Mergeți la conținutul principal

Ce este un Connector?

Un Connector este agentul ușor instalat în rețeaua dumneavoastră (centru de date, VPC, pe o stație de lucru) care permite VaultPAM să intermedieze sesiuni către ținte care nu sunt direct accesibile din internet.

De ce aveți nevoie de unul​

Țintele dumneavoastră (servere Windows, gazde Linux, baze de date) se află de obicei în spatele unui firewall. Nu doriți să deschideți găuri inbound pentru VaultPAM. Un connector rezolvă această problemă prin crearea unui tunel invers outbound către planul de control VaultPAM: sesiunile circulă prin acel tunel, deci nu sunt necesare modificări de firewall inbound.

Forme de implementare​

  • Docker (recomandat pentru servere) — un container per connector.
  • Program de instalare nativ — MSI (Windows), DMG (macOS), DEB/RPM (Linux).
  • Aparat VM — OVA pre-construit pentru mediile care doresc o imagine VM imuabilă, semnată.
  • Kubernetes — diagrama Helm (v2 roadmap) sau manifestele Kustomize pe care le furnizăm astazi.

Cum funcționează asocierea​

  1. Faceți clic pe Add Connector în dashboard. VaultPAM generează un token de înscriuere pentru o singură utilizare.
  2. Lansați connectorul cu tokenul (lipit într-un docker run, într-o solicitare de program de instalare nativ, sau — după ce AIC-1958 se implementează — printr-un flux de asociere automată prin browser).
  3. Connectorul prezintă tokenul, rezolvă o provocare de certificat și i se emite un certificat client mTLS legat la identitatea sa.
  4. În modul de repornire autonomă, identitatea emisă este stocată sub PAM_AGENT_DATA_DIR și trebuie să supraviețuiască repornindu-se. Utilizați un volum numit Docker sau montare bind, o cale VM/gazdă nativă durabilă, sau un PVC Kubernetes.
  5. De atunci, connectorul menține deschis un tunel TLS outbound către planul de control. Sesiunile sunt multiplexate pe acel tunel.

Moduri de rulare​

Connectorul are două moduri de suport:

  • Modul de repornire autonomă: connectorul are /data persistent sau echivalent stare locală durabilă, deci identitatea supraviețuiește repornindu-se și connectorul se reconectează de la sine.
  • Modul de recuperare ghidat: connectorul rulează fără /data persistent, deci identitatea poate fi pierdută la repornire și interfața utilizator ghidează recuperarea. Starea internă de rulare este needs_recovery; interfața o redă ca Needs recovery.

În ambele moduri, configurația connector-ului trebuie să rămână disponibilă separat de identitatea de rulare. Configurația este stare deținută de implementare și nu trebuie pierdută pur și simplu pentru că /data nu este persistent. Configurația nu trebuie să includă tokeni de bootstrap, chei private, material privat de certificat, sau secrete decriptate.

Accesibilitate și rutare​

O resursă indică care Connector o poate atinge. Dacă aveți mai mulți Connectori în rețele diferite, fiecare resursă indică spre cel corect. VaultPAM nu încearcă niciodată să ajungă la țintă direct — doar prin intermediul unui Connector.

Stare de funcționare​

Un Connector raportează o pulsație la fiecare 10 s. Dacă pulsația se oprește, dashboard-ul arată Offline și Connectorul este eliminat din deciziile de rutare până la recuperare. Sesiunile în curs prin intermediul unui Connector offline se întrerup ușor.

Articole conexe​

Ultima actualizare la
Report an issue with this page