Acesso privilegiado (PAM): visão geral e por onde começar

O acesso privilegiado guarda as credenciais de administração (servidores, bases de dados) num cofre, entrega-as só a quem pediu e foi aprovado, durante o tempo pedido, e grava as sessões. As sessões passam por uma appliance Edge na sua rede.

Peças principais

Por onde começo?

1. Instale e confirme uma appliance Edge e ative o módulo «Acesso privilegiado». Ver Instalar a appliance.
2. Reveja «Definições de PAM» (retenção das gravações). Ver Definições de PAM.
3. Crie os grupos de aprovadores em «Gerir» › «Grupos».
4. Crie um perfil de acesso. Ver Perfis de acesso.
5. Registe um alvo e as suas contas, defina a credencial e atribua o perfil. Ver Alvos e contas.
6. Publique uma regra de política que permita pam.session, pam.checkout ou pam.jit.
7. Peça a uma pessoa que faça um pedido de teste em «Acesso» › «O meu acesso».

Proteções recomendadas

• «Controlo a dois» para alterações sensíveis.
• Grupo de acesso de emergência com pelo menos dois membros.
• Chave de custódia offline do cofre.

Limites

Por omissão, cada organização pode ter até 10 gateways e 500 GiB de gravações; o fornecedor ajusta-os. Hoje só são suportadas sessões SSH. Em desenvolvimento, e ainda não disponíveis: as sessões de ambiente de trabalho remoto gravadas (RDP), as sessões de base de dados gravadas (PostgreSQL) e os segredos de aplicação para aplicações e pipelines de CI.