Présentation de Psono Gateway

Nous sommes ravis d’annoncer la sortie de Psono Gateway, une nouvelle solution permettant aux équipes de lancer des sessions SSH, RDP et VNC sécurisées directement depuis leur navigateur, à partir des entrées de connexion stockées dans Psono. Ce système réunit secrets et accès à distance dans un flux de travail contrôlé, sans que l’utilisateur ait à copier des identifiants ou exposer les systèmes cibles à leur propre appareil.

Psono Gateway est disponible dès aujourd’hui exclusivement pour Psono Enterprise Edition et requiert une licence Enterprise Edition valide. Il ne peut pas être utilisé avec le serveur Community Edition.

Accès à distance depuis le gestionnaire de mots de passe

Les administrateurs ont souvent besoin à la fois d’un identifiant et d’un outil distinct pour se connecter à un serveur, un poste de travail ou un autre système protégé. Cela implique des étapes supplémentaires et peut encourager le transfert d’identifiants dans le presse-papiers, un terminal ou des profils de connexion enregistrés localement.

Avec Psono Gateway, l’utilisateur peut ouvrir une entrée de connexion SSH, RDP ou VNC et sélectionner Démarrer. Psono résout les informations d’identification autorisées, sélectionne une passerelle disponible puis ouvre la session dans le navigateur. Ce même flux de travail est disponible dans le client web Psono et dans l’application Psono.

Psono Gateway s’appuie sur Apache Guacamole, la passerelle d’accès à distance sans client de référence. Nous avons intégré Guacamole avec la gestion chiffrée des secrets de Psono, son modèle d’autorisation, les clusters Gateway, et les clients web et mobiles pour offrir un flux de lancement dédié aux environnements Psono.

Fonctionnalités principales

• SSH, RDP et VNC dans le navigateur : Connectez-vous à des serveurs Linux, des systèmes Windows ou des bureaux VNC sans installer de client de protocole dédié sur l’appareil de l’utilisateur.
• Authentification flexible : Utilisez des identifiants stockés dans une entrée de connexion, référencez un mot de passe d’application ou utilisez une clé SSH avec un nom d’utilisateur personnel.
• Transfert chiffré pour le lancement : Le client chiffre le descripteur de connexion avec une clé de lancement fraîchement générée. Le serveur Psono autorise et achemine la demande sans jamais déchiffrer les identifiants cibles.
• Lancements temporaires, à usage unique : Chaque session démarre avec un code de lancement temporaire, consommé de manière atomique et impossible à réutiliser.
• Autorisation continue : Psono vérifie l’accès au démarrage de la session et revalide régulièrement les lancements actifs ; ainsi, la révocation d’utilisateurs, de sessions, de droits sur un secret ou l’accès à une passerelle peuvent invalider une connexion.
• Accès granulaire aux Gateways : Les administrateurs peuvent rendre un cluster Gateway disponible à tous ou le restreindre à certains utilisateurs ou groupes.
• Haute disponibilité : Plusieurs instances Gateway peuvent rejoindre un même cluster. Psono sélectionne une instance active pour chaque lancement, et les utilisateurs peuvent choisir entre plusieurs clusters si plusieurs sont disponibles.
• Flexibilité de déploiement : Le conteneur inclut l’application web Gateway et un démon guacd intégré pour SSH, RDP et VNC. Il est également possible d’utiliser un guacd externe si un isolement réseau ou des processus renforcés sont nécessaires.

Fonctionnement

1. Un utilisateur lance une connexion SSH, RDP ou VNC enregistrée depuis Psono. Le client résout la source d’authentification configurée et chiffre les détails de connexion minimaux avec une nouvelle clé.
2. Le serveur Psono Enterprise vérifie le jeton de l’utilisateur, son droit de lecture sur l’entrée de connexion et l’autorisation d’utiliser le cluster Gateway sélectionné. Il choisit ensuite une instance active et renvoie un code de lancement temporaire à usage unique.
3. Le navigateur de l’utilisateur se connecte directement, en HTTPS, à la Gateway sélectionnée. La Gateway échange le code de lancement de façon atomique et déchiffre les détails de connexion en mémoire.
4. Le démon guacd intégré ou externe ouvre ensuite la connexion SSH, RDP ou VNC vers le système cible depuis le réseau du Gateway. Le serveur Psono n’initie jamais de connexion vers la Gateway ou la cible.
5. Pendant la session, la Gateway demande régulièrement au serveur Psono si le lancement reste autorisé. Des délais d’inactivité et des durées maximales ajoutent des limites de session supplémentaires.

Cette séparation permet aux organisations de placer la Gateway à proximité des systèmes protégés, tandis que les utilisateurs n’ont besoin que de l’accès HTTPS à Psono et à la Gateway. Les règles de pare-feu peuvent garder privés les services SSH, RDP et VNC tout en autorisant le Gateway à atteindre uniquement les réseaux cibles prévus.

Conçu pour un accès contrôlé en entreprise

Les clusters Gateway peuvent représenter différents sites, zones de sécurité ou environnements. Les administrateurs peuvent attribuer des utilisateurs et groupes aux clusters appropriés, surveiller les instances Gateway enregistrées dans le Portail Admin et faire tourner plusieurs instances pour assurer la disponibilité. Lorsque les utilisateurs ont accès à plusieurs clusters, ils peuvent choisir le bon itinéraire et éventuellement mémoriser ce choix pour une connexion donnée.

La connexion directe à Psono Gateway est sciemment indisponible. Chaque session doit provenir d’une entrée de connexion Psono autorisée. Les identifiants ne sont déchiffrés que par la Gateway sélectionnée pour le lancement et sont conservés en mémoire pendant la session distante, sans jamais être révélés par le serveur Psono.

Pour démarrer

Pour déployer Psono Gateway, activez l’API Gateway sur votre serveur Psono Enterprise, créez un cluster dans la Gestion des Gateways, configurez l’accès utilisateur ou groupe, puis lancez un ou plusieurs conteneurs Gateway là où ils peuvent atteindre les systèmes cibles souhaités. Les utilisateurs peuvent alors créer des entrées de connexion SSH, RDP ou VNC puis les lancer directement depuis Psono.

Vous trouverez l’ensemble des instructions d’installation, configuration du proxy inverse, du pare-feu, de la haute disponibilité et des mises à jour dans la documentation de Psono Gateway.