Борьба админа со Smart Asses

[valchkou]

Теперь вопрос. Может эккаунты этих умников просто disable в Active Directory и подождать когда они сами ко мне придут (с их питерским начальником) или я становлюсь Берией?

Странно слышать про самодеятельность от админа. Вам это зачем?
Админ не определяет правила игры в компании, этим должны заниматься тем кому положено по должности, в том числе разъяснять политику трудовому народу и условия применения санкций в случае чего.

[Slonjra]

Еще в банке интернет давали в 2010 году по часам, и строго следили, чтобы не дай бог не смотрели видео или не слушали музыку онлайн. Надо ли говорить, что из-за такой политики там сидели только послушные. Мой отдел очень быстро сообразил купить беспроводной модуль на 5 компов через который мы и сидели во внешнем интернете. И я очень радовался, когда наконец убежал и увидел, что в остальном мире все не так паршиво.

Вы только подтверждаете мой первоначальный диагноз - "Вы давно/никогда не работали в большой конторе"

Если руководство банка решило, что инет работникам не особо нужен, то ваши действия это грубейшие нарушения внутренней политики - "на выход и даже без личных вещей"..их вам потом посылкой пришлют, вместе с повесткой в суд.

[fruit6]

Slonjra, софт для веб разработки не работает под виндой без одминских прав. Такова реальность.

У варианта "забрать права" есть, конечно, по крайней мере, один бенефит: будет производиться меньше нового г-на софта на радость StrangerR

угу, именно об этом я и говорю...т.е. его тоже делал какой-то разраб, которому "до ужаса" надо было иметь админские права..
Был у нас подобный продукт ( слава богу сдох, его перестали потдерживать...аж целый IBM его выпускал....)

Много софта портировано с других платформ. Никого не волнует если у клиента ограниченный аккаунт. Работаешь на виндоуз -- сам себе злой буратино.

Из альтернатив - pure windows shop (dot net, COBOL, etc). Тоже злые буратины.

[Slonjra]

и еще 2 копейки про тот же инет..

У нас тоже во внутренней сетке обычным пользователям подрезаны права на некоторые сайты и потоковое видео.

для желающих свободы и любителей экономить личный мобильный трафик, стоит отдельный Wi-Fi который не имеет доступа во внутренню сетку. Сразу к Инет. провайдеру
Личные девайсики к ней подключаю я..без всяких вопросов..
Есстественно, что список этих "любителей" есть у начальника IT отдела и постоянно обновляется..)))

[nyekimov]

Еще в банке интернет давали в 2010 году по часам, и строго следили, чтобы не дай бог не смотрели видео или не слушали музыку онлайн. Надо ли говорить, что из-за такой политики там сидели только послушные. Мой отдел очень быстро сообразил купить беспроводной модуль на 5 компов через который мы и сидели во внешнем интернете. И я очень радовался, когда наконец убежал и увидел, что в остальном мире все не так паршиво.

Вы только подтверждаете мой первоначальный диагноз - "Вы давно/никогда не работали в большой конторе"

Если руководство банка решило, что инет работникам не особо нужен, то ваши действия это грубейшие нарушения внутренней политики - "на выход и даже без личных вещей"..их вам потом посылкой пришлют, вместе с повесткой в суд.

Сейчас я работаю в конторе больше 10к народа. У вас какая то запущенная стадия синдрома вахтера.

Руководство самое высокое решило, что слишком накладно платить за трафик разработчикам. Руководство ниже хотело результаты, те же онлайн видео нужны чтобы обучающие ролики смотреть. Как млять вообще можно было разрабатывать первое банковское мобильное приложение в стране и не иметь доступ к онлайн ресурсам? Или иметь их три часа в день? Даже если гулял по сайтам и набрал выше определенного порога трафика, прилетало письмо счастья на руководство. И в итоге мы свою задачу выполнили и нам даже премию дали, высшее прямое руководство знало об интернете, оно эту идею одобрило, обещав возместить расходы как раз таки премией. Потому что всякие согласования и убеждение "вахтеров" в руководстве выше заняло бы больше времени.

[Slonjra]

Slonjra, софт для веб разработки не работает под виндой без одминских прав. Такова реальность.

У варианта "забрать права" есть, конечно, по крайней мере, один бенефит: будет производиться меньше нового г-на софта на радость StrangerR

угу, именно об этом я и говорю...т.е. его тоже делал какой-то разраб, которому "до ужаса" надо было иметь админские права..
Был у нас подобный продукт ( слава богу сдох, его перестали потдерживать...аж целый IBM его выпускал....)

Много софта портировано с других платформ. Никого не волнует если у клиента ограниченный аккаунт. Работаешь на виндоуз -- сам себе злой буратино.

Из альтернатив - pure windows shop (dot net, COBOL, etc). Тоже злые буратины.

а куда деваться то ))) офисные десктопы до сих пор больше половины под виндой..

да я и сам люблю Линукс..но вот 2 раза пытался ставить дома что-нибудь Убунтообразное и через пару недель сносил..и возвращал одну из более-менее стабилных версий окошек. ((

[Dmitry67]

Теперь вопрос. Может эккаунты этих умников просто disable в Active Directory и подождать когда они сами ко мне придут (с их питерским начальником) или я становлюсь Берией?

Странно слышать про самодеятельность от админа. Вам это зачем?
Админ не определяет правила игры в компании, этим должны заниматься тем кому положено по должности, в том числе разъяснять политику трудовому народу и условия применения санкций в случае чего.

Я луч света в темном царстве. В смысле, единственный IT guy в питерском офисе, который подчиняется непосредственно Америке, поэтому когда мне приходит требование составить такие то отчеты, то мне приходится действовать

[Prosche]

Я DBA/performance expert
Тут мне еще понавесили питерский офис, не в духе эникейщика, а с точки зрения доказательства американцам что мы safe. В общем, security theater. Отчеты по WSUS, по антивирусу. Поразгребал авгиевы конюшни, поужасался. Нашел кучу компов где не стоял антивирус (red flag для американцев), и несколько компов где меня вынесли из локальный админов.

Поборолся, поставил, заставил. Через небольшое время, думая что все закончилось, самые умные начали снова останавливать антивирусы и выносить меня из админов. Написал проверялку которая сканирует и присылает мне письмо со всем проблемами.

Теперь вопрос. Может эккаунты этих умников просто disable в Active Directory и подождать когда они сами ко мне придут (с их питерским начальником) или я становлюсь Берией?

За это безусловно нужно будет немного подкоптиться в аду.
Из-за таких как вы пришлось всю эту трахамудию клонировать на виртуалку, а самому работать на чистой основной системе. А в виртуалке запускать только очень правильные и корпоративные приблуды и юзать ресурсы интранета.

[Slonjra]

Еще в банке интернет давали в 2010 году по часам, и строго следили, чтобы не дай бог не смотрели видео или не слушали музыку онлайн. Надо ли говорить, что из-за такой политики там сидели только послушные. Мой отдел очень быстро сообразил купить беспроводной модуль на 5 компов через который мы и сидели во внешнем интернете. И я очень радовался, когда наконец убежал и увидел, что в остальном мире все не так паршиво.

Вы только подтверждаете мой первоначальный диагноз - "Вы давно/никогда не работали в большой конторе"

Если руководство банка решило, что инет работникам не особо нужен, то ваши действия это грубейшие нарушения внутренней политики - "на выход и даже без личных вещей"..их вам потом посылкой пришлют, вместе с повесткой в суд.

Сейчас я работаю в конторе больше 10к народа. У вас какая то запущенная стадия синдрома вахтера.

Руководство самое высокое решило, что слишком накладно платить за трафик разработчикам. Руководство ниже хотело результаты, те же онлайн видео нужны чтобы обучающие ролики смотреть. Как млять вообще можно было разрабатывать первое банковское мобильное приложение в стране и не иметь доступ к онлайн ресурсам? Или иметь их три часа в день? Даже если гулял по сайтам и набрал выше определенного порога трафика, прилетало письмо счастья на руководство. И в итоге мы свою задачу выполнили и нам даже премию дали, высшее прямое руководство знало об интернете, оно эту идею одобрило, обещав возместить расходы как раз таки премией. Потому что всякие согласования и убеждение "вахтеров" в руководстве выше заняло бы больше времени.

вы не желаете попробовать этот же фокус с нарушением внутренней политики в новой конторе, где 10к народу ??
секундомер запустите, и гляньте как быстро это просекут..)))

.......del... тут было по поводу разрабов уникальных продуктов.....)))))))

[Slonjra]

Сейчас я работаю в конторе больше 10к народа. У вас какая то запущенная стадия синдрома вахтера.

и в догонку страшилка про "синдром вахтера"..
С полгода назад у меня знакомый админ, чуть не влетел под суд всем своим ИТ отделом..
При утилизции старого сервака, хреново почистили HDD...
какой-то ушлый хрен смог восстановить кусок данных и началась этопея на пару месяцев..
Это IT отдел крупного медицинского центра и там нашли "якобы не удаленные данные пациентов"..
Вообщем обошлось, но нервов всем сильно попортили...

а вы тут про премии за несанционированный доступ в сеть...)))

[Dmitry67]

У нас по правилам диски должны уничтожаться физически

[mskmel]

С полгода назад у меня знакомый админ, чуть не влетел под суд всем своим ИТ отделом..

Старая история которой был свидетелем. Парень за соседним столом сидел.
Познакомился с "девушкой" в инете, чатились, то да сё. Она прислала ему свои фотки raw, которые он не мог открыть. Она ему raw converter с трояном, который dns запросами передал содержимое его почтового ящика куда надо. Через некоторое время он пришёл на работу, а его пропуск не работает и коробка с вещами на проходной.

Хорошо это был всего лишь penetration test...

[Slonjra]

У нас по правилам диски должны уничтожаться физически

ага, вот и у них теперь тоже это ввели.
А до этого следовали какой-то древней инструкции, где достаточно было сделать только формат.
А в этот раз старший не проследил, а младший исполнитель сделал "Быстрый Формат"..
вот и попало "Всем и каждому"..
и что самое обидное ( и в тоже время это им и помогло).. это был древний сервак, с очень старыми данными.
Новый софт хранит все данные на облаке в сторонней конторе..и безопасность этих данных теперь не их проблема...

[Мальчик-Одуванчик]

У нас по правилам диски должны уничтожаться физически

ага, вот и у них теперь тоже это ввели.
А до этого следовали какой-то древней инструкции, где достаточно было сделать только формат.
А в этот раз старший не проследил, а младший исполнитель сделал "Быстрый Формат"..
вот и попало "Всем и каждому"..
и что самое обидное ( и в тоже время это им и помогло).. это был древний сервак, с очень старыми данными.
Новый софт хранит все данные на облаке в сторонней конторе..и безопасность этих данных теперь не их проблема...

И каким боком здесь админские права?

[Мальчик-Одуванчик]

Тогда чем admin отличается от developer? Это ложное представление, создающее риски безопасности всей ИТ фирмы где Вы администратором поставлены.

Например девелоперу иногда приходится сваять сетапчик, который должен устанавливать девелоперский продукт.
Без админских прав в большинстве случаев не выйдет.

[Slonjra]

У нас по правилам диски должны уничтожаться физически

ага, вот и у них теперь тоже это ввели.
А до этого следовали какой-то древней инструкции, где достаточно было сделать только формат.
А в этот раз старший не проследил, а младший исполнитель сделал "Быстрый Формат"..
вот и попало "Всем и каждому"..
и что самое обидное ( и в тоже время это им и помогло).. это был древний сервак, с очень старыми данными.
Новый софт хранит все данные на облаке в сторонней конторе..и безопасность этих данных теперь не их проблема...

И каким боком здесь админские права?

никаким.. обычный оффтоп..это была сноска на тему "синдрома вахтера"

[Slonjra]

Тогда чем admin отличается от developer? Это ложное представление, создающее риски безопасности всей ИТ фирмы где Вы администратором поставлены.

Например девелоперу иногда приходится сваять сетапчик, который должен устанавливать девелоперский продукт.
Без админских прав в большинстве случаев не выйдет.

ну вот и сетапьте его на VM, как и положено при тестировании. а не на своем рабочем инструменте.

иначе можно запросто получить ту ситуацию, что я выше говорил.
Легко может оказаться, что админские права вашему продукту нужны не только для установки, но и для работы, и под обычным юзером продукт не станет работать

[nyekimov]

вы не желаете попробовать этот же фокус с нарушением внутренней политики в новой конторе, где 10к народу ??
секундомер запустите, и гляньте как быстро это просекут..)))

.......del... тут было по поводу разрабов уникальных продуктов.....)))))))

На той первой, да и на второй везде было больше 10к народу, была лишь одна первая компания в США где было всего лишь около 100 человек. Я специально никогда ничего не делаю, там типо на красный проехать, если вокруг никого. Но и до опупения не соблюдаю правила. В мире нет ничего идеального. Иначе бы вас уже давно погнали ссаными тряпками за потраченное рабочее время на приветике. О боже, приветик точно не соответствует политике ни одной из компаний.
В высшем руководстве банка например тогда просто не знали, что такое мобильный клиент и как его едят и им было насрать, что из-за отдела в 3-5 человек надо придумывать новую политику, как давать разработчикам свободу на разном уровне. В итоге сейчас этот банк будучи первым в мое время, продался банку, который всегда был за ним. Думаете, что крупны, боитесь судебных исков и медленно поворачиваетесь, проигрываете более гибкому конкуренту.

И я вам ничего не говорил про разработку уникальных продуктов, я говорил, что делали то, о чем в то время в стране другие только мечтали. И это естественно, что разработчик такого не может прийти и сразу все знать, как Менделееву приснилась таблица. Поэтому компания если хочет с кем то конкурировать, то политика должна быть гибка под нужды работников, а не забюррократизирована. И если компания строит припятствия для нормального рабочего процесса и саморазвития, то на опыте теперь я знаю, что задерживаться там долго нельзя.

[Мальчик-Одуванчик]

Легко может оказаться, что админские права вашему продукту нужны не только для установки, но и для работы, и под обычным юзером продукт не станет работать

Установка продукта проверяется при тестировании совершенно другими людьми.
А разрабатывать на виртуалке не всегда удобно, особенно в среде Windows.

[ALV00]

Из опыта

Достопочтенная IBM: полный либерализьм, ставь что хочешь, можешь со своми компом приходить и подключать к корпоративной сети. Правда инвентаризируют установленный софт (легко обходится с админскими правами).
Большая торговая компания: построже, по умолчанию админских прав не дают, но если позвонить в суппорт и попросить, то включают без проблем.
Health: очень строго (HIPAA), зверское шифрование диска от третьего производителя, админских прав нет и не дадут, но есть инфраструктура для установки нужных программ, сайт и техподдержка.

Короче, все по разному и сильно зависит от типа бизнеса. Я бы сделал так. Если нет явной корпоративной полиси, что разрабам права не положены, то и не надо их отнимать. Потому что это означает просто больше работы для админа. Можно так вопрос и поставить: хотите закутить гайки? Тогда придется создавать инфраструктуру, нанимать людей для решения проблем, которые пользователи сейчас сами решают.

[ALV00]

и вылетят с работы....))) Сказано, что нельзя...то и нефиг лезть....
Сильно надо - пиши обоснование и все оффициально, через начальство.

В России м.б. другая ситуация с хорошими разрабами. Он от вас и сам уйдет с такими порядками. И с кем останетесь?

[mskmel]

Если нет явной корпоративной полиси, что разрабам права не положены, то и не надо их отнимать.

Разработчикам вообще нечего делать в корпоративной сети, если это режимное предприятие типа банков, страховых, госпиталей. У них ментальность другая. Пусть сидят отдельно, желательно географически, с локальными админами, со своей почтой, интернетом, B&H... как отдельная компания разработчик ПО. Как продукт сделался - делается поставка, UAT, эксплуатация.

Для ситуаций когда разработчик не может понять, почему же у него работает, а "у этих" - нет, сделать ему virt desktop в корп сети с правильными правами.

"Лидерам" делать периодически ссылку в эксплуатацию или на deployment на несколько недель, чтобы связи с реальностью не теряли.

[M. Ridcully]

Ваще тема жесть, конечно.
Почитал и как-то даже своих ойтишнегов зауважал (!) ...

[oshibka_residenta]

Много софта портировано с других платформ. Никого не волнует если у клиента ограниченный аккаунт. Работаешь на виндоуз -- сам себе злой буратино.

Из альтернатив - pure windows shop (dot net, COBOL, etc). Тоже злые буратины.

В некоторых отраслях использование weba бесполезно и даже вредно. В этом случае .net - самое оно. Работаешь себе спокойно и не надо проверять какой framework сегодня с утра единственно правильный. Опять же на интервью индусы не спрашивают знание команд vi.

[Slonjra]

Если нет явной корпоративной полиси, что разрабам права не положены, то и не надо их отнимать.

Разработчикам вообще нечего делать в корпоративной сети, если это режимное предприятие типа банков, страховых, госпиталей. У них ментальность другая. Пусть сидят отдельно, желательно географически, с локальными админами, со своей почтой, интернетом, B&H... как отдельная компания разработчик ПО. Как продукт сделался - делается поставка, UAT, эксплуатация.

++ очень много..в отдельный загон их ))))