Przegląd rotacji poświadczeń
Rotacja poświadczeń to praktyka polegająca na zastępowaniu uprzywilejowanego hasła, klucza SSH lub tokenu według harmonogramu lub na żądanie. Ten artykuł wyjaśnia, jak działa rotacja w VaultPAM oraz jak konfigurować polityki rotacji.
Szczegółowe instrukcje krok po kroku dotyczące ręcznej rotacji poświadczenia od razu znajdziesz w artykule Rotacja poświadczenia.
Co oznacza rotacja
Gdy poświadczenie jest rotowane, VaultPAM generuje nowy sekret i aktualizuje wartość przechowywaną w sejfie. Stary sekret zostaje odrzucony. Jeśli poświadczenie jest powiązane z zarządzanym kontem w systemie docelowym, VaultPAM przekazuje nową wartość również do tego systemu.
Rotacja skraca okno ekspozycji: nawet jeśli poświadczenie zostanie skompromitowane, traci ważność po następnej rotacji.
Rotacja ręczna a automatyczna
| Tryb | Kiedy następuje | Kto ją wyzwala |
|---|---|---|
| Ręczna | Na żądanie | Operator lub administrator z widoku sejfu |
| Automatyczna | Według skonfigurowanego harmonogramu | Silnik rotacji VaultPAM |
| Wyzwalana zdarzeniem | Po zakończeniu sesji lub określonym zdarzeniu | Konfigurowalna dla każdego sejfu |
Ustawianie częstotliwości rotacji
Częstotliwość rotacji konfiguruje się dla każdego sejfu:
- Przejdź do sekcji Sejfy i otwórz sejf, który chcesz skonfigurować.
- Wybierz Ustawienia > Polityka rotacji.
- Ustaw interwał rotacji (codziennie, co tydzień, co miesiąc lub niestandardowo w dniach).
- Opcjonalnie włącz opcję Rotuj po sesji, aby automatycznie rotować poświadczenie po zakończeniu każdej sesji.
- Zapisz politykę.
Stan powodzenia: Sejf wyświetla datę i godzinę następnej zaplanowanej rotacji. Zdarzenia rotacji pojawiają się w dzienniku audytu.
Uzasadnienie z punktu widzenia zgodności
Regularna rotacja poświadczeń jest wymagana lub zalecana przez:
- NIS2 art. 21 -- środki kontroli dostępu i minimalnych uprawnień
- SOC 2 CC6.1 -- logiczne mechanizmy kontroli dostępu
- CIS Control 5 -- zarządzanie kontami
Maksymalny okres rotacji wynoszący 90 dni to powszechny punkt odniesienia dla kont uprzywilejowanych. W przypadku kont serwisowych z automatycznym pobieraniem zalecane są krótsze interwały (7–30 dni).