Olukord
Kaunase kolledž kasutab Microsoft 365 rohkem kui kümme aastat: e-posti, Teamsi, OneDrive’i ja SharePointi õppejõudude, administratsiooni ja üliõpilaste jaoks. Töötajate kasutajaid on umbes 400 ja üliõpilaskontosid mitu tuhat, igal aastal tuleb juurde. Haldus oli ühe IT-töötaja käes, lisaks kõigile teistele ülesannetele: arvutid, auditooriumide tehnika, võrk.
Aastatega kogunes kolledžis see, mis koguneb igal pool, kus kontod luuakse käsitsi ja keelatakse siis, „kui keegi meenutab“. Endistel üliõpilastel olid töötavad kontod, e-post ja juurdepääs Teamsi kanalitele õppematerjalidega. Sama kehtis lahkunud õppejõudude kohta, mõnel neist olid ühised SharePointi teegid. Mitmikautentimine oli lubatud ainult neile, kes seda ise soovisid, ja neid oli vähemuses. Litsentsid oli ostetud kõrgeima kunagi saavutatud arvu järgi ega olnud sestpeale üle vaadatud.
Meie poole pöördusid nad pärast kahte sündmust: küberturvalisuse ülevaate märkused MFA kohta ning õngitsusjuhtum, kus õppejõududele saadeti e-kirju endise üliõpilase kontolt. Kolledži juhtkond soovis, et haldus toimiks protsessi, mitte mälu järgi ja et IT-töötaja saaks naasta oma muude tööde juurde.
Mida oli vaja
- Konto elutsükkel, mis on seotud üliõpilaste ja personalisüsteemidega: immatrikuleerimine loob konto, lahkumine keelab selle, käsitsi tööd pole.
- Kohustuslik MFA kõigile kontodele, erandite nimekiri ainult ühiste auditooriumi- ja laborikontode jaoks.
- Tingimuslik juurdepääs: haldussüsteemidesse ainult hallatud seadmetest ja ainult Leedust.
- Litsentside ülevaatus ning selge reegel, milline litsents millisele rollile antakse.
- Üleminek ilma katkestusteta semestri ajal ja ilma IT-le tulva helistamiseta.
Mida me tegime
Nädalad 1–3: audit ja konto teekond
Pärast Microsoft 365 halduse ülevõtmist alustasime keskkonna auditiga: mitu kontot on, millal igaüks viimati sisse logis, millised litsentsid, kellel on administraatoriõigused, millised on jagamisseaded. Pilt oli ootuspärane: umbes kolmandik kontodest ei olnud rohkem kui aasta sisse loginud, osal neist olid tasulised litsentsid, ning globaalseid administraatoreid oli kaheksa, kellest kaks ei töötanud seal enam.
Koos õppeosakonna ja personaliosakonnaga kaardistasime konto teekonna immatrikuleerimiskäskkirjast registrist kustutamiseni. Leppisime kokku, milline süsteem on iga rolli puhul tõe allikas, millal tuleb konto keelata ja millal kustutada.
Nädalad 4–7: Entra ID elutsükkel
Seadistasime Microsoft Entra ID nii, et kontod luuakse ja keelatakse üliõpilaste ja personalisüsteemide andmete põhjal: uus kirje loob konto koos rollile vastava litsentsi ja gruppidega, muutunud staatus keelab sisselogimise ööpäeva jooksul ning kokkulepitud aja möödudes konto arhiveeritakse ja litsents vabastatakse. Vanu kontosid keelasime lainetena ja teavitasime teaduskondi nädal enne iga laine algust, et juurdepääsu veel vajav inimene jõuaks reageerida. Reageerisid vähesed.
Nädalad 8–10: MFA ja tingimuslik juurdepääs
Lülitasime MFA sisse etappidena: kõigepealt administratsioon ja õppejõud, seejärel üliõpilased teaduskondade kaupa. Igaks etapiks koostasime lühikesed juhendid leedu ja inglise keeles ning registreerimisakna, milles kasutajad said rakenduse oma tempos seadistada. Tingimusliku juurdepääsu reeglid: üliõpilas- ja personalisüsteemid ainult hallatud seadmetest, administraatorikontod ainult õngitsuskindla MFA-ga ning sisselogimised ebatavalistest riikidest blokeeritakse. Kõige keerulisemad olid ühised auditooriumikontod, mille jaoks lõime eraldi reegli, mis piirab juurdepääsu kolledži võrguga.
Nädalad 11–12: litsentsid ja üleandmine
Jaotasime litsentsid rollide järgi ümber: üliõpilastele ja õppejõududele haridusplaanid, administratsioonile tegeliku vajaduse järgi ning ühistele kontodele tasulisi litsentse ei anta. Administraatoreid jäi kolm, igaühel eraldi administraatorikonto. Andsime IT-töötajale kuuaruande malli ja juurdepääsu meie kasutajatoele.
Tulemus
Kõigil aktiivsetel kontodel, 100%, on kohustuslik MFA; erandite nimekiri on lühike, dokumenteeritud ja seda vaadatakse üle iga kvartal. Pärast muudatust pole kolledži kontodelt õngitsuskirju registreeritud.
Tasuliste litsentside arv vähenes umbes 28%: osa vabanes kasutamata kontode keelamisega, osa plaanide rollidele vastavaks muutmisega. Kokkuhoid jäi järgnevateks aastateks kolledži eelarvesse.
Juurdepääs keelatakse 24 tunni jooksul pärast muudatust üliõpilaste või personalisüsteemis, ilma et IT-töötaja peaks sekkuma. Mõõdame seda Entra ID logidest: aega staatuse muutumisest konto keelamiseni.
„Igal septembril oli meil nädal kontode loomist. Sel aastal lihtsalt ilmusid need ise, ja see tundus kummaline.“
Mida soovitaksime sarnases olukorras
- Alustage tõe allikast: kuni kontod pole seotud personali- ja üliõpilassüsteemidega, on iga koristus ajutine.
- Keelake vanad kontod lainetena ja ette teatades, mitte kõik korraga, kuid ärge lükake seda edasi ainult põhjusel, et „keegi võib seda kasutada“.
- Võtke MFA kasutusele etappidena, juhendite ja registreerimisaknaga; enamik vastuseisu kaob, kui inimesed saavad selle ise ära teha.
- Vaadake litsentsid üle koos kontodega, mitte eraldi: enamasti on tegu sama nimekirjaga.
