Password policies¶
Modul Password policies definuje pravidla používaná pro automatickou rotaci hesel ve Vault. Každá zásada soustřeďuje schéma generování, interval obnovy, seznam povolených speciálních znaků a v závislosti na režimu seznam cílových účtů nebo aliasů.
Obsah formulářů závisí na režimu Vault zvoleném v globálních možnostech. Výběr režimu viz Password vault.
Společné principy¶
Hlavní tabulka uvádí existující zásady. Ikona na začátku každého řádku vizuálně ukazuje, zda je zásada povolena (zelená), či nikoli. V režimu „Systancia Access“ zobrazují dva další sloupce typ zásady (místní / služby) a její verzi.
Maska hesla¶
Maska je posloupnost znaků, která pro každou pozici určuje množinu hodnot, z níž služba náhodně vybere znak.
| Znak | Odpovídající množina |
|---|---|
O |
Všechny číslice (0-9) a velká písmena |
P |
Velká písmena od G do Z |
N |
Všechny číslice (0-9) |
L |
Všechna malá písmena (a až z) |
U |
Všechna velká písmena (A až Z) |
A |
Alfanumerické znaky |
S |
Všechny speciální symboly |
I |
Všechna malá a velká písmena |
X |
Všechny alfanumerické znaky a speciální symboly |
Příklad: pro masku LLUN je možným vygenerovaným heslem pnR5.
Pevná maska
Maska ve tvaru FIXED:<value> je přijata a vždy vytvoří stejnou hodnotu. Znaky <, > a & jsou uvnitř pevné hodnoty zakázány.
Výchozí zásady — režim „embedded“¶
Při vytvoření tenantu se vytvoří dvě zásady, které nelze odstranit:
| Zásada | Role |
|---|---|
| DefaultPolicy | Hlavní výchozí zásada, zpočátku bez rotace a bez aliasů. Lze ji libovolně upravovat. Právě k ní se nové aliasy ve výchozím nastavení připojují. |
| NorotationPolicy | Zásada bez rotace: pole Password mask, Renewal period, Special characters a Enable the policy jsou zakázána. Nelze ji upravit tak, aby rotaci povolila. |
Ochrana výchozích zásad
Zásady DefaultPolicy, DefaultComputerPolicy a NorotationPolicy nelze odstranit. Tlačítko odstranění se zakáže, jakmile je některá z nich ve výběru. Pokud se odstraní jiná zásada, aliasy, které k ní byly připojeny, se automaticky přeřadí k DefaultPolicy.
Přidání zásady — režim „Systancia Access“¶
Klikněte na tlačítko + na panelu nástrojů. Povinná pole: Name, Password mask, Renewal period, Inactivity period of computers.
| Pole | Popis |
|---|---|
| Name | Název zásady. |
| Password mask | Viz tabulka znaků výše. |
| Renewal period (days) | Počet dní mezi dvěma rotacemi. |
| Special characters | Seznam speciálních znaků povolených při generování. |
| Related accounts | Seznam účtů, na které se zásada vztahuje. |
| Excluded accounts | Seznam vyloučených účtů. Cílem je pak každý účet, který v seznamu není. Současně lze vyplnit pouze jeden z obou filtrů. |
| Enable the policy | Povolí nebo zakáže zásadu. U výchozích zásad zakázáno. |
| Enable accounts discovery | Aktivuje automatické zjišťování účtů (vyhrazeno pro zásady místních účtů). |
| Local account policy / Service account policy | Výlučná volba; výběr jedné možnosti automaticky zakáže druhou. |
| Inactivity period of computers (days) | Počet dní, po kterých se nepoužívaný počítač ze zásady vyloučí. Hodnota 0 jej nevyloučí nikdy. Platí pouze pro zásady místních účtů. |
| Advanced settings | Tři možnosti dostupné pro zásady místních účtů: Services management, Auto enabling of services for password rotation, Scheduled tasks management. Automatické povolení lze použít, pouze pokud jsou zaškrtnuty obě zbývající možnosti. |
Syntaxe filtrů účtů¶
Jeden nebo více filtrů lze spojit čárkou a vytvořit tak seznam Related accounts nebo Excluded accounts.
| Syntaxe | Účinek |
|---|---|
prefix* |
Vybere účty začínající na prefix. |
*suffix |
Vybere účty končící na suffix. |
full_name |
Vybere účty s přesně tímto názvem. |
Předběžné podmínky¶
Aby bylo možné aktivovat stránku Password policies v režimu „Systancia Access“:
- konfigurace přístupu k Vault musí být úspěšně dokončena — viz Password vault;
- musí být k dispozici server Systancia Access ve verzi 10.0.0.7 nebo novější.
Přidání zásady — režim „embedded“¶
Klikněte na tlačítko + na panelu nástrojů. Povinná pole: Name, Password mask, Renewal period.
| Pole | Popis |
|---|---|
| Name | Název zásady. |
| Password mask | Viz tabulka znaků. U NorotationPolicy zakázáno. |
| Renewal period (days) | Počet dní mezi dvěma rotacemi. |
| Special characters | Seznam povolených speciálních znaků. |
| Enable the policy | Povolí nebo zakáže zásadu. Ve výchozím nastavení zaškrtnuto. |
| Key type | Pro aliasy používající klíč SSH: volba mezi RSA a ECDSA. |
| ECDSA curve | NIST P-256, NIST P-384 nebo NIST P-521. Zobrazí se, když je typ klíče ECDSA. |
| RSA key size | Číselná hodnota od 2048 do 16384. Zobrazí se, když je typ klíče RSA. |
| Operations through a site | Pokud je zaškrtnuto, operace rotace se směrují přes site vybraný v seznamu. |
Dvousloupcový seznam s přetahováním (dostupné / vybrané) umožňuje přidružit k zásadě aliasy. Každá tabulka má pole hledání a tlačítko Select all.
Přidružení aliasu k zásadě
Alias lze přidružit pouze k jedné zásadě. Vybrané aliasy se při potvrzení automaticky oddělí od své dřívější zásady. Alias oddělený bez připojení k jiné zásadě se přesune zpět pod DefaultPolicy.
Výběr site
Zaškrtávací políčko Operations through a site je zaškrtnuté a skryté: výběr site je proto povinný.
Úprava zásady¶
Vyberte zásadu v seznamu a klikněte na tlačítko úprav nebo na řádek dvakrát klikněte. Okno úprav používá pole formuláře pro přidání odpovídající aktivnímu režimu. Po vytvoření zásady je pole Name pouze pro čtení.
Odstranění zásady¶
Vyberte jednu nebo více zásad a klikněte na tlačítko ×. Vyžaduje se potvrzení. Výchozí zásady jsou chráněné a nelze je odstranit. V režimu „embedded“ se aliasy připojené k odstraněné zásadě automaticky přesunou zpět pod DefaultPolicy.