Acesso privilegiado (PAM)

Neste tutorial, vamos configurar o acesso privilegiado: as contas de administração dos servidores ficam num cofre, só são usadas por quem pediu e foi aprovado, durante o tempo pedido, e cada sessão fica gravada. Antes de começar, precisa de um equipamento Edge instalado na sua rede, com o módulo de acesso privilegiado ativo, e de um grupo de aprovadores, criado em Gerir, Grupos.

Primeiro, o perfil de acesso. Em PAM, Perfis de acesso, escolha Adicionar perfil. Dê-lhe um nome, indique quantas aprovações são exigidas e que grupos aprovam, e defina a duração predefinida e a máxima. Ative as sessões gravadas e guarde. No mesmo perfil, pode escrever regras de alerta: um comando que gera um alerta, ou que termina a sessão. Use Testar as regras para ver o que cada linha de comando aciona.

Agora, o alvo. Em PAM, Alvos, escolha Adicionar alvo. Indique o nome, o tipo, o anfitrião e a porta, e o nível: normal ou crítico. Um alvo crítico aparece assinalado no telemóvel de quem aprova. Associe o equipamento Edge que chega ao servidor, e escolha Ler a chave do anfitrião. Compare a impressão digital com a do próprio servidor e, se corresponder, confirme.

A partir daí, o equipamento só confia nessa chave. No alvo, adicione a conta privilegiada: o nome de utilizador, o modo, no cofre, a credencial e o conector. Atribua-lhe o perfil de acesso. Sem perfil, ninguém a pode pedir. Por fim, publique uma regra na política de acesso que permita estes pedidos. Está tudo pronto. Vejamos do lado de quem precisa do acesso.

Em Acesso, O meu acesso, o técnico escolhe Pedir na conta, escolhe Sessão gravada, a duração, escreve a justificação e o número do pedido de suporte, e envia. A colega que aprova recebe o pedido no telemóvel: quem pede, o destino, a conta, a duração e a justificação. Compara o código com o do requerente, aprova, e confirma com o PIN ou a impressão digital.

Ninguém aprova os seus próprios pedidos. Com o pedido aprovado, o técnico escolhe Ativar, confirma com a passkey, e abre o terminal web. A sessão abre já autenticada: as credenciais são injetadas pelo equipamento, e ele nunca vê a palavra-passe. Quando terminar, escolhe Libertar. Em PAM, Sessões, os administradores veem as sessões em curso e as gravações.

Antes de reproduzir, o serviço verifica a gravação: verificada e ancorada na cadeia de auditoria. O índice de comandos leva diretamente a cada comando. Para proteger ainda mais, ative o controlo a dois para as alterações sensíveis, crie um grupo de acesso de emergência com pelo menos duas pessoas, e guarde offline a chave de custódia do cofre. E está feito: credenciais no cofre, acesso aprovado e limitado no tempo, e cada sessão gravada e selada.

No próximo tutorial, vamos ligar a VPN e o Wi-Fi por RADIUS.