우리는 팀이 Psono에 저장된 연결 항목에서 직접 안전한 브라우저 기반 SSH, RDP, VNC 세션을 시작할 수 있는 새로운 방법인 Psono Gateway의 출시를 기쁜 마음으로 알립니다. 이 기능은 비밀 정보와 원격 접속을 하나의 통제된 워크플로우로 통합하여, 사용자가 자격 증명을 복사하거나 대상 시스템을 자신이 사용하는 기기에 직접 노출할 필요 없이 안전하게 사용할 수 있도록 합니다.
Psono Gateway는 오늘부로 Psono 엔터프라이즈 에디션에서만 독점적으로 제공되며, 유효한 엔터프라이즈 에디션 라이선스가 필요합니다. 커뮤니티 에디션 서버에서는 사용할 수 없습니다.
비밀번호 관리자로부터의 원격 접속
관리자들은 종종 서버, 워크스테이션 또는 기타 보호된 시스템에 접속하기 위해 자격 증명과 별도의 도구가 모두 필요합니다. 이로 인해 추가 단계가 발생하며 자격 증명이 클립보드, 터미널, 또는 로컬에 저장된 연결 프로필 등에 복사될 위험이 있습니다.
Psono Gateway를 사용하면 사용자는 SSH, RDP 또는 VNC 연결 항목을 열고 시작을 선택할 수 있습니다. Psono는 허용된 자격 증명을 확인하고, 사용 가능한 Gateway를 선택하여 브라우저에서 세션을 엽니다. 이 동일한 워크플로우는 Psono 웹클라이언트와 Psono 앱 모두에서 사용할 수 있습니다.
Psono Gateway는 검증된 클라이언트리스 원격 데스크톱 게이트웨이인 Apache Guacamole를 기반으로 개발되었습니다. 우리는 Guacamole을 Psono의 암호화된 비밀 처리, 권한 모델, Gateway 클러스터, 그리고 웹 및 모바일 클라이언트와 통합하여, Psono 환경에 특화된 자동화된 실행 흐름을 구현했습니다.
주요 기능
- 브라우저에서 SSH, RDP, VNC: 사용자의 기기에 별도의 프로토콜 클라이언트를 설치하지 않고 Linux 서버, Windows 시스템, VNC 데스크톱에 접속할 수 있습니다.
- 유연한 인증: 연결 항목에 직접 저장된 자격 증명, Application Password 참조, 또는 개인 사용자명과 SSH 키를 사용할 수 있습니다.
- 암호화된 실행 이관: 클라이언트는 새로운 실행 키로 연결 설명자를 암호화합니다. Psono 서버는 대상 자격 증명을 복호화하지 않고 요청을 승인하고 라우팅합니다.
- 단기간 사용, 1회 실행: 모든 세션은 임시 실행 코드로 시작되며, 이 코드는 원자적으로 소모되어 재사용될 수 없습니다.
- 지속적인 승인 검증: Psono는 세션이 시작될 때와 실행 중에도 주기적으로 접근 권한을 재확인합니다. 이에 따라 권한이 취소된 사용자, 세션, 비밀 권한, Gateway 접근 등 변경 시 연결이 무효화될 수 있습니다.
- 세분화된 Gateway 접근: 관리자는 Gateway 클러스터를 모두에게 공개하거나 선택된 사용자 및 그룹으로 제한할 수 있습니다.
- 고가용성: 여러 Gateway 인스턴스를 하나의 클러스터에 추가할 수 있습니다. Psono는 새로운 실행마다 활성 인스턴스를 선택하고, 둘 이상의 클러스터가 있을 경우 사용자가 클러스터를 선택할 수 있습니다.
- 유연한 배포: 컨테이너에는 Gateway 웹 애플리케이션과 SSH, RDP, VNC용 번들된
guacd데몬이 포함되어 있습니다. 더 강력한 프로세스 또는 네트워크 격리가 필요한 경우 외부guacd를 사용할 수도 있습니다.
동작 방식
- 사용자가 Psono에서 저장된 SSH, RDP 또는 VNC 연결을 실행합니다. 클라이언트는 연결의 구성된 인증 소스를 확인하고 최소 필요 연결 정보를 새 키로 암호화합니다.
- Psono 엔터프라이즈 서버는 사용자의 토큰, 연결 항목에 대한 읽기 권한, 선택한 Gateway 클러스터 사용 권한을 검증합니다. 이후 활성 Gateway 인스턴스를 선택하고 짧은 수명의 1회 실행 코드를 반환합니다.
- 사용자의 브라우저는 HTTPS를 통해 선택한 Gateway에 직접 연결합니다. Gateway는 실행 코드를 원자적으로 교환하고, 연결 정보를 메모리 내에서 복호화합니다.
- 번들되거나 외부의
guacd데몬이 Gateway 네트워크에서 대상 시스템으로 SSH, RDP, VNC 연결을 엽니다. Psono 서버는 Gateway나 대상에 직접 연결을 시작하지 않습니다. - 세션이 활성화된 동안, Gateway는 Psono 서버에 실행의 승인 여부를 주기적으로 확인합니다. 유휴 및 절대 시간 제한은 추가적인 세션 경계를 제공합니다.
이 구조는 조직이 Gateway를 보호된 시스템 근처에 설치할 수 있게 하며, 사용자는 Psono와 Gateway에 대해 HTTPS 접속만 필요합니다. 방화벽 규칙은 SSH, RDP, VNC 서비스를 비공개로 유지하고, Gateway만이 원하는 대상 네트워크에 접근할 수 있도록 설정할 수 있습니다.
통제된 엔터프라이즈 접근을 위한 설계
Gateway 클러스터는 서로 다른 위치, 보안 존, 환경을 대표할 수 있습니다. 관리자는 적절한 클러스터에 사용자와 그룹을 배정하고, 관리자 포털에서 등록된 Gateway 인스턴스를 감시하며, 가용성을 위해 여러 인스턴스를 실행할 수 있습니다. 사용자가 여러 클러스터 접근 권한이 있을 경우, 적합한 라우트를 선택하고 선택을 연결에 대해 기억시킬 수도 있습니다.
Psono Gateway에는 직접 로그인이 의도적으로 불가능합니다. 모든 세션은 승인된 Psono 연결 항목에서 시작되어야 합니다. 자격 증명은 실행을 위한 선택된 Gateway에서만 복호화되어, 원격 세션을 위해 메모리에 유지되며 Psono 서버에 의해 노출되지 않습니다.
시작하는 방법
Psono Gateway를 배포하려면, Psono 엔터프라이즈 서버에서 Gateway API를 활성화하고, Gateway 관리에서 클러스터를 생성한 뒤, 사용자 또는 그룹 접근 권한을 설정하고, 원하는 대상 시스템에 접근할 수 있는 위치에서 하나 이상의 Gateway 컨테이너를 실행하면 됩니다. 이후 사용자는 SSH, RDP, VNC 연결 항목을 만들어 Psono에서 실행할 수 있습니다.
전체 설치, 리버스 프록시, 방화벽, 고가용성, 업데이트 안내는 Psono Gateway 문서에 있습니다.
