Quels sont les avantages et les inconvénients de conserver de tels comptes d'administrateur locaux (hors domaine) sur des postes de travail reliés à un domaine en ce qui concerne.. :
Sécurité
Il y a peu de différence. Un compte disposant de privilèges administratifs peut détruire une machine. Ceci est vrai qu'il s'agisse d'un compte de domaine ou d'un compte local. Certains diront que le compte local Administrator est plus vulnérable aux attaques simplement parce qu'il s'agit d'un nom d'utilisateur connu. Si cela vous préoccupe, vous pouvez toujours changer le nom d'utilisateur du compte. avec un GPP bien que cela n'atténue pas les attaques qui s'appuient sur l'identité du compte. SID bien connu qui ne peut être modifié. À mon avis, il est plus important d'utiliser un mot de passe fort que d'essayer d'échapper aux tentatives de connexion non désirées.
Une différence notable, propre à la local compte administrateur est que, par défaut, il contourne automatiquement l'UAC . Cela n'a aucun sens si un attaquant est connecté ; l'UAC ne l'arrêtera pas. Cependant, l'UAC peut être utile pour aider à protéger un administrateur légitime. Ce comportement peut être changé grâce au GP en l'éliminant comme une différence.
Gestion
Les comptes locaux sont plus difficiles à gérer. Et pas seulement le compte Administrateur local. La modification d'un compte de domaine se fait facilement en un seul endroit et affecte tous les ordinateurs où le compte est utilisé. Un compte local ne peut être modifié que sur le poste de travail où il existe. Cependant, avec l'avènement des préférences de stratégie de groupe, certaines modifications de comptes locaux (par exemple, renommer l'administrateur local en quelque chose d'autre [voir ci-dessus]) peuvent être gérées avec la stratégie de groupe. Il existe également des utilitaires permettant de modifier les mots de passe des comptes locaux.
Accès aux données/résolution de problèmes
Un compte d'administrateur local est indispensable. Seuls les 10 derniers comptes de domaine qui ont réussi à se connecter à une machine peuvent encore se connecter en cas de perte de connectivité à un DC (ce nombre est configurable ). Si aucun de ces comptes ne dispose de privilèges d'administrateur local et que vous êtes en train de dépanner une machine qui ne parvient pas à établir une connexion réseau, vous êtes coincé. Même l'accès à la console de récupération ne sera pas possible (du moins sans piratage). Mais avec un compte administrateur local disponible, vous n'aurez jamais à vous inquiéter de ce qui pourrait arriver. Rien que pour cette raison, j'ai un compte administrateur local sur toutes les machines du domaine que je gère, y compris (surtout) les serveurs.
