Rotación de claves SSH de Password Vault
Aunque las contraseñas de las cuentas privilegiadas sean cambiadas y rotadas por el módulo Password Vault, los usuarios que hayan descargado claves privadas RSA para sus cuentas continúan iniciando sesión en los dispositivos de destino con estas claves privadas. Para evitar esto, las claves SSH pueden ser cambiadas periódicamente por el módulo Password Vault.
Password Vault admite los algoritmos criptográficos RSA, DSA, ECDSA, ED25519 y ECDH para operaciones con claves. Debe tenerse en cuenta que las longitudes de estos algoritmos pueden personalizarse dentro de Password Vault, y se recomienda revisar y controlar la configuración de Vault Configuration para administrar estas longitudes de algoritmos.
Para agregar una clave SSH a Password Vault:
- Vaya a Secretos > Bóveda.
- Abra la pestaña Bóveda .
- Haga clic en el botón Agregar y seleccione Agregar cuenta.
- Introduzca el Anfitrión, período de cambio y Nombre de usuario.
- Seleccione uno de los tipos de clave SSH como configuración. Esta acción cambia el campo Password por un campo Clave privada RSA.
- Establezca una conexión SSH con el dispositivo de destino y copie el contenido del archivo /home//.ssh/id_rsa (o cualquier otra ruta que incluya la clave privada RSA para el usuario)
- Pegue el archivo en el campo Clave privada RSA.
- Haga clic en Guardar.
La cuenta de Password Vault se guarda y se muestra en la sección Password Vault Accounts. A partir de este momento, si el tipo de cuenta es dinámico, la clave SSH se cambiará periódicamente. Si el tipo de cuenta es estático, la clave SSH permanecerá sin cambios.
El proceso de extracción y restablecimiento de la clave SSH es similar al de cualquier otra cuenta de Password Vault.
Los nuevos usuarios en un dispositivo de destino también pueden encontrarse utilizando una clave SSH de ese dispositivo. Esta funcionalidad se describe en la sección Descubrir nuevos usuarios y funciona de la misma manera que las otras estrategias.