Rotação de credenciais privilegiadas

A rotação muda as palavras-passe das contas privilegiadas no próprio alvo, através da appliance, e guarda a nova versão no cofre. Acontece por agenda, na devolução de um acesso, depois de uma revelação ou de um acesso de emergência, ou a pedido.

Políticas de rotação

1. Abra «PAM» › «Rotação» e escolha «Adicionar política».
2. Preencha «Nome», «Rodar a cada (horas)» (entre uma hora e um ano), «Comprimento da palavra-passe» (12 a 128) e as classes («Letras minúsculas», «Letras maiúsculas», «Algarismos», «Símbolos», «Excluir caracteres semelhantes»). A consola mostra a robustez aproximada em bits.
3. Opcional: «Janelas de rotação (UTC, opcional)», uma por linha, por exemplo Mon 02:00-04:00.
4. Escolha «Guardar política».

Como associo uma política a uma conta?

1. Nas contas do alvo, escolha «Rotação» na linha da conta. Abre «Rotação de» da conta: «A política define a frequência com que a credencial muda; o conector define como.»
2. Em «Política de rotação», escolha uma política (mostrada como «Semanal · a cada 168 h») ou «Sem rotação agendada».
3. Confirme o «Conector» e, nas contas efémeras, os «Privilégios das contas temporárias (JIT)»: «Utilizador normal» ou «Administrador».
4. Escolha «Guardar rotação». A alteração exige uma confirmação recente com passkey: «Rotação de root guardada.»

Com controlo a dois ativo, a mudança de política espera por um segundo administrador («Alterar a política de rotação de uma conta» em «Controlo a dois»): «O conector foi guardado. A política de rotação aguarda a aprovação de um segundo administrador em PAM, Controlo a dois.»

Conectores HTTP

Para sistemas com uma API própria, crie um «Conector HTTP» com a «Definição (JSON)» (até 16 KiB; os modelos usam só {{username}}, {{newSecret}} e {{currentSecret}}). Em «Anfitriões que os conectores HTTP podem contactar», indique até 64 nomes exatos e escolha «Guardar anfitriões».

Trabalhos de rotação

A secção «Trabalhos de rotação» mostra cada rotação com o motivo («Agendada», «Devolução», «Após revelação», «Emergência», «Comprometimento», «Manual», «Verificação do novo segredo») e o estado: «Em fila», «A iniciar», «A aplicar», «A verificar», «Concluída», «Falhou», «Requer atenção».

• Uma falha é repetida com intervalos crescentes; depois de seis tentativas passa a «Requer atenção» e a conta fica marcada «Rotação falhada».
• «Repetir» volta a pôr a rotação na fila: «A rotação voltou à fila.»

Rodar agora

Na linha de uma conta no cofre, escolha «Rodar agora»: «Rotação de root colocada na fila.» Com controlo a dois ativo, espera por um segundo administrador: «Enviada para aprovação: um segundo administrador tem de aprovar esta alteração em PAM, Controlo a dois.» O trabalho aparece depois em «Trabalhos de rotação» com o motivo «Manual».