Just-in-Time-Erhebung und -Bereitstellung aktivieren

Nachdem Sie AD PAM in Ihrer Umgebung bereitgestellt haben, können Sie die Just-in-Time-Rechteerhebung und -Bereitstellung aktivieren, um bei Bedarf temporären privilegierten Zugriff zu gewähren.

Just-in-Time-Rechteerhebung

1. Fügen Sie die Berechtigung zum Erstellen von Benutzergruppen zu Ihrem PAM-Domänenanbieterkonto in AD hinzu.
2. Identifizieren Sie die Benutzergruppen in AD, die für die Just-in-Time-Rechteerhebung verfügbar sein sollen.
3. Gehen Sie zurück in Devolutions Server oder Devolutions Cloud zu Administration – Privilegierter Zugriff – Anbieter und klicken Sie bei Ihrem PAM-Anbieter auf Bearbeiten.
4. Wählen Sie im linken Menü den Abschnitt JIT-Rechteerhebung aus.
5. Wählen Sie die zuvor identifizierte Benutzergruppe aus.
6. Wenn Sie den JIT-Zugriff auf bestimmte Konten beschränken möchten, klicken Sie auf Privilegiensätze aktivieren.
7. Fügen Sie dem Gruppennamen ein Präfix hinzu, z. B. DVLS-JIT-.
8. Wählen Sie einen Speicherort für die zu erstellenden temporären Gruppen aus.
9. Wenn Sie mehrere DCs haben, konfigurieren Sie eine Replikationslatenz, um sicherzustellen, dass die JIT genügend Zeit hat, sich zwischen allen DCs zu replizieren. Klicken Sie auf Speichern.

Just-in-Time-Bereitstellung

1. Öffnen Sie die Konsole Active Directory-Benutzer und -Computer (ADUC), klicken Sie mit der rechten Maustaste auf die Organisationseinheit (OU), die Ihr PAM-Konto enthält, und wählen Sie Delegate Control....
2. Folgen Sie dem Assistenten und stellen Sie sicher, dass Sie im Schritt der Aufgabendelegierung die Berechtigung Create, delete, and manage user accounts aktivieren.

   Aus Gründen der geringsten Rechte können Sie Create a custom task to delegate verwenden, um nur die minimal erforderlichen Berechtigungen zum Erstellen von Benutzern in AD hinzuzufügen.
3. Gehen Sie zurück in Devolutions Server oder Devolutions Cloud zu Administration – Privilegierter Zugriff – Anbieter und klicken Sie bei Ihrem PAM-Anbieter auf Bearbeiten.
4. Öffnen Sie die Registerkarte JIT-Rechteerhebung und wählen Sie die zuvor identifizierte Benutzergruppe aus.
5. Wählen Sie einen Speicherort für die zu erstellenden temporären Benutzer aus.
6. Wenn Sie mehrere Domänencontroller (DCs) haben, konfigurieren Sie die Replikationslatenz, damit die JIT-Änderungen genügend Zeit haben, sich auf alle DCs zu replizieren, und klicken Sie auf Speichern.
7. Fügen Sie in Ihrem PAM-Tresor einen neuen Domänenbenutzer hinzu.
8. Geben Sie den Benutzernamen für das Konto ein.
9. Aktivieren Sie das Kontrollkästchen Just-In-Time (JIT)-Konto und klicken Sie auf Speichern.