Che cos'è un Safe?
Un Safe è l'oggetto in VaultPAM che concede l'accesso. Collega insieme quattro elementi:
- Chi — un elenco di utenti membri e gruppi.
- Quale Resource — il target verso cui la sessione viene indirizzata (un server RDP, host SSH, database, console web).
- Quale Account Binding — la credenziale che viene iniettata all'avvio della sessione.
- Secondo quale policy — è richiesta un'approvazione? è attiva la registrazione? gli appunti sono consentiti? è previsto un passaggio MFA aggiuntivo?
Perché esiste l'astrazione Safe
Gli approcci legacy collegano le credenziali direttamente agli utenti ("Alice ha la password di root"). Questo rende fastidioso l'offboarding, fastidiosa la rotazione e vaga l'audit. Con un Safe:
- Alice non vede mai la credenziale — viene iniettata dal proxy.
- Rimuovere Alice dal Safe revoca immediatamente il suo accesso.
- Ruotare la credenziale influisce uniformemente su ogni sessione.
- Ogni accesso viene controllato a livello di Safe, non disperso nei log degli eventi del sistema operativo.
Modello mentale
┌──────────┐ ┌──────────┐ ┌──────────────┐
│ Members │ ──► │ Safe │ ──► │ Resource │
└──────────┘ │ policy │ │ (RDP / SSH │
│ approval │ │ / HTTP) │
│ recording│ └──────────────┘
└────┬─────┘ ▲
│ │ credenziale
▼ │ iniettata dal
┌──────────┐ │ proxy
│ Account │──────────────┘
│ binding │
└──────────┘
Dimensioni della policy
Ogni Safe può impostare:
- Approvazione — nessuna / singolo approvatore / due approvatori ("quattro occhi").
- Registrazione — attivata / disattivata (attivata per impostazione predefinita; fortemente consigliata per target privilegiati).
- Appunti e trasferimento file — consentiti / bloccati / solo con audit.
- Passaggio aggiuntivo MFA — richiedi il passaggio aggiuntivo all'avvio della sessione anche se l'utente è già autenticato.
- TTL della sessione — durata massima.
- Orari validi — finestre orarie in cui il Safe è utilizzabile.