糟糕的是一直以pipe理员身份login？

绝对的最佳做法是活的用户，工作根 。 当您每5分钟点击一次服务器错误刷新时，您login的用户应该是普通用户。 您用来诊断Exchange路由问题的应该是Admin。 获得这种分离可能很难，因为在Windows中至less需要双重login会话，这意味着两台计算机在某种程度上。

• 虚拟机工作真的很好，这就是我解决这个问题的方法。
• 我听说有组织将login帐户限制在内部托pipe的某些特殊虚拟机上，pipe理员依赖RDP进行访问。
• UAC有助于限制pipe理员可以执行的操作（访问特殊程序），但持续的提示可能会像不得不远程访问整个其他计算机来执行需要的操作一样烦人。

为什么这是最佳做法？ 部分原因是我这么说 ，其他很多人也这么说 。 SysAdminning没有一个以任何forms确定最佳实践的中央机构。 在过去的十年中，我们已经发布了一些IT安全最佳实践，build议您只在实际需要时才使用高级特权。 一些最好的实践是通过系统pipe理员在过去40多年的经验设定的。 来自LISA 1993的论文（ 链接 ），来自SANS（ 链接 ，PDF）的示例文章，SANS的关键安全控制部分涉及这个（ 链接 ）。

由于这是一个Windows域，所以他们使用的帐户可能对所有工作站都有完整的networking访问权限，所以如果发生什么不好的事情，它可以在几秒钟内通过networking。 第一步是确保所有用户按照“ 最less用户访问 ”原则进行日常工作，浏览网页，编写文档等。

然后，我的做法是创build一个域帐户，并给所有工作站（PCpipe理员），和一个单独的域帐户服务器pipe理员工作（服务器pipe理员）帐户pipe理员权限。 如果您担心您的服务器可以相互通话，则可以为每台计算机设置单独的帐户（<x> -admin，<y> -admin）。 绝对尝试使用另一个帐户运行域pipe理作业。

这样一来，如果你正在使用个人电脑pipe理员帐户在受损的工作站上做某些事情，并且抓住你拥有pipe理员权限的机会试图通过networking访问其他机器，那么就无法做任何事情讨厌你的服务器。 拥有这个帐户也意味着它不能对你的个人资料做任何事情。

但是我必须说，在一个地方，我知道工作人员在LUA原则下的工作，在我看到的三年中，他们没有受到适当的病毒感染。 在同一地点的另一个部门，每个人都与本地pipe理员和服务器pipe理员的IT人员有几次爆发，其中一个由于通过networking传播感染需要一周的IT时间来清理。

build立起来需要一些时间，但是如果遇到问题，潜在的节约将是巨大的。

分开帐户分开任务是最好的方式来看待它。 最不专业的原则是游戏的名称。 将“admin”帐户的使用限制为必须以“admin”身份完成的任务。

Windows和* nix之间的意见有所不同，但是你提到的域pipe理员让我觉得你在谈论Windows，所以这是我正在回答的上下文。

在工作站上，你通常不需要是pipe理员，所以在大多数情况下你的问题的答案是否定的。 然而，有很多例外，它确实取决于人在机器上做什么。

在服务器上，这是一个很有争议的话题。 我自己的看法是，我只login到一个服务器上进行pipe理工作，所以作为一个用户login是没有意义的，然后使用run-as运行每个单独的工具，这坦率地说一直是一个真正的痛苦在你知道什么和大多数工作，这只是使pipe理员的生活过于困难和耗时。 因为大多数Windowspipe理员工作是使用GUI工具完成的，所以对于在命令行上工作的Linuxpipe理员来说，存在一定程度的安全性，在这种情况下，一个简单的错字可能会让他赶上昨晚的备份磁带。

我的生活很简单…帐户是明确命名的，并且都有不同的密码。

上帝帐户 – 域pipe理员做所有服务器端工作

半神帐户pipe理PC – 没有共享/服务器的权利 – 只有PC的

软弱的用户 – 我给自己的电脑用户，但我甚至没有其他电脑的权利

分离的原因很多。 不应该有任何争论，就这样做！

面临被投票的危险，我不得不说这取决于pipe理员的工作stream程。 对我个人而言，在工作时我在工作站上做的绝大多数事情都需要这些pipe理员凭证。 你有内置的东西，如域pipe理工具，第三方pipe理控制台，映射驱动器，命令行远程访问工具，脚本等等。 不得不打开几乎每一个你打开的凭据凭证将是一场噩梦。

关于通常不需要pipe理权限的唯一的东西是我的网页浏览器，电子邮件客户端，IM客户端和PDF阅读器。 而且大多数这些东西保持打开从我login时，我注销。 所以我用我的pipe理员凭证login，然后运行我所有低权限的应用程序与一个低特权帐户。 这个问题要简单得多，我觉得这样做不是那么安全。