Rotar credenciales
Rote contraseñas y claves SSH de forma automática o bajo demanda, y sepa qué vigilar cuando la credencial es una cuenta de dominio.
Qué es y cuándo usarlo
Una tarea de rotación cambia el secreto de una o varias cuentas en uno o varios activos, almacena el nuevo valor en la bóveda y, en el caso de las claves SSH, redistribuye la nueva clave pública a los destinos.
La rotación se ejecuta de forma programada, bajo demanda, o de ambas maneras. Úsela para cumplir una política de rotación, y justo después de cualquier evento que haya podido exponer una credencial.
Antes de empezar
El activo registrado en Entorno › Activos.
La credencial registrada, ya sea descubierta por una automatización o añadida a mano: da igual.
La credencial vinculada al host, directamente o a través de una plantilla de cuenta.
Un protocolo de gestión alcanzable en el destino:
Windows: WinRM u OpenSSH
Linux: SSH
El cortafuegos abierto, tanto el de red como el del host.
Para WinRM, la IP de la solución añadida como host de confianza en el destino.
La solución debe poder alcanzar cada destino para confirmar el cambio. Los hosts a los que no llega conservan su contraseña antigua.
Pasos
Abra Cuentas › Automatizaciones › Cambiar secretos.
Haga clic en Crear.
Rellene los campos; vea la referencia de campos más abajo. Los dos que deciden el alcance son Cuentas y Activos o Nodes.
En Política de contraseñas, fije la longitud y la complejidad del secreto generado. Ajústela a la política más estricta entre los destinos, no a la más laxa.
En Periódico, fije la programación, o déjela desactivada y ejecute la tarea a mano.
Fije Destinatario si alguien debe recibir el resultado por correo.
Guarde y ejecute la tarea una vez de forma manual antes de confiar en la programación.
Qué debe ver
1 Cuántas tareas de rotación existen. 2 Una tarea, con las cuentas y carpetas que cubre.
La tarea aparece en la lista con un contador de ejecuciones. Tras una ejecución, el registro muestra una línea por activo, con el éxito o el fallo de cada host.
Cómo verificar que funcionó
Guardar la tarea, e incluso ejecutarla, no prueba nada. Verifique que el secreto cambió de verdad:
Abra la cuenta en Cuentas › Cuentas.
Abra su Historial de contraseñas. Debe aparecer una versión nueva, fechada en la ejecución.
Abra una sesión hacia el activo usando esa cuenta. Si el inicio de sesión funciona, la bóveda y el destino concuerdan.
El tercer paso es el que más importa. Una ejecución puede informar éxito y aun así dejar un host atrás: revise el registro de ejecuciones host por host, no solo el estado de la tarea.
Rotar una cuenta de dominio
Las credenciales de dominio se comportan de forma distinta a las locales, y es aquí donde ocurren la mayoría de los errores.
La cuenta de dominio debe estar registrada como plantilla de cuenta, y la plantilla debe estar asociada a los hosts que se autentican contra ella. Esa asociación hace falta para que la credencial sea utilizable en absoluto, no solo para la rotación.
Al rotar, usted indica tanto el host donde se ejecuta el cambio como los hosts que deben recibir la nueva credencial.
La contraseña nueva se ve en la cuenta, pero la plantilla de cuenta conserva la contraseña original. La rotación nunca actualiza la plantilla de cuenta; cambiarla es una acción manual.
Si más adelante asocia la plantilla de cuenta a un host nuevo, ese host debe añadirse a la tarea de rotación. De lo contrario conserva la contraseña almacenada en la plantilla de cuenta, que, para una cuenta de dominio ya rotada, ya no funciona.
Ese último punto es la causa habitual del "funcionó en todas partes menos en el servidor nuevo".
Rotar claves SSH
La misma tarea rota claves SSH, de forma programada o bajo demanda. En cada ejecución la solución genera un par de claves nuevo, actualiza la clave en la bóveda y redistribuye la clave pública a los activos de destino asociados, de modo que el acceso continúa sin intervención manual.
Errores comunes
The password does not meet the password policy requirements
El secreto generado no satisface la política del propio destino, sea en longitud, complejidad o historial
Suba la complejidad en la Política de contraseñas de la tarea para igualar al destino más estricto
Unos hosts tuvieron éxito y otros fallaron
La solución no pudo alcanzar esos hosts
Revise la conectividad y el protocolo de gestión. Los hosts inalcanzables conservan la contraseña antigua
Un servidor nuevo sigue con la contraseña de dominio antigua
Se añadió a la plantilla de cuenta pero no a la tarea de rotación
Añada el host a la tarea y vuelva a ejecutarla
La plantilla de cuenta muestra una contraseña antigua
Es lo esperado. La rotación nunca actualiza la plantilla de cuenta
Cambie la plantilla de cuenta a mano si necesita que coincida
Conexión WinRM rechazada
Puerto 5985 bloqueado, o la IP de la solución no es un host de confianza
Abra el puerto y añada la IP a los hosts de confianza de WinRM
Referencia de campos
Nombre
Identifica la tarea. Obligatorio
Cuentas
Los inicios de sesión cuya contraseña cambiará. Distingue mayúsculas de minúsculas. Pueden indicarse varias cuentas, pero todas reciben el mismo secreto generado en una ejecución dada
Activos o Nodes
Los hosts de destino, individualmente o por carpeta
Política de contraseñas
La estrategia de generación y la complejidad del nuevo secreto
Automatizaciones › Parámetros
Comportamiento adicional, como los grupos a los que pertenece la cuenta. Úselo para que ninguna cuenta se altere sin que usted lo sepa
Periódico
La programación. La ejecución manual sigue disponible en cualquier caso
Activo
Habilita o deshabilita la tarea sin eliminarla
Destinatario
Dirección de correo a la que se notifica el resultado de la ejecución
Páginas relacionadas
Plantillas de cuenta: por qué la plantilla de cuenta conserva su secreto original
Política de detección y mitigación: rotación disparada por una puntuación de riesgo
Atualizado
Isto foi útil?