В BI.ZONE PAM 2.7 расширили возможности автоматической смены паролей, добавили подключение к ресурсам без предварительного внесения в платформу и доработали разграничение доступа и аудит.
Управление паролями
Администраторы могут настраивать политики ротации паролей: назначать смену на конкретные даты или задавать периодичность, указывать разрешенные и запрещенные дни и временные интервалы. Смена паролей и проверка их актуальности выполняются по расписанию или вручную.
Автоматическая смена паролей поддерживается в Active Directory, кластерах Linux-серверов, Oracle, PostgreSQL и Platform V Pangolin DB. Для доменных учетных записей Active Directory доступна также проверка актуальности паролей, для Oracle — работа с кластерными конфигурациями ADG и RAC.
Поддержку других систем можно добавить с помощью собственных скриптов ротации и проверки. Перед запуском платформа сверяет хеш-сумму скрипта с зарегистрированным значением и блокирует выполнение при несовпадении.
В Linux-кластере одна учетная запись использует общий пароль на всех узлах. Перед ротацией платформа проверяет доступность каждого узла. Если хотя бы один недоступен, смена пароля не запускается, а проблемный узел фиксируется в журнале аудита. При неуспешной ротации пароль в хранилище секретов остается прежним.
Подключение к динамической инфраструктуре
В версии 2.7 появились ad-hoc-подключения: пользователь может указать IP-адрес или полное доменное имя ресурса (FQDN), даже если его заранее не добавили в платформу. Адрес должен входить в разрешенный администратором диапазон.
Мастер подключений находит подходящие ресурсы по введенному адресу. Если разрешить FQDN не удается, платформа выводит предупреждение. Такой подход избавляет администратора от необходимости заранее добавлять каждый сервер.
Разграничение доступа и аудит
Пользователи больше не видят в списках и отчетах объекты, контейнеры и политики, к которым у них нет доступа. Права на разные сущности внутри одного раздела разграничиваются на уровне контейнеров, в том числе с учетом принадлежности пользователей к отделам и группам.
Удаленные учетные записи, роли, воркеры и скрипты теперь сохраняются в базе с отметкой об удалении. История изменений остается доступной для аудита и расследования инцидентов. При этом можно создать новый объект с теми же параметрами, не затрагивая историю прежнего.
