Přeskočit obsah

Password vault

Alias ve Vault spojuje krátký název s přihlašovacími údaji účtu: aplikace platformy na něj odkazují, aby otevřely relaci, aniž by uživatel znal heslo, a Vault může toto heslo za něj rotovat. Tato stránka se zabývá dvěma moduly, které tyto aliasy spravují: Password vault a Keeper vault.

Co modul Password vault nabízí, závisí na režimu Vault pro hesla nastaveném v general options. Současně je aktivní pouze jeden režim:

Režim Kdo uchovává tajný údaj a kdo ho rotuje
Embedded Samotná platforma. Rotaci řídí password policies deklarované v konzole.
Systancia Access Externí server Systancia Access. Rotace je delegována na agenty Systancia Access nasazené na pracovních stanicích.
Keeper Security Externí Keeper vault, procházený modulem Keeper vault (sekce Keeper vault).

Alias zůstává vázán na režim, ve kterém byl vytvořen

Po změně režimu zůstávají aliasy vytvořené v předchozím režimu viditelné a lze je odstranit, ale už ne upravit: upravovat je lze pouze v režimu, ve kterém byly vytvořeny.

Password vault v režimu „Embedded“

Konfigurace přístupu k Vault

Tlačítko Configuration na panelu nástrojů otevře okno Safe access configuration. V režimu Embedded slouží k přesunutí ukládání tajných údajů do vzdálené databáze, v oddílu Remote database.

Pole Popis
Database type Cílový databázový stroj. Ve výchozím nastavení postgresql.
Server Název hostitele nebo adresa databázového serveru.
Port Naslouchací port, od 0 do 65535.
Username / Password Přihlašovací údaje pro připojení k databázi.
SSL usage Režim SSL připojení. Ve výchozím nastavení verify-full.
Certificate authority (base64) Soubor certifikační autority, která podepsala certifikát serveru; je třeba jej nahrát.
Site Site používaný k dosažení databázového serveru.

Při selhání se v okně zobrazí oddíl Connection test, který podrobně popisuje výsledek.

Přepnutí databáze: dvě rozhodnutí

Nasměrování na jinou databázi otevře okno Database switch settings, které nabízí Create the new database a Transfer existing data in the new database. Bez přenosu se již deklarované aliasy nepřenesou.

Přidání aliasu

Tlačítko + otevře okno Add alias. Pole Type určuje zbytek formuláře.

Společné pole Popis
Alias Povinné. Převádí se na malá písmena. Znaky @ , < & > " jsou odmítnuty.
Type LDAP password (ve výchozím nastavení vybráno), SSH key nebo SSH password.
Domain Doména účtu. U obou typů SSH zakázáno. Speciální znaky jsou odmítnuty.
Username Povinné. Název cílového účtu. Znak \ je odmítnut.
Password / Confirmation Povinné, kromě typu SSH key. Obě hodnoty se musí shodovat.
Policy V oddílu Password rotation: zásada rotace použitá na tento alias. Povinné, ve výchozím nastavení DefaultPolicy. Viz Password policies.

Typ vybraný ve výchozím nastavení. Žádné další pole.

Pole Popis
SSH key Soubor privátního klíče k uložení. Jeho obsah musí začínat -----BEGIN ... PRIVATE KEY----- nebo být ve formátu PuTTY (PuTTY-User-Key-File-).
Password Přístupové heslo klíče. Volitelné, pokud klíč není zašifrovaný.
(aplikace SSH) Dva seznamy s přetahováním, dostupné a vybrané, naplněné již deklarovanými aplikacemi SSH. Pokud žádná neexistuje, seznam zobrazí No SSH application.

Dvě podmínky, o kterých je třeba vědět

Aby se zde aplikace SSH zobrazily, musí být předem deklarovány. A klíč SSH není kompatibilní se standardní aplikací SSH: její výběr způsobí odmítnutí potvrzení.

Pole Popis
(aplikace SSH) Stejné seznamy s přetahováním jako u klíče SSH.

Úprava aliasu

Vyberte alias a klikněte na ikonu Properties nebo na řádek dvakrát klikněte: otevře se okno Edit alias. Pole Alias se změní na prostý zobrazený text. Upravují se zde pouze aliasy vytvořené v režimu Embedded.

Zobrazení aktuálního hesla

Tlačítko Display current password načte heslo uložené ve Vault.

Situace Chování
Zobrazování hesel je v obecných možnostech nepovoleno Tlačítko se nezobrazí.
Alias není přidružen k povolené zásadě Tlačítko je neaktivní.
Zatím neproběhla žádná rotace Zpráva oznámí, že heslo není známo.
Heslo je k dispozici Po potvrzení se zobrazí vedle tlačítka; dalším kliknutím se skryje.

Zobrazení hesla spustí jeho rotaci

Zobrazení způsobí, že jej služba obnoví po uplynutí lhůty nastavené v obecných možnostech — ve výchozím nastavení 30 minut. Proto se vždy vyžaduje potvrzení.

Odstranění aliasu

Vyberte jeden nebo více aliasů a klikněte na ×. Vyžaduje se potvrzení. U aplikací, které na alias spoléhaly, se nastavení SSO změní z Fixed na Enabled.

Vynucení obnovení hesla

Vyberte jeden nebo více aliasů přidružených k povolené zásadě a poté klikněte na Force password renewal. Vyžaduje se potvrzení. Tlačítko zůstane neaktivní, pokud některý z vybraných aliasů nemá povolenou zásadu.

Password vault v režimu „Systancia Access“

Konfigurace přístupu k Vault

Tlačítko Configuration otevře stejné okno Safe access configuration, které zde obsahuje dva oddíly.

Systancia Access server settings

Pole Popis
Server Název hostitele nebo adresa serveru Systancia Access.
Use SSL Komunikace přes HTTPS. Ve výchozím nastavení zaškrtnuto.
Port Port služby. Ve výchozím nastavení 99.
Path Cesta k webové službě. Ve výchozím nastavení /service.asmx.
Site Site používaný k dosažení serveru. Site bez komponenty Edge Gateway ve stavu online je při potvrzení odmítnut.

Default credentials

Pole Popis
Username / Password Výchozí přihlašovací údaje pro přístup k serveru Systancia Access.

Změna adresy serveru odstraní aliasy

Změna adresy serveru po první konfiguraci vyžaduje potvrzení: jeho přijetím se odstraní existující aliasy, které odkazovaly na dřívější server.

Přidání aliasu

Tlačítko + otevře okno Add alias. Zbytek určují dva přepínače: User vault nebo Shared vault, přičemž druhý je vybrán ve výchozím nastavení.

Společné pole Popis
Alias Povinné. Převádí se na malá písmena. Znaky @ , < & > " jsou odmítnuty.
Password / Confirmation Heslo k uložení ve Vault. Obě hodnoty se musí shodovat.
Pole Popis
Access Container Kontejner Systancia Access, do kterého se tajný údaj uloží.
Application name Název služby, která se má v kontejneru vytvořit.
Username Název cílového účtu. Znaky @ a \ jsou odmítnuty.
Domain Doména účtu.
Pole Popis
Mode Nabízí se pouze jedna hodnota: Password rotation.
Access Container Očekává se úplný DN kontejneru — například CN=admaccess@T4.local,OU=Access,DC=access. Oranžové upozornění na to ve formuláři připomíná.
Application name Název služby, která se má v kontejneru vytvořit.
Username / Domain Pouze pro čtení. Účet se vybírá pomocí ikony Properties ze seznamu managed accounts; doména a DN se pak vyplní samy.
Password / Confirmation Zakázáno, jakmile u vybraného spravovaného účtu již proběhla rotace: jeho aktuální heslo uchovává mechanismus, není co zadávat.

Úprava aliasu

Vyberte alias a klikněte na ikonu Properties nebo na řádek dvakrát klikněte. Okno Edit alias nabízí stejná pole; Alias, volbu Vault, Mode, Access Container a Username již nelze změnit. Upravují se zde pouze aliasy vytvořené v režimu Systancia Access.

Odstranění aliasu

Vyberte jeden nebo více aliasů a klikněte na ×. Vyžaduje se potvrzení. U aplikací, které na alias spoléhaly, se nastavení SSO změní z Fixed na Enabled.

Vynucení obnovení hesla

Vyberte jeden nebo více aliasů a klikněte na Force password renewal. Vyžaduje se potvrzení. Tlačítko je aktivní pouze tehdy, když jsou vybrané aliasy přidruženy k povolené zásadě rotace.

Keeper vault

Modul Keeper vault prochází strom složek Keeper a zobrazuje aliasy, které obsahují. Slouží pouze k nahlížení: vytváření, úpravy a odstraňování probíhají na straně Keeper.

Konfigurace přístupu

Tlačítko Configuration na panelu nástrojů požaduje jedinou položku.

Pole Popis
Access token Povinné. Token API Keeper, který umožňuje číst složky a záznamy.

Token odmítnutý službou Keeper vede k explicitní chybové zprávě.

Prohlížení aliasů

Po přijetí konfigurace se obrazovka rozdělí na dva panely: vlevo strom složek načtený z Keeper s tlačítkem pro obnovení v zápatí; vpravo seznam aliasů vybrané složky se sloupci Alias, Type a Description a s polem hledání, které filtruje aktuální složku.