Was hat sich geändert

Jede Inhaltsänderung wird versioniert. Wählen Sie eine Version, um sie mit der vorherigen zu vergleichen.

Version 8 → 9

Aktualisierung

Zwei neue Abschnitte: Zugriff für die Dauer der Aufgabe (dauerhafte Privilegien im Vergleich zu Anträgen mit Zeitfenster) und Sites, die Sitzungen über die Gateways eines Standorts leiten.

2 Lektionen aktualisiertDauer

Inhaltliche Aktualisierung. Eingeschriebene Lernende wurden benachrichtigt.

Dauer von 16 auf 17 Minuten geändert.

Was Monopam leistet

Monopam ist die Plattform von Monofor für **Privileged Access Management**. Ihre Aufgabe lässt sich einfach beschreiben: Personen und Werkzeuge, die mächtige Konten benötigen, erhalten **Zugriff auf eine Sitzung, nicht auf ein Passwort**. Statt einem Administrator das Root-Passwort eines Servers zu geben, bewahrt Monopam dieses Passwort im Vault (Passworttresor) auf, öffnet die Verbindung im Namen des Benutzers und kann aufzeichnen, was geschieht. Ist die Arbeit erledigt, endet der Zugriff, und der Nachweis bleibt. ::diagram pgs-brokered-access ### Die Kernideen - **Vermittelter Zugriff:** Benutzer verbinden sich über Monopam; das Gateway injiziert die Anmeldeinformation, und der Benutzer sieht sie nicht. - **Richtlinien zuerst:** Richtlinien legen fest, wer welche Ressource mit welchem Konto und zu welchen Bedingungen erreicht (Zwischenablage, Dateiübertragung, Aufzeichnung, Genehmigung). - **Nachweise:** Bei aktiver Aufzeichnung werden RDP-Sitzungen als Video und Terminalsitzungen als Transkript gespeichert. Anzeigen, Verbindungen und Anfragen hinterlassen Audit-Einträge. ### Die Anmeldung kommt vom Identitätsanbieter Monopam hat keine lokalen Passwörter und keine eigene MFA. Benutzer melden sich bei einem Identitätsanbieter an, normalerweise **Monosign**, über eine pro Mandant konfigurierte OAuth2- oder OpenID-Connect-Methode. Anmeldeinformationen und MFA sind daher Aufgabe des Identitätsanbieters, und die Gruppen und Berechtigungen des Benutzers kommen mit dieser Anmeldung. ### Zugriff für die Dauer der Aufgabe Viele Organisationen geben Administratoren einmal mächtigen Zugriff und lassen ihn jahrelang bestehen. Das sind **dauerhafte Privilegien (standing privilege)**: Der Zugriff besteht, ob ihn jemand nutzt oder nicht. Mit Monopam ersetzen Sie das durch Zugriff, der beantragt wird, wenn er gebraucht wird. Ein Benutzer stellt einen Antrag, ein Genehmiger entscheidet unter **Requests**, und der genehmigte Antrag trägt das Zeitfenster, in dem der Zugriff erlaubt ist. Endet das Fenster, endet auch der Zugriff. Das bedeutet **Just-in-Time-Zugriff** in der Praxis. Beispiel: Ein externer Dienstleister muss am Samstag einen Server patchen. Statt eines Kontos, das jeden Tag funktioniert, beantragt er diesen Server für Samstagvormittag. Der Genehmiger sieht, wer was für wie lange anfragt, und am Montag gibt es nichts aufzuräumen. > Tipp: Fragt ein Kunde, wo MFA für privilegierten Zugriff erzwungen wird, lautet die Antwort: beim Identitätsanbieter, nicht in einer Monopam-Einstellung.

Die Bausteine: Vault, Gateway und Agenten

Eine Monopam-Bereitstellung besteht aus wenigen Teilen, die zusammenarbeiten. ::diagram pgs-building-blocks ### Webkonsole In der **Webanwendung** definieren Sie Ressourcen, Einträge im Vault (Passworttresor) und Richtlinien, entscheiden Anfragen und prüfen Sitzungen. Benutzer öffnen hier ihre Browser-Sitzungen. ### Vault Der **Vault** speichert Konten und Geheimnisse: Benutzername und Passwort, PKI-Schlüssel, geheimen Text, OTP-Seeds und weitere Eintragstypen. Geheimnisse werden verschlüsselt, und jedes Speichern erzeugt eine **Version**, die ein Administrator in der Password History sieht. Eine **Vault Access Policy** legt fest, wer welches Feld anzeigen darf. Jedes Anzeigen oder Kopieren wird protokolliert, und der Browser löscht den angezeigten Wert nach 30 Sekunden. ### Gateway Das **Gateway** ist der Proxy, der mit den Zielsystemen spricht. Es öffnet die Verbindung, injiziert die Anmeldeinformation aus dem Vault, streamt die Sitzung zum Browser und schreibt die Aufzeichnung. Gateways senden alle fünf Sekunden ein Heartbeat-Signal und erscheinen unter **System > Gateways**. Sie können Gateways nahe an den bedienten Netzen platzieren und mit **Sites** gruppieren. ### Agent Der **Monofor-Agent** ist optionale Software für Windows-, Linux- und macOS-Endpunkte. Er registriert sich bei Monopam, erstellt eine Ressource oder verbindet sich mit einer vorhandenen und übernimmt Arbeiten an lokalen Konten: Konten auflisten, Passwörter prüfen und setzen, Konten entfernen. Prüfen Sie den Netzwerkpfad je nach Plattform: - **Linux- und macOS-Agenten** bauen über den **Agent Channel** eine ausgehende Verbindung auf Port 443 auf; dafür ist kein eingehender Port nötig. Ein eingehender Listener auf Port 4482 bleibt als Rückfallweg bestehen, bei neuen macOS-Installationen ist er ausgeschaltet. - **Windows-Agenten** aus dem ausgelieferten MSI haben den Channel noch nicht. Sie arbeiten **nur eingehend**: Das Gateway muss den Agenten auf Port 4482 erreichen. ### Sites: Gateways nah an den Systemen, die sie bedienen Ein Unternehmen mit mehreren Standorten betreibt meist an jedem ein Gateway. Eine **Site** bildet einen solchen Standort ab: ein Werk, ein Rechenzentrum oder eine Niederlassung. Sie ordnen ihr Gateways und Ressourcen zu, und Monopam wählt das Gateway dann nach Standort, in dieser Reihenfolge: 1. Ist eine Ressource an bestimmte Gateways gebunden, gewinnt diese Bindung immer. 2. Andernfalls nutzt eine Ressource, die zu einer Site gehört, die Gateways dieser Site. 3. Andernfalls darf jedes Gateway verwendet werden, wie vor der Einführung von Sites. Beispiel: Ein Hersteller hat Werke in Bursa und Izmir. Jedes Werk wird eine Site mit eigenen Gateways und eigenen Maschinen. Eine Sitzung zu einer Maschine in Izmir läuft über ein Gateway in Izmir, ohne dass jemand es auswählt. Die Seite **Sites** zeigt den Zustand der Gateways je Standort, und jede Site hat einen **Activity Report**. Sites sind optional. Eine Installation, die nie eine anlegt, verhält sich genau wie zuvor. > Tipp: Das Badge **Connection** in der Liste **Agents** zeigt für jeden Agenten `Channel` oder `Inbound`, je nachdem, was gerade verbunden ist.