Operatör bağlanır. Kimlik bilgileri sunucudan dışarı çıkmaz.
Fidwyn PAM her bağlantı talebini kendisi karşılar: kimlik ve politika kontrollerini yapar, erişim verilen hedef için kendi tarafında izole bir oturum başlatır ve bağlantı kurulduğunda bu oturumu talep eden kullanıcıya aktarır. Kimlik bilgisi yalnızca izole oturumun içinde kullanılır; kullanıcının oturumuna hiçbir aşamada enjekte edilmez. Ağır iş PAM tarafında çalıştığı için istemciye yük binmez; kullanıcıya kurulmuş, kayıt altındaki bağlantının kendisi ulaşır
Kalıcı kimlik bilgisi, ihlalin ta kendisi.
Excel, TXT dosyalarında dolaşan ortak yönetici parolaları, hiç şifresi değiştirilmeyen Servis Hesapları, Ürünlerin Root-Administrator gibi standart kullanıcılarına ait şifreler,VPN ile bağlanan Çözüm Ortakları. Bunların Her biri ciddi risk taşınayan kullanıcılara sahipler ve eğer hesapları çalınır yada kötü niyetle kullanılmak istendiğinde Eski nesil PAM sorunu küçültür ama bağlantı anında kimlik bilgileri yine operatör kullandığı sistemelere genellikle iletilir.
Fidwyn bu açığı mimaride kapatır. Kimlik bilgisi kullanıcıya değil izele edilmiş ve Fidwyn sunucusu üzerindeki bir katmana iletilir; bağlantı bu katmanda sağlandıktan sonra Operatör kendi kimliğiyle oluşturduğu talep için, süreli yetkisini alır, görüntü iletimi başlar ve uç noktadaki uygulamada hedef kimlik bilgileri olmadığı için sızıntı ihtimali ortadan kalkar.
Fidwyn PAM gerçekte ne yapar.
Ayakları yere basan bir liste: aşağıdaki her madde, yöneticinin gerçekten kullandığı bir ekran.
Windows, Linux ve Unix, MS SQL Server, MySQL, PostgreSQL ve Oracle hesapları için kasa. Çekme ve gösterme kapılı; kişisel kasalar kullanıcı başına yalıtılmış.
Tek hesabı ya da bir işletim sistemi türüne uyan tüm hesapları saatlik, günlük, haftalık, aylık takvimle döndürün. Posture Scanning keşfi doğrudan rotasyon görevine akar.
Bir kimlik bilgisinin ne olduğunu ve nasıl döneceğini tanımlayan yeniden kullanılabilir şablonlar; yeni bir sistem sınıfını eklemek betik değil, şablon seçimi.
Kalıcı ayrıcalık yok. Yetki istenir, politikaya göre onaylanır, süreye bağlanır ve süresi dolunca kendiliğinden düşer. RDP, SSH ya da izole tarayıcı üzerinden bağlanın; SSMS gibi uygulamaları RDS gerekmeden, token doğrulamasıyla doğrudan hedefte başlatın; istediğiniz uygulamaları, hedefe ajan kurmadan oturum süresince hedef sistemde engelleyin.
Kalıcı erişimi izleyen bir program görünümü: hesapları yalnız-JIT'e çevirir, kaydeder ve döndürür, olmaması gerekeni kaldırır.
SSH ve terminal yeniden oynatılabilir asciinema, RDP ve tarayıcı MP4 olarak; yanlarında tuş kayıtları. Canlı oturumu yönetici olarak izleyin, katılın ya da sonlandırın. Video, tuş kaydı ve uygulama kara listesi dört kanalın dördünde de geçerlidir: RDP, SSH, SQL ve tarayıcı.
Komuta, kimliğe ya da gruba göre izin veren, engelleyen ya da denetleyen ve kolonları yerinde maskeleyen ifade düzeyinde bir proxy. Database Queries her ifadeyi kararıyla birlikte kütüğe yazar.
İnsan olmayan hesaplara tam bir yaşam döngüsü: keşfet, ata, yönet, sahiplen. Onay kuyruğu düzenli sahiplik incelemesini dayatır, sahipsizi emekliye ayırır.
Yedek onaycılı, azami süreli, zaman aşımında kendiliğinden reddeden çok onaycılı politikalar. İsteyen de onaylayan da kendi kapsamlı kuyruğunda çalışır.
Kullanıcı, sistem, rol, grup ve tenant'lar arasında ince taneli bir izin modeli; Access Map'te görselleşir, tek çözücüyle uygulanır.
SQL proxy neden hattın üstünde, kenarda değil.
Denetimin karanlığa gömüldüğü yer veritabanıdır. Yalnızca tünel kuran bir PAM, DBA'in bağlandığını yazar; ne çalıştırdığını göremez.
Fidwyn'in proxy'si veritabanının kablo protokolünü konuşur. Her ifadeyi görür, motora varmadan kurallarınıza vurur, dönüşte kolonları maskeleyebilir. DBA bildiği istemciyle çalışır. Sizde ise her DROP TABLE için bir karar vardır: izinli ya da engelli, kimlikle birlikte kütükte.
Hat üstünde ifade denetimi
Sırrı insan elinden çıkarın.
Operatörün kimlik bilgisine hiç dokunmadığı, broker'dan geçen bir RDP, SSH ve SQL oturumunu izleyin.