BI.ZONE PAM 2.7: расширены возможности управления паролями и доступом к инфраструктуре
Компания BI.ZONE выпустила версию 2.7 системы управления привилегированным доступом BI.ZONE PAM. В обновлении добавлена настройка расписания смены паролей, упрощено подключение к ресурсам динамической инфраструктуры, доработаны разграничение прав доступа и аудит изменений. Об этом SecPost рассказали в компании.
В версии расширен список типов привилегированных учетных записей, для которых доступна автоматическая смена паролей. Администратор может создавать политики управления паролями и настраивать расписание ротации — назначать смену на определенные даты или задавать периодичность, а также настраивать белые и черные списки дней и временных интервалов. Платформа автоматически меняет пароли и проверяет их по расписанию. При необходимости администратор может запускать ротацию или проверку вручную.
Как сообщили в компании, BI.ZONE PAM поддерживает автоматическую смену паролей в Active Directory, кластерах Linux-серверов, Oracle, PostgreSQL и Platform V Pangolin DB. Для доменных учетных записей Active Directory доступны смена паролей и проверка их актуальности, для Oracle поддерживаются кластерные конфигурации ADG и RAC. Организации могут расширять перечень поддерживаемых систем с помощью собственных скриптов для ротации и проверки паролей; перед запуском скрипта платформа проверяет его хеш-сумму и блокирует запуск при несовпадении с зарегистрированным значением.
При работе с Linux-кластером для одной учетной записи на всех узлах используется один пароль, при этом пользователь может подключаться к отдельному серверу или к кластеру по виртуальному адресу. Перед сменой пароля BI.ZONE PAM проверяет доступность каждой целевой системы: если хотя бы один узел недоступен, ротация не запускается, а в журнал аудита записывается событие с указанием проблемного узла. Если ротация завершается неуспешно, пароль в хранилище секретов не меняется — так платформа избегает рассинхронизации учетных данных и потери доступа к целевой системе.
Помимо этого, в версии 2.7 появились ad-hoc-подключения: пользователь может подключиться к ресурсу по IP-адресу или полному доменному имени (FQDN), даже если ресурс заранее не добавлен в платформу, при условии что адрес входит в диапазон, разрешенный администратором. Мастер подключений автоматически находит подходящие ресурсы по введенному адресу; если платформе не удается разрешить FQDN, пользователь увидит предупреждение. Такой подход упрощает работу с динамической инфраструктурой: администратору не нужно заранее добавлять каждый сервер, а доступ ограничивается разрешенными диапазонами адресов.
Расширены и возможности разграничения доступа: пользователи не видят в списках и отчетах объекты, контейнеры и политики, к которым у них нет доступа. Права на работу с разными сущностями внутри одного раздела разграничиваются на уровне контейнеров, в том числе с учетом принадлежности пользователей к отделам и группам. Кроме того, изменен способ хранения удаленных объектов: учетные записи, роли, воркеры и скрипты больше не стираются из базы данных, а помечаются как удаленные — полная история изменений сохраняется для аудита и расследования инцидентов, при этом можно создать новый объект с теми же параметрами, не затрагивая историю прежнего.
Читайте также
