I. Instalacja i konfiguracja Password Manager Pro v. 8 1. Ze strony https://www.manageengine.com/products/passwordmanagerpro/download.html pobieramy plik instalacyjny. 2. Instalacja jest prosta i instynktowna, główną opcją do wyboru jest wybranie miejsca instalacji na dysku twardym. Poniższy rysunek przedstawia wybór typu serwera (serwer główny lub serwer redundantny). Jeżeli jest to nasza pierwsza instalacja wybieramy opcję serwer główny. 3. Klikamy NEXT, system poinformuje nas o tym, że program antywirusowy może zakłócić działanie bazy danych i powinniśmy zrobić wyjątek w tym programie: Status: Publiczny Wersja z dnia: 16 marca 2016 Strona: 1 z 28
4. Klikamy NEXT, przechodzimy do strony opcjonalnej rejestracji. Wymagane jest wpisanie adresu e-mail. 5. Przechodzimy do instalacji programu: Status: Publiczny Wersja z dnia: 16 marca 2016 Strona: 2 z 28
6. Po zakończeniu instalacji istnieje możliwość zaznaczenia opcji przeczytania pliku readme oraz start programu od razu. 7. Po starcie serwera możemy otworzyć w przeglądarce okno logowania. Dostęp: https://adresipserwera:7272. Pierwszy domyślny login i hasło to: admin Status: Publiczny Wersja z dnia: 16 marca 2016 Strona: 3 z 28
8. Po zalogowaniu pojawi się menu Home, w którym pokazane są pierwsze kroki konfiguracji systemu i proces przebiegu pracy w PMP Work Flow w PMP. 9. Konfiguracja serwera poczty 10. Dostaniemy mailem potwierdzenie ustawień. Status: Publiczny Wersja z dnia: 16 marca 2016 Strona: 4 z 28
11. Kolejnym krokiem jest zmiana domyślnego hasła konta admin. Przechodzimy do Admin-> General->Change Password 12. Następnie dodajemy nowych użytkowników. Wprowadzając ręcznie lub importując informacje z Active Directory, LDAP Directory lub pliku CSV. Poniżej w punktach 10-14 pokazano widok importowania z Active Directory z domeny testowej MWTS. My przypiszemy kolejnych użytkowników ręcznie (od pkt. 17). Status: Publiczny Wersja z dnia: 16 marca 2016 Strona: 5 z 28
13. Wybór grup lub jednostek organizacyjnych z domeny do zaimportowania do PMP 14. Widok zaimportowanych użytkowników: Status: Publiczny Wersja z dnia: 16 marca 2016 Strona: 6 z 28
15. Przydzielenie zaimportowanych użytkowników do odpowiednich ról. 16. Widok zaimportowanych użytkowników przydzielonych do odpowiednich ról Status: Publiczny Wersja z dnia: 16 marca 2016 Strona: 7 z 28
17. Widok zaimportowanych grup 18. Stworzymy teraz trzech użytkowników i przypiszemy ich do odpowiednich ról. W PMP rozróżniamy 4 predefiniowane role użytkowników: Administrator - ustawia, konfiguruje i zarządza aplikacją PMP, może wykonywać wszystkie operacje na zasobach i wykonywać wszelkie działania związane z hasłem. Jednakże, może zobaczyć tylko te zasoby i hasła które zostały utworzone przez lub te udostępnione jemu przez innych użytkowników Password Administrator - może wykonywać wszystkie operacje na zasobach i wykonywać wszelkie działania związane z hasłem. Jednakże, może zobaczyć tylko te zasoby i hasła które zostały utworzone przez lub te udostępnione jemu przez innych użytkowników Administrator oraz Password Administrator może dostać od innych administratorów (nie od samego siebie) uprawnienia najwyższego stopnia i stać się 'Super Administrator'. Super Administrator posiada prawa do zarządzania wszystkimi zasobami znajdującymi się w systemie. Przy tworzeniu użytkownika poznamy metodę tworzenie Super Administratora. Password Users mogą widzieć jedynie hasła udostępnione im przez Administratorów lub Password Administratorów. Mogą modyfikować hasła jeżeli nadane uprawnienia im na to pozwalają. Password Auditors mają takie same uprawnienia jak Password Users oraz dodatkowo posiadają dostęp do audytów nagrań i raportów. Status: Publiczny Wersja z dnia: 16 marca 2016 Strona: 8 z 28
Rola Operacje Administrator Zarządzanie użytkownikami Zarządzanie zasobami Zarządzanie hasłami Podgląd haseł Zarządzanie własnym hasłem Widok audytów i raportów Password Administrator Password User Password Auditor 18.1. Konto Administratora mamy stworzone automatycznie. Stwórzmy zatem konto kolejnego Administratora i nadajmy mu uprawnienia Super Administratora Status: Publiczny Wersja z dnia: 16 marca 2016 Strona: 9 z 28
Dostaniemy mailem potwierdzenie ustawień 18.2. Tworzenie konta Password User Status: Publiczny Wersja z dnia: 16 marca 2016 Strona: 10 z 28
18.3. Tworzenie konta Password Auditor 19. Dla łatwiejszego zarządzania użytkownikami możemy również tworzyć grupy użytkowników z odpowiednimi uprawnieniami. Status: Publiczny Wersja z dnia: 16 marca 2016 Strona: 11 z 28
Nadanie uprawnień grupie 20. Skoro mamy już stworzonych użytkowników PMP możemy przejść do tworzenia zasobów i głównych funkcji programu. Podobnie jak to było w przypadku użytkowników, zasoby możemy również wprowadzić ręcznie lub pobrać z Active Directory lub pliku CSV. Ręczne dodawanie zasobu Status: Publiczny Wersja z dnia: 16 marca 2016 Strona: 12 z 28
Dodawanie konta użytkownika i hasła z zasobu, które będzie mogło być współdzielone z użytkownikami PMP. Ustawienia zdalnego logowania i resetowania hasła. Status: Publiczny Wersja z dnia: 16 marca 2016 Strona: 13 z 28
Dodawanie zasobu poprzez wykrywanie zasobów: Odpowiednia konfiguracja, w zależności o typu zasobu: Automatyczne wykrywanie kont na zasobach: Status: Publiczny Wersja z dnia: 16 marca 2016 Strona: 14 z 28
Resetowanie hasła na zasobie: Możemy ręcznie wpisać nowe hasło wg przypisanej polityki lub użyć wbudowanego generatora haseł, zaznaczamy opcję Apply password changes to the remote resource aby hasło zmieniło się również zdalnie na zasobie. Status: Publiczny Wersja z dnia: 16 marca 2016 Strona: 15 z 28
21. Dla łatwiejszego zarządzania zasobami możemy łączyć je w grupy. Tutaj możemy również dla grupy urządzeń ustawić automatyczną zmianę haseł wg ustalonego harmonogramu: Status: Publiczny Wersja z dnia: 16 marca 2016 Strona: 16 z 28
Ustawianie notyfikacji przed resetem haseł Ustawianie jakich haseł użyć: Status: Publiczny Wersja z dnia: 16 marca 2016 Strona: 17 z 28
Ustawienie harmonogramu (np. reset haseł co 30 dni, każdego 15 dnia miesiąca o godzinie 08:55): Ustawienia notyfikacji po resecie haseł: Status: Publiczny Wersja z dnia: 16 marca 2016 Strona: 18 z 28
22. Kolejnym etapem jest udostępnienie całego zasobu lub poszczególnych kont na zasobach użytkownikom PMP. Udostępnianie całego zasobu ze wszystkimi kontami. Do wyboru mamy opcje udostępnienia poszczególnym użytkownikom lub całej grupie: Następnie nadajemy odpowiednie uprawnienia (podgląd, modyfikacja, zarządzanie zasobem): Status: Publiczny Wersja z dnia: 16 marca 2016 Strona: 19 z 28
Podobnie wygląda to dla udostępniania pojedynczego konta na zasobie: Nadajemy uprawnienia (podgląd, modyfikacja): Analogicznie możemy udostępniać całe grupy zasobów. Status: Publiczny Wersja z dnia: 16 marca 2016 Strona: 20 z 28
23. Skoro użytkowników i zasoby mamy już dodane to przejdźmy do funkcji związanych z Kontrolą Dostępu. Po pomyślnym uwierzytelnieniu w Password Manager Pro, użytkownicy otrzymują dostęp do haseł, które są ich własnością lub są im udostępnione. Podczas przechowywania bardzo wrażliwych haseł, administratorzy często chcą mieć dodatkowy poziom bezpieczeństwa. W niektórych przypadkach administratorzy mogą dać wybranym użytkownikom tylko tymczasowy dostęp do haseł. Istnieją również zapotrzebowania, aby dać użytkownikom wyłączne uprawnienia do haseł. Oznacza to, że tylko jeden użytkownik powinien mieć możliwość korzystania z konkretnego hasła w dowolnym momencie. Jeżeli więcej niż jeden użytkownik chce pracować na tym samym zasobie, pojawiają się problemy z koordynacją. Kontrola dostępu z równoczesnym korzystaniem pomoże rozwiązać takie problemy. Aby osiągnąć wszystkie powyższe wymagania, PMP dostarcza Proces kontroli dostępu do haseł (Password Access Control Workflow). Poniżej pokazano jak taki proces wygląda w PMP. 1. Użytkownik potrzebuję dostępu do hasła, które jest mu przydzielone 2. Zgłasza zapotrzebowanie na dostęp 3. Zapotrzebowanie trafia do administrator(ów) do zatwierdzenia. Jeżeli większa liczba użytkowników zgłosiła zapotrzebowanie na dostęp, wszystkie zapytania będą czekały w kolejce do zatwierdzenia. 4. Jeżeli administrator nie zatwierdzi dostępu w określonym terminie, zapotrzebowanie przestanie być ważne. 5. Jeżeli administrator odrzuci zapytanie, również przestanie być ono ważne. 6. Jeżeli administrator zatwierdzi zapytanie, użytkownik będzie uprawniony do dostępu do hasła. W przypadku, gdy zatwierdzenie zapotrzebowania potrzebne jest od dwóch administratorów, użytkownik będzie mógł mieć dostęp do hasła tylko po potwierdzeniu przez nich obu. 7. Użytkownik potwierdza, że zaczyna korzystać z hasła i od tej chwili przez określony czas może działać 8. Jeżeli inny użytkownik zażądał dostępu do hasła w tym samym czasie to będzie uprawniony do skorzystania z hasła pod warunkiem, że wcześniejszy użytkownik przestał korzystać z dostępu. Ta zasada dotyczy wszystkich, wliczając administratorów, password administratorów i właścicieli hasła. 9. Administrator może w każdej chwili zdjąć uprawnienia dostępu do hasła. W takim przypadku hasło wróci do stanu niedostępnego dla użytkownika. 10. W chwili gdy użytkownik skończy pracę z hasłem, zostanie ono automatycznie zresetowane. Ważna informacja: Proces kontroli dostępu do haseł nie zastępuje własności hasła i mechanizmu udostępniania PMP. Oznacza to, że jest tylko wzmocniony mechanizm kontroli dostępu. Normalnie, gdy hasło jest udostępnione dla użytkownika, będzie on w stanie bezpośrednio obejrzeć hasło. Gdy proces kontroli dostępu jest włączony, użytkownik będzie musiał wystąpić o dostęp do hasła. Status: Publiczny Wersja z dnia: 16 marca 2016 Strona: 21 z 28
Poniższy diagram ilustruje typowy proces kontroli dostępu do haseł: Zobaczmy jak to wygląda w praktyce: Zaznaczamy zasób, dla którego chcemy ustawić kontrolę i z menu More Actions wybieramy Configure Access Control Status: Publiczny Wersja z dnia: 16 marca 2016 Strona: 22 z 28
Wybieramy administratora(ów), który zatwierdzi autoryzacje, ustawiamy odpowiednie parametry. Ważne, jeżeli chcemy aby po zakończonej pracy z hasłem zostało ono zresetowane musimy zaznaczyć opcję: Reset password after exclusive use Po ustawieniu użytkownik zgłasza zapotrzebowanie na dostęp do hasła Status: Publiczny Wersja z dnia: 16 marca 2016 Strona: 23 z 28
Oczekuje na potwierdzenie dostępu: Administrator dostaje powiadomienie na maila, jest ono również widoczne w PMP Status: Publiczny Wersja z dnia: 16 marca 2016 Strona: 24 z 28
Po zatwierdzeniu przez administratora, użytkownik potwierdza, że zaczyna korzystać z hasła i od tej chwili przez określony czas może działać Po kliknięciu na zagwiazdkowane pole pokazuje mu się hasło Status: Publiczny Wersja z dnia: 16 marca 2016 Strona: 25 z 28
Może zalogować się bezpośrednio do komputera, lub skorzystać z pulpitu zdalnego udostępnionego w PMP Status: Publiczny Wersja z dnia: 16 marca 2016 Strona: 26 z 28
Po skończonej pracy zaznacza opcję check-in i w ten sposób zgłasza koniec potrzeby dostępu do hasła. Jeśli były wprowadzone odpowiednie ustawienia hasło zostaje automatycznie zresetowane (zarówno w PMP jak i w zasobie) 24. Ostatnim etapem procesu pracy w PMP jest ustawienie backupu bazy danych na wypadek awarii. Harmonogram backupów i zapis do ustalonego miejsca możemy przeprowadzić przez odpowiednie ustawienia w Admin-> General ->Database Buckup Status: Publiczny Wersja z dnia: 16 marca 2016 Strona: 27 z 28
W przypadku pytań zapraszam do kontaktu: Damian Sieradzon IT Security Product Manager email: damian.sieradzon@mwtsolutions.pl tel. kom.: +48 667 001 140 MWT Solutions sp. z o.o., Szyperska Office Center, ul. Szyperska 14, 61-754 Poznań Sąd Rejonowy w Poznaniu, KRS 0000296586, kapitał zakładowy: 50 000 zł NIP 778-145-10-59, REGON 300721670 http://www.mwtsolutions.pl Status: Publiczny Wersja z dnia: 16 marca 2016 Strona: 28 z 28