Veraltete Daten lokalisieren,
Fehlberechtigungen erkennen,
Potential erschließen.

Vererbungsunterbrechung

Die Unterbrechung von Vererbungen sollte genau wie Deny-Berechtigungen vermieden werden. Auch wenn es in bestimmten Situationen als sinnvoll erscheinen kann, provoziert dieses Vorgehen im weiteren Lebenszyklus des Systems zusätzlichen Aufwand, z.B. wenn es notwendig wird, Berechtigungen zu vererben. Der Report zeigt Ihnen alle unterbrochenen Vererbungen. Empfohlen ist hier, grundsätzlich nach dem Least Privilege Principle zu arbeiten: Immer nur soviel Berechtigungen vergeben, wie tatsächlich benötigt werden. Dies macht eine Betrachtungsumkehr bei der Berechtigungsvergabe notwendig. Man setzt Rechte nicht von oben, sondern von unten. Dies bedeutet, dass man z.B. auf der Ebene über einem explizit vergebenen Modify-Recht nur noch Listberechtigungen benötigt, damit dies funktioniert.

Direkt berechtigte Personen

Eine weitere Empfehlung ist die Verwendung von Gruppen für die Berechtigungsvergabe. Gruppen ermöglichen es überhaupt erst, Rechte für viele User zu vergeben. Denn Access Control Lists (ACL) sind grundsätzlich beschränkt und es kommt leicht zu Performanceproblemen, wenn zu viele ACLs vorhanden sind. Der Report zeigt, wie viele User in einer Umgebung direkt berechtigt sind, die keine Administratoren sind. Nach Best Practice sollte man nach dem Prinzip A-G-DL(oder G, oder U)-P arbeiten: Der Account kommt in eine Rollengruppe (G), diese in Berechtigungsgruppen (DL) – diese wiederum wird zum Mitglied der P(ACL).