Uma credencial just-in-time (JIT) dá a uma sessão privilegiada o acesso de que ela precisa apenas enquanto a sessão dura. O Segura® concede o acesso quando a sessão começa e o remove quando a sessão termina, de modo que nenhuma conta mantém privilégio permanente entre sessões.
Conceitos-chave
- Atribuição de privilégio: tipo de JIT em que a sessão utiliza a credencial configurada no Segura®. Um template atribui privilégio a essa credencial antes da sessão, e outro template o revoga depois. Nenhuma credencial nova é criada.
- Credencial efêmera: tipo de JIT em que o Segura® cria uma credencial nova com nome de usuário aleatório a cada sessão e abre a sessão com ela. A credencial configurada no Segura® não é utilizada para acessar o ativo.
- Execução do JIT: a configuração que decide qual dispositivo executa os templates do JIT para uma credencial de domínio. Dispositivo do domínio os executa no domínio. Dispositivo alvo os executa no dispositivo em que a sessão começa.
Como funciona
Os dois tipos de JIT diferem na credencial que a sessão privilegiada utiliza:
- Atribuição de privilégio mantém a identidade de uma conta existente. Utilize-o quando as pessoas precisam trabalhar com a própria credencial pessoal e só precisam de mais privilégio durante a sessão. Os templates podem ativar a credencial, elevar o privilégio dela ou incluí-la em um grupo privilegiado.
- Credencial efêmera dá a cada sessão uma conta nova e descartável. Utilize-o quando ninguém deve reutilizar uma conta entre sessões.
Para uma credencial de domínio, Execução do JIT decide onde os templates são executados. Com Dispositivo do domínio, o Active Directory aplica a mudança e a replica para os outros dispositivos. Com Dispositivo alvo, a mudança acontece diretamente no dispositivo que a sessão utiliza, então a sessão não espera pela replicação.
Sessões simultâneas
O tipo de JIT e o local de execução determinam quantas sessões uma credencial aceita ao mesmo tempo:
- Atribuição de privilégio com Dispositivo do domínio: uma sessão por credencial. Revogar o privilégio da conta de domínio o encerraria em todos os dispositivos.
- Atribuição de privilégio com Dispositivo alvo: uma sessão por credencial em cada dispositivo. Sessões em dispositivos diferentes ocorrem em paralelo, e cada revogação afeta apenas o próprio dispositivo.
- Credencial efêmera: cada usuário pode manter uma sessão por credencial no mesmo dispositivo. Usuários diferentes podem trabalhar ao mesmo tempo, cada um com a sua própria credencial efêmera.
A política da credencial ainda pode proibir sessões simultâneas. O limite de sessões simultâneas do sistema vale para cada usuário e, com Credencial efêmera, também para cada credencial.
Como o Segura® libera acessos abandonados
Um acesso JIT pode ficar para trás quando um usuário fecha a tela de espera, quando uma sessão nunca começa ou quando uma remoção não é concluída. O Segura® libera esses acessos para que eles não bloqueiem novas sessões nem mantenham o privilégio:
- Uma nova solicitação de sessão do mesmo usuário libera ou reaproveita na hora o acesso anterior desse usuário.
- Uma verificação automática é executada a cada 5 minutos e libera os acessos sem uso há 30 minutos. Ela nunca encerra uma sessão em andamento.
- Quando o provisionamento falha, o Segura® remove o que já tinha concedido.
Cada acesso liberado fica registrado, com a data e o motivo, no relatório Sessões JIT.