AuthGuard Pedir demonstração

PAM · acesso privilegiado

Acesso total, só quando é preciso, e gravado.

O AuthGuard guarda as credenciais privilegiadas num cofre, dá acesso por pedido e por tempo limitado, e grava cada sessão: SSH no browser ou no seu cliente, ambiente de trabalho remoto e bases de dados. Aplicações e pipelines recebem segredos sem guardar palavras-passe.

Falar sobre PAM Ver como funciona
  • Just-in-time
  • Cofre e rotação
  • SSH · RDP · PostgreSQL
  • Segredos de aplicações
PAM · acessos ativosexemplo ilustrativo
  • SSH · db-prod-01gravadaTerminal web · Rui Matos · 00:12:48
  • RDP · srv-app-02gravadaAmbiente de trabalho no browser · credencial nunca mostrada
  • PostgreSQL · financasinstruçõespsql com bilhete de uso único · resultados não gravados
  • Segredo · pipeline de deploy5 minGitHub Actions · selado para a chave do job
Gravações seladasancoradas na cadeia de auditoria
  1. Pedido
  2. Aprovado 2 de 2
  3. Sessão gravada
  4. Selada

Em vídeo

Acesso total, só quando é preciso.

Locução em inglês, com legendas em português e em inglês. Ecrãs reais do produto; pessoas, organizações e montantes são fictícios.

Como funciona

Pedido, prazo, gravação.

As sessões passam por um equipamento Edge na sua rede; o cofre, as decisões e a auditoria ficam no AuthGuard.

  1. 01 · Pedido

    Just-in-time

    Sessão gravada, retirada de credencial ou conta temporária, com duração, justificação e ticket. Até três aprovações de grupos aprovadores, na consola ou no telemóvel, com código de comparação.

  2. 02 · Cofre

    Credenciais que ninguém vê

    Cofre só de escrita, cifrado com AES-256-GCM sob uma chave da organização protegida por KMS, com custódia offline opcional. Rotação por agenda, na devolução, depois de uma revelação ou de um acesso de emergência.

  3. 03 · Sessão

    SSH, RDP e bases de dados

    O gateway entra no servidor com a credencial do cofre. A pessoa usa o terminal web ou o seu cliente SSH, o ambiente de trabalho no browser ou o mstsc, e o seu cliente PostgreSQL.

  4. 04 · Prova

    Gravações seladas

    Gravações cifradas, encadeadas por hash, assinadas pelo gateway e ancoradas na auditoria. Sessões SSH e RDP podem ser observadas ao vivo e terminadas.

Aplicações e pipelines Em integração

Segredos sem palavras-passe guardadas no pipeline.

Um pipeline do GitHub Actions ou do GitLab, ou um service account do Kubernetes, prova quem é com o token que a própria plataforma emite. Servidores fora dessas plataformas assinam com a sua chave Ed25519, ES256 ou ML-DSA-65.

O AuthGuard troca essa prova por um token de 5 minutos, ligado por DPoP a uma chave que não sai do job, e entrega os segredos selados com cifra híbrida pós-quântica (X25519 + ML-KEM-768). Se algum nome pedido não for permitido, nada é entregue. Cada leitura fica registada e, numa rotação, a versão anterior continua válida 7 dias.

Exemplo ilustrativo

Emergência às 3h00: dois oficiais, uma hora, uma revisão.

O servidor de pagamentos falha e os aprovadores habituais não respondem. A Inês, do grupo de emergência, pede acesso de emergência (break-glass) com a referência do incidente; um segundo oficial confirma com a passkey dentro de 15 minutos.

O acesso dura no máximo 60 minutos. No fim, a credencial roda automaticamente e um administrador que não pertence ao grupo tem 72 horas para rever o que aconteceu.

Módulos

Cada acesso privilegiado, sob controlo.

Acesso just-in-time

Pedido, aprovação, prazo

  • Sessão gravada, retirada de credencial e conta temporária
  • Até 3 aprovações e 16 grupos aprovadores
  • Ativação, revelação e decisão confirmadas com passkey
  • Regras da política para pam.session, pam.checkout e pam.jit
Ver detalhe: Acesso privilegiado
Cofre e rotação

Credenciais que ninguém decora

  • Conectores Linux, chave SSH, conta local Windows, MySQL, PostgreSQL e HTTP
  • Contas temporárias criadas e removidas no fim
  • Rotação com novas tentativas e alerta
  • Custódia offline com X25519 + ML-KEM-768
SSH

Terminal web e cliente próprio

  • Terminal web com bilhete de 1 minuto
  • Cliente SSH próprio com a chave registada da pessoa
  • SFTP por perfil, com operações registadas
  • Índice de comandos reconstruído das teclas (melhor esforço)
RDP Em integração

No browser e com o mstsc

  • Ambiente de trabalho no browser, sem plug-ins
  • mstsc com credencial de uso único no gateway
  • Credencial do servidor nunca mostrada
  • Área de transferência só para o servidor, se o perfil permitir
Bases de dados Em integração

Sessões PostgreSQL

  • O cliente habitual: psql, DBeaver, DataGrip
  • Bilhete de uso único e TLS com verificação completa
  • Instruções gravadas; linhas de resultado não
  • Até 64 regras para alertar, bloquear ou terminar
Retenção

Gravações com prazo

  • Retenção de 30 dias a 10 anos
  • Retenção legal libertada só com segundo administrador
  • Apagamento RGPD destrói gravações sem retenção legal
  • Integridade visível: ancorada, incompleta ou falhada

O que convém saber

  • RDP no browser e com o mstsc, sessões PostgreSQL e segredos de aplicações estão em integração final. O resto do PAM está disponível hoje.
  • RDP: sem Kerberos, sem vários monitores e sem redirecionamento de unidades, impressoras, áudio, smart cards ou USB. Com o mstsc, não há área de transferência.
  • Bases de dados: por agora só PostgreSQL, e estas sessões não podem ser observadas ao vivo.
  • A aprovação no momento da ligação, o Kubernetes e as sessões de aplicações web ainda não estão disponíveis.
  • As gravações tornam visível qualquer alteração posterior; um gateway comprometido no momento da captura continua a ser um risco a considerar.
  • As sessões precisam de um equipamento Edge na sua rede.

No centro de ajuda

Piloto

Comece por um servidor crítico.

Um servidor, as suas contas privilegiadas e um grupo aprovador. Instalamos consigo o equipamento Edge e definimos o primeiro perfil de acesso.

geral@authguard.pt