Zasada najmniejszych uprawnień i dostęp Just-In-Time
Zasada najmniejszych uprawnień ogranicza prawa do tego, co niezbędne, a dostęp Just-In-Time przyznaje je na ograniczony czas. Co robi pracownik.
W 30 sekund
- Gdzie to występuje
- Na każdym stanowisku i w każdej usłudze, w których istnieją uprawnienia administratora, na przykład w administracji Microsoft 365 lub firmowego katalogu użytkowników2.
- Czego chce atakujący
- Wykorzystać istniejące konto i jego uprawnienia, co czasem pozwala mu uniknąć użycia złośliwego oprogramowania i utrudnia wykrycie jego obecności4.
- Odruch
- Prosić o podwyższony dostęp na ograniczony czas i z jasnym uzasadnieniem, nigdy nie pożyczać swoich uprawnień administratora i zgłaszać uprawnienia, które nie są już potrzebne.
- Jeśli już to zrobiono
- Poinformować dział IT, który podczas przeglądu dostępów może odebrać uprawnienia, które przestały być potrzebne3.
O co chodzi
Zasada najmniejszych uprawnień (ang. least privilege) jest regułą bezpieczeństwa: system powinien ograniczać prawa dostępu użytkowników, a także programów działających w ich imieniu, do minimum potrzebnego do wykonania przydzielonych zadań1. Pracownik, który musi tylko czytać folder, nie powinien mieć możliwości jego usunięcia.
Dostęp Just-In-Time (dokładnie na czas) rozwija tę myśl w odniesieniu do uprawnień podwyższonych. Użytkownicy otrzymują tymczasowe uprawnienia do wykonywania zadań uprzywilejowanych, a dostęp jest przyznawany dopiero wtedy, gdy go potrzebują2. Po upływie wyznaczonego czasu dostęp uprzywilejowany jest automatycznie usuwany3.
Pytania wprost
Dlaczego ograniczać uprawnienia zaufanego pracownika?
Organizacje ograniczają liczbę osób mających dostęp do zasobów wrażliwych, aby zmniejszyć dwa ryzyka: że złośliwy użytkownik uzyska dostęp do tych danych oraz że uprawniony użytkownik przez nieuwagę wpłynie na zasób wrażliwy2. Microsoft dodaje, że ograniczenie ról i zakresów zmniejsza liczbę zasobów zagrożonych w razie przejęcia konta3.
Co w praktyce oznacza „just-in-time”?
Pracownik nie ma stałego prawa administratora. Jest „uprawniony” do roli i aktywuje ją, gdy ma wykonać zadanie uprzywilejowane. Aktywacja może wymagać weryfikacji wieloskładnikowej, uzasadnienia służbowego lub zgody wyznaczonej osoby zatwierdzającej2. Po aktywacji rola pozostaje dostępna przez z góry określony okres, a potem użytkownik musi aktywować ją ponownie2.
Czy zasada najmniejszych uprawnień dotyczy tylko administratorów?
Nie. OWASP opisuje ją jako regułę stosowaną na wszystkich poziomach: księgowy i handlowiec zajmują to samo miejsce w hierarchii, ale nie potrzebują tych samych zasobów. Księgowy nie powinien mieć dostępu do bazy klientów, a handlowiec do danych płacowych5.
Co się dzieje, gdy wniosek o dostęp wygaśnie?
Według dokumentacji Microsoftu, gdy przypisanie roli zbliża się do wygaśnięcia, użytkownik może poprosić o przedłużenie. Gdy już wygaśnie, może poprosić o odnowienie. Oba wnioski wymagają zatwierdzenia przez administratora globalnego lub administratora ról uprzywilejowanych2.
1Jak to działa1 min
Opisane tu działanie opiera się na narzędziu Privileged Identity Management firmy Microsoft, jednym z przykładów spośród wielu. Administrator przypisuje rolę użytkownikowi, grupie lub tożsamości usługi. Przypisanie określa zakres (rola obowiązuje tylko dla danego zbioru zasobów), typ (uprawniony lub aktywny) oraz czas trwania, z datami początku i końca albo bez ograniczenia2.
Aby aktywować rolę, do której jest uprawniony, użytkownik wybiera czas aktywacji mieszczący się w granicach ustalonych przez administratorów i podaje powód wniosku2. Narzędzie może wymagać zatwierdzenia, narzucać uwierzytelnianie wieloskładnikowe, wysyłać powiadomienia przy aktywacji i przechowywać historię audytu2. MITRE wymienia też role efemeryczne innych dostawców chmury, służące do przyznawania podwyższonych uprawnień na ograniczony czas6.
Microsoft zaleca łączenie kilku mechanizmów kontroli, ponieważ żadna pojedyncza funkcja nie obejmuje wszystkich przypadków. Jego przykład: rola niestandardowa ograniczona do jednostki administracyjnej, tak aby administrator regionalnego wsparcia mógł resetować hasła tylko w swoim regionie. Aktywacja odbywa się następnie przez PIM, z zatwierdzeniem, a dostęp warunkowy wymaga urządzenia zgodnego z zasadami i uwierzytelniania wieloskładnikowego3.
Brytyjskie NCSC definiuje podejście „zero trust” tak: zaufanie wynikające z samej sieci zostaje usunięte, sieć jest uznawana za wrogą, a każde żądanie jest weryfikowane względem polityki dostępu7. CISA wiąże z nim decyzje o dostępie według zasady najmniejszych uprawnień, podejmowane dla każdego żądania osobno8.
2Co Pan/Pani robi1 min
- Proszę prosić o dostęp w chwili potrzeby, na czas dopasowany do zadania i ze szczegółowym uzasadnieniem. Uzasadnienie podane przy aktywacji pozwala zrozumieć, dlaczego rola została użyta2.
- Proszę używać wąskiej roli odpowiadającej zadaniu. Microsoft odradza przypisywanie szerszych ról lub ról o większym zakresie, nawet jeśli wydają się wygodniejsze3.
- Proszę zachować swoje uprawnienia administratora dla siebie. Aktywacji roli dokonuje użytkownik, powoduje ona powiadomienie, a historia audytu ją zachowuje2. OWASP zauważa, że bez prawidłowego rejestrowania zdarzeń naruszenia dostępu nie da się czasem przypisać żadnej osobie5.
- Przy zmianie zespołu lub zadań proszę poprosić o odebranie uprawnień z poprzedniej funkcji. Microsoft zauważa, że bez audytu osoby zmieniające zespół gromadzą niepotrzebne dostępy3.
- Proszę odpowiadać na przeglądy dostępów: służą one do sprawdzenia, czy użytkownicy nadal potrzebują swoich ról2.
- Proszę włączyć uwierzytelnianie wieloskładnikowe na kontach administracyjnych. Microsoft podaje, że według jego badań takie konto jest o 99,9 % mniej narażone na przejęcie3.
3Pułapki1 min
Gromadzące się uprawnienia. OWASP nazywa „privilege creep” sytuację, w której uprawnienia użytkowników przekraczają te określone na początku. Zaleca okresowy przegląd i przypomina, że łatwiej dodawać uprawnienia, niż je odbierać5.
Stałe konta administracyjne. Stały dostęp uprzywilejowany to dokładnie to, co PIM ma wyeliminować u użytkowników z rolą uprzywilejowaną3. Microsoft zaleca, by rolę administratora globalnego miało mniej niż pięć osób, a przypisań ról uprzywilejowanych było mniej niż 10, ponieważ role te umożliwiają podniesienie uprawnień3. Przewiduje jeden wyjątek: dwa konta dostępu awaryjnego, przypisane na stałe, niepowiązane z osobami i zarezerwowane na sytuacje „break glass”3.
Zapomniane konta. MITRE zwraca uwagę, że przeciwnicy mogą nadużywać kont nieaktywnych, na przykład osób, które odeszły z organizacji, ponieważ dawnego użytkownika nie ma już, by zauważyć nietypową aktywność4. MITRE zaleca też wyłączanie kont po okresie nieaktywności (30 dni jako przykład) i usuwanie kont bez właściciela podczas audytów9.
Zbyt silne konta usług. Przypisania ról mogą dotyczyć podmiotów usług lub tożsamości zarządzanych, tak samo jak osób2. W przypadku administratorów Microsoft wyróżnia trzy aspekty przypisania roli: określony zestaw uprawnień, w określonym zakresie, na określony okres3.
Te same dane logowania wszędzie. MITRE niepokoi się nakładaniem się uprawnień między kontami lokalnymi, domenowymi i chmurowymi: przeciwnik może przechodzić z jednego konta na drugie aż do wysokiego poziomu dostępu, takiego jak administrator domeny4.
4Rzeczywiste przypadki1 min
2015: atak na ukraińską sieć elektroenergetyczną
Według MITRE podczas ataku z 2015 roku na ukraińską sieć elektroenergetyczną grupa Sandworm Team użyła prawidłowych kont w sieci firmowej, aby podnieść swoje uprawnienia, poruszać się bocznie i zadomowić się tam na dłużej4. Źródło nie podaje, jakie uprawnienia miały te konta.
Karta
- Identyfikator
- CP-197
- Skrzydło
- 3. Protokoły i obrona
- Kompetencja Brain
- Kontrolować dostęp (control_access)
- Odruch Brain
- cr-029
- Schemat
- G3 · Przekrój anatomiczny
- Języki
- de, en, es, fr, it, nl, pl, pt
- Źródła
- Źródła sprawdzone 3 listopada 2026: 9
ŹródłaŹródła: 9
- NIST, „least privilege - Glossary | CSRC”. https://csrc.nist.gov/glossary/term/least_privilege (dostęp 3 listopada 2026)
- Microsoft, „Qu’est-ce que Microsoft Entra Privileged Identity Management ?”. https://learn.microsoft.com/fr-fr/entra/id-governance/privileged-identity-management/pim-configure (dostęp 3 listopada 2026)
- Microsoft, „Meilleures pratiques pour les rôles Microsoft Entra”. https://learn.microsoft.com/fr-fr/entra/identity/role-based-access-control/best-practices (dostęp 3 listopada 2026)
- MITRE ATT&CK, „Valid Accounts, Technique T1078 - Enterprise”. https://attack.mitre.org/techniques/T1078/ (dostęp 3 listopada 2026)
- OWASP, „Authorization - OWASP Cheat Sheet Series”. https://cheatsheetseries.owasp.org/cheatsheets/Authorization_Cheat_Sheet.html (dostęp 3 listopada 2026)
- MITRE ATT&CK, „Privileged Account Management, Mitigation M1026 - Enterprise”. https://attack.mitre.org/mitigations/M1026/ (dostęp 3 listopada 2026)
- NCSC (Royaume-Uni), „Zero trust architecture design principles”. https://www.ncsc.gov.uk/collection/zero-trust/architecture-design-principles (dostęp 3 listopada 2026)
- CISA, „Zero Trust Maturity Model”. https://www.cisa.gov/zero-trust-maturity-model (dostęp 3 listopada 2026)
- MITRE ATT&CK, „User Account Management, Mitigation M1018 - Enterprise”. https://attack.mitre.org/mitigations/M1018/ (dostęp 3 listopada 2026)
Zacytuj ten artykuł
Brain, „Zasada najmniejszych uprawnień i dostęp Just-In-Time”, Cyberpedia, 2026. https:/
BibTeX
@misc{brain_cp197_pl_2026,
author = {Brain},
title = {Zasada najmniejszych uprawnień i dostęp Just-In-Time},
year = {2026},
howpublished = {Cyberpedia},
url = {https://startbrain.io/cyberpedia/pl/articles/minimalne-uprawnienia-dostep-jit/},
note = {CC BY 4.0}
}