Mij lijkt het evident en logisch om te weigeren, alleen al uit securityoverwegingen.
Wie weet wat doet hij in jouw naam of aan wie geeft hij dit door?
Een KMO zeker?
We zijn 2023, met al die hacking en phising, redelijk triestig dat die vraag nog wordt gesteld.
't Zou bij mij toch ook gene waar zijn hoor.
Ze hebben mij dit nog gevraagd bij klanten waar ik een eigen persoonlijk account had (& waar ik dus ook on-site zat). En ondanks dat er collega's waren die dat wel deden, of zelfs applicaties draaiden op servers met hun personal credentials, is het bij mij nooit gene waar geweest.
Zelfs al duurde de aanvraag voor service app credentials een eeuwigheid, met een projectverantwoordelijke die zaagt dat die applicatie LIVE moet, etc.
't Ging niet LIVE met mijn AD credentials.
Je geeft ze niet enkel een of andere mailbox eh. Je geeft daarmee (in de meeste gevallen) uw (Azure) AD credentials. Da's dus véééééél meer dan enkel een paswoord voor een of andere mailbox.
Da's 't wachtwoord van uwe Windows, 't wachtwoord op vele servers als die aan dezelfde AD hangen, 't wachtwoord basically overal in 't netwerk & related apps waar je via uw AzAD account inlogt. En in de meeste gevallen zullen dat vrij veel applicaties zijn als je een bedrijf hebt dat zoveel mogelijk Single Sign-On probeert te voorzien.
Hoe meer permissions je zelf hebt, hoe erger het wordt.
---------
1 uitzondering die ik wel al heb geweten is dat men bij klanten wil dat we persoonlijke accounts hebben voor elke medewerker (ipv een account voor heel 't bedrijf, dus wij als leverancier, zoals dat vroeger eerder gebeurde). Maar dat men dan ambetant doet als blijkt dat er dan ook licenties e.d. voorzien moeten worden voor elke medewerker individueel.
Dus bij gevolg worden er dan weer accounts gedeeld, al zeker als het een tijdelijke versterking v/d wacht is, voor pakweg een week of paar weken. Da's natuurlijk een merde, want MFA die mails stuurt naar bepaalde mensen hun authenticator op hunne GSM natuurlijk.
Nu ... da's stoem & 't staat mij niet aan ... maar dat zijn accounts waar je verder ook gewoon niets mee doet (buiten de apps waar wij verantwoordelijk voor zijn) & waar er pretty much een 'paper trail' is dat die mens z'n account bij die klant is doorgegeven.
Dus als ik onder iemands anders naam even den boel om zeep krijg ben ik gejost & niet zo zeer die mens onder wiens account ik inlogde.
Still ... 't is nog altijd iets dat mij niet aan staat, maar 't is een gevolg van noodzaak wegens klanten die 't ni correct doen.
.
het is idd niet makkelijk maar voor je eigen goed.
Dit is zo een grote rode security vlag het is niet normaal. In welk tijdperk leven die? 2000?
