Cara Mengasingkan Kerja Klien pada macOS

Mulakan dengan kesilapan yang perlu dicegah

‘Asingkan klien’ boleh membawa beberapa maksud:

• mengelakkan pengendali menerbitkan, membeli atau mengubah tetapan dalam akaun klien salah;
• menghalang pekerja melihat fail setempat atau sejarah pelayar pekerja lain;
• mengelakkan kelayakan, muat turun, sambungan atau pemberitahuan melintasi sempadan klien;
• mengehadkan kerosakan selepas Mac hilang atau terjejas; atau
• memenuhi kontrak klien yang memerlukan persekitaran khusus.

Satu pertukaran profil tidak menyelesaikan kelima-limanya. Pilih sempadan berdasarkan akibat kegagalan, bukan jumlah akaun.

Empat tahap pengasingan yang berguna

Sempadan	Berguna untuk	Perkara yang tidak dibuktikan
Tetingkap, kumpulan tab atau ruang kerja	Susunan visual dalam satu konteks pelayaran	Kuki, kelayakan, fail, sambungan atau hak akses berasingan
Profil pelayar	Mengurangkan kekeliruan sesi dan sejarah bagi pengendali dipercayai	Perlindungan daripada orang lain yang boleh menggunakan akaun macOS sama
Pengguna macOS berasingan	Mengasingkan direktori utama, tetapan akaun dan sesi log masuk setiap orang	Perlindungan daripada pentadbir, OS terjejas atau risiko rangkaian dan perkakasan bersama
Peranti terurus khusus atau mesin maya diluluskan	Kerja berimpak tinggi atau yang wajib diasingkan mengikut kontrak	Kebenaran klien, kebal daripada kompromi atau penerimaan terjamin pihak ketiga

Profil pelayar berguna, tetapi sempadan tepat bergantung pada produk. Safari 17 dan versi selepasnya mengasingkan sejarah, kuki, data laman, Kumpulan Tab dan beberapa pilihan sambungan mengikut profil. Apple turut menyatakan maklumat AutoFill, Passwords, tetapan keselamatan, laman dan privasi dikongsi antara profil Safari. Penanda buku tetap tersedia merentas profil melalui menu atau bar sisi Bookmarks. Semak tingkah laku lengkap profil Safari sebelum menggunakannya untuk klien.

Chrome juga mengasingkan penanda buku, sejarah, kata laluan dan tetapan mengikut profil. Google memberi amaran bahawa orang yang boleh menggunakan peranti boleh bertukar ke profil Chrome lain dan melihat maklumatnya. Oleh itu, profil Chrome ialah kemudahan dan pengasingan keadaan, bukan kawalan akses antara orang. Lihat panduan profil Chrome Google.

Pada lapisan storan, Chromium meletakkan profil dalam subdirektori direktori data pengguna yang turut menyimpan keadaan setempat bagi pemasangan. Ini penting untuk sandaran atau pelancar tersuai: nama profil yang kelihatan bukan keseluruhan sempadan storan. Dokumentasi direktori data pengguna Chromium menerangkan strukturnya.

Pilih sempadan mengikut kerja sebenar

Seorang pengendali dipercayai, beberapa akaun klien berimpak rendah

Gunakan satu profil bernama jelas bagi setiap klien apabila risiko utama ialah tersalah sesi dan orang sama dibenarkan untuk semua akaun. Pastikan jumlah profil masih boleh disemak dan diselenggara. Ulang petunjuk warna atau ikon melalui nama profil, tema pelayar, folder penanda buku dan folder muat turun diluluskan.

Ini tidak mencukupi jika stor kata laluan bersama, sijil OS, pautan luar, sambungan atau fail setempat akan melanggar sempadan diperlukan.

Beberapa orang berkongsi satu Mac

Berikan setiap orang akaun macOS sendiri. Apple mencadangkan akaun berasingan supaya tetapan peribadi tidak mempengaruhi orang lain. Untuk kerja rutin, akaun standard biasanya titik mula sesuai kerana ia tidak boleh menambah pengguna atau mengubah tetapan pengguna lain. Jenis akaun dan hadnya diterangkan dalam Menambah pengguna atau kumpulan pada Mac.

Jangan berkongsi satu log masuk macOS atau kata laluan pentadbir sebagai kaedah serahan. Pertukaran pengguna pantas mengurangkan kesulitan akaun individu, tetapi setiap orang masih perlu mengesahkan identiti sendiri.

Kerja berimpak tinggi, dikawal selia atau khusus mengikut kontrak

Tanya klien atau pemilik keselamatan sama ada sempadan diluluskan ialah akaun macOS terurus, mesin maya atau peranti berasingan. Rekod siapa mengurus kemas kini, perlindungan peranti, sandaran, pemadaman jauh, sijil dan akses pentadbir. Peranti khusus tanpa kawalan itu boleh menambah risiko tidak terurus walaupun nampak terasing.

Anggap profil sebagai sempadan kerja yang lengkap

Ikon profil sahaja tidak mencegah kekeliruan. Semak setiap laluan konteks klien masuk atau keluar daripada pelayar.

Identiti dan pengesahan

Gunakan proses identiti dan pengurusan kelayakan diluluskan klien. Elakkan berkongsi kata laluan sebenar, kuki sesi, kod sekali guna atau kunci laluan antara pekerja. Rekod pemilik serta laluan pemulihan tanpa meletakkan rahsia dalam hamparan atau nota profil.

Pada macOS, kata laluan, kunci laluan dan kod pengesahan mungkin disimpan dalam aplikasi Passwords serta disegerakkan melalui iCloud Keychain jika diaktifkan. Apple menerangkan stor OS ini dalam Menggunakan kata laluan pada Mac. Jika kelayakan klien mesti terasing, uji pembekal kata laluan dan sempadan AutoFill secara langsung. Jangan anggap profil pelayar mencipta Keychain berasingan.

Fail, papan klip dan tangkapan skrin

Pilih lokasi muat turun diluluskan bagi setiap klien, dengan peraturan penyimpanan dan perkongsian jelas. Uji muat naik juga kerana pemilih fail boleh menunjukkan direktori utama macOS yang lebih luas. Papan klip dan alat tangkapan skrin ialah sumber OS dalam satu sesi pengguna; profil pelayar tidak mengasingkannya.

Elakkan pengecam klien atau rahsia dalam nama fail yang mungkin muncul pada item terkini, sandaran, perkongsian skrin atau pemberitahuan.

Sambungan dan pembantu natif

Pasang hanya sambungan serta aplikasi pembantu diluluskan untuk kerja. Rekod profil yang mengaktifkan setiap sambungan dan semak akses lamannya selepas kemas kini. Safari menyediakan sambungan kepada semua profil tetapi membolehkan pengaktifan berasingan; menyahpasang menjejaskan semua profil. Pelayar lain mungkin berbeza.

Tetapan rangkaian

Gunakan VPN, proksi, DNS dan sijil yang diluluskan klien sahaja. Profil tidak secara automatik mengasingkan DNS OS, keterlihatan rangkaian setempat, keadaan keselamatan peranti atau VPN seluruh sistem. Uji laluan dan kegagalan tanpa menyembunyikan atau menyalahgambarkan kuasa pengendali.

Pautan daripada aplikasi lain

E-mel, sembang, pengurus kata laluan dan aplikasi desktop boleh membuka pautan dalam konteks tidak dijangka. Safari boleh memadankan laman dengan profil, tetapi Apple menyatakan pautan luar boleh kekal dalam profil lain jika laman itu sudah terbuka di situ. Sertakan pautan luar dan panggilan balik pengesahan dalam ujian.

Serahan

Pindahkan tanggungjawab melalui sistem akses diluluskan klien. Utamakan penugasan semula, perubahan peranan dan pengesahan baharu berbanding menyalin sesi aktif. Akses pengendali lama perlu ditarik melalui pembekal identiti atau perkhidmatan, bukan sekadar memadam pintasan setempat.

Gunakan semakan ringkas sebelum tindakan

Sebelum tindakan penting, pengendali patut dapat menjawab lima soalan melalui bukti yang kelihatan:

1. Klien mana membenarkan kerja ini?
2. Profil pelayar atau akaun macOS mana sedang aktif?
3. Akaun perkhidmatan mana sedang log masuk?
4. Objek, kempen, kedai, repositori atau penyewa mana akan berubah?
5. Ke mana hasil, muat turun atau mesej akan dihantar?

Untuk tindakan berimpak tinggi, tambah pratonton atau kelulusan orang kedua. Pengesahan semula juga boleh menjadi jeda berguna. Kawalan ini mengurangkan kesilapan manusia; tiada yang menjamin kesilapan tidak boleh berlaku.

Uji sempadan tanpa data klien

Cipta akaun sintetik dan penanda tidak sensitif yang menyerupai kerja sebenar. Jangan gunakan kuki produksi, kelayakan sebenar, rekod pelanggan atau tangkapan skrin pelanggan.

Sahkan bahawa:

• profil baharu bermula tanpa log masuk akaun sintetik yang digunakan profil lain;
• AutoFill tidak mencadangkan kelayakan klien tanpa kebenaran;
• pautan luar dan panggilan balik log masuk terbuka dalam konteks dijangka;
• muat turun serta muat naik menggunakan lokasi diluluskan;
• sambungan hanya aktif di tempat dibenarkan;
• pemberitahuan menjelaskan klien dan akaun tanpa kandungan sensitif;
• tutup dan buka semula mengekalkan hanya keadaan dijanjikan; dan
• pekerja lain tidak boleh memasuki akaun macOS tanpa pengesahan.

Ulang selepas perubahan besar pelayar, macOS, pengurus kata laluan, sambungan atau pengurusan peranti. Rekod versi dan semakan gagal. Senarai semak tanpa rekod kegagalan tidak boleh menunjukkan sempadan masih berfungsi.

Batasan yang kekal

Profil pelayar tidak memberikan anonimiti, mengubah peraturan perkhidmatan atau menjamin akses tanpa gangguan. Akaun macOS berasingan masih berkongsi OS, pentadbir, perkakasan dan rangkaian. Peranti terjejas boleh melihat data selepas pengguna berizin membuka kuncinya.

FileVault melindungi data cakera permulaan daripada beberapa bentuk akses luar talian. Ia tidak mengasingkan dua profil dalam akaun macOS yang sudah dibuka. Apple menerangkan perlindungan dan pemulihan dalam Melindungi data Mac dengan FileVault.

Akhir sekali, semak sama ada profil sendiri disegerakkan. Profil Safari boleh disegerakkan melalui iCloud apabila Safari diaktifkan bagi Akaun Apple sama, dan data Chrome boleh disimpan dalam Akaun Google. Jadi profil yang kelihatan setempat mungkin mempunyai sempadan awan yang perlu disemak pasukan.