Rozpoczęcie pracy z funkcją Password Management

Zarządzanie poświadczeniami w Syteca PAM

Funkcja Password Management (wraz z funkcją Account Discovery) stanowi integralny element funkcjonalności Privileged Access Management (PAM) w systemie Syteca. Umożliwia bezpieczne przechowywanie danych dostępowych do współdzielonych kont uprzywilejowanych w postaci poświadczeń (secrets), które są zapisywane w bazie danych w formie zaszyfrowanej, oraz pozwala wdrożyć kontrolę dostępu opartą na rolach. System obsługuje podejście JIT (Just-in-Time) w zarządzaniu dostępem uprzywilejowanym.

Spis treści

1. Konfigurowanie komputera Klienta

2. Dodawanie i konfigurowanie poświadczeń (secrets)

3. Korzystanie z poświadczeń

4. Podsumowanie wymaganych aplikacji zewnętrznych

1. Konfigurowanie komputera Klienta

Aby skonfigurować komputer z systemem Windows jako klienta z aktywowanym Syteca Connection Manager, wykonaj następujące kroki:

• Zaloguj się do Konsoli Zarządzania.

• Kliknij zakładkę Zarządzanie agentami monitorowania w menu nawigacyjnym po lewej stronie.

• W zakładce Zarządzanie agentami monitorowania znajdź komputer z systemem Windows, który będzie pełnił funkcję serwera pośredniczącego (jump server), i kliknij jego nazwę w kolumnie Nazwa agenta monitorowania.

• W zakładce Właściwości przewiń do sekcji Tryb agenta monitorowania i zaznacz następujące opcje:

  • Włącz tryb Jump Server – włącza Syteca Connection Manager na komputerze.

  • Zamień Windows Shell na Syteca Connection Manager – opcjonalnie uruchamia tylko okno Connection Managera zamiast pełnego pulpitu systemu Windows.

C:\Users\Public\Desktop

• W zakładce Opcje uwierzytelniania przewiń do sekcji Two-Factor Authentication (2FA) i dodatkowe uwierzytelnianie i zaznacz opcję:

  • Włącz dodatkowe uwierzytelnianie użytkownika podczas logowania – umożliwia użytkownikom komputera Klienta uzyskanie dostępu do poświadczeń.

• Kliknij przycisk Zakończ, aby zapisać konfigurację.

2. Dodawanie i konfigurowanie poświadczeń (secrets)

Poświadczenia kont uprzywilejowanych są przechowywane w tzw. tajnych danych (secrets).

Aby utworzyć i skonfigurować dowolny typ poświadczenia, które będzie służyć do zarządzania kontem uprzywilejowanym i uzyskiwania do niego dostępu, wykonaj poniższe kroki:

• Zaloguj się do Konsoli Zarządzania i kliknij „Zarządzanie poświadczeniami” w menu po lewej stronie.

• Na stronie „Zarządzanie poświadczeniami”, w zakładce „Poświadczenia”, kliknij przycisk Dodaj (w prawym górnym rogu strony).

• W oknie „Dodaj poświadczenie”, na karcie Właściwości, wprowadź następujące informacje:

  1. Nazwa poświadczenia: Unikalna nazwa.

  2. Typ poświadczenia: Wybierz typ (konto Active Directory / konto Windows / konto Unix (SSH) / konto Unix (Telnet) / konto Web / konto MS SQL).

  3. Opis: (opcjonalnie)

  4. Aktualny folder: Możesz zmienić folder, w którym poświadczenie zostanie zapisane (widok drzewa folderów).

• W sekcji Konto podaj szczegóły zdalnego konta, z którym użytkownicy będą się łączyć poprzez Syteca Connection Manager:

  1. W zależności od typu poświadczenia:

     1. Domena – nazwa domeny Active Directory

     2. Nazwa komputera – nazwa hosta lub adres IP

     3. URL – dla kont Web

     4. Serwer – adres hosta z bazą danych MS SQL (można dodać port, oddzielając przecinkiem)

  2. Login – nazwa użytkownika konta, do którego będzie dostęp

  3. Hasło – aktualne hasło do tego konta

  4. (Tylko dla typu konta Active Directory): Zaznacz pole Zezwól na połączenia tylko z wybranych komputerów, a następnie wskaż konkretne komputery.

Zakładka: Automatyzacja

(Dla poświadczeń typu: konto Active Directory, Windows, Unix (SSH) oraz MS SQL)

Jeśli chcesz korzystać z funkcji zdalnej rotacji haseł, wykonaj następujące kroki:

• Zaznacz pole Włącz zdalną rotację hasła, aby umożliwić automatyczną (lub ręczną) zmianę hasła konta oraz zapisanego poświadczenia.

• Wybierz częstotliwość rotacji hasła, zaznaczając opcję Rotuj hasło co i określając interwał czasowy.

Zakładka: Bezpieczeństwo

Na tej zakładce można aktywować nagrywanie aktywności użytkownika oraz skonfigurować funkcję wypożyczenia poświadczenia:

• Nagrywaj aktywność użytkownika podczas korzystania z poświadczenia – zaznacz, aby rejestrować działania użytkownika tylko wtedy, gdy jest połączony z kontem za pomocą Connection Managera.

• Wymaga wypożyczenia – zaznacz, aby tylko jeden użytkownik mógł w danym momencie korzystać z poświadczenia.

• Zmieniaj hasło po zwrocie – automatyczna zmiana hasła przy każdorazowym zwrocie (dotyczy AD, Windows, Unix SSH, MS SQL).

• Automatycznie zwróć poświadczenie po upływie: – umożliwia określenie limitu czasu, po którym następuje automatyczne wylogowanie użytkownika i zwrot poświadczenia.

• Wymuś zwrot (przycisk) – umożliwia ręczne, natychmiastowe odłączenie użytkownika.

Zakładka: Uprawnienia

Tutaj możesz przypisać użytkowników lub grupy użytkowników, którzy będą mieli dostęp do danego poświadczenia:

• Określ typ roli: Właściciel, Edytor, Użytkownik PAM.

• Możesz też nadać uprawnienia zaawansowane:

  • Przesyłanie plików – umożliwia korzystanie z WinSCP do transferu plików między komputerem lokalnym a hostem.

  • Wyświetl hasło – użytkownik może zobaczyć hasło w Connection Managerze.

  • Kopiuj hasło – użytkownik może skopiować hasło z poziomu Connection Managera.

Zakładka: Ograniczenia

Służy do ustalenia reguł kontroli dostępu:

• Dostęp bez ograniczeń – brak restrykcji.

• Zawsze wymagaj zatwierdzenia dostępu – każdorazowa próba użycia wymaga zgody.

• Zezwalaj na dostęp w godzinach pracy bez zatwierdzenia – określ dni, godziny i przedział dat, w których dostęp jest swobodny.

Dodatkowo:

• Użytkownicy mogący zatwierdzać dostęp: wskaż osoby uprawnione do akceptowania próśb.

• Właściciele i zatwierdzający również wymagają zgody – dodatkowa kontrola nad najważniejszymi użytkownikami.

Na końcu kliknij Zapisz, aby utworzyć poświadczenie.

Korzystanie z poświadczeń

Różne typy poświadczeń służą do uzyskiwania dostępu do różnych typów kont. Poniżej przedstawiono szczegóły dotyczące poszczególnych rodzajów poświadczeń:

Konta Active Directory

Poświadczenia typu konto Active Directory umożliwiają wybór komputera w domenie, do którego użytkownik chce się połączyć.

Instrukcja:

• Po wybraniu poświadczenia kliknij Połącz.

• W oknie, które się pojawi, wpisz nazwę komputera lub jego adres IP, a następnie kliknij ponownie Połącz.

System automatycznie loguje użytkownika do konta Active Directory.

Konta Windows

Poświadczenia typu konto Windows pozwalają na połączenie z kontami lokalnymi i domenowymi na wybranym komputerze.

Po kliknięciu Połącz użytkownik zostaje automatycznie zalogowany na wskazane konto Windows.

Konta Unix (SSH)

Poświadczenia typu konto Unix (SSH) umożliwiają połączenie użytkownika z kontem na systemie Unix/Linux przez SSH.

Po kliknięciu Połącz, system loguje użytkownika na konto Unix (SSH).

Konta Unix (Telnet)

Poświadczenia typu konto Unix (Telnet) umożliwiają połączenie z kontem na systemie Unix przy użyciu protokołu Telnet.

Działanie przebiega analogicznie jak w przypadku SSH — po kliknięciu Połącz, użytkownik zostaje zalogowany na konto.

Konta Web

Poświadczenia typu konto Web umożliwiają automatyczne logowanie do aplikacji internetowych.

Po kliknięciu Połącz, system automatycznie loguje użytkownika.

Konta MS SQL

Poświadczenia typu konto MS SQL umożliwiają bezpieczne logowanie do baz danych SQL Server.

Po kliknięciu Połącz, użytkownik zostaje automatycznie zalogowany do wskazanej bazy danych za pomocą SSMS.

4. Wymagane aplikacje zewnętrzne

Aby połączenia przy użyciu różnych typów poświadczeń działały poprawnie, na komputerze z Syteca Connection Managerem muszą być zainstalowane następujące aplikacje: