Acesso privilegiado · PAM

Acesso de administrador por pedido, com prazo.

As contas de administração de servidores e bases de dados deixam de ser partilhadas. A pessoa pede acesso por um período, um grupo aprova quando o perfil o exige, a ativação é assinada com passkey e a sessão fica gravada. No fim, o acesso termina sozinho.

Falar sobre acesso privilegiado Ver como funciona

Cofre de credenciais
Aprovação por grupo
Sessões SSH gravadas
Rotação de palavras-passe

PAM · pedido de acessoexemplo ilustrativo

Conta: postgres @ db-prod-01
Tipo: Sessão gravada (SSH)
Duração: 30 min
Justificação: Corrigir o incidente INC-311
Aprovações: 2 de 2 · grupo DBA

A gravar · 00:12:48

Gravação seladaancorada na cadeia de auditoria

Pedido
Aprovado
Ativado com passkey
Gravação selada

Em vídeo

Acesso de administrador, pedido e gravado.

Locução em inglês, com legendas em português e em inglês. Ecrãs reais do produto; pessoas, organizações e montantes são fictícios.

Como funciona

Do pedido à gravação.

As sessões passam por um equipamento Edge instalado na sua rede, que liga as pessoas aos servidores e grava o que acontece.

01 · Pedido
A conta certa, pelo tempo certo

A pessoa escolhe a conta, o tipo de acesso, a duração, a justificação e, se quiser, o ticket associado.
02 · Aprovação
Um grupo decide

O perfil de acesso define quem aprova, quantas aprovações são precisas, a duração máxima e o que é permitido. Ninguém aprova os próprios pedidos.
03 · Ativação
Cada passo é assinado

Ativar o acesso e revelar uma credencial pedem a passkey, que assina exatamente aquele pedido. Na consola, as decisões dos aprovadores também.
04 · Sessão
Gravar, observar, terminar

As sessões podem ser observadas e terminadas, e as gravações ficam seladas e ancoradas na auditoria. As palavras-passe podem rodar automaticamente.

Exemplo ilustrativo

Um incidente às 2h00, sem partilhar a palavra-passe de root.

O Rui está de piquete e precisa de entrar na base de dados de produção. Pede uma sessão gravada de 30 minutos e indica o incidente. Dois colegas do grupo de DBA comparam o código do pedido com o Rui e aprovam, na consola ou no telemóvel.

O Rui ativa o acesso com a passkey e abre o terminal web. Quando termina, liberta o acesso. Algumas contas mudam de palavra-passe na devolução, e a gravação fica disponível para revisão.

Controlo

Menos segredos partilhados.

Cofre e rotação

Credenciais que ninguém decora

Credenciais cifradas no cofre, nunca mostradas de novo após o registo
Rotação automática de palavras-passe
Chave de custódia offline para o cofre
Registo de servidores e das respetivas contas privilegiadas

Regras

Quem pede, quem aprova

Perfis com grupos aprovadores, quórum e duração máxima
Controlo a dois para alterações sensíveis
Grupo de emergência com pelo menos dois membros
Regras da política para pam.session, pam.checkout e pam.jit

Prova

O que fica registado

Recibo assinado de cada decisão
Gravações seladas e ancoradas na auditoria
Retenção configurável e retenção legal
Sessões ao vivo visíveis e termináveis

O que convém saber

Disponível hoje: sessões SSH e SFTP gravadas, retirada de credenciais e contas temporárias. RDP no browser e com o mstsc e sessões PostgreSQL estão em integração final: veja o pilar PAM.
A aprovação no momento da ligação também ainda não está disponível.
O acesso privilegiado precisa de um equipamento Edge na sua rede.
Por omissão, cada organização tem até 10 gateways e 500 GiB de gravações; o fornecedor pode ajustar estes limites.

No centro de ajuda

Piloto

Comece por um servidor crítico.

Um servidor, as suas contas privilegiadas e um grupo aprovador. Instalamos consigo o equipamento Edge e definimos o primeiro perfil de acesso.

geral@authguard.pt