Predstavujeme Psono Gateway

S radosťou oznamujeme vydanie Psono Gateway – nového spôsobu, ako môžu tímy bezpečne spúšťať SSH, RDP a VNC relácie priamo v prehliadači zo záznamov uložených v Psono. Spája uchovávanie tajomstiev a vzdialený prístup do jedného kontrolovaného workflowu, bez potreby kopírovania prihlasovacích údajov alebo vystavovania cieľových systémov priamo zariadeniam používateľov.

Psono Gateway je k dispozícii už dnes výhradne pre Psono Enterprise Edition a vyžaduje platnú licenciu pre Enterprise Edition. Nie je možné ho používať so serverom Community Edition.

Vzdialený prístup z manažéra hesiel

Administrátori často potrebujú okrem prístupového údaja aj samostatný nástroj na pripojenie k serveru, pracovnej stanici alebo inému chránenému systému. To znamená ďalšie kroky a môže viesť k tomu, že používateľ skopíruje prihlasovacie údaje napríklad do schránky, terminálu alebo lokálne uložených profilov spojení.

S Psono Gateway môžu používatelia otvoriť SSH, RDP alebo VNC záznam a kliknúť na Spustiť. Psono vyrieši povolené prihlasovacie údaje, vyberie dostupný Gateway a otvorí reláciu v prehliadači. Rovnaký spôsob funguje aj z webového klienta Psono aj z aplikácie Psono.

Psono Gateway je založený na Apache Guacamole, osvedčenom klientsko-bezpotrebnom riešení pre vzdialené pracovné plochy. Guacamole sme integrovali so šifrovanou manipuláciou s tajomstvami Psona, autorizačným modelom, Gateway clustermi a webovými či mobilnými klientmi, aby sme poskytli špecializovaný spôsob spúšťania spojení v Psono prostredí.

Kľúčové vlastnosti

• SSH, RDP a VNC v prehliadači: Pripojenie k Linux serverom, Windows systémom a VNC desktopom bez nutnosti inštalovať špeciálneho klienta na zariadenie používateľa.
• Flexibilná autentifikácia: Použitie údajov uložených priamo v zázname spojenia, referencie na Application Password alebo SSH kľúč s osobným používateľským menom.
• Šifrované odovzdanie spustenia: Klient zašifruje popis spojenia novým spúšťacím kľúčom. Server Psono žiadosť autorizuje a smeruje bez dešifrovania cieľových údajov.
• Jednorazové, krátkodobé spustenia: Každá relácia začína dočasným spúšťacím kódom, ktorý sa atómovo spotrebuje a nie je možné ho znovu použiť.
• Kontinuálna autorizácia: Psono overí prístup na začiatku relácie a opakovane počas nej, aby odobranie používateľov, relácií, práv k tajomstvám alebo Gateway prístupu mohlo spojenie okamžite ukončiť.
• Granulárny prístup ku Gateway: Administrátori môžu sprístupniť Gateway cluster všetkým alebo ho obmedziť len pre vybraných používateľov a skupiny.
• Vysoká dostupnosť: Do clusteru môže vstúpiť viacero Gateway inštancií. Psono pre každý nový štart vyberá aktívnu inštanciu a ak je k dispozícii viacero clusterov, používatelia si môžu zvoliť medzi nimi.
• Flexibilita nasadenia: Kontajner obsahuje webovú aplikáciu Gateway a zabalený daemon guacd pre SSH, RDP a VNC. Je možné použiť aj externý guacd, ak je potrebná silnejšia izolácia procesov alebo siete.

Ako to funguje

1. Používateľ spustí uložené SSH, RDP alebo VNC spojenie z Psona. Klient vyrieši zdroj autentifikácie daného spojenia a minimálne potrebné údaje zašifruje novým kľúčom.
2. Psono Enterprise Server overí token používateľa, právo čítať záznam spojenia a oprávnenie použiť zvolený Gateway cluster. Potom vyberie aktívnu Gateway inštanciu a vráti krátkodobý jednorazový spúšťací kód.
3. Prehliadač používateľa sa spojí priamo s vybraným Gateway cez HTTPS. Gateway atómovo vymení spúšťací kód a dešifruje údaje spojenia v pamäti.
4. Pribalený alebo externý daemon guacd otvorí z Gateway siete SSH, RDP alebo VNC spojenie na cieľový systém. Server Psono nikdy neiniciuje spojenie s Gatewayom ani cieľom.
5. Počas aktívnej relácie sa Gateway pravidelne pýta servera Psono, či je spustenie stále autorizované. Neaktivita a absolútne časové limity poskytujú ďalšie hranice pre reláciu.

Toto oddelenie umožňuje organizáciám umiestniť Gateway blízko chránených systémov, pričom používateľom stačí prístup do Psona a Gateway cez HTTPS. Firewall pravidlá môžu nechať SSH, RDP a VNC súkromné a povoliť Gateway len do zamýšľaných segmentov.

Navrhnuté pre kontrolovaný podnikový prístup

Gateway clustre môžu predstavovať rôzne lokácie, bezpečnostné zóny alebo prostredia. Administrátori môžu prideľovať používateľov a skupiny k jednotlivým clusterom, monitorovať registrované Gateway inštancie v Administrátorskom portáli a prevádzkovať viacero inštancií kvôli dostupnosti. Ak majú používatelia prístup do viacerých clusterov, môžu si vybrať správnu cestu a voľbu si prípadne pre spojenie uložiť.

Priame prihlásenie do Psono Gateway úmyselne nie je možné. Každá relácia musí začať z autorizovaného záznamu spojenia v Psono. Prístupové údaje dešifruje len vybraná Gateway na čas spustenia a uchováva ich len v pamäti počas vzdialenej relácie – nikdy ich neodhalí server Psono.

Ako začať

Na nasadenie Psono Gateway povolíte Gateway API na svojom Psono Enterprise Serveri, vytvoríte cluster v Gateway Managemente, nastavíte prístup pre používateľa alebo skupinu a spustíte jednu alebo viac Gateway kontajnerov v sieti, kde môžu dosiahnuť zamýšľané systémy. Používatelia potom môžu vytvárať SSH, RDP alebo VNC záznamy spojení a spúšťať ich priamo z Psona.

Kompletný inštalačný postup, vedenie pre reverzné proxy, firewall, vysokú dostupnosť a aktualizácie nájdete v dokumentácii k Psono Gateway.