Keycyte PAM 3.2 · Kurulum Kılavuzu

Bağlantı Yolları

Kullanıcılar hedef sistemlere Keycyte PAM üzerinden üç yoldan biriyle erişir. Her durumda kullanıcı Keycyte PAM’de kimlik doğrular, Keycyte PAM kullanıcının rollerini ve politikalarını denetler ve hedef sistemle bağlantıyı, Parola Kasası’ndaki kimlik bilgisiyle bir Keycyte PAM bileşeni açar.

Tarayıcı Oturumları

Tarayıcı oturumları için istemci yazılımı gerekmez. Kullanıcı İstemci Paneli’nde bir sunucu açar ve oturum bir tarayıcı sekmesinde çalışır.

1. Tarayıcı, PAM sunucusuna 443 numaralı port üzerinden HTTPS ile bağlanır.
2. Kullanıcı bir sunucu ve bir hesap seçer. PAM sunucusu rolleri, MFA ve onay gereksinimlerini denetler.
3. PAM sunucusu tarayıcıdan bir WebSocket açar ve hedef sisteme bağlanır:
   • RDP, VNC, Telnet, Kubernetes, RemoteApp, web uygulaması ve üçüncü taraf uygulama oturumlarında PAM sunucusu, hedefe bağlanması için ağ geçidine (guacd, dahili ağda 4822 numaralı port) istek gönderir. Ağ geçidi, hedef sisteme sunucu için yapılandırılan port üzerinden bağlanır.
   • SSH terminali ve SFTP oturumlarında PAM sunucusu, WebSocket’i SSH proxy’ye (dahili ağda 8443 numaralı port) aktarır. SSH proxy, hedef sisteme SSH ile bağlanır.
4. Sunucu rolü gerektiriyorsa PAM sunucusu oturumu kaydeder.

Web uygulaması ve üçüncü taraf uygulama oturumları bir atlama sunucusunda (jump server) çalışır: ağ geçidi, Ayarlar > Bağlantı sayfasında yapılandırılan atlama sunucusuna bir RDP oturumu açar ve uygulama orada başlatılır.

Yerel SSH İstemcileri

Kendi SSH istemcisini kullanmayı tercih eden kullanıcılar, SSH proxy’ye 2222 numaralı port üzerinden bağlanır. İstemci Paneli, kopyalanacak komutu aşağıdaki biçimde gösterir:

ssh <vault_id>@<server_id>@<pam_user>@pam.example.com -p 2222

1. SSH istemcisi, SSH proxy’ye 2222 numaralı port üzerinden bağlanır ve kullanıcının kimliği doğrulanır.
2. SSH proxy, kullanıcının istenen sunucuda istenen hesabı kullanıp kullanamayacağını dahili API üzerinden PAM sunucusuna sorar. İstek, SSH proxy’nin erişim anahtarıyla imzalanır (bkz. Hizmet Erişim Anahtarları).
3. SSH proxy, hedef sisteme kasadaki kimlik bilgisiyle bağlanır ve gerekiyorsa oturumu kaydeder.

Yerel RDP İstemcileri

Yerel RDP erişimi için RDP proxy gerekir (bkz. Bileşenler).

1. Kullanıcı İstemci Paneli’nde bir sunucu ve bir hesap seçer ve yerel bir RDP istemcisiyle bağlanmayı seçer.
2. PAM sunucusu, tek kullanımlık bir bağlantı belirtecini ve kimlik bilgilerini, RDP proxy erişim anahtarıyla imzalayarak dahili ağ üzerinden RDP proxy’ye iletir.
3. Kullanıcı bir .rdp dosyası ve tek kullanımlık bir parola alır. .rdp dosyası, KEYCYTE_RDP_PROXY_PUBLIC_ADDRESS değişkeninde tanımlı olan RDP proxy genel adresini gösterir.
4. RDP istemcisi, RDP proxy’ye 3389 numaralı port üzerinden bağlanır. RDP proxy belirteci doğrular ve hedef sistemle RDP bağlantısını açar.

Belirtecin geçerlilik süresi varsayılan olarak 120 saniyedir (KEYCYTE_RDP_LAUNCH_TOKEN_TTL_SECS). Yerel RDP ile başlatma, RDP proxy URL’si, genel adresi ve erişim anahtarı yapılandırıldığında etkinleşir.

Hizmetler Arası Trafik

Kullanıcı bağlantılarının yanı sıra bileşenler dahili ağ üzerinden birbirleriyle de iletişim kurar: