Bemutatkozik a Psono Gateway

Örömmel jelentjük be a Psono Gateway megjelenését, amely új lehetőséget kínál a csapatok számára, hogy biztonságos, böngészőalapú SSH-, RDP- és VNC-munkameneteket indítsanak el közvetlenül a Psono-ban tárolt kapcsolati bejegyzésekből. Ez egyesíti a titkosításokat (secrets) és a távoli elérést egyetlen, szabályozott munkafolyamatban anélkül, hogy a felhasználóknak másolniuk kellene a hitelesítő adatokat, vagy közvetlenül ki kellene tenniük a célrendszereket a saját eszközeik számára.

A Psono Gateway kizárólag a Psono Enterprise Edition részeként érhető el, és érvényes Enterprise Edition licencet igényel. A Community Edition szerverrel nem használható.

Távoli hozzáférés a jelszókezelőből

Az adminisztrátorok gyakran nem csak hitelesítő adatokat, hanem külön eszközt is igényelnek ahhoz, hogy kapcsolódjanak egy szerverhez, munkaállomáshoz vagy más védett rendszerhez. Ez felesleges lépésekhez vezet, és elősegítheti, hogy a hitelesítő adatok vágólapra, terminálokba vagy helyileg elmentett kapcsolati profilokba kerüljenek.

A Psono Gateway használatával a felhasználók SSH-, RDP- vagy VNC-kapcsolati bejegyzést nyithatnak meg, majd kiválaszthatják az Indítás (Launch) lehetőséget. A Psono feloldja az engedélyezett hitelesítő adatokat, kiválaszt egy elérhető Gateway-t, és a munkamenetet megnyitja a böngészőben. Ugyanez a folyamat elérhető a Psono webklienssel és alkalmazással is.

A Psono Gateway az elismert Apache Guacamole kliens nélküli távoli asztali átjáróra (remote desktop gateway) épül. A Guacamole-t integráltuk a Psono titkosított titokkezelésével, jogosultsági rendszerével, Gateway klasztereivel, valamint webes és mobil klienseivel, hogy a Psono környezetekhez célzott indítási folyamatot biztosítsunk.

Főbb jellemzők

• SSH, RDP és VNC a böngészőben: Linux szerverekhez, Windows rendszerekhez és VNC asztalokhoz kapcsolódhat, anélkül, hogy dedikált protokollkliens-t kellene telepítenie a felhasználó eszközére.
• Rugalmas hitelesítés: Használhatja a kapcsolati bejegyzésben közvetlenül tárolt hitelesítő adatokat, hivatkozhat egy alkalmazásjelszóra (Application Password), vagy személyes felhasználónévvel SSH-kulcsot is alkalmazhat.
• Titkosított indítási átadás: Az ügyfél (client) egy új indítási kulccsal titkosítja a kapcsolat leírását. A Psono szerver engedélyezi és irányítja a kérést, de nem fejti vissza a célhitelesítő adatokat.
• Rövid élettartamú, egyszer használható indítás: Minden munkamenet egy ideiglenes indítási kóddal kezdődik, amelyet atomikusan fogyaszt el a rendszer, és nem lehet újra felhasználni.
• Folyamatos jogosultság-ellenőrzés: A Psono a munkamenet indításakor ellenőrzi a hozzáférést, és az aktív indításokat rendszeresen újraértékeli. Így a visszavont felhasználók, munkamenetek, titokjogosultságok vagy Gateway-hozzáférés érvényteleníthetik a kapcsolatot.
• Finomhangolható Gateway-hozzáférés: Az adminisztrátorok a Gateway-klasztert elérhetővé tehetik mindenki számára, vagy kiválaszthatják, hogy csak kijelölt felhasználók és csoportok használhatják.
• Magas rendelkezésre állás: Több Gateway példány is csatlakozhat egy klaszterhez. A Psono minden új indításhoz aktív példányt választ, és ha egynél több klaszter elérhető, a felhasználók is választhatnak közöttük.
• Rugalmas üzembe helyezés: A konténer tartalmazza a Gateway webalkalmazását és egy beépített guacd démont SSH, RDP és VNC számára. Külső guacd is használható, ha erősebb folyamat- vagy hálózati izoláció szükséges.

Hogyan működik

1. Egy felhasználó elindít egy elmentett SSH-, RDP- vagy VNC-kapcsolatot a Psono-ból. Az ügyfél meghatározza a kapcsolat konfigurált hitelesítési forrását, és az ehhez minimálisan szükséges kapcsolat részleteit egy új kulccsal titkosítja.
2. A Psono Enterprise Szerver ellenőrzi a felhasználó tokenjét, a kapcsolati bejegyzéshez való olvasási hozzáférését és a kiválasztott Gateway-klaszter használatának jogosultságát. Ezután kiválaszt egy aktív Gateway példányt, és visszaad egy rövid élettartamú, egyszer használható indítási kódot.
3. A felhasználó böngészője közvetlenül az adott Gateway-hez csatlakozik HTTPS-en keresztül. A Gateway atomikusan kicseréli az indítási kódot, és memóriában visszafejti a kapcsolat részleteit.
4. A beépített vagy külső guacd démon megnyitja az SSH-, RDP- vagy VNC-kapcsolatot a Gateway hálózatából a célrendszerhez. A Psono szerver soha nem kezdeményez kapcsolatot sem a Gateway-hez, sem a célrendszerhez.
5. Amíg a munkamenet aktív, a Gateway rendszeresen lekérdezi a Psono szervertől, hogy az indítás továbbra is engedélyezett-e. A tétlen és abszolút időtartamú időkorlátok további munkamenethatárokat biztosítanak.

Ez a szétválasztás lehetővé teszi, hogy a szervezetek a Gateway-t közel helyezzék el a védett rendszerekhez, miközben a felhasználóknak csak HTTPS-hozzáférésre van szükségük a Psono-hoz és a Gateway-hez. A tűzfal-szabályok továbbra is priváttá tehetik az SSH-, RDP- és VNC-szolgáltatásokat, miközben a Gateway csak a kijelölt célhálózatokat éri el.

Szabályozott vállalati hozzáféréshez tervezve

A Gateway-klaszterek különböző helyszíneket, biztonsági zónákat vagy környezeteket is képviselhetnek. Az adminisztrátorok felhasználókat és csoportokat rendelhetnek a megfelelő klaszterekhez, figyelhetik a regisztrált Gateway-példányokat az Admin Portálon, illetve több példányt is futtathatnak a magas rendelkezésre állás érdekében. Ha egy felhasználónak több klaszterhez van hozzáférése, kiválaszthatja a megfelelőt az útvonalhoz, és ezt a választást el is mentheti egy kapcsolathoz.

A Gateway-hez történő közvetlen bejelentkezés szándékosan nem lehetséges. Minden munkamenetet hitelesített Psono kapcsolati bejegyzésből kell indítani. A hitelesítő adatokat kizárólag a kiválasztott Gateway fejti vissza az indításhoz, és csak emlékezetben kezeli a távoli munkamenet során ‒ a Psono szerver nem jeleníti meg azokat.

Első lépések

A Psono Gateway telepítéséhez engedélyezze a Gateway API-t a Psono Enterprise Szerverén, hozzon létre egy klasztert a Gateway kezelése (Gateway Management) menüben, állítsa be a felhasználói vagy csoportos hozzáférést, majd indítson el egy vagy több Gateway-konténert ott, ahol azok elérik a kívánt célrendszereket. Ezután a felhasználók SSH-, RDP- vagy VNC-kapcsolati bejegyzéseket hozhatnak létre, és indíthatják őket a Psono-ból.

A teljes telepítési, fordított proxy, tűzfal, magas rendelkezésre állás és frissítési útmutató elérhető a Psono Gateway dokumentációban.