Cuentas

Esta página explica las cuentas de PAM: con qué cuentas entra el broker en cada máquina y qué cuentas existen en tus máquinas según sus agentes. Es para quien administra los recursos y quiere tener controladas las cuentas privilegiadas.

Las cuentas de una máquina

Cada recurso SSH, RDP, PostgreSQL o MySQL tiene su cuenta propia, la que escribiste al darlo de alta. Además, puedes añadirle otras cuentas, cada una con su secreto y su rotación. Así, por ejemplo, el equipo de operaciones entra como ops y el de bases de datos como dba en la misma máquina.

Con qué cuenta llega cada persona lo decide su acceso, en el paso Account on the machines:

• Each machine’s own account: llega con la cuenta propia de cada máquina.
• A specific account, on every machine: llega con esa cuenta en todas las máquinas a las que llega el acceso. Una máquina que no tenga esa cuenta rechaza la conexión.

En los dos casos la sesión es de la persona: se graba y se juzga como quien la abrió.

Añadir una cuenta a una máquina

1. Abre la página del recurso y ve a la pestaña Accounts.

   

2. Haz clic en Add account.

3. Escribe Username y, en SSH y RDP, el dominio si es una cuenta de dominio.

4. Elige el Method. Por defecto, Managed by Ironchip: la contraseña la pone el enforcer de la máquina (si se arrancó con -rotate-accounts incluyendo la cuenta) o, en una cuenta de dominio, el directorio. En una base de datos, escribe además Admin account y Admin password.

5. Haz clic en Add account.

La cuenta adicional aparece como un recurso más con el nombre <máquina>.<cuenta>, tiene su propia página con su pestaña Credential y sigue la dirección y el sitio de su máquina. VNC, Kubernetes y HTTP no tienen cuentas.

Remove quita la cuenta del broker y borra su secreto. La cuenta sigue existiendo en la máquina, pero los accesos que llegan con ella dejan de llegar a esta máquina.

Inventario de cuentas

Si la máquina tiene el agente, informa cada pocos minutos de sus cuentas: root y las cuentas con las que entran personas, quién administra la máquina, las claves SSH con las que se entra en cada cuenta y, en Windows, los servicios que se ejecutan con cada cuenta.

Ve a PAM > Hosts > Accounts para ver todas las cuentas de todas las máquinas:

Columna	Qué muestra
Account	La cuenta, su uid y su shell, si es de dominio, si no puede iniciar sesión y qué servicios se ejecutan con ella.
Machine	La máquina.
Administers it	Si administra la máquina: root, el grupo sudo o una regla de sudo, o no.
Keys	Las claves SSH autorizadas en la cuenta.
Last sign-in	El último inicio de sesión.
Password changed	El último cambio de contraseña.
Ironchip	Los recursos que entran con ella, si Ironchip la gestiona o Not managed.

Arriba, los contadores Machines reporting, Accounts, Administer a machine y Of those, not managed. Marca Only those that administer a machine y Only those Ironchip does not manage para ver las cuentas privilegiadas que todavía no controlas.

Gestionar una cuenta encontrada

1. En la fila de la cuenta, haz clic en Manage.
2. Confirma con Manage.

La cuenta se añade a las cuentas de su máquina con una contraseña que gestiona Ironchip: el enforcer pone la primera (si -rotate-accounts la incluye) y después cambia cada día y tras cada sesión.

Manage no aparece cuando cambiar la contraseña rompería algo o no serviría de nada: si se ejecutan servicios con la cuenta, si nadie puede iniciar sesión con ella, si ya es una cuenta de dominio o si un recurso ya entra con ella. La máquina necesita un recurso SSH o RDP.

Más información

• Rotación de contraseñas
• Exposición: claves SSH y sesiones que no pasan por Ironchip.