Password vault¶
Alias vo Vault spája krátky názov s povereniami účtu: aplikácie platformy naň odkazujú, aby otvorili reláciu bez toho, aby používateľ poznal heslo, a Vault môže toto heslo v jeho mene rotovať. Táto stránka pokrýva dva moduly, ktoré tieto aliasy spravujú: Password vault a Keeper vault.
To, čo ponúka modul Password vault, závisí od režimu Vault pre heslá nastaveného v general options. Naraz je aktívny len jeden režim:
| Režim | Kto uchováva tajný údaj a kto ho rotuje |
|---|---|
| Embedded | Samotná platforma. Rotáciu riadia password policies deklarované v konzole. |
| Systancia Access | Externý server Systancia Access. Rotácia je delegovaná na agentov Systancia Access nasadených na pracovných staniciach. |
| Keeper Security | Externý trezor Keeper, prehľadávaný modulom Keeper vault (časť Keeper vault). |
Alias zostáva viazaný na režim, v ktorom bol vytvorený
Po zmene režimu zostávajú aliasy vytvorené v predchádzajúcom režime viditeľné a možno ich odstrániť, ale už nie upravovať: upravovať ich možno len v režime, v ktorom boli vytvorené.
Password vault v režime „Embedded“¶
Konfigurácia prístupu k Vault¶
Tlačidlo Configuration na paneli s nástrojmi otvorí okno Safe access configuration. V režime Embedded slúži na presun ukladania tajných údajov do vzdialenej databázy v oddiele Remote database.
| Pole | Popis |
|---|---|
| Database type | Cieľový databázový stroj. Predvolene postgresql. |
| Server | Názov hostiteľa alebo adresa databázového servera. |
| Port | Načúvací port, od 0 do 65535. |
| Username / Password | Poverenia na pripojenie k databáze. |
| SSL usage | Režim SSL pripojenia. Predvolene verify-full. |
| Certificate authority (base64) | Súbor certifikačnej autority, ktorá podpísala certifikát servera; treba ho nahrať. |
| Site | Site, cez ktorý sa pripája k databázovému serveru. |
Pri zlyhaní sa v okne zobrazí oddiel Connection test s podrobnosťami o výsledku.
Zmena databázy: dve rozhodnutia
Nasmerovanie na inú databázu otvorí okno Database switch settings, ktoré ponúka Create the new database a Transfer existing data in the new database. Bez prenosu sa už deklarované aliasy nepresunú.
Pridanie aliasu¶
Tlačidlo + otvorí okno Add alias. Pole Type určuje zvyšok formulára.
| Spoločné pole | Popis |
|---|---|
| Alias | Povinné. Prevedie sa na malé písmená. Znaky @ , < & > " sa odmietajú. |
| Type | LDAP password (predvolene vybraté), SSH key alebo SSH password. |
| Domain | Doména účtu. Pre oba typy SSH zakázané. Špeciálne znaky sa odmietajú. |
| Username | Povinné. Názov cieľového účtu. Znak \ sa odmieta. |
| Password / Confirmation | Povinné, okrem typu SSH key. Obe hodnoty sa musia zhodovať. |
| Policy | V oddiele Password rotation: zásada rotácie použitá na tento alias. Povinné, predvolene DefaultPolicy. Pozrite Password policies. |
Predvolene vybratý typ. Žiadne ďalšie pole.
| Pole | Popis |
|---|---|
| SSH key | Súbor súkromného kľúča, ktorý sa má uložiť. Jeho obsah musí začínať reťazcom -----BEGIN ... PRIVATE KEY----- alebo byť vo formáte PuTTY (PuTTY-User-Key-File-). |
| Password | Prístupová fráza kľúča. Voliteľná, ak kľúč nie je zašifrovaný. |
| (aplikácie SSH) | Dva zoznamy s presúvaním myšou, dostupné a vybrané, naplnené už deklarovanými aplikáciami SSH. Ak žiadna nie je, zoznam zobrazí No SSH application. |
Dve podmienky, ktoré treba poznať
Aplikácie SSH musia byť vopred deklarované, aby sa tu zobrazili. Kľúč SSH navyše nie je kompatibilný so štandardnou aplikáciou SSH: jej výber spôsobí odmietnutie potvrdenia.
| Pole | Popis |
|---|---|
| (aplikácie SSH) | Rovnaké zoznamy s presúvaním myšou ako pri kľúči SSH. |
Úprava aliasu¶
Vyberte alias a kliknite na ikonu Properties alebo dvakrát kliknite na riadok: otvorí sa okno Edit alias. Pole Alias sa zmení na iba zobrazený text. Upravujú sa tu len aliasy vytvorené v režime Embedded.
Zobrazenie aktuálneho hesla¶
Tlačidlo Display current password načíta heslo uchovávané vo Vault.
| Situácia | Správanie |
|---|---|
| Zobrazovanie hesiel nie je vo všeobecných možnostiach povolené | Tlačidlo sa nezobrazí. |
| Alias nie je priradený k povolenej zásade | Tlačidlo je neaktívne. |
| Zatiaľ neprebehla žiadna rotácia | Správa uvádza, že heslo nie je známe. |
| Heslo je k dispozícii | Po potvrdení sa zobrazí vedľa tlačidla; ďalšie kliknutie ho skryje. |
Zobrazenie hesla spustí jeho rotáciu
Jeho zobrazenie spôsobí, že ho služba obnoví po uplynutí lehoty nastavenej vo všeobecných možnostiach – predvolene 30 minút. Preto sa vždy vyžaduje potvrdenie.
Odstránenie aliasu¶
Vyberte jeden alebo viac aliasov a kliknite na ×. Vyžaduje sa potvrdenie. V aplikáciách, ktoré sa na alias spoliehali, sa nastavenie SSO zmení z Fixed na Enabled.
Vynútenie obnovenia hesla¶
Vyberte jeden alebo viac aliasov priradených k povolenej zásade a potom kliknite na Force password renewal. Vyžaduje sa potvrdenie. Tlačidlo zostane neaktívne, ak niektorý z vybraných aliasov nemá povolenú zásadu.
Password vault v režime „Systancia Access“¶
Konfigurácia prístupu k Vault¶
Tlačidlo Configuration otvorí to isté okno Safe access configuration, ktoré tu obsahuje dva oddiely.
Systancia Access server settings
| Pole | Popis |
|---|---|
| Server | Názov hostiteľa alebo adresa servera Systancia Access. |
| Use SSL | Komunikácia cez HTTPS. Predvolene začiarknuté. |
| Port | Port služby. Predvolene 99. |
| Path | Cesta webovej služby. Predvolene /service.asmx. |
| Site | Site, cez ktorý sa pripája k serveru. Site bez komponentu Edge Gateway v stave online sa pri potvrdení odmietne. |
Default credentials
| Pole | Popis |
|---|---|
| Username / Password | Predvolené prístupové poverenia pre server Systancia Access. |
Zmena adresy servera vymaže aliasy
Zmena adresy servera po prvej konfigurácii vyžaduje potvrdenie: jej prijatie vymaže existujúce aliasy, ktoré odkazovali na predchádzajúci server.
Pridanie aliasu¶
Tlačidlo + otvorí okno Add alias. Zvyšok určujú dva prepínače: User vault alebo Shared vault, pričom predvolene je vybratý druhý.
| Spoločné pole | Popis |
|---|---|
| Alias | Povinné. Prevedie sa na malé písmená. Znaky @ , < & > " sa odmietajú. |
| Password / Confirmation | Heslo, ktoré sa má uložiť vo Vault. Obe hodnoty sa musia zhodovať. |
| Pole | Popis |
|---|---|
| Access Container | Kontajner Systancia Access, do ktorého sa má uložiť tajný údaj. |
| Application name | Názov služby, ktorá sa má vytvoriť v kontajneri. |
| Username | Názov cieľového účtu. Znaky @ a \ sa odmietajú. |
| Domain | Doména účtu. |
| Pole | Popis |
|---|---|
| Mode | Ponúka sa len jedna hodnota: Password rotation. |
| Access Container | Očakáva sa úplný DN kontajnera – napríklad CN=admaccess@T4.local,OU=Access,DC=access. Vo formulári to pripomína oranžové upozornenie. |
| Application name | Názov služby, ktorá sa má vytvoriť v kontajneri. |
| Username / Domain | Len na čítanie. Účet sa vyberá pomocou ikony Properties spomedzi managed accounts; doména a DN sa potom vyplnia samy. |
| Password / Confirmation | Zakázané, len čo vybraný spravovaný účet už prešiel rotáciou: jeho aktuálne heslo uchováva mechanizmus, nie je čo zadávať. |
Úprava aliasu¶
Vyberte alias a kliknite na ikonu Properties alebo dvakrát kliknite na riadok. Okno Edit alias ponúka rovnaké polia; Alias, výber Vault, Mode, Access Container a Username už nemožno zmeniť. Upravujú sa tu len aliasy vytvorené v režime Systancia Access.
Odstránenie aliasu¶
Vyberte jeden alebo viac aliasov a kliknite na ×. Vyžaduje sa potvrdenie. V aplikáciách, ktoré sa na alias spoliehali, sa nastavenie SSO zmení z Fixed na Enabled.
Vynútenie obnovenia hesla¶
Vyberte jeden alebo viac aliasov a kliknite na Force password renewal. Vyžaduje sa potvrdenie. Tlačidlo je aktívne, len ak sú vybrané aliasy priradené k povolenej zásade rotácie.
Keeper vault¶
Modul Keeper vault prehľadáva strom priečinkov Keeper a zobrazuje aliasy, ktoré obsahujú. Slúži len na nahliadnutie: vytváranie, úpravy a odstraňovanie prebiehajú na strane Keeper.
Konfigurácia prístupu¶
Tlačidlo Configuration na paneli s nástrojmi vyžaduje jedinú položku.
| Pole | Popis |
|---|---|
| Access token | Povinné. Token API Keeper, ktorý umožňuje čítať priečinky a záznamy. |
Token odmietnutý službou Keeper vedie k jasnému chybovému hláseniu.
Prezeranie aliasov¶
Po prijatí konfigurácie sa obrazovka rozdelí na dva panely: vľavo strom priečinkov načítaný z Keeper s tlačidlom obnovenia v päte; vpravo zoznam aliasov vybraného priečinka so stĺpcami Alias, Type a Description a s poľom vyhľadávania, ktoré filtruje aktuálny priečinok.