Прокси-соединения SSH on Infrascope

Подключения с вводом учетных данных вручную

Mon, 01 Jan 0001 00:00:00 +0000

Это свойство подключает пользователей к устройствам и позволяет пользователям вводить свои учетные данные вручную. Оно доступно только в SSH-прокси. Чтобы включить это свойство:

Перейдите в раздел Устройства > Список.
Выберите группу устройств, затем Параметры > Изменить.
Установите свойство Добавить возможность ручного входа.

Глобальное имя пользователя / пароль для SSH-подключения

Mon, 01 Jan 0001 00:00:00 +0000

Привилегированные пользователи (такие как root, super user и т.д.) на целевом устройстве называются глобальными пользователями (Global Users). Чтобы установить SSH-соединение с использованием этих учетных записей и сделать пароль глобального пользователя невидимым для локальных пользователей, необходимо выполнить описанную ниже конфигурацию, позволяющую Infrascope хранить учетные данные глобального пользователя, используемые для соединения, в своей базе данных.

Перейдите в раздел Устройства > Список.
Выберите группу устройств, затем Параметры > Изменить.
В разделе Прямая УЗ задайте имя пользователя.
Установите пароль.

Подключение пользователя сеанса (LDAP/AD User)

Mon, 01 Jan 0001 00:00:00 +0000

Если целевые системы и Infrascope интегрированы с LDAP/AD, пользователи могут входить в целевые системы с помощью своих учетных данных LDAP/AD. Эта функция также может быть использована, когда имя пользователя и пароль пользователя Infrascope настроены как учетная запись с таким же именем пользователя и паролем в целевой системе. Такой пользователь называется пользователем сеанса (Session User).

Дополнительную информацию см. «Руководство администратора. Часть 1», раздел «Интеграция LDAP/AD». Если для группы устройств не настроены учетные данные (например, Ручной вход, Глобальный пользователь, Пользователь Vault или Назначенный пользователь), Infrascope регистрируется в системе целевого устройства как пользователь LDAP. Если настроен любой из вышеупомянутых методов учетных данных, Infrascope установит соединение с помощью настроенного метода.

Выбор нескольких пользователей в SSH proxy

Mon, 01 Jan 0001 00:00:00 +0000

Эта функция позволяет пользователю выбрать подходящую учетную запись для подключения к целевой системе, поскольку вариантов может быть несколько. Эта функция включается путем настройки возможности более чем одного подключения. Возможными вариантами являются Ручной вход, Глобальный пользователь, Пользователь Vault и Назначенный пользователь. Чтобы добавить пользователя сессии (LDAP User) в этот список, необходимо настроить свойство "addSessionUserToUserSelection".

Перейдите в раздел Устройства > Список.
Выберите группу устройств, затем Параметры > Изменить.
Разверните раздел Дополнительная УЗ.
Установите свойство Добавить пользователя сессии к выбору УЗ.

Назначение учетных данных Infrascope учетным записям целевых систем

Mon, 01 Jan 0001 00:00:00 +0000

В некоторых случаях пользователи Infrascope подключаются к целевым устройствам с разными учетными данными. В других ситуациях в целевой системе существует несколько учетных записей привилегированных пользователей, и разные группы пользователей используют разные привилегированные учетные записи для входа в систему. Функция "Назначенные учетные данные" позволяет сопоставить пользователей Infrascope с пользователями целевого устройства. В приведенном ниже примере пользователь A хочет подключиться к целевой системе с учетной записью X, а пользователь B хочет подключиться к целевому устройству с учетной записью Y. В этом случае пользователь A назначен на учетную запись X, а пользователь B - на учетную запись Y.

Управленческое одобрение для прокси-соединений SSH

Mon, 01 Jan 0001 00:00:00 +0000

SSH-подключения привилегированных пользователей к целевым устройствам могут контролироваться с одобрения руководства до установления соединения.

Чтобы включить запрос и утверждение по электронной почте для пользователей, подключающихся к устройствам, свойство Требуется согласование должно быть установлено как true для группы устройств с целевыми устройствами.

Дополнительные сведения см. в «Руководстве администратора. Часть 1», раздел «Управление согласованием подключений».

Когда функция Требуется согласование для пользователя установлена как true, запрос на утверждение отправляется по электронной почте его/ее менеджеру группы. Для каждой попытки генерируется новое электронное письмо, которое отправляется менеджеру.

Настройки ограничения продолжительности сеансов SSH

Mon, 01 Jan 0001 00:00:00 +0000

Продолжительность сеансов пользователя может быть ограничена. Это свойство контролируется файлом в службе ssh proxy.

Чтобы установить ограничение по времени:

Перейдите в раздел Устройства > Список.
Выберите группу устройств, затем Параметры > Изменить.
Добавьте свойство sessionDurationLimitMinute со значением в минутах в разделе Пользовательские свойства.
Установите SSH-соединение с сервером Infrascope.
Установите необходимые параметры в файле "/u01/nssoapp/conf/nsso.properties" с помощью команд:
cd /u01/nssoapp/conf/
vi nsso.properties
Добавьте/отредактируйте следующий параметр с помощью редактора vi. nsso.cli.session.duration.limit.warning.before.sec=30 (предупреждающее сообщение о завершении сеанса до достижения лимита времени. Если значение равно 60, предупреждение будет показано за 30 секунд до завершения сеанса. Значение может быть изменено по желанию).

Настройки ограничения количества сеансов SSH

Mon, 01 Jan 0001 00:00:00 +0000

Количество одновременных сессий пользователей, использующих SSH Proxy, может быть ограничено. Таким образом, можно контролировать количество одновременных сессий группы пользователей.

Чтобы установить ограничение:

Перейдите в раздел Пользователи.
Выберите группу пользователей и нажмите Параметры.
Выберите Пользовательские свойства.
Добавьте свойство SimultaneousSessionLimitSSHProxy со значением лимита сеансов.
Сохраните свойство и сохраните группу пользователей.

При превышении лимита сеансов на экране подключения к прокси-серверу SSH появляется предупреждающее сообщение.

Алгоритмы шифрования и обмена ключами SSH-прокси

Mon, 01 Jan 0001 00:00:00 +0000

SSH, или защищенная оболочка, предоставляет механизм для установления криптографически защищенного соединения между двумя сторонами, аутентификации каждой стороны перед другой и передачи команд и выходных данных туда и обратно. Для обеспечения безопасности передачи информации SSH использует ряд различных методов манипулирования данными на различных этапах транзакции.

Системные администраторы могут настроить SSH Proxy для включения или отключения алгоритмов обмена ключами и аутентификации, используемых между пользователем и SSH Proxy.

Чтобы настроить SSH Proxy для доступных алгоритмов обмена ключами и аутентификации:

Поле "Причина" в SSH-соединениях

Mon, 01 Jan 0001 00:00:00 +0000

Поле причины может быть включено для заполнения пользователями при подключении к устройствам. Текст, введенный в качестве причины подключения, отображается в журналах сеансов, а также в электронных письмах и уведомлениях о запросе на одобрение со стороны руководства. Чтобы включить эту функцию, свойство reasonRequiredForConnection должно быть установлено как true в группе устройств, включающей целевые устройства.

Перейдите в раздел Устройства > Список.
Выберите группу устройств и нажмите Параметры > Изменить.
В разделе Методы согласования подключения установите свойство Требовать от пользователя ввода причины подключения.

Подключение к устройству из сеанса SSH

Mon, 01 Jan 0001 00:00:00 +0000

Эта функция позволяет подключиться к устройству, уже добавленному в Infrascope, из любого сеанса SSH, используя следующее выражение:

ssh -p 2222 TargetDeviceConenctionUserName%TargetdeviceIP%InfrascopeUserName@InfrascopeIP

Используя это выражение, соединение может быть установлено через любой сеанс ssh, используя имя пользователя и IP-адрес целевого устройства, уже добавленного в Infrascope, без необходимости входа в Infrascope и подключения к устройству через графический интерфейс Infrascope.

Настройки сеанса SSH

Mon, 01 Jan 0001 00:00:00 +0000

Размер шрифта и тема могут быть определены пользователем путем перехода на вкладку "Настройки (Settings)" во время сеансов SSH. Предварительный просмотр выбранных настроек будет отображаться в поле "Preview" под настройками.

В некоторых случаях использования может потребоваться ограничить одновременный доступ с учетных записей PAM к прокси-серверу SSH. Параметр /u01/nssoapp/conf/nsso.properties должен быть установлен, чтобы предотвратить доступ к прокси-серверу SSH с разных IP-адресов одновременно с одной учетной записью. nsso.session.clientIP.unique=true(значение по умолчанию - false).