A Segura® Platform oferece a possibilidade de utilizar credenciais Just-In-Time (JIT). Esta é uma configuração utilizada para gerenciar o tempo de utilização de serviços, como quando uma conta é criada, ativada ou necessita que permissões específicas adicionadas durante um período para execução de ações.
Note que após esse acesso, a conta é excluída, inativada ou removida.
A configuração de acesso JIT é feita no momento em que você cadastra ou edita uma credencial. Caso você esteja cadastrando uma credencial, acesse a documentação sobre Como configurar uma credencial no Segura®. Caso você esteja editando uma credencial, siga os passos abaixo:
- Na Segura® Platform, na barra de navegação, passe o mouse sobre o Menu de produtos e selecione PAM Core.
- No menu lateral, selecione Credenciais > Todas credenciais.
- Na listagem de credenciais, localize a credencial que você editar e, na coluna Ações, clique no botão de mesmo nome, e selecione, no menu suspenso, a opção Editar.
Antes de cadastrar uma credencial JIT, configure os templates do tipo de JIT que você vai utilizar: os templates de atribuição de privilégio e de revogação de privilégio, ou os de criação de credencial e de remoção de credencial. Você seleciona esses templates na credencial, e o Segura® os utiliza quando a sessão proxy é iniciada. Para mais informações, consulte Templates.
Os plugins não podem ser cadastrados pelo usuário.
No formulário de Cadastro da credencial, acesse a aba Configurações JIT e preencha os campos a seguir:
- Configurações de Just In Time: selecione Ativo.
- No menu suspenso Tipo de just in time, selecione o tipo que corresponde à credencial que a sessão privilegiada precisa utilizar:
- Atribuição de privilégio: a sessão utiliza a credencial configurada aqui. O Segura® executa o template de atribuição de privilégio nessa credencial antes do início da sessão, e o template de revogação de privilégio ao encerrar a sessão. Nenhuma credencial nova é criada. Utilize este tipo para ativar a credencial, elevar o privilégio dela ou incluí-la em um grupo privilegiado apenas durante a sessão.
- Credencial efêmera: o Segura® cria uma credencial nova com nome de usuário aleatório a cada sessão e abre a sessão com ela, no lugar da credencial configurada aqui. A credencial efêmera é removida ao encerrar a sessão.
- No campo Execução do JIT, selecione onde a automação do JIT é executada: Dispositivo do domínio ou Dispositivo alvo. Este campo aparece apenas para uma credencial de domínio. Para saber o que cada opção faz, consulte Onde a automação do JIT é executada.
- Na seção Configuração de autenticação, marque Utilizar a própria credencial para conectar para conectar com esta credencial. Caso contrário, desmarque a opção e selecione uma credencial no menu suspenso Credencial de autenticação.
- Com Atribuição de privilégio, se o template habilita uma conta desabilitada, utilize outra credencial. Uma conta desabilitada não consegue autenticar a própria habilitação.
Cada tipo de JIT tem a sua própria seção no formulário, com uma nota que descreve o que o tipo faz. Preencha a seção do tipo que você selecionou.
Caso você tenha selecionado Atribuição de privilégio, preencha os campos a seguir:
- No menu suspenso Plugin de atribuição de privilégio, selecione um dos plugins cadastrados.
- No menu suspenso Template de atribuição de privilégio, selecione um dos templates cadastrados.
- No menu suspenso Plugin de revogação de privilégio, selecione um dos plugins cadastrados.
- No menu suspenso Template de revogação de privilégio, selecione um dos templates cadastrados.
Caso você tenha selecionado Credencial efêmera, preencha os campos a seguir:
- No menu suspenso Plugin de criação de credencial, selecione um dos plugins cadastrados.
- No menu suspenso Template de criação de credencial, selecione um dos templates cadastrados.
- No menu suspenso Plugin de remoção de credencial, selecione um dos plugins cadastrados.
- No menu suspenso Template de remoção de credencial, selecione um dos templates cadastrados.
Ao final, clique em Salvar.
Onde a automação do JIT é executada
Para uma credencial de domínio, o Segura® executa os templates do JIT em um de dois dispositivos. O campo Execução do JIT decide qual deles, nos dois tipos de JIT:
- Dispositivo do domínio: a automação é executada no dispositivo vinculado à credencial. Este é o padrão. O Active Directory concede o privilégio no domínio e o replica para o dispositivo alvo.
- Dispositivo alvo: a automação é executada no dispositivo que a sessão tem como destino.
- Com Atribuição de privilégio, o template de atribuição de privilégio é executado nesse dispositivo quando a sessão é aberta, e o template de revogação de privilégio é executado nele quando a sessão termina.
- Com Credencial efêmera, o template de criação de credencial é executado nesse dispositivo. Por exemplo, ele inclui a conta efêmera no grupo de administradores locais do dispositivo quando a sessão é aberta. O template de remoção de credencial a retira quando a sessão termina.
Em um domínio distribuído entre regiões, a replicação pode demorar o suficiente para que o privilégio ainda não exista no dispositivo alvo quando a sessão começa. Dispositivo alvo concede o privilégio onde ele é utilizado, pelo tempo da sessão, sem esperar pela replicação.
Execução do JIT aparece apenas para uma credencial de domínio. Uma credencial local já executa a sua automação no próprio dispositivo.
A escolha vale para os dois templates do tipo de JIT selecionado. Selecioná-la não muda nada nas credenciais que você já configurou.
Requisitos para Dispositivo alvo
Com Dispositivo alvo, o Segura® abre uma conexão WinRM direta com cada dispositivo alvo e executa o template nele. Todo dispositivo utilizado dessa forma precisa estar acessível por WinRM.
O template de execução Windows RM precisa incluir !unsecure para WinRM HTTP na porta 5985. Confirme que o template escolhido tem essa linha antes de utilizá-lo.
Se o template não incluir !unsecure na porta 5985, o provisionamento falha em um handshake SSL. O operador vê a mensagem Ocorreu um erro ao provisionar a credencial. A sessão não abre, e a remoção correspondente fica registrada como cancelada.
Sessões simultâneas com uma credencial JIT
A quantidade de sessões privilegiadas que uma credencial JIT aceita ao mesmo tempo depende do tipo de JIT e de onde a automação é executada:
| Tipo de JIT | Execução do JIT | Sessões simultâneas |
|---|---|---|
| Atribuição de privilégio | Dispositivo do domínio | Uma sessão por credencial por vez. Habilitar a conta de domínio afeta todos os dispositivos, então encerrar uma sessão revogaria o privilégio das demais. |
| Atribuição de privilégio | Dispositivo alvo | Uma sessão por credencial em cada dispositivo. Sessões com a mesma credencial em dispositivos diferentes podem ocorrer ao mesmo tempo. Encerrar uma sessão revoga o privilégio apenas no próprio dispositivo. |
| Credencial efêmera | Qualquer | Cada usuário pode manter uma sessão por credencial no mesmo dispositivo. Usuários diferentes podem abrir sessões ao mesmo tempo com a mesma credencial e o mesmo dispositivo, cada um com a sua própria credencial efêmera. |
Duas configurações fora do JIT também limitam as sessões simultâneas:
- Permitir sessão simultânea?, na política da credencial, na aba Informações. Quando está definida como Não, o Segura® bloqueia uma nova sessão enquanto outra com a credencial estiver ativa. Mais informações em Políticas.
- Quantidade de sessões simultâneas do usuário (zero indica ilimitado), em Configurações > Parâmetros do sistema > Global, na seção Sessão remota. Ela limita as sessões remotas de cada usuário. Com Credencial efêmera, o Segura® também aplica esse número às sessões JIT de cada credencial. Mais informações em Parâmetros do sistema.
Para saber como o acesso JIT é liberado quando uma sessão termina ou é abandonada, consulte Modelos de credencial JIT e ciclo de vida da sessão.
Você ainda tem dúvidas? Entre em contato com a Comunidade Segura®.