Коротка відповідь
Делегований доступ у X — це окремо від передачі пароля й окремо від підключення стороннього застосунку. Якщо співробітник іде, перевіряти треба список делегатів, а не лише пароль.
X Delegate дозволяє власнику призначати ролі адміністратора або учасника без передачі пароля облікового запису. Власники та адміністратори можуть керувати делегатами. Джерело
Це важливо, тому що колишній співробітник із роллю делегата може й далі діяти через цю роль навіть після інших змін доступу. Ставтеся до делегування як до окремого каналу доступу з окремим кроком очищення.
Делегований доступ, сторонні застосунки та звичайні входи
Це три різні речі, і видалення однієї не видаляє інших.
| Тип доступу | Що це | Де перевіряти | Що дає видалення |
|---|---|---|---|
| Делегований доступ | Власник або адміністратор призначає роль іншому обліковому запису без передачі пароля | Безпека та доступ до облікового запису, далі «Делегат» | Змінює або видаляє цю роль |
| Підключення стороннього застосунку | Застосунок підключено до облікового запису | Підключення застосунків у налаштуваннях облікового запису | Видаляє підключення застосунку; це не те саме, що видалення облікового запису |
| Звичайний сеанс входу | Хтось входить за обліковими даними або збереженим сеансом | Налаштування входу та безпеки | Завершує цей сеанс; це саме по собі не змінює ролі делегатів |
Практичний висновок: зміна пароля — це дія для безпеки входу. Це не дія для видалення делегата.
Зміна пароля облікового запису X не видаляє делегатів; лише власник керує паролем, номером телефону та налаштуваннями перевірки входу. Джерело
Тож якщо ваш план очищення — «змінити пароль і вважати, що делегування зникло», у плані є прогалина. Перегляньте список делегатів безпосередньо.
Перед видаленням: складіть інвентаризацію ролей і доступу
Зробіть це до будь-яких змін, щоб мати базовий зріз для подальшого порівняння.
- Перелічіть кожен обліковий запис, показаний у розділі «Делегат», із зазначенням ролі кожного.
- Занотуйте, які облікові записи є власниками або адміністраторами, оскільки ці ролі можуть керувати делегатами.
- Занотуйте, які облікові записи є учасниками і що вони мали робити.
- Окремо перелічіть підключені сторонні застосунки, щоб не плутати підключення застосунку з роллю делегата.
- Окремо занотуйте, хто ще може мати звичайний доступ для входу.
- Запишіть дату перевірки та хто має зберегти доступ після очищення.
Зберігайте цю інвентаризацію там, де ви контролюєте. Це ваш зріз «до».
Кроки видалення
- Відкрийте «Безпека та доступ до облікового запису», далі «Делегат».
- Знайдіть обліковий запис колишнього співробітника в списку.
- Змініть роль або видаліть обліковий запис, залежно від того, що пропонує поточний екран.
- Якщо в списку більше одного колишнього співробітника, повторіть для кожного облікового запису, а не зупиняйтеся на першому.
- Не вважайте це завершеним, доки не перечитаєте список.
У розділі «Безпека та доступ до облікового запису», «Делегат», «Учасники, яким ви делегували доступ», власник або адміністратор може змінити роль чи видалити обліковий запис. Джерело
Власники та адміністратори можуть робити ці зміни, тож переконайтеся, що особа, яка виконує очищення, справді має роль, яка дозволяє керувати делегатами.
Контрольний список після видалення
- Знову відкрийте список делегатів і переконайтеся, що колишній співробітник більше не з’являється або має лише ту роль, яку ви задумали.
- Переконайтеся, що решта власників і адміністраторів — це люди, які й далі повинні мати цю владу.
- Переконайтеся, що список учасників відповідає вашому зрізу «після».
- Окремо перевірте підключені сторонні застосунки та видаліть ті, які налаштував колишній співробітник, якщо це частина вашого очищення.
- Окремо перегляньте звичайний доступ для входу; не припускайте, що зміна делегата його охопила.
- Запишіть дату перечитування та хто його виконав.
Де цей контрольний список зупиняється
- Зміна пароля не видаляє делегатів, тож не використовуйте її як доказ, що делегований доступ припинився.
- Видалення ролі делегата — це не те саме, що видалення облікового запису чи стирання збережених даних.
- Відредагований або порожній профіль не доводить, що доступ зник.
- Цей процес стосується лише делегування в X. Інші платформи мають власні моделі доступу.
- Якщо ви не бачите списку делегатів, можливо, ви не маєте ролі, яка дозволяє керувати делегатами; нехай це перевірить власник або адміністратор.
- TraceSeek може допомогти перевірити відомі публічні імена користувачів, але не може переглядати чи змінювати налаштування облікового запису X, ролі делегатів або сеанси входу.
Примітка про публічні перевірки імен користувачів
Якщо частина вашої перевірки — це з’ясувати, чи ім’я користувача колишнього співробітника досі вказує на публічний профіль, пошук за іменем користувача може показати публічні збіги. Ці збіги — це зачіпки, а не доказ володіння, і пошук не є повною інвентаризацією облікового запису. Він не розкриває приватну активність, перейменовані облікові записи чи те, чи хтось досі має делегований доступ.
Підсумок
Перегляньте список делегатів у розділі «Безпека та доступ до облікового запису». Складіть інвентаризацію ролей до будь-яких змін. Змініть або видаліть роль колишнього співробітника. Перечитайте список. Розглядайте сторонні застосунки та звичайні входи як окремі пункти. Не покладайтеся на зміну пароля, щоб припинити делегування.