Psono Gatewayのリリースを発表できることを大変嬉しく思います。Psono に保存された接続エントリから、チームが安全なブラウザベースの SSH、RDP、VNC セッションを直接開始できる新しい方法です。秘密情報とリモートアクセスを 1 つの制御されたワークフローに統合し、ユーザーが認証情報をコピーしたり、ターゲットシステムを自分の端末に直接さらしたりする必要がありません。
Psono Gateway は本日よりPsono エンタープライズエディション専用で利用可能であり、有効なエンタープライズエディションライセンスが必要です。コミュニティエディションサーバーではご利用いただけません。
パスワードマネージャーからのリモートアクセス
管理者はサーバーやワークステーション、その他の保護されたシステムに接続するために、しばしば認証情報と別のツールの両方を必要とします。これは余分な手間となり、認証情報をクリップボードやターミナル、ローカルに保存した接続プロファイルへコピーしてしまう事態を引き起こしやすくなります。
Psono Gateway を使うと、ユーザーは SSH、RDP、VNC の接続エントリを開き、起動を選択できます。Psono は使用可能な認証情報を解決し、利用可能な Gateway を選択し、セッションをブラウザで開きます。同じワークフローは Psono ウェブクライアントや Psono アプリから利用可能です。
Psono Gateway は、実績のあるクライアントレスリモートデスクトップゲートウェイであるApache Guacamoleを基盤にしています。Psono の暗号化された秘密管理、認可モデル、Gateway クラスタ、ウェブやモバイルクライアントとの統合により、Psono 環境向けに特化した起動フローが実現されています。
主な特長
- ブラウザでの SSH、RDP、VNC: ユーザーの端末に専用プロトコルクライアントをインストールせずに、Linux サーバー、Windows システム、VNC デスクトップに接続可能。
- 柔軟な認証: 接続エントリに直接保存した認証情報、アプリケーションパスワードの参照、または個人のユーザー名と SSH キーを利用可能。
- 暗号化された起動引き継ぎ: クライアントは新しい起動キーで接続記述子を暗号化。Psono サーバーはターゲット認証情報を復号せずにリクエストを認可・中継します。
- 短時間・一度きりの起動: 各セッションは使い切りの短命な起動コードで開始され、再利用はできません。
- 継続的な認可: Psono はセッション開始時にアクセスを確認し、アクティブな起動も定期的に再検証。アクセス権剥奪や権限変更があれば、接続は無効化されます。
- きめ細やかな Gateway アクセス: 管理者は Gateway クラスタを全員に開放したり、特定のユーザーやグループのみに制限できます。
- 高可用性: 複数の Gateway インスタンスを 1 つのクラスタに参加させ可能。新たな起動ごとにアクティブなインスタンスが選ばれ、複数クラスタ利用時にはユーザーが選択できます。
- 柔軟なデプロイメント: コンテナには Gateway ウェブアプリと SSH・RDP・VNC 用のバンドル
guacdデーモンが含まれています。強力なプロセス隔離やネットワーク分離が求められる場合は外部guacdも利用できます。
仕組み
- ユーザーが Psono から保存された SSH、RDP、VNC 接続を起動。クライアントは接続の認証ソースを解決し、必要最小限の接続情報を新しい鍵で暗号化します。
- Psono エンタープライズサーバーはユーザーのトークン、接続エントリへの読み取り権限、選択した Gateway クラスタ利用権限を検証。その後、アクティブな Gateway インスタンスを選び、短命な使い切り起動コードを返します。
- ユーザーのブラウザが HTTPS 経由で選択された Gateway に直接接続。Gateway は起動コードを原子的に交換し、接続情報をメモリで復号します。
- バンドルまたは外部の
guacdデーモンが、Gateway ネットワークからターゲットシステムへの SSH、RDP、VNC 接続を確立。Psono サーバーが Gateway やターゲットへの接続を開始することはありません。 - セッションがアクティブな間、Gateway は定期的に Psono サーバーへ起動の認可継続を問い合わせます。アイドル・絶対タイムアウトにより追加のセッション制限を設けることができます。
この分離により、組織は Gateway を保護されたシステムの近くに配置でき、ユーザーは Psono および Gateway への HTTPS アクセスのみで十分です。ファイアウォールルールにより SSH、RDP、VNC サービスは非公開にし、Gateway からのみターゲットネットワークに到達できる設計が可能です。
制御されたエンタープライズアクセスのための設計
Gateway クラスタは異なる拠点やセキュリティゾーン、環境を表現できます。管理者は適切なクラスタへユーザーやグループを割り当て、管理ポータルで登録された Gateway インスタンスを監視し、可用性のために複数インスタンスを運用できます。複数クラスタへのアクセス権を持つユーザーは、ルートを選んで接続ごとに覚えさせることも可能です。
意図的に Psono Gateway への直接サインインはできません。すべてのセッションは認可済みの Psono 接続エントリから発生しなければならず、認証情報は選ばれた Gateway のみが起動時に復号、リモートセッションのためにメモリ上で保持され、Psono サーバーから開示されることはありません。
はじめよう
Psono Gateway をデプロイするには、Psono エンタープライズサーバーで Gateway API を有効化し、Gateway 管理でクラスタを作成、ユーザーやグループのアクセス権を設定し、ターゲットシステムにアクセス可能な場所で Gateway コンテナを立ち上げます。ユーザーは SSH、RDP、VNC 接続エントリを作成し、Psono から起動できます。
インストール手順、リバースプロキシ、ファイアウォール、高可用性、アップデート方法まで、すべてのガイドは Psono Gateway ドキュメントでご確認いただけます。
