Neler değişti

Her içerik güncellemesi sürümlenir. Bir sürümü seçerek öncekiyle karşılaştırın.

Sürüm 8 → 9

Güncelleme

İki yeni bölüm: iş süresince erişim (kalıcı ayrıcalığın zaman aralıklı isteklerle karşılaştırması) ve oturumları bir konumun Gateway'leri üzerinden yönlendiren Sites.

2 ders güncellendisüre

İçerik güncellemesi. Kayıtlı öğrenciler bilgilendirildi.

Süre 16 dakikadan 17 dakikaya değişti.

Monopam ne yapar

Monopam, Monofor'un **ayrıcalıklı erişim yönetimi** platformudur. Görevi kısaca şöyle özetlenebilir: güçlü hesaplara ihtiyaç duyan kişi ve araçlar **parolaya değil, oturuma erişim** alır. Monopam, bir yöneticiye sunucunun root parolasını vermek yerine bu parolayı Vault'unda (parola kasasında) tutar, bağlantıyı kullanıcı adına açar ve olup biteni kayıt altına alabilir. İş bittiğinde erişim sona erer, kanıt kalır. ::diagram pgs-brokered-access ### Temel fikirler - **Aracılı erişim:** kullanıcılar Monopam üzerinden bağlanır; kimlik bilgisini Gateway (ağ geçidi) enjekte eder ve kullanıcı onu görmez. - **Önce politika:** kimin hangi kaynağa, hangi hesapla ve hangi koşullarda (pano, dosya aktarımı, kayıt, onay) erişebileceğine politikalar karar verir. - **Kanıt:** kayıt açıkken RDP oturumları video, terminal oturumları döküm olarak kaydedilir. Gösterimler, bağlantılar ve talepler denetim kaydı bırakır. ### Oturum açma kimlik sağlayıcısından gelir Monopam'de yerel parola ve Monopam'e özgü MFA yoktur. Kullanıcılar, tenant başına yapılandırılan bir OAuth2 veya OpenID Connect yöntemiyle bir kimlik sağlayıcısında, normalde **Monosign**'da oturum açar. Dolayısıyla kimlik bilgileri ve MFA kimlik sağlayıcısının işidir; kullanıcının grupları ve izinleri de bu oturum açmayla gelir. ### İş süresince erişim Birçok kurum yöneticilere güçlü erişimi bir kez verir ve yıllarca yerinde bırakır. Bu **kalıcı ayrıcalıktır (standing privilege)**: erişim, kullanılsın ya da kullanılmasın vardır. Monopam bunun yerine gerektiğinde istenen erişimi koymanızı sağlar. Kullanıcı bir istek gönderir, onaylayıcı **Requests** bölümünde karar verir ve onaylanan istek, erişime izin verilen zaman aralığını taşır. Aralık bittiğinde erişim de biter. **Tam zamanında erişim (just-in-time)** pratikte budur. Örnek: bir yüklenicinin cumartesi günü tek bir sunucuya yama geçmesi gerekiyor. Her gün çalışan bir hesap yerine, o sunucuyu cumartesi sabahı için ister. Onaylayıcı kimin, ne için ve ne kadar süreyle istediğini görür; pazartesi günü temizlenecek bir şey kalmaz. > İpucu: Bir müşteri ayrıcalıklı erişim için MFA'nın nerede zorunlu kılınacağını sorduğunda yanıt Monopam ayarı değil, kimlik sağlayıcısıdır.

Yapı taşları: Vault, Gateway ve ajanlar

Bir Monopam kurulumu birlikte çalışan birkaç parçadan oluşur. ::diagram pgs-building-blocks ### Web konsolu Kaynakları, Vault (parola kasası) öğelerini ve politikaları tanımladığınız, talepleri karara bağladığınız ve oturumları incelediğiniz yer **web uygulamasıdır**. Kullanıcılar tarayıcı oturumlarını buradan açar. ### Vault **Vault** hesapları ve sırları saklar: kullanıcı adı ve parola, PKI anahtarları, gizli metin, OTP tohumları ve diğer öğe türleri. Sırlar şifrelenir ve her kayıt, bir yöneticinin Password History'de görebileceği yeni bir **sürüm** olur. Hangi alanı kimin görebileceğine **Vault Access Policy** karar verir. Her gösterme veya kopyalama denetlenir, gösterilen değeri tarayıcı 30 saniye sonra temizler. ### Gateway **Gateway** (ağ geçidi) hedef sistemlerle konuşan vekil sunucudur. Bağlantıyı açar, Vault'taki kimlik bilgisini enjekte eder, oturumu tarayıcıya aktarır ve kaydı yazar. Gateway'ler beş saniyede bir sinyal gönderir ve **System > Gateways** altında listelenir. Gateway'leri hizmet ettikleri ağların yakınına yerleştirebilir ve **Sites** ile gruplayabilirsiniz. ### Ajan **Monofor ajanı**, Windows, Linux ve macOS uç noktaları için isteğe bağlı bir yazılımdır. Monopam'e kaydolur, bir kaynak oluşturur veya mevcut kaynağa bağlanır ve yerel hesap işlerini yürütür: hesapları listeleme, parola doğrulama ve belirleme, hesap kaldırma. Ağ yolunu platforma göre kontrol edin: - **Linux ve macOS ajanları** 443 numaralı porttan **Agent Channel** ile dışarı bağlanır; bunun için gelen port gerekmez. Yedek olarak 4482 portunda gelen bağlantı dinleyicisi kalır, yeni macOS kurulumlarında bu dinleyici kapalı gelir. - Dağıtılan MSI'daki **Windows ajanlarında** kanal henüz yoktur. Bunlar **yalnızca gelen bağlantıyla** çalışır: Gateway'in 4482 portundan ajana erişebilmesi gerekir. ### Sites: hizmet verdikleri sistemlere yakın Gateway'ler Birden çok lokasyonu olan bir şirket genellikle her birinde bir Gateway çalıştırır. Bir **Site** böyle bir lokasyonu modeller: bir fabrika, bir veri merkezi ya da bir şube. Gateway'leri ve kaynakları ona bağlarsınız; Monopam da Gateway'i lokasyona göre şu sırayla seçer: 1. Bir kaynak belirli Gateway'lere sabitlenmişse sabitleme her zaman kazanır. 2. Aksi halde bir site'a ait olan kaynak o site'ın Gateway'lerini kullanır. 3. Aksi halde, site'lar var olmadan önceki gibi, herhangi bir Gateway kullanılabilir. Örnek: bir üreticinin Bursa'da ve İzmir'de fabrikaları var. Her fabrika, kendi Gateway'leri ve kendi makineleriyle bir site olur. İzmir'deki bir makineye açılan oturum, kimse seçmeden bir İzmir Gateway'inden geçer. **Sites** sayfası her lokasyon için Gateway sağlığını gösterir ve her site'ın bir **Activity Report** raporu vardır. Site'lar isteğe bağlıdır. Hiç site oluşturmayan bir kurulum tam olarak eskisi gibi davranır. > İpucu: **Agents** listesindeki **Connection** rozeti, o anda bağlı olana göre her ajan için `Channel` veya `Inbound` gösterir.