Lokala adminrättigheter ger en användare möjlighet att göra omfattande ändringar på sin jobbdator. Det kan kännas praktiskt när någon vill installera ett program, men samma behörighet kan också underlätta oönskade installationer och ändringar av säkerhetsskydd. Ett vanligt användarkonto bör därför normalt inte vara lokal administratör. Målet är inte att hindra arbetet, utan att skilja vardagens uppgifter från åtgärder som behöver särskilt godkännande.
För VD och kontorschef på företag med fem till hundra anställda i Stockholmsområdet handlar frågan om ansvar och fungerande arbetsrutiner. Innan rättigheter tas bort behöver ni veta vilka datorer som berörs, vilka program som används och hur supporten ska hjälpa vid undantag. Här går vi igenom ett stegvis arbetssätt för Windows och berör även Mac.
Varför vardagskontot inte bör vara administratör
En lokal administratör kan bland annat installera systemomfattande program, ändra lokala konton och påverka inställningar som skyddar datorn. Om medarbetaren luras att godkänna en skadlig installation kan konsekvenserna bli större än med begränsad behörighet. Även välmenande ändringar kan göra datorn svårare att underhålla. Principen om minsta behörighet innebär att varje person får de rättigheter som arbetet faktiskt kräver, inte alla rättigheter som ibland kan vara bekväma.
Begränsad behörighet är ett skydd, inte hela skyddet
Att ta bort administratörsrättigheter stoppar inte all skadlig kod. Program kan fortfarande köras i användarens miljö och filer kan fortfarande drabbas. Åtgärden behöver kombineras med uppdateringar, säkerhetsskydd och återställningsbar backup. Läs om skydd mot ransomware och använd vår checklista för IT-säkerhet för att se hur behörigheter passar in i helheten.
Inventera vilka som har lokala adminrättigheter
Börja med en aktuell förteckning över företagets datorer, ansvariga användare och hanteringsstatus. Låt IT granska medlemskapet i den lokala administratörsgruppen och vilka centrala grupper eller policyer som tillför behörighet. Kontrollera också gamla lokala konton, tidigare supportkonton och datorer som inte längre rapporterar till hanteringen. Enbart en lista över anställda visar inte vilka rättigheter som faktiskt finns på varje enhet.
Skilj lokal behörighet från molnbehörighet
Administratör på en dator är inte samma sak som administratör i Microsoft 365 eller Entra ID. Dokumentera båda, men behandla dem som olika åtkomster. Registrera hur rättigheten uppstod och varför den fortfarande behövs. Samla inte lösenord i inventeringslistan. För enheter som hanteras centralt kan MDM och Intune ge ett mer sammanhållet arbetssätt, men rapporternas omfattning och aktualitet måste kontrolleras.
Ta bort behörigheten stegvis med en representativ pilot
Välj en testgrupp som använder verksamhetens vanliga program och även något mer krävande arbetsflöde. Informera om förändringen, hur hjälp beställs och vem som fattar beslut om undantag. Prova installation, uppdatering, utskrift, anslutning av utrustning och det dagliga arbetet med standardkonto. Dokumentera vad som slutar fungera innan ni ändrar resten av datorerna. Piloten ska visa verksamhetens faktiska behov, inte bara att ett kontor kan öppna mejlen.
Undersök program som påstås kräva administratör
Vissa program behöver förhöjning vid installation men inte under normal användning. Andra har felaktiga filrättigheter eller gamla beroenden. Be leverantören beskriva kraven och en stödd lösning. Ge inte bred skrivåtkomst till systemmappar som genväg. Ett verkligt undantag ska kopplas till en uppgift och en ansvarig. Vid datorbyte kan hårdvara och inköp hjälpa er att kontrollera programstöd redan före beställningen.
Gör godkända appar tillgängliga utan eget adminkonto
Med Intune kan IT paketera och tilldela appar eller göra dem tillgängliga genom Företagsportal. En medarbetare kan då begära eller installera godkända appar enligt företagets upplägg utan permanent lokal administratörsbehörighet. Appen måste ha rätt installationskontext, fungerande paket och eventuella licenser. Alla program kan inte hanteras likadant. Testa även uppdateringar och avinstallation så att självbetjäningen inte bara fungerar vid första installationen.
Bestäm hur nya program önskas, vem som bedömer säkerhet och avtal samt vem som godkänner inköpet. Företagsportal är inte ett automatiskt godkännande av varje produkt på internet. Koppla apphanteringen till patchhantering för företag, så att godkända program fortsätter få uppdateringar. Kontrollera aktuella funktioner och licenskrav hos Microsoft innan ni väljer lösning.
Windows LAPS skyddar det lokala administratörskontot
Windows LAPS kan hantera och rotera lösenordet för ett lokalt administratörskonto på stödda Windows-enheter. Med rätt konfiguration säkerhetskopieras lösenordet till Microsoft Entra ID eller Windows Server Active Directory enligt valt upplägg. Det minskar behovet av ett gemensamt lokalt administratörslösenord på flera datorer. Begränsa vilka som får läsa uppgifterna och dokumentera hur åtkomst används vid support och återställning.
LAPS tar inte automatiskt bort användarnas rättigheter
Lösenordshantering för ett lokalt konto och borttagning av andra administratörer är olika åtgärder. Ni behöver därför kontrollera gruppmedlemskap separat. Testa lösenordsrotation, lagring och behörigheter innan rutinen används skarpt. Verifiera även vilket konto er policy hanterar. Microsofts aktuella dokumentation beskriver stödda versioner och förutsättningar; följ den i stället för att återanvända instruktioner för en äldre LAPS-lösning.
Separata adminkonton och tillfällig förhöjd behörighet
IT bör använda separata administrativa konton för uppgifter som behöver högre behörighet och vanliga konton för mejl och vardagsarbete. Begränsa administratörernas åtkomst till de system de ansvarar för. Dela inte ett personligt adminkonto mellan flera tekniker, och lämna inte ut dess lösenord till medarbetare som behöver installera något. Fjärrhjälp ska genomföras med en tydlig och spårbar supportprocess.
Godkänn uppgiften, inte obegränsad behörighet
En rutin för tillfällig förhöjning ska beskriva programmet, orsaken, godkännaren och hur behörigheten upphör. Där det passar kan verktyg för kontrollerad förhöjning användas; Microsoft Intune Endpoint Privilege Management är ett exempel med separata licensförutsättningar. Kontrollera aktuella villkor. Annars kan IT utföra den godkända åtgärden. Vår helpdesk och fjärrsupport kan diskutera ett upplägg som inte bygger på ständig administratörsåtkomst.
Mac och ledningens beslut om policy
Även på Mac bör ni skilja mellan standardanvändare och administratörer. Inventera konton och prova verksamhetens appar innan rättigheter ändras. Hantering av installationer, systemtillägg och FileVault kräver ett genomtänkt upplägg; säker token och återställningsåtkomst får inte antas fungera bara för att kontotypen ändras. Använd Apples och hanteringsleverantörens aktuella dokumentation och kontrollera att IT fortfarande kan återställa enheten på ett säkert sätt.
VD eller kontorschef behöver besluta om grundpolicy, vem som godkänner undantag och vilket stöd medarbetarna får. Skriv ner det i en IT-policy för småföretag. Följ upp undantag när roller eller program förändras, så att tillfälliga behov inte blir permanenta rättigheter. Ange även vem som granskar avvikelser och hur en akut supportåtgärd dokumenteras efteråt.
Checklista inför en förändring av adminrättigheter
Besluta, prova och följ upp
- Inventera datorer, lokala konton och grupper som ger administratörsbehörighet.
- Prova viktiga program och kringutrustning med standardkonto i en pilot.
- Ordna godkända appar och en fungerande kontaktväg till supporten.
- Verifiera LAPS eller annan säker hantering av lokala administratörskonton.
- Bestäm godkännare, dokumentation och avslut för varje behörighetsundantag.
- Kontrollera att rättigheter verkligen försvinner och granska kvarvarande undantag.
Sammanfattning: mindre behörighet med fungerande stöd
Lokala adminrättigheter bör vara ett motiverat undantag, inte standard för alla. Inventering, pilot och godkända appar gör förändringen lättare att genomföra utan onödiga arbetsstopp. IT Support Stockholm drivs av Tele-Byrån i Kalmar AB. Vi hjälper företag på Södermalm och i Nacka med IT-säkerhet och backup samt löpande support. Kontakta oss för att diskutera era datorer och behörighetsrutiner.
Vanliga frågor
Behöver medarbetare lokala adminrättigheter för att arbeta?
Normalt bör vardagsarbetet fungera med standardkonto. Kartlägg program och arbetsuppgifter i en pilot. Installationer som kräver förhöjning kan hanteras av IT eller genom godkända apppaket och kontrollerade undantag.
Tar Windows LAPS bort användarnas administratörsbehörighet?
Nej. Windows LAPS hanterar lösenordet för ett lokalt administratörskonto. Medlemskap i administratörsgruppen måste inventeras och ändras separat. Kontrollera aktuella Microsoft-krav för er miljö.
Kan användare installera appar via Företagsportal utan adminrätt?
Det kan fungera för appar som IT har paketerat och tilldelat med rätt installationskontext. Appstöd, licenser och uppdateringar behöver verifieras. Företagsportal ger inte automatiskt rätt att installera valfria program.
Hur hanterar vi ett program som faktiskt kräver högre behörighet?
Be leverantören beskriva kravet och prova en stödd lösning. Om ett undantag behövs ska en ansvarig godkänna uppgiften, begränsa behörigheten och dokumentera när den upphör. Undvik permanent adminåtkomst av bekvämlighetsskäl.
Fördjupning: Checklista IT-säkerhet · IT-policy för företag. Vi hjälper företag i bland annat Södermalm och Nacka.