Password vault¶
Псевдонимът в модула Vault свързва кратко име с идентификационните данни на акаунт: приложенията на платформата се позовават на него, за да отворят сесия, без потребителят да знае паролата, а модулът Vault може да извършва ротация на тази парола от негово име. Тази страница обхваща двата модула, които управляват тези псевдоними: Password vault и Keeper vault.
Какво предлага модулът Password vault, зависи от режима Vault за пароли, зададен в general options. Едновременно е активен само един режим:
| Режим | Кой съхранява тайния ключ и кой извършва ротацията му |
|---|---|
| Embedded | Самата платформа. Ротацията се управлява от password policies, декларирани в конзолата. |
| Systancia Access | Външен сървър Systancia Access. Ротацията е делегирана на агентите Systancia Access, внедрени на работните станции. |
| Keeper Security | Външен сейф Keeper, преглеждан чрез модула Keeper vault (част Keeper vault). |
Псевдонимът остава свързан с режима, в който е създаден
След смяна на режима псевдонимите, създадени в предишния режим, остават видими и могат да бъдат изтрити, но вече не могат да бъдат редактирани: редактирането им е възможно само в режима, в който са създадени.
Password vault в режим „Embedded“¶
Конфигурация на достъпа до модула Vault¶
Бутонът Configuration в лентата с инструменти отваря прозореца Safe access configuration. В режим Embedded той служи за преместване на съхранението на тайните ключове в отдалечена база данни, в рамката Remote database.
| Поле | Описание |
|---|---|
| Database type | Целеви механизъм на базата данни. postgresql по подразбиране. |
| Server | Име на хост или адрес на сървъра на базата данни. |
| Port | Порт за слушане, между 0 и 65535. |
| Username / Password | Идентификационни данни за свързване с базата данни. |
| SSL usage | Режим SSL на връзката. verify-full по подразбиране. |
| Certificate authority (base64) | Файл на сертифициращия орган, подписал сертификата на сървъра, който трябва да се качи. |
| Site | Сайт, използван за достъп до сървъра на базата данни. |
При неуспех в прозореца се появява рамка Connection test, която описва подробно резултата.
Смяна на базата данни: две решения, които трябва да вземете
Посочването на друга база данни отваря прозореца Database switch settings, който предлага Create the new database и Transfer existing data in the new database. Без прехвърлянето вече декларираните псевдоними не се пренасят.
Добавяне на псевдоним¶
Бутонът + отваря прозореца Add alias. Полето Type определя останалата част от формуляра.
| Общо поле | Описание |
|---|---|
| Alias | Задължително. Преобразува се в малки букви. Знаците @ , < & > " се отхвърлят. |
| Type | LDAP password (избрано по подразбиране), SSH key или SSH password. |
| Domain | Домейн на акаунта. Деактивирано за двата типа SSH. Специалните знаци се отхвърлят. |
| Username | Задължително. Име на целевия акаунт. Знакът \ се отхвърля. |
| Password / Confirmation | Задължителни, освен за типа SSH key. Двете стойности трябва да съвпадат. |
| Policy | В рамката Password rotation: политика за ротация, приложена към този псевдоним. Задължително, DefaultPolicy по подразбиране. Вижте Password policies. |
Тип, избран по подразбиране. Няма допълнително поле.
| Поле | Описание |
|---|---|
| SSH key | Файл на частния ключ, който трябва да се съхрани. Съдържанието му трябва да започва с -----BEGIN ... PRIVATE KEY----- или да е във формат PuTTY (PuTTY-User-Key-File-). |
| Password | Парола фраза на ключа. Незадължително, ако ключът не е шифрован. |
| (SSH приложения) | Два списъка с плъзгане и пускане, налични и избрани, захранвани от вече декларираните SSH приложения. Когато няма такива, списъкът показва No SSH application. |
Две условия, които трябва да знаете
SSH приложенията трябва да са декларирани предварително, за да се появят тук. Освен това SSH ключът не е съвместим със стандартно SSH приложение: изборът на такова води до отказ при потвърждаването.
| Поле | Описание |
|---|---|
| (SSH приложения) | Същите списъци с плъзгане и пускане като за SSH ключа. |
Редактиране на псевдоним¶
Изберете псевдонима и щракнете върху иконата Properties или щракнете двукратно върху реда: отваря се прозорецът Edit alias. Полето Alias става обикновен показван текст. Тук се редактират само псевдонимите, създадени в режим Embedded.
Показване на текущата парола¶
Бутонът Display current password извлича паролата, съхранявана в модула Vault.
| Ситуация | Поведение |
|---|---|
| Показването на пароли е забранено в общите опции | Бутонът не се показва. |
| Псевдонимът не е свързан с активирана политика | Бутонът е неактивен. |
| Все още не е извършена ротация | Съобщение уведомява, че паролата е неизвестна. |
| Налична е парола | След потвърждение тя се показва до бутона; повторно щракване я скрива. |
Показването на паролата задейства нейната ротация
Показването ѝ кара услугата да я поднови, след като изтече зададеното в общите опции закъснение — 30 минути по подразбиране. Затова винаги се изисква потвърждение.
Изтриване на псевдоним¶
Изберете един или няколко псевдонима и щракнете върху ×. Изисква се потвърждение. При приложенията, които са разчитали на псевдонима, настройката за SSO се променя от Fixed на Enabled.
Принудително подновяване на паролата¶
Изберете един или няколко псевдонима, свързани с активирана политика, след което щракнете върху Force password renewal. Изисква се потвърждение. Бутонът остава неактивен, ако някой от избраните псевдоними няма активирана политика.
Password vault в режим „Systancia Access“¶
Конфигурация на достъпа до модула Vault¶
Бутонът Configuration отваря същия прозорец Safe access configuration, който тук съдържа две рамки.
Systancia Access server settings
| Поле | Описание |
|---|---|
| Server | Име на хост или адрес на сървъра Systancia Access. |
| Use SSL | Комуникация през HTTPS. Отметнато по подразбиране. |
| Port | Порт на услугата. 99 по подразбиране. |
| Path | Път на уеб услугата. /service.asmx по подразбиране. |
| Site | Сайт, използван за достъп до сървъра. Сайт без компонент Edge Gateway в състояние онлайн се отхвърля при потвърждаването. |
Default credentials
| Поле | Описание |
|---|---|
| Username / Password | Идентификационни данни по подразбиране за достъп до сървъра Systancia Access. |
Промяната на адреса на сървъра изчиства псевдонимите
Промяната на адреса на сървъра след първоначалната конфигурация изисква потвърждение: приемането изчиства съществуващите псевдоними, които са сочели към предишния сървър.
Добавяне на псевдоним¶
Бутонът + отваря прозореца Add alias. Останалото се определя от два бутона за избор: User vault или Shared vault, като вторият е избран по подразбиране.
| Общо поле | Описание |
|---|---|
| Alias | Задължително. Преобразува се в малки букви. Знаците @ , < & > " се отхвърлят. |
| Password / Confirmation | Парола, която да се съхрани в сейфа. Двете стойности трябва да съвпадат. |
| Поле | Описание |
|---|---|
| Access Container | Контейнер на Systancia Access, в който да се съхрани тайният ключ. |
| Application name | Име на услугата, която да се създаде в контейнера. |
| Username | Име на целевия акаунт. Знаците @ и \ се отхвърлят. |
| Domain | Домейн на акаунта. |
| Поле | Описание |
|---|---|
| Mode | Предлага се само една стойност: Password rotation. |
| Access Container | Очаква се пълното DN на контейнера — например CN=admaccess@T4.local,OU=Access,DC=access. Оранжево предупреждение напомня за това във формуляра. |
| Application name | Име на услугата, която да се създаде в контейнера. |
| Username / Domain | Само за четене. Акаунтът се избира чрез иконата Properties измежду managed accounts; след това домейнът и DN се попълват автоматично. |
| Password / Confirmation | Деактивирани, щом избраният управляван акаунт вече е преминал през ротация: текущата му парола се съхранява от механизма и няма какво повече да се въвежда. |
Редактиране на псевдоним¶
Изберете псевдонима и щракнете върху иконата Properties или щракнете двукратно върху реда. Прозорецът Edit alias предлага същите полета; Alias, изборът на сейф, Mode, Access Container и Username вече не могат да се променят. Тук се редактират само псевдонимите, създадени в режим Systancia Access.
Изтриване на псевдоним¶
Изберете един или няколко псевдонима и щракнете върху ×. Изисква се потвърждение. При приложенията, които са разчитали на псевдонима, настройката за SSO се променя от Fixed на Enabled.
Принудително подновяване на паролата¶
Изберете един или няколко псевдонима и щракнете върху Force password renewal. Изисква се потвърждение. Бутонът е активен само ако избраните псевдоними са свързани с активирана политика за ротация.
Keeper vault¶
Модулът Keeper vault преглежда дърво от папки на Keeper и показва съдържащите се в тях псевдоними. Той служи само за преглед: създаването, редактирането и изтриването се извършват от страна на Keeper.
Конфигуриране на достъпа¶
Бутонът Configuration в лентата с инструменти изисква само един елемент.
| Поле | Описание |
|---|---|
| Access token | Задължително. API маркер на Keeper, който позволява четене на папките и записите. |
Маркер, отхвърлен от Keeper, води до изрично съобщение за грешка.
Преглед на псевдонимите¶
След като конфигурацията бъде приета, екранът се разделя на два панела: вляво дървото на папките, заредено от Keeper, с бутон за опресняване в долната част; вдясно списъкът с псевдоними на избраната папка с колоните Alias, Type и Description и поле за търсене, което филтрира текущата папка.