Do której grupy w systemie Windows Server 2008 należy przydzielić użytkownika odpowiedzialnego tylko za archiwizowanie danych przechowywanych na dysku serwera?
A. Użytkownicy zaawansowani.
B. Operatorzy kopii zapasowych.
C. Użytkownicy pulpitu zdalnego.
D. Użytkownicy domeny.
Pytanie z egzaminu CKE, październik 2016 (arkusz E.13-X-16.08).
W Windows Server 2008 użytkownika odpowiedzialnego wyłącznie za archiwizowanie danych najlepiej przypisać do grupy Operatorzy kopii zapasowych. Ta grupa ma specjalne uprawnienia systemowe związane z wykonywaniem kopii zapasowych i odtwarzaniem plików, nawet wtedy, gdy użytkownik normalnie nie ma dostępu do wszystkich katalogów. Chodzi o to, żeby administrator nie musiał dawać takiej osobie pełnych praw administracyjnych, bo to byłoby zbyt szerokie uprawnienie i słabe z punktu widzenia bezpieczeństwa. Moim zdaniem to bardzo dobry przykład zasady najmniejszych uprawnień, czyli użytkownik dostaje tylko to, co jest mu potrzebne do pracy, nic więcej. W praktyce operator kopii zapasowych może obsługiwać narzędzia typu Windows Server Backup, planować archiwizację danych, wykonywać backup woluminów i pomagać przy odtwarzaniu plików po awarii. W firmie taka rola często trafia do osoby odpowiedzialnej za administrację techniczną, ale niekoniecznie do pełnego administratora domeny. Dobra praktyka jest taka, aby regularnie testować odtwarzanie danych, bo sama kopia zapasowa bez sprawdzenia to trochę papierowe zabezpieczenie. Ważne jest też prowadzenie dokumentacji: co jest archiwizowane, kiedy, gdzie trafiają kopie i kto ma do nich dostęp.
W tym pytaniu łatwo pomylić zwykłe członkostwo w grupie z konkretną rolą administracyjną. Użytkownicy domeny to grupa bardzo ogólna, do której standardowo należą zwykłe konta pracujące w domenie Active Directory. Taka grupa pozwala korzystać z zasobów domenowych zgodnie z nadanymi uprawnieniami, ale sama z siebie nie daje prawa do wykonywania kopii zapasowych całego serwera. Nadanie tylko tej grupy nie rozwiązuje problemu, bo użytkownik nadal mógłby nie mieć dostępu do wielu katalogów systemowych albo danych innych osób.
Użytkownicy zaawansowani kojarzą się z większymi możliwościami, ale w Windows Server 2008 ta grupa nie jest właściwym wyborem do zadań backupu. Historycznie dawała ona pewne rozszerzone uprawnienia lokalne, jednak nie jest przeznaczona do bezpiecznego delegowania archiwizacji danych. Z mojego doświadczenia uczniowie często wybierają ją, bo nazwa brzmi „mocniej”, ale w administracji systemami nazwa grupy nie wystarcza, trzeba znać jej rzeczywiste przywileje.
Użytkownicy pulpitu zdalnego mają zupełnie inne zadanie. Członkostwo w tej grupie pozwala logować się przez Remote Desktop, czyli zdalnie wejść na serwer, jeśli polityki i zapora na to pozwalają. Nie oznacza to jednak prawa do tworzenia kopii zapasowych ani odczytu danych z całego dysku. To typowy błąd myślowy: skoro ktoś może zalogować się na serwer, to może nim administrować. W dobrze skonfigurowanym środowisku te rzeczy są rozdzielone. Do archiwizacji należy użyć grupy Operatorzy kopii zapasowych, bo ona jest przygotowana dokładnie do tego zakresu obowiązków i lepiej pasuje do dobrych praktyk bezpieczeństwa.
Użytkownicy zaawansowani kojarzą się z większymi możliwościami, ale w Windows Server 2008 ta grupa nie jest właściwym wyborem do zadań backupu. Historycznie dawała ona pewne rozszerzone uprawnienia lokalne, jednak nie jest przeznaczona do bezpiecznego delegowania archiwizacji danych. Z mojego doświadczenia uczniowie często wybierają ją, bo nazwa brzmi „mocniej”, ale w administracji systemami nazwa grupy nie wystarcza, trzeba znać jej rzeczywiste przywileje.
Użytkownicy pulpitu zdalnego mają zupełnie inne zadanie. Członkostwo w tej grupie pozwala logować się przez Remote Desktop, czyli zdalnie wejść na serwer, jeśli polityki i zapora na to pozwalają. Nie oznacza to jednak prawa do tworzenia kopii zapasowych ani odczytu danych z całego dysku. To typowy błąd myślowy: skoro ktoś może zalogować się na serwer, to może nim administrować. W dobrze skonfigurowanym środowisku te rzeczy są rozdzielone. Do archiwizacji należy użyć grupy Operatorzy kopii zapasowych, bo ona jest przygotowana dokładnie do tego zakresu obowiązków i lepiej pasuje do dobrych praktyk bezpieczeństwa.