ПАО «Газпром»

Более одной политики сессий для пользовательских уз

В новой версии программного комплекса можно использовать разные политики для случая подключений под пользовательской учетной записью. Теперь можно разделить настройки записей сессий в зависимости от категории пользователей, например, включить только снятие скриншотов для рядовых пользователей и полную видеозапись для администраторов.

Колонка алексея миллера

Рад вас приветствовать на Петербургском международном экономическом форуме. И сегодня хотелось бы затронуть ряд очень важных, фундаментальных вещей. Думаю, все вы согласитесь с тем, что мы являемся свидетелями очень серьезных, тектонических изменений, которые происходят на сырьевых рынках.

И, самое главное, меняются экономические парадигмы.
В частности, происходит затухание Бреттон-Вудской системы-2. Мы с вами — свидетели ценовых шоков на газ, мы — свидетели сверхвысокой волатильности на сырьевых рынках и очень высокой инфляции. Но всё это началось не вчера, не сегодня. И здесь надо сказать, в кавычках, «огромное спасибо» зарубежным регуляторам и, в частности, европейским регуляторам.

Отображение адреса подключения в консоли пользователя и ssh proxy

Для удобства пользователей в списке доступных для подключения ресурсов в консоли и SSH Proxy теперь выводится адрес, который будет использован для доступа к ресурсу. Теперь пользователи смогут быстро сориентироваться и выбрать нужный ресурс для работы.

Ошибка

Подключение через ssh proxy напрямую к конечному ресурсу

В SSH Proxy добавлен новый режим подключения: теперь в строке подключения можно сразу указать имя ресурса и учетной записи, которые нужно использовать для открытия сессии. Это позволяет сразу открывать сессию, пропуская экран выбора подключения. Пример такой строки подключения:

Подтверждение открытия сессии администратором рам

Для работы подрядчиков или сотрудников компании в системах, жизненно важных для бизнеса могут потребоваться подключения к инфраструктуре компании, в которых администратор PAM должен подтверждать (одобрять) открытие каждой сессии. В Indeed PAM 2.3 добавлена опция “Открытие сессии требует подтверждения администратором PAM”.

Все запросы на подключение собраны в новом разделе в консоли управления. В нем администратор может просмотреть все запросы, чтобы подтвердить или отклонить их. Кроме этого, администратор PAM может получать почтовое уведомление каждый раз, когда появляется подключение, требующее подтверждения.

Работа с несколькими коллекциями приложений rds

Indeed Privileged Access Manager версии 2.3 умеет работать с несколькими коллекциями Remote Desktop Services, при этом имя коллекции теперь можно указать в настройках политики. Эта функция позволяет использовать одну инсталляцию PAM для нескольких филиалов или сегментов сети компании: для каждого филиала или сегмента разворачиваются собственные сервера RDS с отдельной коллекцией.

В зависимости от учетной записи подключение перенаправляется на соответствующие сервера (коллекцию). Таким образом, для оптимизации трафика, подключение пользователей можно обеспечить через ближайшие (локальные) сервера (пользователи сегмента 1 подключаются к серверам сегмента 1 и т.п.).

Разрешенные и запрещенные команды ssh

В версии 2.3 появилась возможность настраивать списки разрешенных и запрещенных команд для выполнения в сессиях SSH. Данная функция позволяет использовать проактивную защиту и снизить риск несанкционированных изменений в информационных системах. Администратор в настройках политик PAM задает, какие команды считать разрешенными, а какие — запрещенными.

Администратору доступны оба варианта конфигурации списков:

1. Запретить все, разрешить только некоторые команды.
2. Разрешить все, запретить только некоторые команды.

Для запрещенных команд можно задать желаемое поведение:

1. Завершить сессию.
2. Прервать выполнение команды без завершения сессии.

Также администратор PAM может получать почтовое уведомление в случае ввода запрещенной команды.

Фиксированные ip адреса пользователя в данных сессии

В свойствах сессии теперь сохраняется IP адрес ПК, с которого происходило подключение пользователя к серверу PAM. Также доступен поиск по этому адресу в репозитории сессий. Это дает дополнительный инструмент контроля и расследования инцидентов администраторами PAM.

Фильтр по типу сервисного подключения на странице ресурсов

Для удобного поиска по ресурсам в консоль администратора PAM на странице ресурсов добавлен фильтр по типу сервисного подключения. Это облегчает поиск нужных ресурсов, например, так можно легко найти подключения к СУБД или веб конфигуратору сетевого оборудования.