JumpServer: Смена секретов учётных записей (Change Secrets)

Функция Enterprise Edition. Требует JumpServer Enterprise Edition.

Смена секретов — массовое изменение паролей и SSH-ключей учётных записей на хостах. Поддерживает ротацию по расписанию с журналом аудита и email-уведомлениями.

Как это работает: обязательные предварительные условия

Прежде чем создавать задачу, необходимо правильно настроить учётные записи на активе.

Привилегированный аккаунт (привилегированная УЗ)

Смена пароля выполняется от имени отдельной привилегированной учётной записи, а не от самой себя. Для этого:

• На активе должна быть добавлена учётная запись с флагом Privileged (привилегированная)
• Именно от её имени JumpServer будет подключаться к хосту и менять пароли других УЗ
  

  

  
  

Флаг "Сброс секрета" на целевой УЗ

На учётной записи, пароль которой нужно ротировать, должна быть включена галочка Сброс секрета (Secret reset) — она разрешает JumpServer изменять секрет этой УЗ

Режим смены пароля от имени самой себя (опционально)

По умолчанию JumpServer требует отдельную привилегированную УЗ. Если нужно разрешить УЗ менять пароль от своего имени (самой себе), нужно отключить безопасный режим в конфиге:

# /opt/jumpserver/config/config.txt (или config.env)
CHANGE_AUTH_PLAN_SECURE_MODE_ENABLED=false

После изменения конфига требуется перезапуск JumpServer:

jmsctl restart

Создание задачи смены секретов

1. В верхнем левом углу выберите организацию, перейдите в PAM.

2. В левом меню — Смена секретов (Change secrets).

3. Вкладка Задачи смены секретов (Change secret tasks) → + Создать.

4. Имя (Name) — название задачи.

5. Учётные записи (Accounts) — имена УЗ, которым меняем секреты.

6. Активы (Assets) — выбрать активы; задача применится ко всем УЗ на них.

7. Папки(Nodes) — выбрать узлы; задача применится ко всем УЗ в папках и подпапках.

8. Стратегия секрета (Secret strategy):

   • Указанный секрет (Specific secret) — задать вручную
   • Случайно созданный (Random generate) — сгенерировать автоматически

9. Тип секрета (Secret type) — Пароль (Password) или SSH-ключ (SSH key).

10. (Конкретный секрет + Пароль) Пароль — ввести пароль вручную.

11. (SSH-ключ) Стратегия SSH-ключа (SSH key strategy):

    • Replace — заменяет только ключи, ранее загруженные через JumpServer
    • Empty and append SSH KEY — удаляет все ключи и добавляет новый

12. (Конкретный секрет + SSH-ключ) Приватный ключ — вставить приватный ключ.

13. (Конкретный секрет + SSH-ключ) Пароль ключа — пароль от приватного ключа (если есть).

14. (Случайная генерация + Пароль) Правила пароля (Password rules) — длина, регистр, цифры, спецсимволы, исключения.

15. Параметры (Parameters) — дополнительные параметры смены секретов. (Доступны только для активов типа Host.)

16. Периодичность (Periodic) — включить выполнение по расписанию.

17. Проверка подключения после изменения (Check connection after change) — верифицировать подключение после задачи.

18. Активна (Active) — включить задачу.

19. Описание (Description) — описание задачи.

20. Отправить (Submit).
    

    

Краткий чек-лист перед запуском

• На активе добавлена привилегированная УЗ с флагом Privileged
• На целевой УЗ включён флаг Secret reset
• Если нужна смена от имени самой УЗ — в конфиге нужно добавить параметр:
  

  CHANGE_AUTH_PLAN_SECURE_MODE_ENABLED=false

  и перезапускаем JumpServer:
  
  
• Задача создана и активна

Нужна помощь?

Поддержка во время пилота JumpServer PAM Enterprise Edition

Вы начали тестирование JumpServer PAM EE и столкнулись с проблемой? Наш процесс включает в себя организацию групп переписок в электронной почте или групп в Telegram для оперативного решения вопросов. Если вы уверены, что вас не добавили в такую группу, обратитесь к вашему поставщику или к нам по адресу support@afi-d.ru

Обучение ваших специалистов настройке и администрированию JumpServer PAM

В рамках действующей подписки на техническую поддержку мы обучим ваших специалистов установке, настройке, адмнистрированию JumpServer PAM, а также восстановлению после ошибок и аварий.

Обучение проходит онлайн, по заранее согласованному плану, включает в себя обязательную проверку знаний на практике с выдачей именных сертификатов (в случае успешной сдачи экзамена).

Видео-инструкции

Посетите наш канал на RuTube с видео-инструкциями по настройке всех разделов JumpServer PAM. Видео на русском языке и актуализируются с выходом новых версий.

Техподдержка бесплатной редакции JumpServer PAM Community Edition

Мысль о внедрении непростой, но критичной для бизнеса PAM-системы может пугать кажущейся сложностью настройки системы, обучением администраторов и специалистов ИБ, изменениями в процессах работы с учетными записями.

Чтобы внедрение и настройка JumpServer Community Edition были комфортными, а также чтобы вы всегда могли обратиться за помощью к профессионалам, AFI Distribution предлагают годовую подписку на техническую поддержку.

Пакет поддержки в 1.5 млн рублей за экземпляр JumpServer Community Edition (без ограничений на количество пользователей и целевых систем) включает всё необходимое для использования PAM:

• документацию на русском языке;
• сценарии использования и рекомендуемые архитектуры для установки;
• обучение администраторов и специалистов ИБ работе с JumpServer;
• подсказки и решения для популярных вопросов;
• оповещения о выходе новых версий с проверенной инструкцией для апгрейда;
• подключение к Radius и многофактороной аутентификации «Мультифактор» ;
• прямой доступ к инженеру (без первой линии) с понятным SLA.