Хранилище секретов on Infrascope

Ротация SSH-ключа для хранилища секретов

Mon, 01 Jan 0001 00:00:00 +0000

Даже если пароли для привилегированных учетных записей изменяются, ротируются или сохраняются модулем Хранилище секретов, пользователи, загрузившие закрытые ключи RSA для своих учетных записей, продолжают входить в системы с этими закрытыми ключами. Чтобы предотвратить это, SSH-ключи также могут периодически меняться модулем Хранилище секретов.

Чтобы добавить ключ SSH в Хранилище секретов:

Перейдите в раздел Хранилище секретов > Аккаунты.
Откройте вкладку "Vault".
Нажмите кнопку "Добавить" и выберите действие "Добавить аккаунт".
Введите Имя учетной записи, Описание, Имя группы, Тип (Static) и Конфигурация. Далее введите хост, период изменения и имя пользователя.
Выберите один из типов ключей SSH в качестве конфигурации. Это действие изменит поле Пароль на поле Закрытый ключ RSA.
Установите SSH-соединение с целевым устройством и скопируйте содержимое файла /home/<username>/.ssh/id_rsa (или любого другого пути, включающего закрытый ключ RSA для пользователя).
Вставьте файл в поле Закрытый ключ RSA.
Нажмите "Сбросить и сохранить пароль".
Подтвердите всплывающее диалоговое окно.

Разрешения учетной записи хранилища секретов

Mon, 01 Jan 0001 00:00:00 +0000

Администраторы Infrascope могут назначать различные уровни авторизации для различных групп пользователей для учетных записей Хранилища секретов. Например, группа пользователей может получить права полного контроля для учетной записи, в то время как другая группа пользователей может иметь права только на список.

Чтобы установить разрешения для учетных записей:

Перейдите в раздел Хранилище секретов > Аккаунты.
Откройте вкладку "Vault".
Выберите учетную запись, для которой необходимо установить разрешения, нажмите кнопку "Параметры" и выберите "Разрешения".

Проверка пароля учетной записи

Mon, 01 Jan 0001 00:00:00 +0000

Пользователи с необходимыми правами для просмотра паролей учетных записей должны проверить пароль, чтобы использовать его. Чтобы проверить пароль:

Перейдите в раздел Хранилище секретов > Аккаунты.
Откройте вкладку "Vault".
Поиск учетных записей.
Нажмите кнопку со стрелкой .

Пароль отображается в скрытом виде окне просмотра пароля. Нажмите кнопку "Показать", чтобы увидеть пароль, или нажмите кнопку "Копировать", чтобы скопировать пароль в буфер обмена, или нажмите кнопку "Отправить email", чтобы отправить его по электронной почте.
Чтобы посмотреть комментарий, нажмите кнопку "Показать описание".

Изменение пароля учетной записи вручную

Mon, 01 Jan 0001 00:00:00 +0000

Иногда пароль учетной записи может быть изменен вручную другим лицом или вышестоящим пользователем. В этом случае пароль учетной записи будет обновлен новым паролем. Чтобы обновить пароль, выполните следующие действия:

Перейдите в раздел Хранилище секретов > Аккаунты.
Откройте вкладку "Vault".
В меню "Параметры" выбранной учетной записи выберите "Обновить пароль". Откроется окно "Обновить пароль".
Обновите пароль, введя новый пароль, затем нажмите "Далее".

Введите комментарий и подтвердите обновление пароля.
Сервис подключится к целевому устройству, используя новый пароль, и снова сбросит пароль.

Сброс пароля учетной записи

Mon, 01 Jan 0001 00:00:00 +0000

Иногда администратор платформы может захотеть заблокировать доступ для пользователей, имеющих пароль учетной записи. Или пользователь, получивший пароль, может закончить свою работу до истечения срока действия пароля и захотеть освободить его для использования другим лицом. В обоих случаях пароль можно сбросить с помощью веб-интерфейса Infrascope. Чтобы сбросить пароль:

Перейдите в раздел Хранилище секретов > Аккаунты.
Откройте вкладку "Vault".
В меню "Параметры" динамической учетной записи, пароль которой вы хотите сбросить, выберите "Сбросить пароль".

Массовый сброс пароля учетных записей

Mon, 01 Jan 0001 00:00:00 +0000

Пользователи могут сбрасывать пароли динамических учетных записей по отдельности, а также выполнять множественный сброс паролей. Пользователи могут выбрать сразу несколько учетных записей (CTRL + щелчок левой кнопкой мыши) и применить операцию "сброс пароля" только к выбранным узлам. Когда начинается процесс сброса, динамические учетные записи автоматически сбрасываются через одну минуту из-за запущенного задания.

Перейдите в раздел Хранилище секретов > Аккаунты.
Откройте вкладку "Vault".
Отметьте динамические учетные записи с помощью левой кнопки мыши и в нижней части поля поиска выберите "Сбросить пароль".
Подтвердите операцию в диалоговом окне, нажав "Да".

Редактирование учетной записи

Mon, 01 Jan 0001 00:00:00 +0000

Каждой учетной записи, добавленной в хранилище секретов, требуется информация, отличная от учетных данных пользователя, к которым можно получить доступ из интерфейса. При добавлении учетной записи, если она имеет динамическую конфигурацию, также определяется информация об устройстве.

Помимо этого, имеются информационные поля, такие как Описание, Скрытое описание, Дополнительная информация или функциональные поля, такие как Владелец и Уровень доступа.

Эта информация, введенная в процессе добавления учетной записи, изменяется с помощью опции Редактировать аккаунт.

Массовое редактирование учетных записей

Mon, 01 Jan 0001 00:00:00 +0000

Хотя редактирование может осуществляться индивидуально, иногда одна и та же информация может быть введена в несколько аккаунтов. Для этого были определены поля, которые не следует изменять при первоначальном добавлении аккаунта.

Например, не могут быть изменены имя учетной записи, группа и IP устройства.

Такие поля, как Тип, Описание, Скрытое описание, Дополнительная информация, Уровень доступа, Владелец, Период ротации могут быть изменены и массово назначены те же значения.

Выберите левой кнопкой мыши несколько учетных записей. В нижней части поля поиска появится опция "Редактировать". После завершения редактирования действие будет применено ко всем выбранным учетным записям, а их журналы появятся в разделе Аудит > Хранилище.

Дублирование конфигурации хранилища

Mon, 01 Jan 0001 00:00:00 +0000

Пользователи могут дублировать конфигурации хранилища со всеми его существующими свойствами. Чтобы дублировать конфигурацию хранилища:

Перейдите в раздел Хранилище секретов > Конфигурации.
Воспользуйтесь расширенным поиском, чтобы просмотреть сохраненные конфигурации.
Выберите конфигурацию, нажмите кнопку со стрелкой и выберите "Дублировать конфигурацию".

Введите новое имя, выберите Стратегию и нажмите "Сохранить".

После сохранения будет создан дубликат конфигурации, свойства которого можно будет отредактировать позже.

Свойство конфигурации для показа пароля нескольким пользователям

Mon, 01 Jan 0001 00:00:00 +0000

По умолчанию пароль учетной записи может одновременно видеть только один пользователь. Если пользователь видел пароль, и он еще не был изменен, то другой пользователь, который попытается его просмотреть, не сможет его увидеть и получит сообщение, что пароль есть у другого пользователя.

Если пароль учетной записи должен одновременно просматриваться одной и той же группой пользователей, необходимо установить свойство Разрешить видеть нескольким пользователям.

Конфигурация хранилища для выдачи пароля нескольким пользователям:

Свойства конфигурации для выполнения команд после изменения пароля

Mon, 01 Jan 0001 00:00:00 +0000

После смены пароля выполнение некоторых команд может потребоваться в определенных случаях, например, для уничтожения активных сессий на устройстве, которые были запущены с предыдущим паролем. Для выполнения этих команд в конфигурациях со стратегиями SSH и SMB должны быть установлены следующие свойства.

Свойство

Описание

post.command

Команды, которые должны быть выполнены на сервере после успешной смены пароля.
Несколько команд могут быть разделены символами \n.

post.command.failure.pattern

Если в результатах "post-command" найден шаблон, определенный этим свойством, команда принимается как "FAILED", и выполнение команды останавливается. Остальные команды не выполняются, если свойство "post.command.stop.on.fail" установлено как "true".

post.command.stop.on.fail

Когда значение свойства установлено как "true", если во время выполнения посткоманды происходит сбой, остальные команды не выполняются. Значение по умолчанию - "false"

execute.post.command.with.super.use r

Если установлено значение "true", то для выполнения команд после смены пароля используются учетные данные суперпользователя, определенные свойствами "super.username" и "super.password".
Значение по умолчанию - "false", то есть имя пользователя и пароль учетной записи используются для выполнения команд после смены пароля.

При использовании стратегии SSH последняя команда в свойстве "post.command" должна быть командой выхода из системы.

Свойство конфигурации для отправки напоминания о смене пароля

Mon, 01 Jan 0001 00:00:00 +0000

Можно настроить отправку напоминания до даты смены пароля. Чтобы задать время ожидания перед отправкой напоминания о предстоящей смене пароля (в днях):

Перейдите в раздел Секреты > Конфигурации.
Воспользуйтесь расширенным поиском, чтобы просмотреть сохраненные конфигурации.
Выберите конфигурацию, нажмите кнопку и выберите "Редактировать".
Установите свойство Отправить напоминание перед изменением пароля и нажмите "Сохранить".

Письмо с напоминанием отправляется на "SapmMailList", определенный в свойствах группы устройств.

Добавление кластерных учетных записей в хранилище

Mon, 01 Jan 0001 00:00:00 +0000

Для учетных записей кластера в целевых устройствах необходимо установить одинаковый пароль для обоих экземпляров. Для настройки учетных записей кластера необходимо определить учетную запись для активного узла кластера. После этого можно определить другие узлы, выполнив следующие шаги:

Перейдите в раздел Хранилище секретов > Аккаунты.
Откройте вкладку "Vault".
Выберите определенную учетную запись активного узла и нажмите кнопку "Параметры".
Выберите опцию "Создать идентичный аккаунт".

Введите имя учетной записи, IP-адрес другого узла кластера и родительскую группу.
Нажмите "Создать".

Добавление правил автоматического импорта

Mon, 01 Jan 0001 00:00:00 +0000

Если на целевых устройствах имеется большое количество учетных записей с одинаковыми именами пользователей и паролем, можно использовать функцию автоматического импорта для добавления учетных записей, при этом периодически выполняется задание для обнаружения этих имен пользователей и их импорта в Хранилище секретов. Например, если каждый день создается несколько виртуальных серверов с использованием одного и того же имени пользователя и пароля на шаблоне, эту функцию можно использовать для ежедневного импорта всех этих учетных записей в Хранилище секретов. Чтобы использовать эту функцию:

Массовый импорт учетных записей в Хранилище секретов

Mon, 01 Jan 0001 00:00:00 +0000

Вы можете массово добавить учетные записи в Хранилище секретов в Infrascope, выполнив следующие действия:

Перейдите в раздел Хранилище секретов > Аккаунты.
Нажмите кнопку "Добавить" и выберите "Импорт аккаунтов".
Нажмите "Скачать шаблон для импорта". Загрузится файл Excel с именем SAPMBulkImportTemplate.

Откройте файл шаблона и введите информацию об учетных записях, как указано в описании столбцов.
Сохраните файл шаблона на своем компьютере.
В окне "Импорт аккаунтов из файла" нажмите "Обзор" и выберите сохраненный файл шаблона.
Нажмите кнопку "Загрузить", чтобы добавить список аккаунтов.
Нажмите "Импортировать аккаунты".

Просмотр журналов учетных записей

Mon, 01 Jan 0001 00:00:00 +0000

В журналах учетных записей администраторы могут просматривать журналы всех операций, выполненных в учетной записи, и фильтровать их в соответствии с желаемым типом событий.

Для просмотра журналов учетных записей:

Перейдите в раздел Аудит > Журнал паролей.
На вкладке "Хранилище" заполните поля для фильтрации.

Отображение журнала истории паролей

Mon, 01 Jan 0001 00:00:00 +0000

В некоторых случаях целевая система может быть возвращена со старой резервной копией, поэтому вам может понадобиться просмотреть пароль учетной записи Хранилища секретов в это время.

Чтобы просмотреть старые пароли учетной записи:

Перейдите в раздел Хранилище секретов > Аккаунты.
Выберите учетную запись, историю паролей которой вы хотите просмотреть, и нажмите кнопку "Параметры".
Выберите "Старые пароли".

Показ старых паролей для учетной записи:

Выберите время начала и окончания и нажмите "Поиск" в календаре.

Управление паролями в файле

Mon, 01 Jan 0001 00:00:00 +0000

Для некоторых систем, особенно устаревших, пароли пользователей хранятся в текстовых файлах, и Хранилищу секретов потребуется изменить пароли в файле.

Для этого:

Создайте конфигурацию хранилища со стратегией FILE (см. раздел Добавление конфигурации хранилища).
Отредактируйте конфигурацию и установите перечисленные ниже свойства, затем создайте учетную запись:
change.password.with.super.user
- super.username
- super.password
- file.path
- file.regex.to.match
- file.regex.to.replace

Резервирование на будущую дату

Mon, 01 Jan 0001 00:00:00 +0000

Восстановление пароля для учетной записи Хранилища секретов можно зарезервировать на будущую дату. Чтобы настроить резервирование на будущую дату:

Перейдите в раздел Хранилище секретов > Аккаунты.
Откройте вкладку "Vault".
Выполните поиск аккаунтов.
Нажмите кнопку "Параметры" учетной записи, для которой будет зарезервирован пароль.
Выберите "Резервирование пароля".

Укажите время начала, продолжительность резервирования, напоминание и нажмите "Дальше".

Добавьте комментарии, а также пользователей первой части и второй части (если к учетной записи применяется "Раздельный пароль").
Нажмите "Зарезервировать".
Бронирование появится в результатах поиска.

Функция раздельного пароля

Mon, 01 Jan 0001 00:00:00 +0000

Для обеспечения безопасности процесса утверждения, состоящего из двух частей, пароль учетной записи Хранилища секретов может быть разделен на две части, и каждая часть может быть получена разными пользователями. Разместив пользователей в разных группах пользователей, выполните следующие действия:

Перейдите в раздел Политики > Области.
Нажмите кнопку "Добавить".
Создайте область группы устройств между группами пользователей (Кто?) и группой устройств (Что?), содержащей целевое устройство.

Перейдите в раздел Хранилище секретов > Аккаунты.
Выполните поиск аккаунтов.
Нажмите кнопку "Параметры" учетной записи.
Выберите "Разрешения", чтобы открыть окно разрешений.
Определите тип разрешения Просмотр первой части для группы пользователей, которые будут получать первую часть пароля.
Определите тип разрешения Просмотр второй части для группы пользователей, которые будут получать вторую часть пароля.

Проверка валидности пароля

Mon, 01 Jan 0001 00:00:00 +0000

Хранилище секретов регулярно проверяет действительность сохраненных паролей и ключей SSH. Если пароль был изменен без участия сервиса, генерируется сигнал тревоги, и системному администратору отправляется уведомление.

Чтобы настроить проверку валидности пароля:

Перейдите в раздел Хранилище секретов > Конфигурации.
Выберите конфигурацию хранилища, нажмите кнопку и выберите "Редактировать".
Установите параметр Включить проверки пароля в значение Да для проверки валидности пароля.

Существует задание SAPM_PasswordCheckJob, которое проверяет валидность паролей. Настроив это задание, можно определить частоту проверки валидности паролей.

Управление паролями веб-приложений

Mon, 01 Jan 0001 00:00:00 +0000

Infrascope может изменять пароли веб-приложений и использует расширение Selenium для веб-браузеров для создания шаблона для приложений. Для изменения паролей веб- приложений необходимо один раз сохранить шаблон изменения пароля и создать соответствующую конфигурацию Vault в Хранилище паролей.

Установите плагин Selenium IDE для браузеров Chrome или Firefox.
Запустите плагин Selenium IDE и начните запись нового проекта.
Войдите в веб-приложение и измените пароль учетной записи.
Сохраните проект как отдельный файл.

Секретное описание аккаунта

Mon, 01 Jan 0001 00:00:00 +0000

Секретное описание (Secret Notes) - это поле, в котором пользователи могут просматривать и хранить подробную информацию о своей учетной записи. Эта информация хранится в зашифрованном виде в Infrascope, и пользователи могут просматривать ее только в том случае, если они авторизованы. Пользователи могут добавлять Secret Notes в свои Vault аккаунты при создании или редактировании. Чтобы добавить cекретное примечание к учетной записи:

Перейдите в раздел Хранилище секретов > Аккаунты.
Откройте вкладку "Vault".
Выберите добавление или редактирование учетной записи.
Заполните поле Скрытое описание в форме аккаунта.
Напишите заметку во всплывающем окне "Скрытое описание".
Нажмите кнопку "Сохранить".