Directorio

Esta página explica cómo conectar el directorio de tu compañía para que Ironchip gestione las contraseñas de las cuentas de dominio con las que entra el broker. Es para quien administra PAM y el directorio.

Un recurso entra con una cuenta de dominio cuando su usuario es DOMINIO\cuenta, cuenta@dominio o lleva un dominio en su campo. Si su método es Managed by Ironchip, la contraseña se cambia en el directorio cada día, tras cada sesión y cuando lo pides, y todos los recursos que entran con la misma cuenta reciben la nueva. La contraseña sigue la complejidad de la compañía.

Directorios compatibles

Directorio	Quién cambia la contraseña
Active Directory	El almacén de secretos, por LDAP con TLS
OpenLDAP, or another LDAP server	El almacén de secretos, por LDAP
Entra ID, cloud-only accounts	Ironchip, por Microsoft Graph

Entra ID (antes Azure AD) solo sirve para cuentas creadas en la nube. Las cuentas sincronizadas desde un Active Directory local se cambian en ese Active Directory.

Antes de empezar

• El permiso PAM directory.
• Active Directory o LDAP: una cuenta de servicio con permiso para restablecer la contraseña de las cuentas que gestionará Ironchip, y nada más. El almacén de secretos tiene que llegar al directorio por red.
• Entra ID: una aplicación registrada con el permiso User.ReadWrite.All y un rol de directorio que pueda restablecer las contraseñas de esas cuentas, con un secreto de cliente.

Conectar Active Directory o LDAP

1. Ve a PAM > Hosts > Directory.

   

2. En Directory, elige Active Directory u OpenLDAP, or another LDAP server.

3. En Address, escribe la dirección, por ejemplo ldaps://dc1.corp.example. Puedes poner varios controladores separados por comas: se prueban por orden.

4. En Account the secret store signs in with, escribe el DN de la cuenta de servicio, por ejemplo CN=ironchip-pam,OU=Service Accounts,DC=corp,DC=example, y su contraseña en Its password.

5. En Where accounts are, escribe dónde están las cuentas, por ejemplo OU=Admins,DC=corp,DC=example.

6. En Accounts are found by (optional), deja el atributo por defecto (sAMAccountName en Active Directory, uid en LDAP) o escribe otro, como userPrincipalName.

7. Si tu directorio usa una CA propia, pega su certificado en CA certificate (optional, PEM).

8. Haz clic en Connect.

Active Directory solo cambia contraseñas con TLS: usa ldaps:// o marca StartTLS on ldap://. No marques Do not check its certificate fuera de un laboratorio.

Después de conectar, haz clic en Change its password: el almacén cambia la contraseña de la cuenta de servicio y, desde ese momento, solo él la conoce.

Conectar Entra ID

1. Ve a PAM > Hosts > Directory y elige Entra ID, cloud-only accounts en Directory.
2. Escribe Tenant (directory) id, Application (client) id y Client secret.
3. Haz clic en Connect. Ironchip inicia sesión en Entra ID con la aplicación para comprobarla.

El secreto de cliente se guarda en el almacén de secretos. Para cambiarlo, crea uno nuevo en Entra ID y guárdalo aquí.

Usar una cuenta de dominio en un recurso

1. Al dar de alta un recurso SSH o RDP, escribe la cuenta con su dominio (CORP\svc-ops, svc-ops@corp.example o el dominio en su campo).
2. Elige Managed by Ironchip como método.

La contraseña se cambia en ese momento en el directorio y, a partir de ahí, según el calendario del recurso. Consulta Rotación de contraseñas.

Cambiar o quitar el directorio

• Para cambiar la dirección o la cuenta, edita los campos y haz clic en Save. Los campos de contraseña y certificado vacíos conservan los que ya tiene el almacén.
• Remove olvida el directorio. No se puede mientras haya recursos cuyas cuentas roten a través de él, ni tampoco cambiar a otro tipo de directorio.