Asignar credenciales de Kron PAM a cuentas del sistema de destino
En algunos casos, hay más de una cuenta de usuario privilegiada en el sistema de destino y diferentes grupos de usuarios utilizan diferentes cuentas privilegiadas para iniciar sesión en ellas. La función Assigned Credential hace coincidir a los usuarios de Kron PAM con diferentes usuarios del dispositivo de destino desde Bóveda de contraseñas.
En el siguiente ejemplo, el Usuario A desea conectarse al sistema de destino con la Cuenta X y el Usuario B desea conectarse al dispositivo de destino con la Cuenta Y. En este caso, el Usuario A está asignado a la Cuenta X y el Usuario B está asignado a la Cuenta Y.
Se deben seguir los siguientes pasos para configurar la función Assigned Credential y habilitar su uso para un grupo de dispositivos.
Este grupo de dispositivos debe agregarse previamente a un dominio de dispositivos con el grupo de usuarios que incluya a los usuarios.
- Inicie sesión en la Web GUI de Kron PAM como administrador.
- Vaya a Dispositivos > Inventario > Grupos de dispositivos.
- Haga clic en el Device Group deseado y seleccione Propiedades.
- Haga clic en los botones Editar y luego Siguiente .
- En Credenciales adicionales active la propiedad Add Assigned Credential to Credential Selection.
Para configurar las credenciales asignadas para diferentes usuarios, guarde las cuentas en el Vault antes de hacer cualquier otra cosa. Después de guardar estas cuentas, siga estos pasos:
- Inicie sesión en la Web GUI de Kron PAM como usuario administrador.
- Configure la cuenta de Vault para el sistema de destino.
- Vaya a Usuario > Credencial asignada.
- Haga clic en el botón Agregar y continúe con Selección de usuario y Seleccionar cuenta de Vault el usuario de Kron PAM como User y la cuenta de Vault como Cuenta de bóveda.
- Haga clic en el botón Guardar .
Una vez completados estos pasos, las credenciales asignadas se utilizarán para la conexión cada vez que los usuarios definidos intenten abrir una sesión RDP.
Para mostrar únicamente las cuentas que coincidan con el dominio relevante al listar usuarios desde la cuenta de Vault antes de la sesión RDP, siga estos pasos:
- Vaya a Secretos > Configuración.
- Seleccione Directorio Activo > Conexión > Dominio LDAP.
- Complete el campo Dominio LDAP.
- Seleccione Directorio Activo > Varios
- Configure Mostrar cuentas en las opciones de inicio de sesión automático solo si los dominios coinciden.
- Vaya a Conexión y complete LDAP base DN según el dominio.
- Vaya a Dispositivos > Inventario > Dispositivo relacionado > Propiedades personalizadas.
- Agregue la clave de parámetro remoteDesktop.domain con el nombre de dominio LDAP.
La opción Intervalo de tiempo especificado en la pantalla Credencial asignadahace posible conectarse y realizar acciones para las cuentas de Vault definidas en los servicios Solicitud remota, Proxy SSH, y Proxy HTTPdentro de un intervalo de tiempo específico. Una vez que el tiempo haya expirado, la asignación de credenciales finalizará y la cuenta no se mostrará entre las opciones de conexión.
