La bóveda de credenciales
Dónde se almacenan los secretos, cómo se respaldan con una clave dividida, y cómo funciona el acceso de emergencia a la bóveda.
Qué es y cuándo usarlo
La bóveda es donde la solución guarda los secretos de las cuentas gestionadas. Los usuarios abren sesiones sin verlos nunca; las automatizaciones los leen para autenticarse; y cada acceso queda registrado.
La rodean dos mecanismos, y ambos importan más de lo que parece:
una copia de seguridad de las credenciales, cifrada y entregada con la clave dividida entre dos custodios
una cuenta de acceso de emergencia, el break-glass, para el día en que la vía normal no esté disponible
Copia de seguridad de la bóveda
La tarea de copia de seguridad exporta las credenciales cifradas y las entrega por correo electrónico, SFTP o webhook.
Algoritmo
AES-256-CBC
División de la clave
Shamir Secret Sharing, 2 de 2
Formato
ZIP cifrado o JSON
Antes de empezar
Un servidor de correo configurado, si la entrega es por correo electrónico.
Una contraseña maestra establecida para abrir la bóveda.
Pasos
Abra Cuentas › Automatizaciones › Copia de seguridad de cuentas.
Haga clic en Crear y fije el Nombre y el Tipo.
Elija el tipo de copia de seguridad: Correo electrónico, SFTP o Webhook.
En Contraseña dividida, fije el Custodio A y el Custodio B.
Fije la programación.
Guarde y siga las ejecuciones en el historial.
La división solo ocurre con dos custodios. Si están fijados los destinatarios A y B, el texto cifrado se parte en dos y hacen falta ambas partes para descifrarlo. Si solo hay un destinatario, la clave no se divide, y ese único destinatario puede abrir la bóveda entera por su cuenta.
Es el ajuste que la gente equivoca, y el fallo es silencioso: la copia de seguridad funciona de las dos maneras.
Cómo verificar que funcionó
Abra el historial de ejecuciones de la tarea y confirme que la ejecución tuvo éxito.
Confirme que cada custodio recibió su parte: dos partes, si configuró dos.
Restaure en una instancia de prueba. Una copia de seguridad que nunca se ha restaurado es una hipótesis, no una copia de seguridad.
Acceso de emergencia (break-glass)
La solución admite una cuenta de acceso de emergencia para contingencias: un custodio autorizado, tras la autenticación de dos factores, puede leer cualquier credencial de la bóveda.
Cómo funciona
El acceso de emergencia exige autenticación de dos factores, separada del inicio de sesión normal, antes de revelar cualquier credencial.
Una vez autenticado, el custodio puede recuperar cualquier credencial de la bóveda, manteniendo la operación en marcha cuando los aprobadores no están disponibles, durante un incidente, o en la recuperación ante desastres.
Se combina con el modelo de doble custodia, donde las partes de la clave están en manos de personas distintas, lo que estrecha el control sobre el uso de emergencia.
Auditoría y alertas
Cada uso de la cuenta de emergencia se escribe en el registro de auditoría, con quién, cuándo y a qué credenciales se accedió, y puede disparar alertas específicas, para que cualquier uso del break-glass se revise de inmediato.
Mantenga la cuenta de emergencia fuera del alcance de la rotación automática de credenciales. Una automatización que rota justamente la credencial de la que usted depende durante un incidente echa por tierra su propósito.
Errores comunes
La copia de seguridad llega como un único archivo que se puede abrir
Solo se configuró un custodio, así que la clave no se dividió
Fije el Custodio A y el Custodio B
La copia de seguridad no puede descifrarse
Falta una de las dos partes
Hacen falta ambas partes. Recupere la parte del custodio que falta
La copia de seguridad por correo nunca llega
El servidor de correo no está configurado
Configure primero las notificaciones
Un secreto no puede revelarse en la consola
El MFA no está habilitado en la cuenta
Habilite el MFA
Páginas relacionadas
Atualizado
Isto foi útil?