Microsoft 365 je k dispozici, Edge se používá denně a hesla se ukládají snadno. Pro firemní plánování je užitečné rozlišovat: synchronizace osobních dat prohlížeče, centrální distribuce přihlašovacích údajů a správa společných firemních přístupů s rolemi jsou různé úkoly.
Přihlášení na web ještě není pracovní profil
Prohlížeč může obsahovat osobní i firemní profil. Účet přihlášený do prohlížeče spoluurčuje, kam se jeho data synchronizují. Je odlišný od účtu na právě otevřeném webu. Otevření firemního portálu v osobním profilu automaticky nepřevádí všechna uložená hesla pod firemní správu.
Záměrně nastavený pracovní profil umožňuje dohledatelné přiřazení. Konkrétně se ověřuje správná firemní identita, správa profilu a povolení synchronizace. Microsoft tyto vrstvy vysvětluje v dokumentaci identit a profilů Edge (externí odkaz).
Osobní synchronizace propojuje zařízení stejné osoby
Edge může mezi přihlášenými zařízeními synchronizovat například oblíbené položky, nastavení a hesla. Povolené a aktivní typy dat závisí na typu účtu, předpokladech služby, licenci a zásadách. Věta „máme Microsoft 365“ nestačí: ověřují se konkrétní možnosti používaného tarifu a tenantu.
Osobní synchronizace usnadňuje přechod mezi vlastními pracovními zařízeními. Nepředstavuje automatické sdílení podle rolí s dalšími zaměstnanci. U společného dodavatelského účtu je proto třeba určit také přístup oprávněné skupiny a postup při změnách či odchodech. Technický podklad: Microsoft: podniková synchronizace v Edge (externí odkaz).
Edge umí přihlašovací údaje distribuovat i administrátorsky
Obecné tvrzení, že Edge vůbec neumí poskytovat společné přihlašovací údaje, by bylo neúplné. Microsoft dokumentuje samostatnou funkci Secure Password Deployment ve službě správy Edge. IT tak může údaje cíleně přidělit a zpřístupnit pro vyplnění webového přihlášení. Tato funkce se liší od synchronizace osobních hesel.
Aktuální dokumentace uvádí Microsoft 365 Business Premium, E3 a E5 a konfiguraci pomocí Cloud Policies. Microsoft popisuje použití v pracovním profilu na spravovaných zařízeních Windows. Před nasazením se ověřují podporované platformy, přiřazení skupin a dostupné funkce tenantu; nejde o obecnou podporu každého zařízení či tarifu.
Tato distribuce může vyhovovat konkrétnímu omezenému použití. Další požadavky na záznamy, přílohy, více aplikací, sdílení, zastupování a ukončení používání zůstávají samostatným rozborem. Zdroje: Microsoft: Secure Password Deployment (externí odkaz).
Skryté zobrazení hesla nezaručuje absolutní utajení
U administrátorsky distribuovaných údajů lze omezit zobrazení, úpravy a export v rozhraní prohlížeče. Nelze z toho slíbit, že oprávněná osoba za žádných okolností technicky nezíská použité tajemství. Microsoft tuto hranici sám uvádí v článku o centrální distribuci hesel (externí odkaz).
Při odchodu zaměstnance proto rozhoduje také stav cílového účtu. Odebrání přiřazení v prohlížeči, ukončení relace a případná změna hesla u dodavatele jsou odlišné kroky. Podporuje-li portál osobní uživatele, zahrne se tato možnost včetně rolí a postupů blokace do plánu.
Každá zásada prohlížeče řeší konkrétní úkol
Spravované profily Edge lze řídit určenými administrátorskými cestami a zásadami, například Zásadami skupiny, Intune nebo službou správy Edge. Konkrétní popis výrobce určuje, pro které platformy a typy profilů zásada platí. Nastavený přepínač sám nedokládá úplný stav existujících dat.
Důležitým příkladem je PasswordManagerEnabled: podle dokumentace Microsoftu lze po vypnutí ukládání nových hesel nadále používat hesla uložená dříve. Ani vyloučení typu dat ze synchronizace obecně neprokazuje odstranění všech starších místních kopií. Pilot proto společně ověřuje stávající data, požadované pravidlo a skutečný výsledek.
Microsoft: řízení ukládání hesel (externí odkaz) · Microsoft: omezení synchronizovaných typů dat (externí odkaz).
| Úkol | Typická oblast správy | Předem ověřit |
|---|---|---|
| Osobní hesla prohlížeče | Ukládání, vyplňování a vhodná synchronizace v profilu jedné osoby. | Správný profil, povolený účet a existující data. |
| Administrátorská distribuce Edge | Cílené přiřazování údajů prostřednictvím určené služby správy. | Licence, skupiny, zařízení a skutečná distribuce. |
| Společný firemní trezor | Potřebné sdílené záznamy, role a předávání podle rozsahu produktu. | Konkrétní oprávnění ke sdílení, obnova a ukončení používání. |
| Identita a MFA | Zabezpečení přihlášení firemního účtu a připojených služeb. | Další oprávnění a relace v cílovém portálu. |
Entra ID a MFA chrání vrstvu identity
Dobře chráněná firemní identita je základem pracovního profilu a připojených služeb. MFA a vhodné zásady přihlašování mohou tento přístup zabezpečit. Nevytvoří však automaticky osobní účty, vhodné role ani otestovanou cestu obnovy v cizím dodavatelském portálu.
Přihlášení identity, umístění údajů a oprávnění ve skutečném portálu se proto dokumentují odděleně. Toto rozlišení pomáhá při výměně zařízení, zastupování i určení osoby schopné vyřešit poruchu. Vhodný týmový trezor může doplnit sdílené funkce přesahující možnosti zvolené cesty prohlížečem.
Příklad: Microsoft 365 a společný nákupní portál
Jeden hypotetický podnik používá Microsoft 365 pro spolupráci. Nákupní portál dodavatele zná pouze jeden společný účet. Pro účtárnu a její zastupování se nejprve zaznamená, komu přístup provozně patří, kdo jej smí používat a kam chodí zprávy pro obnovu.
Poté se vyzkoušejí vhodné varianty: administrátorská distribuce Edge na určených zařízeních nebo firemní trezor s potřebnými rolemi a předáváním. Testuje se i náhradní zařízení a odchod testovacího uživatele. Soukromý synchronizační účet jedné osoby se přitom nesmí nepozorovaně stát jedinou cestou obnovy firmy.
Začít dostupnými prostředky a cíleně doplňovat
DAXS pomáhá ověřit profily a licence, určit požadované zacházení s osobními a společnými přístupy a provést zvládnutelný pilot. Výsledkem může být vhodně spravovaná stávající funkce prohlížeče nebo doplňující správa hesel. Rozhoduje konkrétní pracovní postup a jasná provozní odpovědnost.
Probrat správu prohlížečů a hesel · Plánovat pracoviště a identity · Porovnat cloudové a vlastní provozování správců hesel · Uspořádat společné firemní přístupy a odchody
Časté otázky
Stačí osobní synchronizace Edge pro sdílený přístup účtárny?
Synchronizace zařízení stejné osoby není takovým skupinovým sdílením. Administrátorská distribuce a týmový trezor se posuzují samostatně.
Může Edge centrálně distribuovat společné přihlašovací údaje?
Microsoft pro tento účel dokumentuje Secure Password Deployment za určitých předpokladů. Konkrétně se ověřuje platforma, licence, cesta správy a potřebné funkce.
Smaže vypnutí ukládání hesel již existující hesla?
Uvedená zásada Edge zabrání novému ukládání, existující hesla však automaticky neodstraní. Požadované vyčištění potřebuje vlastní ověřený postup.
