Představujeme Psono Gateway

S nadšením oznamujeme vydání Psono Gateway, nového způsobu, jak mohou týmy zahajovat bezpečné SSH, RDP a VNC relace přímo z připojovacích záznamů uložených v Psono – vše v prohlížeči. Bezpečnosti a vzdálený přístup se tak propojují v jednom řízeném pracovním postupu, aniž by uživatelé museli kopírovat přihlašovací údaje nebo přímo vystavovat cílové systémy svým zařízením.

Psono Gateway je k dispozici ode dneška výhradně pro Psono Enterprise Edition a vyžaduje platnou Enterprise Edition licenci. Nelze jej použít se serverem Community Edition.

Vzdálený přístup přímo ze správce hesel

Administrátoři často potřebují nejen přihlašovací údaje, ale také oddělený nástroj pro připojení k serveru, pracovní stanici nebo jinému chráněnému systému. To přidává další kroky a může vést k tomu, že uživatelé kopírují přístupy do schránky, terminálu nebo je ukládají do místních konfiguračních souborů.

S Psono Gateway mohou uživatelé otevřít připojovací záznam pro SSH, RDP či VNC a jednoduše zvolit Spustit. Psono použije povolené přihlašovací údaje, vybere dostupný Gateway a otevře relaci v prohlížeči. Stejný pracovní postup je dostupný jak z Psono webového klienta, tak z mobilní aplikace.

Psono Gateway je založen na Apache Guacamole, ověřené bezklienské bráně pro vzdálené plochy. Guacamole jsme integrovali se šifrovanou správou tajemství v Psono, autorizační logikou, clusterováním Gateway, a s webovým či mobilním klientem pro snadné a bezpečné spouštění spojení v Psono prostředí.

Klíčové vlastnosti

• SSH, RDP a VNC přímo v prohlížeči: Připojte se na linuxové servery, Windows systémy a VNC pracovní plochy bez nutnosti instalace samostatných klientů na zařízení uživatele.
• Flexibilní autentizace: Použijte přístupové údaje uložené přímo v připojovacím záznamu, referencujte Aplikační heslo nebo použijte SSH klíč s osobním uživatelským jménem.
• Šifrované předání spojení: Klient zašifruje parametry spojení unikátním klíčem. Psono server autorizuje a zprostředkuje požadavek bez dešifrování cílových přístupových údajů.
• Krátce platná, jednorázová spojení: Každá relace začíná dočasným unikátním kódem, který se používá pouze jednou a nejde znovu využít.
• Průběžné ověřování: Psono ověřuje přístup při zahájení a pravidelně kontroluje aktivní spojení, takže zablokovaní uživatelé, sezení, práva k tajemství nebo přístup ke Gateway mohou spojení okamžitě zneplatnit.
• Granulární přístup ke Gateway: Administrátoři mohou zpřístupnit cluster Gateway všem nebo jen vybraným uživatelům a skupinám.
• Vysoká dostupnost: Více instancí Gateway může běžet v rámci clusteru. Psono vybírá aktivní instanci pro každé nové spuštění, a pokud je dostupných více clusterů, uživatel si může vybrat mezi nimi.
• Flexibilita nasazení: Kontejner obsahuje webovou aplikaci Gateway a vestavěný démon guacd pro SSH, RDP i VNC. Když je třeba větší oddělení procesů nebo sítí, lze použít i externí guacd.

Jak to funguje

1. Uživatel spustí uložené SSH, RDP nebo VNC připojení z Psono. Klient zjistí zdroj autentizace pro dané připojení a zašifruje potřebné detaily novým klíčem.
2. Psono Enterprise Server ověří uživatelský token, právo číst připojovací záznam i právo použít vybraný cluster Gateway. Poté vybere aktivní instanci Gateway a vrátí krátce platný jednorázový kód pro spuštění.
3. Prohlížeč uživatele se připojí přímo na vybranou Gateway přes HTTPS. Gateway jednorázově vymění kód za spojení a dešifruje údaje o připojení v paměti.
4. Vestavěný nebo externí démon guacd otevře SSH, RDP nebo VNC spojení ze sítě Gateway do cílového systému. Psono server nikdy neiniciuje spojení na Gateway ani na cíl.
5. Po dobu relace se Gateway pravidelně dotazuje Psono serveru na platnost spuštění. Nečinnost nebo maximální délka relace určují její konec.

Tato oddělenost umožňuje umístit Gateway blízko chráněným systémům, zatímco uživatelé potřebují pouze HTTPS přístup k Psono a Gateway. Pravidla firewallu tak mohou ponechat SSH, RDP a VNC služby soukromé a povolit Gateway přístup pouze do zamýšlených sítí.

Navrženo pro řízený podnikový přístup

Gateway clustery mohou reprezentovat různá pracoviště, bezpečnostní zóny či prostředí. Administrátoři přiřazují uživatele a skupiny do správných clusterů, sledují registrované Gateway instance v Admin Portálu a provozují více instancí pro vyšší dostupnost. Pokud má uživatel nárok na víc clusterů, může si zvolit vhodnou cestu a případně si tuto volbu pro připojení zapamatovat.

Přímé přihlášení do Psono Gateway úmyslně není dostupné. Každá relace musí být spuštěna z autorizovaného záznamu v Psono. Přihlašovací údaje dešifruje pouze vybraný Gateway pro dané spuštění a drží je v paměti jen po dobu vzdálené relace, nikdy nejsou předány Psono serverem.

Jak začít

Pro nasazení Psono Gateway povolte Gateway API na vašem Psono Enterprise Serveru, vytvořte cluster v Gateway Managementu, nastavte přístup uživatelským skupinám a spusťte jednu nebo více Gateway kontejnerových instancí v síti s přístupem k cílovým systémům. Uživatelé pak mohou vytvářet přístupové záznamy pro SSH, RDP nebo VNC a spouštět je přímo z Psono.

Kompletní návod pro instalaci, reverse proxy, firewall, vysokou dostupnost a aktualizace najdete v dokumentaci k Psono Gateway.