Active Directory 管理员继任计划

随着 Microsoft 传统的本地 Active Directory (AD) 认证于 2020 年 6 月停用，许多本地 Active Directory 管理员在 COVID-19 大流行期间开始离开该领域。许多其他人将在未来 5-10 年内达到退休年龄。这引起了高层管理人员的恐惧，他们问自己，当这个熟练的团队离开员工队伍时，组织将走向何方，以及谁将管理本地 Active Directory 的持续遗留问题？

如果最新的团队成员仅接受过 Azure 培训，那么组织如何指望他们维护和保护其本地 Active Directory 环境呢？

在这篇文章中，我们将讨论未来和当前负责 Active Directory 和 Azure Active Directory 环境管理和安全的 Active Directory 管理员和 IT 团队的继任计划应该是什么样子。

接近继任计划

继任计划是业务连续性计划 (BCP) 的关键部分，该框架是由 ISACA 组织创建的。 COBIT（信息和相关技术的控制目标）是定义继任计划的框架。很快（如果还没有）需要继任计划的领域是 Active Directory 的治理。 IT 部门需要做好准备，解决以下现实问题：如果我失去了所有 Microsoft 认证系统工程师 (MCSE)，并且只剩下未经培训的员工来管理我们的本地 Active Directory 环境，会发生什么情况？

您可能听说过“所有高管级别的员工不能在同一架飞机上”的说法，因为这与商务旅行需求有关，以避免失去运营公司所需的所有关键成员。事实上，如果准备充分，任何公司都不必担心这种情况。

然而，在与许多客户交谈时，缺乏继任计划一直是一个问题，而这些人正急于找出如何更好地解决这个问题。

值得注意的是，您可以使用 COBIT - RACI（负责、负责、咨询和通知）按角色电子表格（通过提供的工具包下载中的电子表格在此处找到）构建自定义计划。

为 Active Directory 创建继任计划

在正确制定 Active Directory 管理员继任计划时，有几个关键领域需要解决。以下是一些入门方法。

审查企业目标并确定关键任务运营

确保您拥有每个系统及其工作原理的完整列表，以便团队成员了解您当前拥有的内容以及关键系统的配置方式。

确定对您的企业运营至关重要的职位

将责任方映射到保持业务运行的应用程序可以更轻松地雇用具有相同技能的替代者。请务必花时间来识别、记录和验证这些角色。

确定具有所需技能、知识和专业知识的候选人

一旦 Active Directory 管理员被映射到他们的产品职责 - 确保您的团队进行交叉培训。如果您的组织无法与其他团队成员共享知识，这些关键系统将不会有备份。

为新团队成员制定培训计划

重要的是要了解当前由谁管理您的本地 Active Directory，并与经过 Azure 培训的新管理人员启动指导计划。即使是传统的本地 Active Directory 管理员也需要学习和了解 Azure AD 管理。每个团队成员都应该具有 Azure AD 和本地 Active Directory 方面的经验。

当新员工加入团队时，也应该开始指导。这应该包括让最资深的成员与最新/初级的成员合作。如果不接受培训，当老成员退休时，下一代工人将在没有飞行员的情况下离开这些系统。

提供发展机会

不仅通过项目部署来激励绩效提升和成长机会，而且还基于对较低级别员工的成功培训。这也将缓解病假和假期的问题。如果没有这一点，积极主动的员工可能会认为自己是不可替代的。在这种文化开始或发展之前就打破它。

试运行继任计划，看看这些队友是否可以支持

在每年的灾难测试中，让新学员介入某些流程，以了解他们正在学习和理解他们正在接受培训的概念。

维护所有 IT 员工的技能清单

让主题专家列出他们负责的所有产品，以确保在员工离开组织或外出度假时更快地进行更换。很多时候，当 Active Directory 管理员开始工作时，就会进行“技能”防火演习。然后突然你的团队不得不修复他们不熟悉的东西。这可能会导致系统配置错误，从而使企业更容易受到恶意攻击。

优先考虑安全工具

接下来是确保您的 Active Directory 软件安全购买决策面向未来。确保在搜索 Active Directory 安全工具时这些安全工具能够弥补知识空白。所选工具需要考虑 Active Directory 和 Azure AD 的广度和深度，并帮助 Active Directory 管理员了解这两种环境的风险。通过内置分析来查看 Active Directory 或 Azure AD 的更改，将在潜在威胁发展时向团队发出警告。工具中的内置预测将有助于避免失去可能拥有数十年传统本地 AD 知识的团队成员。这也有望使过渡更加顺利。

根除烦恼

一些接近退休的员工可能会坚守工作岗位，以保护自己在退休前不被解雇。通过培训他人来激励他们的一个完美理由是将这项工作与他们的奖金潜力或加薪联系起来。如果支持他们的同事没有学习如何做好他们的工作，这也会影响他们的工作表现。让他们负责培训来赋予他们权力非常重要。开始将组织的本地团队和云团队结合起来，并确保不要孤立团队的角色。当所有成员都成功时，团体就会崛起。简而言之，让每个人负责与 AD 和 Azure AD 更改有关的所有角色。成员们常常过度关注他们所知道的事情。指导将有助于缓解这些紧张情绪。

结论

面对任何挑战，继任计划都可能遇到障碍，包括个性以及政治和普遍的变革阻力。在定义成功对您意味着什么时，请确保所有团队成员都能实现成功，否则您将设定不切实际的期望。

以身作则，确保投资可靠的 Active Directory 和 Azure Active Directory 安全解决方案，以帮助填补空白。通过为团队成员提供更多培训来弥补知识差距。每周为 IT 员工提供相互培训的时间，并在人们休假或休假时分担角色。最后，遵循 COBIT 提供的大纲。填写电子表格将使您和您的团队能够清楚地了解资源离开时会发生什么。

这个过程并不一定很可怕——仍然有足够的时间来收集资源、与其他管理层坐在一起并分享愿景。与您的团队交谈并确保他们了解未来的目标。请务必管理您的团队和其他利益相关者的期望，以便所有人都能理解该信息。