Alternatieven in-en-uitloggen gedeelde windows werkplekken

[Metzie]

Ik werk bij een productie bedrijf met meerdere fabrieken in de Benelux. Onze werkplekken draaien Windows 7 en die zijn lid van de active directory. Het beveiligingsbeleid van ons moederbedrijf verplicht ons om elke medewerker een eigen gebruikersnaam en wachtwoord te geven. Op kantoor geeft dit geen enkel probleem.
Echter in de fabrieken geeft dit wel problemen. In de fabriek staan gedeelde werkplekken voor de kwaliteitscontrole en technische dienst. De werkdruk is hoog en veel werknemers zijn laag geschoold. Inlognamen worden onderling gedeeld. Medewerkers die wel volgens de regels werken beklagen zich erover dat het regelmatig in- en uitloggen op de werkplekken teveel tijd kost.
Concreet voorbeeld:
Op een fabriek wordt gewerkt met factory maintenance, daarin worden alle incidenten en onderhoudstaken voor de technische dienst beheerd. Een monteur wordt geacht zelfstandig zijn taken op te halen in het systeem en na afronding af te melden. Op 8 monteurs is daar 1 gedeelde computer voor voorzien. De klacht die ik kreeg van de hoofd technische dienst is dat het elke keer 2 a 3 minuten duurt om te wisselen van account en dan is volgens hem niet werkbaar.

Zijn voorstel was om met een gedeelde username te werken zodat alle monteurs met het onderhoud pakket kunnen werken zonder steeds in- en uit te hoeven loggen. Ik heb hier geen toestemming voor gegeven (maar ik kan het technisch niet tegenhouden als ze met 1 username gaan werken)

Mijn vraag is wat voor mogelijkheden zijn er om deze (en andere) applicatie veilig aan te bieden aan de medewerkers zonder dat ze in- en uit hoeven te loggen.

Opties die ik zelf al heb bedacht:
• De computer laten inloggen met een lokaal user account, dan heb je wel toegang tot de pc en de lokale applicaties maar geen toegang tot netwerk schijven en printers (AD resources). De pc blijft wel lid van het domein en ontvangt wel windows updates, applicatie updates en anti-virus.
• De computer laten inloggen met een gedeelde AD username maar inrichten als “kiosk” pc, waarbij alle applicaties en windows functies zijn geblokkeerd en je alleen toegestane applicaties kunt gebruiken. Hiervoor is wel 3rd party software nodig die we niet hebben.
• Het inzetten van een thin client in combinatie met Microsoft RemoteApp, een thin client heeft standaard geen applicaties en ik kan de applicatie publiceren door middel van een RDP snelkoppeling.
• Elke medewerker zijn eigen computer geven, dat is technisch gezien mogelijk maar niet erg praktisch.

Buiten bovenstaande 4 opties, wat voor mogelijkheden zouden er nog meer zijn?

[sh4d0wman]

Je bespreekt het met de verkeerde. Dit zou je in samenspraak met je manager en CISO moeten doen. Hier kun je dan ook je technische oplossingen voorleggen.

Het beleid is met een goede reden opgesteld: accountability, acties moeten identificeerbaar zijn naar een gebruiker. (wellicht hangen er sancties aan non-compliance, financieel of certificering). Het feitelijke probleem is dat gebruikers er niet voldoende bij werden betrokken. Dan zouden zaken zoals op de fabriek waarschijnlijk wel aangekaart zijn.

Hierdoor zie je dat gebruikers er omheen gaan werken. Dit zou met een goed ingericht process tot sancties moeten leiden of op zijn minst constatering door de CISO/security team.

Nu zit je al weer een stapje verder, de systeembeheerder moet er rond gaan werken. Van de oplossingen die je post lijkt de thin client het meest werkbare/veilige maar begin hier zeker niet aan zonder verder overleg.

[roches]

Is het een idee om kaartlezers achter die computers te hangen zodat een medewerker alleen met een kaart kan inloggen?

Zo gauw die verwijderd wordt uitloggen en bij opnieuw insteken automatisch inloggen...

[The Eagle]

Contact opnemen met de applicatiebeheerder van het spul. Z e moeten immers op de applicatie inloggenneem ik aan. Zo te horen is dat nu direct gekoppeld aan de windows username en dat levert een bottleneck.
3 minuten aan en afmelden klinkt als een oude trage PC op XP oid. Zet er een SSD in en wat extra geheugen en dan vliegt ie. Zet er desnoods een tweede bij, hoeven ze niet op elkaar te wahten. En uitloggen na X minuten geen activiteit.

Als dat allemaal geen optie is, procedureel oplossen: zorg dat er 's ochtends en 's middags een takenlijst ligt per werknemer voor de komende 4 uur. Kunnen ze dan op papier afvinken en kan tijdens de lunchpauze geupdate worden. Niet leuk voor ze maar so be it. Het is laag of ongeschoold personeel. Laat ze maar ff vloeken dan. Nergens zo makkelijk om beleid door te voeren als daar. Klinkt hard maar zo is het wel.

[DukeBox]

Er ontbreekt idd wel wat meer info. Welk OS draait het op e.d. ?
Windows 7 en hoger kunnen meerdere users tegelijk ingelogd staan, zoals eerder genoemd met een badge o.i.d. kan je dan heel snel inloggen op je sessie.

[ Voor 3% gewijzigd door DukeBox op 29-09-2017 13:07 ]

[roches]

The Eagle schreef op vrijdag 29 september 2017 @ 13:00:
Het is laag of ongeschoold personeel. Laat ze maar ff vloeken dan. Nergens zo makkelijk om beleid door te voeren als daar. Klinkt hard maar zo is het wel.

Menselijkheid is u niet vreemd, merk ik...

[Fish]

Als je thin client denkt kan je zognen dat elke gebruiker zijn eigen sessie kan maken en die gewoon locked. dan hoef je niet 3 minuten in te loggen maar is de sessie er al.

[Jeoh]

Klinkt alsof de bottleneck vooral de traagheid is, niet zo zeer het uit- en aanloggen zelf. Kijk eens met ze mee waarom het zo lang duurt, als je het proces kan terugbrengen naar een minuut dan is het waarschijnlijk al een stuk draaglijker. Misschien dat het onderhoudpakket gewoon onder een gedeeld account kan draaien maar dat ze dan in het pakket zelf moeten aanloggen met hun eigen gebruikersnaam, dat scheelt je het hele Windows-proces maar dan heb je wel de accountability.

[Yucon]

Zou een mogelijke oplossing niet in het inloggen bij het maintenance pakket zitten? Als die machines op heel beperkte windows accounts draaien waar je feitelijk niets mee kunt kan dat voldoende zijn voor een betrouwbaar auditing mechanisme, zelfs al heb je gedeelde windows accounts. De acties in dat onderhoudssysteem zijn dan immers toch naar de gebruikers te herleiden.

Ik realiseer me dat dat formeel niet strookt met dat genoemde beveiligingsbeleid.. maar misschien is dat gewoon iets dat ter discussie gesteld moet worden. Het is immers een middel en geen doel.

[Verwijderd]

Traagheid fixen, niet met andere oplossingen gaan kloten. Evt policy instellen dat een sessie na bijv. een halfuur wordt afgemeld, als dat handig is?

[Sherlock]

Inloggen met vingerafdrukscanner mogelijk? Eventueel pc wat upgraden zodat het proces wat sneller gaat.

[Yucon]

Verwijderd schreef op vrijdag 29 september 2017 @ 13:22:
Traagheid fixen, niet met andere oplossingen gaan kloten. Evt policy instellen dat een sessie na bijv. een halfuur wordt afgemeld, als dat handig is?

Ik ben geen specialist, dus dit is een open vraag: kan dat wel? Je moet alsnog door heel veel stappen heen lijkt me. Als die per stuk snel gaan kan het geheel nog steeds aan de lange kant duren.

[Pieter Holtrop]

Misschien is een tablet voor elke monteur een optie?

[Verwijderd]

Yucon schreef op vrijdag 29 september 2017 @ 13:26:
[...]

Ik ben geen specialist, dus dit is een open vraag: kan dat wel? Je moet alsnog door heel veel stappen heen lijkt me. Als die per stuk snel gaan kan het geheel nog steeds aan de lange kant duren.

Het is een voorbeeld, in het geval monteur x na een bepaald moment klaar is en zich niet afmeldt. De volgende collega moet dan eerst nog gaan afmelden en opnieuw inloggen.

We hebben eigenlijk iets meer info nodig. Maar ik kan mij voorstellen dat veel stappen lang(er) duren als de PC an sich traag is.

[eric.1]

Laat controleren/uitzoeken wat er nou zo lang duurt en waarom. Netwerk? Pc? Lange wachtwoorden en 5x typefout voordat het eindelijj goed gaat (dikke vingers ?)

Dan zou je, als het inloggen aan sich weer snel gaat, met persoons-passen kunnen werken; leg pas op een reader; logged on. Verwijder pas; lock pc o.i.d.

Als je er dan voor zorgt dat ze automatisch inloggen op een RDS achtige omgeving staan al hun applicaties nog open ook; kunnen ze direct verder.

[Metzie]

Bedankt voor de antwoorden tot nu toe. Om wat meer achtergrond te schetsen over de situatie: De volledige kantoor IT is geoutsourcet en wordt vanuit lage lonen landen uitgevoerd. De omgeving is Europees gestandaardiseerd en omvat ongeveer 2200 werkplekken. De computers zijn ongeveer 2,5 jaar oud (intel i5, ssd) en zijn op zich best snel. De domeincontrollers staan in een Duits datacentrum.

De vestiging waar het over gaat heeft een MPLS verbinding van 6mbit want niet erg snel is voor ongeveer 40 werkplekken. We gaan deze upgraden naar 20mbit in de lente volgend jaar.

De snelheid van de systemen zie ik niet als een issue, meer de keten van stappen waar je doorheen moet: Afmelden in Windows, Aanmelden in windows, Applicatie opstarten. Alle stappen kosten tijd.
Onderzoeken of we het proces kunnen versnellen is zeker nuttig, de suggestie om in Windows 7 parallelle sessies in stand te houden wellicht nog wel beter (switch user functie)

Wat sh4d0wman opmerkt is wel terecht dat regels er zijn om nageleeft te worden want ze zijn er voor een reden.

Zoals ik schreef in de OP is het maintenance pakket maar een voorbeeld want het speelt op meerdere plekken. We hebben ook Siemens programmeerlaptops met STEP7 software voor PLC programmeurs erop die nu standalone draaien. (dus onder beheer van de lokale TD) en we hebben ook onze SCADA computers waarbij je niet halverwege een dienst kan zeggen “zo, ik zet de software uit want mijn collega neemt het in de pauze over” want dan staat de machine stil.

De achterliggende gedachte van de OP is mijn mening dat wij als IT het de gebruikers soms best lastig maken. Ze moeten 10 verschillende wachtwoorden aanmaken en onthouden en 90 dagen wijzigen. Je zou eigenlijk naar een ander user authenticatie model willen overstappen die veel gebruiksvriendelijker is. Bijvoorbeeld met een interactie met je mobiele telefoon of gezichts herkenning. Maar volgens mij is er weinig op de markt dat goed werkt (en betaalbaar is) voor de corporate omgevingen. Zelfs Windows Hello gezichtsherkenning is (nog) niet beschikbaar in combinatie met Active Directory.

[ Voor 16% gewijzigd door Metzie op 29-09-2017 14:39 ]

[sh4d0wman]

Ik neem aan dat je een classificatie/groeperings systeem hebt voor je netwerk en systemen waarop je bepaalde keuzes kunt maken op gebied van authenticatie vereisten.

Ik zal je SCADA en STEP7 als voorbeeld nemen:
Je SCADA systeem dient inderdaad niet uitgezet te worden maar zal wellicht RO kunnen draaien zodat alle operators zicht hebben. Dit onder een gelimiteerde user (wellicht is het simpelweg een web-pagina). Daarnaast een systeem/connectie met RW wat wel op persoon kan authenticeren zodat er duidelijk is wie welke handeling uitvoerde.

Wat betreft je laatste edit: daar liepen wij in het verleden ook tegenaan. We hebben toen Single Sign-On toegepast wat na een hoop prutsen werkte (sommige systemen konden maar max aantal chars aan of geen speciale tekens). Hiermee kon men met 1x inloggen, waarbij door de user zelf geselecteerde progamma's automatisch starten, en roamen naar andere systemen met behoud van sessie gedurende de dag (thin clients/citrix/windows/mainframe). In theorie zou men de sessie door kunnen zetten over VPN naar thuis.

Wellicht vallen hardware token/smartcard oplossingen samen met fysieke toegangsbeveiliging te koppelen, dan hoeft men 1 pasje/token bij zich te dragen. Gezichtsherkenning en fingerprint zou ik niet snel kiezen, naast privacy issues werkt het vaak niet goed.

[Metzie]

Omdat dit een openbaar forum is moet ik opletten met details maar we zijn deze lente gegroeid tot 186 fabrieken wereldwijd die waarschijnlijk allemaal uniek zijn. Ik denk dat ik zeker niet de enige ben met deze uitdaging. Ik vind de oplossing van sh4d0wman mooi, eens kijken hoever we zo'n ideaal kunnen bereiken.

[bouwfraude]

Metzie schreef op vrijdag 29 september 2017 @ 12:09:
Op 8 monteurs is daar 1 gedeelde computer voor voorzien.

Zet er nog een PC naast en de problemen halveren. Het onderhoudspakket zal niet gratis zijn dus de kosten van een extra computer vallen in het niet. Het zijn de gebruikers die de input moeten leveren maak het ze dan niet zo moeilijk.

[The Eagle]

Metzie schreef op vrijdag 29 september 2017 @ 15:24:
Omdat dit een openbaar forum is moet ik opletten met details maar we zijn deze lente gegroeid tot 186 fabrieken wereldwijd die waarschijnlijk allemaal uniek zijn. Ik denk dat ik zeker niet de enige ben met deze uitdaging. Ik vind de oplossing van sh4d0wman mooi, eens kijken hoever we zo'n ideaal kunnen bereiken.

Als dat zo is dan zou ik eens contact opnemen met andere sites en vragen hoe zij dat opgelost hebben. Je zult vast niet de enige zijn geweest met het probleem. Contact ook vooral fabrieken in de wat minder ontwikkelde landen (zuid amerika, afrika, india, etc) aangezien die ws ook geen al te snelle verbindingen zullen hebben en dus vergelijkbaar zijn

[johnkeates]

Gebruik smartcards, zo moeilijk is het niet... Kan chip zijn, kan NFC zijn, maakt niet uit, maar elke keer wachtwoorden intypen maakt het niet snel. Iedereen een eigen laptop geven, meer PC's neerzetten of kiosk mode van die ene applicatie maken en die gewoon standaard draaien en daar specifiek op in/uitloggen. Opties genoeg!

[Verwijderd]

Je kan daar niet echt omheen met dat soort diensten. Het kost gewoon tijd, in/uitloggen. Wij hebben daarvoor speciale accounts, dagdienst ploeg A enz.

Dat werkt uiteindelijk het beste.

[Onbekend]

Is het maar 1 applicatie die ze moeten opstarten in Windows?
Zo ja, is het niet mogelijk om voor de betreffende applicatie dan een inlognaam/wachtwoord te vereisen zodat de stap van aanmelden in Windows niet meer hoeft?

[Verwijderd]

Wellicht heb je het probleem al opgelost, maar dit zou eventueel een alternatief voor je kunnen zijn: *knip geen reclame. Is vrij nieuw, niet duur en wordt recentelijk ook bij tandartsen met gedeelde werkplekken gebruikt.

[ Voor 12% gewijzigd door TheVMaster op 07-03-2018 12:56 ]

[TheBorg]

Wij gebruiken trouwens QR codes en barcode scanners voor authenticatie. Zo ongeveer elke computer had toch al een scanner. Wel zit de autenticatie in de applicatie zodat je in 2 seconden van user kan wisselen maar die mogelijkheid heb je zo te horen niet.

[ Voor 51% gewijzigd door TheBorg op 06-03-2018 00:20 ]

[johnkeates]

Ik denk dat september 2017 daar wel wat mee kan.

[Metzie]

Dank je voor de updates. Het probleem is niet echt opgelost maar we hebben een werkbare methode gevonden. De betreffende applicatie hebben we omgezet naar RemoteApp met een snelkoppeling op het bureaublad. De applicatie start nu voldoende snel op.

Wat betreft wisselen van users. We hebben 1 extra computer bijgeplaatst en de users geleerd dat ze snel kunnen wisselen van user via de optie "Andere gebruiker". Dat lijkt nu geaccepteerd. Ik zal de 2 nieuwe suggesties hierboven eens evalueren.