans Settings, Permissions.
- sec - realmjoin - admins
- Admin
- sec - it - internal audit
- Auditor
- sec - support - first level
- Supporter
- sec - support - second level
- Advanced Supporter
- sec - automation - operators
- Runbook Runner
- sec - apps - packaging
- Software Agent
- sec - apps - requesters
- Software Requester
- sec - apps - organic upload
- Organic Requester
- sec - comms - it announcements
- Notification Agent
Des rôles personnalisés à partir de 178 permissions
Quand une fonction ne correspond à aucun rôle intégré, composez le vôtre. Les rôles personnalisés accordent des permissions nommées à des utilisateurs ou à des groupes dans un éditeur JSON des paramètres, de la lecture de la table des appareils à l'approbation des exécutions de runbooks. Les permissions réservées aux partenaires ne s'appliquent que dans les tenants partenaires.
Quelques-uns des 178 noms de permissions. En surbrillance : un rôle « équipe de nuit » qui peut lire les appareils et renouveler les clés de récupération, rien de plus.
Limitez la portée de RealmJoin lui-même
Le moindre privilège vaut aussi pour l'outil. Décidez quelle part de votre tenant RealmJoin peut toucher, et changez d'avis plus tard.
Périmètre par unité administrative
Limitez RealmJoin à une seule unité administrative Entra ; les écritures de groupes n'ont lieu que là.
Cœur en lecture seule
Connectez RealmJoin avec des permissions en lecture seule et étendez-les quand vous êtes prêt.
Accorder, réduire, révoquer
Chaque permission de chaque app registration, individuellement, depuis la page des fonctionnalités.
Des app registrations séparées
Les permissions core, lecture seule, sécurité et client résident dans des applications distinctes.
Capacités optionnelles
Intune LAPS, les connexions, les clés BitLocker et d'autres fonctions sont à activer explicitement.
Accès audités
Les consultations de mots de passe et les demandes de compte support sont enregistrées avec qui, quand et depuis où.
Sécurité et confiance
L'hébergement, les flux de données et les permissions que demande RealmJoin.
Permissions de runbooks
Qui peut exécuter quel runbook, jusqu'au groupe cible.
Journal d'audit
30 catégories dans votre propre espace de travail Log Analytics.
Arrêtez de partager le mot de passe admin.
Découvrez le modèle à trois comptes sur vos propres appareils, avec les mots de passe dans votre propre Key Vault.