Към съдържанието

Password policies

Модулът Password policies определя правилата, прилагани при автоматичната ротация на паролите в модула Vault. Всяка политика обединява схема за генериране, период на подновяване, списък с разрешени специални знаци и, в зависимост от режима, списъка с целеви акаунти или псевдоними.

Съдържанието на формулярите зависи от режима Vault, избран в глобалните опции. Вижте Password vault относно избора на режим.

Общи принципи

Основната таблица изброява съществуващите политики. Икона в началото на всеки ред показва визуално дали политиката е активирана (зелена), или не. В режим „Systancia Access“ две допълнителни колони показват типа на политиката (локална / за услуга) и нейната версия.

Маска на паролата

Маската е поредица от знаци, която указва за всяка позиция набора от стойности, от който услугата избира произволно знак.

Знак Съответен набор
O Всички цифри (0-9) и главни букви
P Главни букви от G до Z
N Всички цифри (0-9)
L Всички малки букви (от a до z)
U Всички главни букви (от A до Z)
A Буквено-цифрови знаци
S Всички специални символи
I Всички малки и главни букви
X Всички буквено-цифрови знаци и специални символи

Пример: за маска LLUN възможна генерирана парола е pnR5.

Фиксирана маска

Приема се маска във формата FIXED:<value>, която винаги дава една и съща стойност. Знаците <, > и & са забранени във фиксираната стойност.

Политики по подразбиране — режим „embedded“

При създаването на тенанта се създават две политики, които не могат да бъдат изтрити:

Политика Роля
DefaultPolicy Основна политика по подразбиране, първоначално без ротация и без псевдоними. Може да се редактира свободно. Към нея по подразбиране се прикачват новите псевдоними.
NorotationPolicy Политика без ротация: полетата Password mask, Renewal period, Special characters и Enable the policy са деактивирани. Не може да бъде променена, за да се активира ротация.

Защита на политиките по подразбиране

Политиките DefaultPolicy, DefaultComputerPolicy и NorotationPolicy не могат да бъдат изтрити. Бутонът за изтриване се деактивира, щом някоя от тях попадне в избраните. Ако бъде изтрита друга политика, псевдонимите, които са били прикачени към нея, автоматично се преназначават към DefaultPolicy.

Добавяне на политика — режим „Systancia Access“

Щракнете върху бутона + в лентата с инструменти. Задължителни полета: Name, Password mask, Renewal period, Inactivity period of computers.

Поле Описание
Name Име на политиката.
Password mask Вижте таблицата със знаци по-горе.
Renewal period (days) Брой дни между две ротации.
Special characters Списък на специалните знаци, разрешени при генерирането.
Related accounts Списък на акаунтите, за които се прилага политиката.
Excluded accounts Списък на изключените акаунти. В този случай се обхваща всеки акаунт, който не е в списъка. Едновременно може да се попълни само един от двата филтъра.
Enable the policy Активира или деактивира политиката. Деактивирано за политиките по подразбиране.
Enable accounts discovery Активира автоматичното откриване на акаунти (запазено за политиките за локални акаунти).
Local account policy / Service account policy Взаимно изключващ се избор; изборът на едното автоматично деактивира другото.
Inactivity period of computers (days) Брой дни, след които неизползван компютър се изключва от политиката. Стойността 0 никога не го изключва. Прилага се само за политиките за локални акаунти.
Advanced settings Три опции, налични за политиките за локални акаунти: Services management, Auto enabling of services for password rotation, Scheduled tasks management. Автоматичното активиране може да се използва само когато другите две са отметнати.

Синтаксис на филтрите за акаунти

Един или няколко филтъра могат да се комбинират със запетая, за да се състави списък Related accounts или Excluded accounts.

Синтаксис Ефект
prefix* Избира акаунтите, които започват с prefix.
*suffix Избира акаунтите, които завършват на suffix.
full_name Избира акаунтите с точно това име.

Предварителни условия

За да активирате страницата Password policies в режим „Systancia Access“:

  • конфигурацията на достъпа до модула Vault трябва да е завършена успешно — вижте Password vault;
  • трябва да е наличен сървър Systancia Access с версия 10.0.0.7 или по-нова.

Добавяне на политика — режим „embedded“

Щракнете върху бутона + в лентата с инструменти. Задължителни полета: Name, Password mask, Renewal period.

Поле Описание
Name Име на политиката.
Password mask Вижте таблицата със знаци. Деактивирано за NorotationPolicy.
Renewal period (days) Брой дни между две ротации.
Special characters Списък на разрешените специални знаци.
Enable the policy Активира или деактивира политиката. Отметнато по подразбиране.
Key type За псевдоними, използващи SSH ключ: избор между RSA и ECDSA.
ECDSA curve NIST P-256, NIST P-384 или NIST P-521. Показва се, когато типът на ключа е ECDSA.
RSA key size Числова стойност между 2048 и 16384. Показва се, когато типът на ключа е RSA.
Operations through a site Ако е отметнато, операциите по ротация се маршрутизират през сайт, избран от списъка.

Списък с две колони и плъзгане и пускане (налични / избрани) позволява да свържете псевдоними с политиката. Всяка таблица има поле за търсене и бутон Select all.

Връзка псевдоним / политика

Псевдонимът може да бъде свързан само с една политика. При потвърждаването избраните псевдоними автоматично се откачат от предишната си политика. Псевдоним, откачен, без да бъде прикачен към друга политика, се връща към DefaultPolicy.

Избор на сайт

Квадратчето за отметка Operations through a site е отметнато и скрито: следователно изборът на сайт е задължителен.

Редактиране на политика

Изберете политиката в списъка и щракнете върху бутона за редактиране или щракнете двукратно върху реда. Прозорецът за редактиране използва полетата от формуляра за добавяне, съответстващи на активния режим. Полето Name е само за четене, след като политиката бъде създадена.

Изтриване на политика

Изберете една или няколко политики и щракнете върху бутона ×. Изисква се потвърждение. Политиките по подразбиране са защитени и не могат да бъдат изтрити. В режим „embedded“ псевдонимите, прикачени към изтрита политика, автоматично се връщат към DefaultPolicy.