Panoramica sulla rotazione delle credenziali
La rotazione delle credenziali è la pratica di sostituire una password privilegiata, una chiave SSH o un token su base programmata o su richiesta. Questo articolo spiega come funziona la rotazione in VaultPAM e come configurare i criteri di rotazione.
Per istruzioni dettagliate su come ruotare una credenziale manualmente adesso, consultare Ruotare una credenziale.
Cosa significa rotazione
Quando una credenziale viene ruotata, VaultPAM genera un nuovo secret e aggiorna il valore archiviato nel Safe. Il vecchio secret viene scartato. Se la credenziale è collegata a un account gestito su un sistema target, VaultPAM invia inoltre il nuovo valore a quel sistema.
La rotazione riduce la finestra di esposizione: anche se una credenziale viene compromessa, diventa non valida dopo la successiva rotazione.
Rotazione manuale vs automatica
| Modalità | Quando avviene | Chi la attiva |
|---|---|---|
| Manuale | Su richiesta | Operatore o Admin dalla vista Safe |
| Automatica | Su una programmazione configurata | Motore di rotazione VaultPAM |
| Attivata da evento | Dopo la fine di una sessione o di un evento specifico | Configurabile per Safe |
Impostazione della frequenza di rotazione
La frequenza di rotazione è configurata per Safe:
- Andare a Safes e aprire il Safe che si desidera configurare.
- Selezionare Settings > Rotation policy.
- Impostare l'intervallo di rotazione (giornaliero, settimanale, mensile o personalizzato in giorni).
- Facoltativamente, abilitare Rotate after session per ruotare la credenziale automaticamente al termine di ogni sessione.
- Salvare il criterio.
Stato di successo: Il Safe mostra la data e l'ora della successiva rotazione programmata. Gli eventi di rotazione vengono visualizzati nel Audit Log.
Motivazioni di conformità
La rotazione regolare delle credenziali è richiesta o consigliata da:
- NIS2 Articolo 21 -- misure di controllo di accesso e privilegio minimo
- SOC 2 CC6.1 -- controlli di accesso logico
- CIS Control 5 -- gestione degli account
Una rotazione massima di 90 giorni è una linea di base comune per gli account privilegiati. Per gli account di servizio con checkout automatico, si consigliano intervalli più brevi (7-30 giorni).