Управленческое одобрение для прокси-соединений SSH

SSH-подключения привилегированных пользователей к целевым устройствам могут контролироваться с одобрения руководства до установления соединения.

Чтобы включить запрос и утверждение по электронной почте для пользователей, подключающихся к устройствам, свойство Требуется согласование должно быть установлено как true для группы устройств с целевыми устройствами.

Дополнительные сведения см. в «Руководстве администратора. Часть 1», раздел «Управление согласованием подключений».

image

Когда функция Требуется согласование для пользователя установлена как true, запрос на утверждение отправляется по электронной почте его/ее менеджеру группы. Для каждой попытки генерируется новое электронное письмо, которое отправляется менеджеру.

Параметр может быть настроен для ограничения количества писем с запросами на подключение, отправляемых менеджеру группы для определенного подключения:

  1. Установите SSH-соединение с сервером Infrascope.

  2. Установите необходимый параметр в /u01/nssoapp/conf/nsso.properties с помощью команд, приведенных ниже:
    cd /u01/nssoapp/conf/vi nsso.properties

  3. Добавьте/отредактируйте следующий параметр с помощью редактора vi:
    nsso.approval.email.timeout = 0 (значение по умолчанию - "0", метка значения - в секундах)

  4. После установки параметров сохраните их, выйдите из редактора vi и перезапустите прокси-сервер ssh командой:
    systemctl restart pam-ssh

Этот параметр не позволяет Infrascope отправлять слишком много электронных писем менеджеру при каждой повторной попытке. Например, если параметр установлен на 300 секунд, а пользователь пытается подключиться к устройству более одного раза за пять минут, менеджеру будет отправлено только одно письмо с запросом одобрения/отказа на подключение. Если администратор хочет, чтобы менеджеры получали только одно письмо для каждой попытки, можно использовать значение параметра по умолчанию, равное нулю.