Incorpore su primer activo gestionado
El camino completo desde una instancia vacía hasta una sesión grabada: registrar un activo, elegir su plataforma, registrar la cuenta, escribir la autorización, conectar y encontrar la grabación en el
Este es el producto entero en un solo ejercicio. Al terminar tendrá un activo que la solución gestiona, una credencial que ella guarda y nunca muestra, una regla que concede a una persona su uso y una sesión en el registro de auditoría que puede reproducirse.
Cada paso enlaza con la página que lo cubre a fondo. Lea esta página por el orden y las decisiones; lea las páginas enlazadas por los campos.
Si las palabras activo, plataforma, cuenta y autorización aún no son distintas en su cabeza, lea antes Conceptos fundamentales, porque esta página usa las cuatro.
Antes de empezar
Una función que le dé el área Sysadmin. Consulte Funciones y permisos.
Un segundo usuario sin privilegios más allá de Cockpit, para recibir la autorización. Concedérsela a usted mismo funciona, pero probar con alguien que parte de cero es lo que de verdad demuestra que es la regla la que concede.
La dirección del destino y una credencial en él: usuario y contraseña, o una clave SSH.
Alcance de red desde la solución hasta el activo, en el puerto del protocolo. Si no lo hay, el paso 1 es donde se resuelve.
Pasos
1. Decida la ruta de red
Hágalo primero, porque el registro del activo le obliga a comprometerse con ella.
La solución tiene ruta hasta el propio activo
Nada. Este es el caso que conviene elegir para su primer activo
Solo una máquina de la red de destino es alcanzable
Ninguna ruta, o ninguna conexión entrante permitida
Un Broker, hacia el que marca el lado remoto
2. Elija la plataforma
La plataforma es lo que le dice a la solución qué protocolos acepta el activo y en qué puertos, así que tiene que estar bien antes de registrar el activo. Abra Entorno › Plataformas y busque la plataforma nativa que corresponde a la tecnología: Linux, con SSH en el 22, para un host Linux.
Las plataformas nativas no pueden editarse, solo duplicarse. Si necesita una variante, duplíquela y modifique la copia. Consulte Plataformas.
3. Registre el activo
En Entorno › Activos, cree el activo con su nombre, su dirección y la plataforma del paso anterior. Aproveche para archivarlo en una carpeta: reorganizar más tarde cuesta mucho más que archivar ahora.
Después ejecute Probar conexión en la ficha. Registrar un activo y poder alcanzarlo son cosas distintas, y la ficha se ve igual en ambos casos. Consulte Inventario de activos.
Para un segmento de red con muchos hosts, registre el primero a mano y luego use Descubrir para el resto.
4. Registre la cuenta
En Cuentas › Cuentas, cree la cuenta contra el activo que acaba de registrar: el nombre de usuario, el secreto y dos decisiones que es fácil saltarse e incómodo arreglar después:
márquela como Privilegiada si tiene derechos administrativos en el destino;
configure su/sudo si la cuenta debe elevar privilegios tras iniciar sesión.
Guarde y después use Probar seleccionados para confirmar que la credencial autentica de verdad. Consulte Cuentas gestionadas.
5. Escriba la autorización
Este es el paso que concede el acceso. Todo lo anterior solo hizo que el activo fuera gestionable.
En Políticas › Autorización, cree una regla que una los tres lados:
Quién: el usuario de prueba o, mejor, un grupo al que pertenezca.
Qué: el activo (o la carpeta en la que está) y la cuenta que registró.
Cómo: el protocolo, como mínimo la acción Conectar, y un periodo de validez.
Ponga a la regla un nombre que diga quién obtiene qué: el nombre es lo primero que lee un auditor. Consulte Autorizaciones.
6. Abra la sesión
Inicie sesión como el usuario al que concedió el acceso y abra Acceso en el área Cockpit. El activo debe aparecer ahí; si no aparece, la regla no llega a ese usuario y no tiene sentido intentar conectar.
Conecte con Web CLI para SSH. No se le pedirá la contraseña del destino: la solución la inyecta. Ejecute dos o tres comandos inofensivos (hostname, id, uptime) para que la grabación tenga algún contenido.
Los demás métodos (el escritorio en el navegador, un cliente nativo, un cliente de base de datos) están en Métodos de conexión.
7. Encuéntrela en el registro de auditoría
De vuelta en una sesión de administrador o auditor, abra Auditoría › Consola › Session records. La sesión que acaba de ejecutar está ahí, con su usuario, activo, cuenta, protocolo, horas de inicio y fin, duración y un botón que la reproduce. Consulte Registro de auditoría.
Qué debería ver
El activo como una ficha bajo la carpeta en la que lo archivó, con la insignia
ACTIVEy los protocolos y puertos efectivos de su plataforma.La cuenta listada contra ese activo, con la fecha de su última actualización.
La autorización en la lista de reglas, con Válido mostrando que está en vigor.
El activo presente en la lista Acceso del usuario autorizado y ausente de la lista de un usuario sin regla.
Una entrada en Auditoría › Consola › Session records para la sesión que abrió.
Cómo comprobar que funcionó
La sesión grabada en el registro de auditoría es la comprobación. Nada anterior al paso 7 demuestra la cadena: un activo puede estar registrado y ser inalcanzable, una cuenta puede estar almacenada y ser incorrecta, una regla puede existir y no conceder nada.
Abra Auditoría › Consola › Session records y localice la sesión por usuario y hora.
Revise las tres columnas que importan: el usuario es la persona que se conectó, no una identidad compartida; el activo es el suyo; la cuenta es la que registró. Juntas son la prueba de que la atribución y la inyección de credenciales funcionaron.
Reproduzca la grabación. Los comandos que ejecutó deben verse en ella. Consulte Grabaciones de sesión.
Para SSH o Telnet, abra Auditoría › Sesiones › Keylogger y confirme que esos mismos comandos aparecen listados uno a uno, con marca de tiempo.
Como prueba negativa, desactive el campo Activo de la autorización y recargue la lista Acceso del usuario autorizado. El activo debe desaparecer. Eso es lo que confirma que es la autorización la que concede el acceso, y no otra cosa que usted configuró por el camino.
Si el registro de la sesión está ahí pero la reproducción no, la cadena funcionó y el problema es de grabación o de almacenamiento, no de acceso.
Errores comunes
Las pantallas están, pero las funciones no hacen nada
La licencia no se ha importado
Impórtela en Configuración del sistema
OTP code invalid, or server time error al iniciar sesión
El reloj del servidor se ha desviado; el OTP tiene precisión de segundos
Corrija la hora y la zona horaria del nodo, y manténgalas sincronizadas
El activo se guarda pero Probar conexión falla, aunque el host responde al ping
Puerto efectivo equivocado, o todavía no hay cuenta con la que probar
Compare Protocolos, en la pestaña Básico del activo, con el host
La sesión se rechaza por un protocolo que usted esperaba
La plataforma no lo ofrece
La plataforma está mal, no el activo. Revise Entorno › Plataformas
La cuenta se guarda pero la autenticación falla en el destino
El secreto almacenado no coincide con el del destino
Nada en el registro lo revela. Solo lo hacen Probar seleccionados o una sesión real
El usuario autorizado no ve ningún activo
La regla no alcanza ni al usuario ni a un grupo suyo, o está inactiva o caducada
Revise el sujeto de la regla y después su columna Válido
El activo aparece pero la sesión se rechaza
El protocolo no está en la lista de protocolos de la regla, o la selección de cuentas lo excluye
Arregle la regla, no el activo
El activo aparece pero no se ofrece ningún método de conexión
Una regla de método de conexión deniega todos los métodos a ese usuario
Revise Políticas › Método de conexión
El registro de la sesión existe sin reproducción
La grabación estaba desactivada para ese activo, o la retención ha vencido
Revise la configuración de grabación y Configuración del sistema › Retenciones
A dónde ir después
Una vez que un activo funciona de extremo a extremo, el resto del entorno es repetición más política:
Registre los activos restantes en masa con Descubrir y archívelos con carpetas y etiquetas.
Deje de escribir credenciales una a una con plantillas de cuenta y póngalas en calendario con rotación.
Restrinja lo que puede ejecutarse dentro de una sesión concedida con inspección de comandos.
Sustituya las concesiones permanentes por acceso just-in-time allí donde el acceso sea ocasional.
Traiga a las personas desde su directorio con LDAP y Active Directory y exija MFA.
Páginas relacionadas
Conceptos fundamentales, los cuatro objetos que esta página encadena
Atualizado
Isto foi útil?