Lab · 13 / 16
Amministratore per un’ora.
Un tecnico ha bisogno di root su un database di produzione per risolvere un incidente. Con il PAM nessuno ha quel potere in modo permanente: viene concesso per un compito, osservato e ritirato.
- Admin
- un tecnico con il suo account personale
- PAM
- vault, intermediario e registratore
- Approver
- una seconda persona che autorizza il lavoro
- Server
- un server di database di produzione
- accesso + MFA
Passo 1 di 6
Un account normale, un login forte
In parole semplici Entri nella stanza della cassaforte con il tuo badge e una seconda prova. Il tuo badge da solo non apre niente di importante.
Il tecnico accede al PAM con il suo account personale tramite l’IdP, con MFA resistente al phishing. Quell’account non ha diritti di amministratore propri.
- richiesta: root · db-prod-01 · 60 min
Passo 2 di 6
Richiesta di accesso a un solo target
In parole semplici Dici esattamente quale porta, per quanto tempo e perché, con il numero dell’incidente.
La richiesta indica il target, la durata e un ticket. Il PAM può verificare il ticket nello strumento ITSM e applicare policy: quali team possono chiedere quali server, e in quali orari.
target: db-prod-01 (root) duration: 60 min reason: INC-48213 · replication stuck mode: SSH via PAM proxy, recorded - approvi?
Passo 3 di 6
Quattro occhi
In parole semplici Una seconda persona guarda la richiesta prima che la chiave esca dalla cassaforte.
L’accesso in produzione richiede un approvatore diverso da chi chiede. Per le emergenze c’è un percorso break-glass: accesso immediato, verificato dopo.
- approvato · 60 min
Passo 4 di 6
Accesso concesso, con un timer
In parole semplici Il sì arriva con una scadenza: dopo un’ora la porta si chiude da sola.
L’approvazione è limitata nel tempo e legata al ticket. Sul server non è ancora cambiato nulla.
- sessione · credenziale iniettata
Passo 5 di 6
Il vault apre la sessione per teUn account creato solo per questo compito
In parole semplici Qualcuno ti apre la porta con la chiave master, e tu la chiave non la tocchi mai.Ti fanno una chiave che apre solo questa porta e si scioglie dopo un’ora.
Il PAM prende la password di root dal vault e la inietta nella sessione SSH tramite il suo proxy. Il tecnico non la vede mai. Ogni tasto e comando viene registrato, e i comandi rischiosi si possono bloccare.Il PAM crea un account temporaneo o aggiunge la persona a un gruppo admin solo per questa finestra: zero privilegi permanenti. La sessione passa comunque dal proxy e viene registrata.
$ ssh ada@pam-proxy.example.com -t db-prod-01 [PAM] sessione 7f3a registrata · termina 09:47 root@db-prod-01:~# systemctl restart replication - fine · ruota / rimuovi
Passo 6 di 6
La password viene ruotataL’account temporaneo viene rimosso
In parole semplici Quando restituisci la chiave, la serratura viene cambiata, quindi una copia sarebbe inutile.Allo scadere dell’ora la chiave non c’è più e non resta nulla da rubare.
Dopo la restituzione il PAM imposta una nuova password di root casuale. La registrazione e il log dei comandi vanno al SIEM, collegati al ticket e all’approvatore.Il PAM cancella l’account o rimuove l’appartenenza al gruppo. La registrazione e il log dei comandi vanno al SIEM, collegati al ticket e all’approvatore.
Flusso completato.
Domini e valori d’esempio. Nulla esce dal tuo browser.