VPNログインでローカル管理者権限が渡されることはない

仕事用VPNが個人のPCで会社に管理者権限を与えるかと問われると、三つのことが混同される。到達可能性、ソフトウェアのインストール、デバイス管理である。VPN接続が与えるのは一つ目、クライアントパッケージがもたらすのは二つ目、三つ目を与えるのは別個の登録だけである。それぞれの仕組みは異なり、Windowsの資格情報が関わるのは一つだけだ。

トンネルがドメインアカウントをローカルアカウントに変えることはない。

資格情報ではなく、ネットワーク経路

トンネルは会社のリソースに到達できるようにし、ルーティング、クライアント分離、ホストフィルターを条件にクライアント自体への経路を提供することがある。ローカルのWindowsアカウントを作成せず、既存のアカウントを昇格させず、誰かをローカルグループに追加もしない。マシン上で待ち受けるサービスは、要求がどのネットワークから来たかに関係なく独自の受け入れポリシーを保つ。だからこそ公開された共有やリモート管理のエンドポイントには、今も意図的な保護が必要である。

トンネルの範囲は別の問いだ。フルトンネルはスプリットトンネルより多くのアプリケーショントラフィックを運び、どちらの範囲もディスク上のファイルへのアクセスを与えない。

クライアントはパッケージであり、管ではない

企業向けクライアントはモジュール式だ。配備にはトンネルに加えてポスチャ、フィルタリング、セキュリティのコンポーネントを含められ、それぞれに独自の構成と独自の収集動作がある。製品名や接続アイコンからインストール済みの構成を推測するのは当て推量だ。そうしたコンポーネントはセッションの寿命ではなく独自のモジュールポリシーに従うことがあるため、トンネルを切断しても万能の停止ボタンにはならない。

インストール済みコンポーネントの一覧は、接続アイコンが答えるのとは別の問いに答える。

スクリプトはrootではなく、あなたとして実行される

クライアントスクリプトは存在し、理解する価値がある。文書化された接続と切断のフックはセッション中に実行でき、プロファイルと配備が有効にしない限り無効のままだ。Windowsではユーザーの既存のセキュリティ制限の内側で実行されるため、そのユーザーが行う権利のあることしか呼び出せない。フックを有効にすることは実際の追加能力であり、自動的な管理者付与と表現するのは正確ではない。

この区別は両方向で重要だ。受動的な管より多く、ドメイン管理者アカウントより少ない。

配信と更新こそが本当の信頼境界

パッケージと更新チャネルを管理する者は、パスワードを渡したウェブサイトより大きな権限を持つ。マシン上で何が動くかを変えられるからだ。インストール前にクライアントがどう配信され更新されるかを見直す正当な理由である。それでもドメインへの参加や管理への登録とは同じ操作ではなく、それらは独自の可視状態を持つ別個の関係のままだ。

組織が管理対象デバイスを求めるなら、個人のクライアントがその状態を提供できると仮定せず、承認された業務用デバイスの取り決めを使うこと。マシンがすでに登録済みなら、トンネルを切断しても登録は取り消されない。

何がインストールされ、誰がその更新を管理しているかの一覧を求めよう。その問いには答えがある。安心にはない。