開発者のためのWindowsのアクセス許可？

私はフォーチュン500の会社で、R＆DのWindowsソフトウェア開発者として働いています。現在、企業ITは全社的なWin7展開に向けて準備を進めており、その一部として、すべてのボックス（開発ワークステーションを含む）の管理者権限を完全にロックダウンしようとしています。

私は彼らと協力して、できるだけスムーズに移行するように命じられました。私は幸運。

私が使用できる公開されたリソースや他の非常に尊敬されているリソースがあるかどうか知りたいです。

1. 砂のどこに線を引くかを理解する
2. 私の立場をバックアップします。

個人的には、私はR＆Dであり、私たちの仕事は「すぐに使える」ことを行うことです。したがって、管理者権限が必要です。しかし、Windows管理者としてのキャリアをスタートさせて、私は彼らの目標と彼らが達成する必要があることを認識しています。私が理解してバックアップする必要があるのは、ITとR＆Dの両方が環境に共存し、生産的に仕事を続けられるように環境を構築する方法です。

ローカル管理者権限を持つ開発VMは間違いなく大きな助けになりますが、多くのカスタムハードウェアとやり取りするため、すべての場合に役立つわけではありません。

これらの変更を推進するCIOは、開発プロセスの知識が限られた「純粋なIT」のような人物であるため、そのような人と共有するのに適切な参照が必要です。

私は個人的な意見をたくさん集めるつもりはありませんが（多くはすでにここで共有されています）、私は本当に上層部に強い主張をするために使用するホワイトペーパー、雑誌記事、学術作品などが必要です。

あなたは特にWindows 7に行くので、あなたは自分の箱の管理者になるために一生懸命にプッシュすべきです。開発者が管理者にならないようにする理由は2つあります。

• 他の全員が管理者にならないようにするのと同じ理由で、マルウェアが実行されても、マルウェアは本当にひどいことをしません
• そのため、あなたが管理者である場合にのみ機能するアプリは作成されません。

UACでは、意図的に要求しない限り、起動したアプリは管理者として実行されないため、これらのどちらも起こりません。したがって、管理者アカウントを作成するリスクはほとんどありません。

一部のボスには3番目の理由があります。ゲームや不正なツールをインストールしたくないのです。この理由の利点については説明しませんが、通常は明記されていません。作成しているもののインストール、IISの構成、さまざまな種類のテスト（ホストファイルの編集など）のためにマシンを再構成するには管理者アクセスが必要であり、管理者アクセスを回避する2つの「実際の」理由はWindows 7には適用されません。 。したがって、管理者である必要があります。

正直なところ、難しいケースになると思います。上層部が決心したら、彼らを変化させることはかなり困難です。彼らがあなたのマシンでより多くの特権を許可した場合、他の誰かがこの計画全体が防ぐように設計されたアクションにアクセスして実行できる可能性があります。

これらは役立つかもしれません：

• http://www.slate.com/id/2226279/pagenum/all/
• /server/232416/should-dev-be-admin-on-their-computer
• http://avecto.com/blog/2010/09/the-pros-and-cons-of-windows-7-application-control-with-applocker/

PS：幸運を祈ります！

1つのオプションは、管理アクセスを許可するテストワークステーションを要求することです。

別のオプションは、彼らが言うように正確に行うことです。その後、次のプロジェクトが始まると、小さな変更ごとにIT部門に行かなければならないため、進展がありません。これをプロジェクトリーダーに説明すると、管理者権限がすぐに手配されます。

3番目のオプションは、部門がWin7移行プロジェクトに含まれているかどうかを確認することです。そうである場合は、担当者に連絡し、管理者権限を部門の要件リストに追加できるかどうか尋ねてください。

4番目のオプションは取引です。移行プロジェクトは通常、Win7用にソフトウェアを更新するための開発が必要です。新しい環境では、管理者権限に対する支持的な態度を条件付けることができる場合があります。

ローカル管理者でないと開発を試みることは想像できませんが、ニーズは開発タスクと、開発プロセスとツールチェーンが職場でどのように標準化されているかによって異なります。

私の経験から、通常は上級開発スタッフがいて、重要な問題を迅速にプロトタイプ化またはトラブルシューティングするために、さまざまな開発ツールを（場合によっては奇数時間に）インストールする必要があります。インストール、デバッグ、サービスの操作などを行うには、ほぼ確実にローカル管理者アクセスが必要です。

残りのスタッフは、ツールセットがかなり一定で、開発/デバッグ/デプロイの内容によっては、それなしでも問題なく対処できる場合があります。私の提案は、最もレベルの高い上級開発スタッフの小さなセットをまとめて、問題とそのオプションを説明し、それを検討するために数日かけてから、どの種類のアクセスを決定するための計画会議を開くことですスタッフが持っている必要があります。

純粋なITの観点と開発の観点から、多くの企業はこの方法で問題を解決します。

すべての開発ボックスを別のネットワークに配置します。 開発ネットワークは完全に分離されている可能性があります（インターネットもイントラネットもありません）。この場合、開発者は、電子メールと公式通信、つまりインターネットとイントラネットの両方へのアクセスに使用される個別の企業ボックスを持っています。特定のIDE（Eclipseなど）および他の開発ツールは、更新やプラグインを取得するためにインターネットにライブ接続していると想定しているため、このソリューションには独自の課題があります。それでも、開発ツールの大多数は、分離されたネットワークが存在することを知っています。

このアプローチのもう1つのバリエーションは、開発ネットワークをサブネット上に置くことです。 厳格なDMZファイアウォールを介してインターネットとイントラネットに間接的にアクセスできますが、開発者はローカル管理者アクセス権を持っています。

開発者に2つのアカウントを与えることを検討してください。

1つ目は、通常の非特権ユーザーアカウントです。これは、日常のすべての作業（ソフトウェア開発を含む）に使用するアカウントです。もう1つはローカル管理者アカウントで、特定のマシンでの管理者権限しかありません。実際に物をインストールしたり、マシンの設定を微調整したりする場合にのみ必要です。

インターネットプロキシサーバーやメールなどの日常のサービスが通常のアカウントのみを認識していることを確認してください。そうすれば、開発者は常にローカル管理者を常に使用することはできません。管理者権限が必要な場合は常に、UACがポップアップし、開発者にローカル管理者のログイン詳細を入力して続行する機会を提供します。

ソフトウェア開発は、文字通りコンピュータを使用する他のすべてとは根本的に異なる獣であり、そのように扱われる必要があります。

独自のコードを記述し、さらに重要なことにデバッグでコードの実行を追跡するには、他のコンテキストではローカルセキュリティに大きなリスクをもたらすコンピューターのアクセス許可が必要です。かみ傷形に言い換えると：

ソフトウェア開発に必要な権限は、一般的なユーザーには適切ではありません。

仕事を完了するには、ローカル管理者である必要があります。しかし、ローカル管理者であり、セキュリティポリシーを回避することで、理論的にはネットワークの残りの部分にリスクをもたらします。したがって、その懸念にも対処する必要があります。セキュリティが重要な企業がこの問題を解決する方法は、2つの単純なルールを課すことです。

1. プログラマーは、開発マシンのローカル管理者アクセスです。
2. 開発マシンは企業ネットワークに接続されていません。

2番目のルールがどのように機能するかは、IT部門次第です。場合によっては、開発マシンが単独で分離され、ネットワークが出入りしません（いくつかの国防請負業者で見られます）。また、マシンが「ゲスト」または「DMZ」ネットワークに接続され、インターネットアクセスが可能になります（パッチのダウンロード、ドキュメントへのアクセス）など）、企業ネットワークを過度のリスクにさらすことなく。

さて、これに関する公式の情報源を見つけますか？それは、あなたが誰を公式だと見なしているかに依存すると思います。この問題についての意見は基本的に全会一致です。しかし、それは非常によく理解されているため、ほとんど述べられていません。「私の車にはパーキングブレーキが必要ですか？」という質問に少し似ています。信頼できる情報源が主題について話しているのはわかりません。

仮想環境を使用できますか？

グラフィックの負荷が重い場合は、MSVCをvmwareまたはvirtualboxで実行しても問題ありません（多くのRAMがある場合）、仮想環境に管理者を置くことができ、「その」インストールはロックダウンされます