Bu Kılavuz Hakkında

Bu sürüm notları Keycyte PAM 3.2’yi (derleme 3.2.5) anlatır ve Keycyte PAM 3.0’dan bu yana yapılan değişiklikleri listeler.

Hedef Kitle

Bu doküman, Keycyte PAM’ı kuran, yükselten ya da kullanan herkes için hazırlanmıştır.

İçindekiler

Sürüm Bilgisi

Çalışan bir kurulumun sürümü, Yönetici Paneli’nin alt bilgi alanında gösterilir.

Keycyte PAM 3.2'deki Yenilikler

Keycyte PAM 3.2 aşağıdaki yeni özellikleri ve iyileştirmeleri sunar.

Yönetim ve Yetkiler

• Yetki profilleri. Yeni Ayarlar > Yetki Profilleri sayfası, ADMIN hesaplarının Yönetici Paneli’nin her modülünde neler yapabileceğini (görüntüleme, ekleme, düzenleme, silme) tanımlar. Her ADMIN hesabına bir profil atanır. Yönetici Paneli’nin menüsü, sayfaları ve düğmeleri profile göre şekillenir. MASTER hesapları hiçbir zaman profillerle sınırlandırılmaz.
• Etiketler. Sunucular ve Parola Kasası kayıtları etiketlenebilir. Etiketler Ayarlar > Etiketler sayfasında yönetilir ve listeleri filtrelemek için kullanılabilir. Etiketleri yalnızca MASTER yöneticiler oluşturabilir, silebilir ve birleştirebilir.
• Parola Kasası geri dönüşüm kutusu. Silinen bir kasa kaydı geri dönüşüm kutusuna (Ayarlar > Geri Dönüşüm Kutusu) taşınır ve saklama süresi dolana kadar geri yüklenebilir. Saklama süresi yapılandırılabilir.
• Çalışma zamanında günlük seviyesi. PAM sunucusunun günlük seviyesi, yeniden başlatma gerekmeden Ayarlar > Genel sayfasında değiştirilebilir.
• Açık ve koyu tema. Her iki panelin üst çubuğunda bir tema anahtarı bulunur ve seçim kullanıcı başına kaydedilir.
• Sıralanabilir tablolar. Her iki panelde, sayfalaması tarayıcıda yapılan tablolarda bir sütun başlığına tıklamak tüm listeyi sıralar. Sıralama dile duyarlıdır ve satır seçimini korur.

Roller ve Erişim Denetimi

• Roller için toplu işlemler. Sunucu Rolleri ve Parola Rolleri sayfalarındaki Toplu işlemler menüsü, birden fazla rolü aynı anda değiştirir: özellikler, zamanlama, yetkili kullanıcılar ve gruplar, sahipler ve etiketler. Her toplu değişiklik tek bir işlem olarak çalışır; güncellenen, değişmeyen, yasaklanan ve bulunamayan rolleri raporlar ve denetim günlüğüne yazılır.
• Daha anlaşılır rol tabloları. Rol tabloları yetkili kullanıcıları ve grupları, üye sayısını ve etkin özellikleri gösterir. Roller yetkili bir kullanıcıya ya da gruba göre filtrelenebilir; örneğin bir kişiyi tüm rollerden tek seferde çıkarmak için.
• Rol zamanlamaları. Haftalık zamanlamalar, gece yarısını aşan zaman aralıkları (örneğin 22:00–06:00) ve özel tarih aralıkları sunucu, parola ve kullanıcı rolleri için uygulanır. Rol listesi her rolün zamanlamasını gösterir.
• Parola Kasası’nda sunucu seçici. Bir kasa kaydının Sunucular alanı, tek tek sunuculara ek olarak sunucu rollerini ve “All RDP servers”, “All SSH servers” gibi kısayolları sunar.

Parola Yönetimi

• Önce hesabın kendisiyle parola değişikliği. Windows ve Active Directory hesapları için parola politikasında yeni bir Değiştirme Yöntemi ayarı bulunur: hesap önce kendi parolasını değiştirir ve bu başarısız olursa ayrıcalıklı sıfırlamaya geçilir (varsayılan), yalnızca sıfırlama ya da yalnızca hesabın kendisiyle değişiklik. Her değişiklik, yeni parolayla oturum açılarak doğrulanır ve her adım Password Manager günlüğüne yazılır.
• Hesabın kendisiyle değişikliği atlama. Bir hesap kalıcı bir nedenle kendi parolasını değiştiremiyorsa, 30 gün boyunca ayrıcalıklı hesapla sıfırlanır. Parola Kasası bu durumu gösterir ve işlem menüsündeki Self change’i tekrar dene komutu bir hesap için atlamayı sonlandırır.

Ağ Cihazı Erişimi

• TACACS+ sunucusu. Keycyte PAM, ağ cihazı yöneticilerinin kimlik doğrulaması, yetkilendirmesi ve hesap kaydı (accounting) için bir TACACS+ sunucusu sağlar. Sunucu Ayarlar > TACACS+ Sunucu sayfasında yapılandırılır. Bir sunucu, kendi paylaşılan sırrıyla bir TACACS+ cihazı olarak kaydedilebilir ve sunucu rolleri bir TACACS+ ayrıcalık düzeyi taşır.

Entegrasyonlar

• Secrets API. Uygulamalar, servis kimlikleri ve API anahtarlarıyla Secrets API üzerinden Parola Kasası’ndaki gizli bilgileri okuyabilir. API anahtarlarının bir geçerlilik süresi vardır, iptal edilebilir ve uzun süre kullanılmadıklarında işaretlenir. API başvuru belgesine Yönetici Paneli’nden erişilebilir.
• Birden fazla Syslog hedefi. Denetim kayıtları, Ayarlar > Syslog Ayarları sayfasındaki etkin her sunucuya iletilir. Her hedefin kendi kuyruğu vardır; böylece erişilemeyen bir hedef artık diğerlerini geciktirmez. Hedefler kaydedilirken doğrulanır.
• Daha hızlı kullanıcı ve grup araması. Kullanıcı ve grup otomatik tamamlama önce tam eşleşmeleri, ardından arama terimiyle başlayan adları, ardından terimi içeren adları gösterir. Dizinlerde zaman sınırlarıyla paralel arama yapılır ve erişilemeyen bir dizin artık aramayı engellemez; bir dizine ulaşılamadığında alanın altındaki bir not sizi bilgilendirir.

Oturumlar ve Raporlama

• Oturum raporlarında detaylı analiz. Oturum raporlarında (Raporlar > Oturum) yeni bir Detaylı Analiz sekmesi bulunur: oturumları kullanıcılara, sunuculara, hesaplara, zamana, süreye, kapanma nedenine, kayda ve istemciye göre filtreleyin; seçtiğiniz bir eksende gruplayın; toplamları ve bir eğilim grafiğini görüntüleyin; önceki dönemle karşılaştırın; CSV ya da Excel olarak dışa aktarın ve eşleşen oturumları Oturum Geçmişi sayfasında açın. Filtre kümeleri kaydedilip paylaşılabilir.
• Dosya Geçmişi’nde istemci IP’si. Dosya Geçmişi sayfasında isteğe bağlı bir İstemci IP sütunu bulunur.
• SSH oturumları için kapanma nedenleri. Bir web terminali ya da yerel SSH oturumunun sona erme nedeni istemci günlüğüne yazılır.
• Oturum canlı tutma. İstemci Paneli, açık bir oturumun bağlantısını canlı tutar ve giriş oturumunun süresi dolduğunda oturumu haber vermeden kapatmak yerine bir istem görüntüler.
• Kubernetes protokolü. Kubernetes, bir sunucu protokolü olarak kullanılabilir.

İstemci Paneli

• Black terminal teması. Yeni Black terminal teması, terminal oturumlarını tamamen siyah bir arka planda gösterir. Terminalin çevresindeki alan, seçilen temanın rengini alır.

Güvenlik ve Sertifikalar

• Web TLS sertifikası yönetimi. Ayarlar > Web TLS Sertifikası sayfasında sertifika, anahtar ve zincir PEM dosyalarından yüklenebilir. Sertifika alanına yapıştırılan tam zincir otomatik olarak ayrıştırılır, kök sertifikası olmayan iç CA zincirleri bir uyarıyla kabul edilir ve zincir, veren sırasına göre sunulur. Tarayıcıların kullanamadığı anahtarlar (Ed25519, ECDSA P-521) ve parola korumalı anahtarlar açık bir iletiyle reddedilir.
• Yalnızca yazılabilir paylaşılan sırlar. RADIUS ve TACACS+ paylaşılan sırları kaydedildikten sonra artık gösterilmez.
• Korunan Yönetici Paneli dosyaları. Yönetici Paneli’nin dosyaları yalnızca giriş yapmış yöneticilere sunulur.

Giderilen Sorunlar

Keycyte PAM 3.2, önceki sürümlerde bulunan aşağıdaki sorunları giderir.

Güvenlik

• Bir ADMIN hesabı, MASTER rolüne sahip bir kullanıcı oluşturarak MASTER yetkileri edinebiliyordu. Artık MASTER rolünü yalnızca bir MASTER yönetici verebilir ya da bu role sahip bir hesabı değiştirebilir.
• Kaydedilen bir oturumda yazılan metin, kaydı oynatan yöneticinin tarayıcısında biçimlendirme kodu olarak çalışabiliyordu. Kaydedilen metin artık her zaman düz metin olarak gösterilir.
• Yönetici Paneli, bazı kullanıcı yanıtlarında kullanıcıların önbelleğe alınmış giriş parolasını döndürüyordu. Bu parola artık döndürülmez.
• Parola Kasası yanıtları, kaydı görebilen kullanıcılar için geçerli parola dahil parola geçmişini açık metin olarak içeriyordu. Parola geçmişi artık bu yanıtlarda döndürülmez; yalnızca yetki denetimi yapılan geçmiş işleviyle erişilebilir.
• İstemci Paneli’nde, bir kasa kaydının sahibi olarak listelenen bir ADMIN, yetki düzeyinden bağımsız olarak kaydın parolasını kopyalayabiliyordu. Kopyalama artık, Yönetici Paneli’nde olduğu gibi, kayda tam erişim ya da kopyalamaya izin veren bir parola rolü gerektirir.
• RADIUS ve TACACS+ sunucu ayarları, saklanan paylaşılan sırrı döndürüyordu. Sır artık yalnızca yazılabilir.
• Yönetici Paneli’nin dosyaları giriş yapılmadan indirilebiliyordu. Bu dosyalar artık yalnızca yöneticilere sunulur.

Oturumlar

• Web terminali oturumları, nedenine ilişkin bir kayıt olmadan sona erebiliyordu. Kapanma nedeni artık SSH proxy’sine gönderilir ve web terminali ile yerel SSH oturumları için istemci günlüğüne yazılır.
• SSH oturumları Oturum Geçmişi’nde bir Tip göstermiyordu ve bir SSH oturumunun sahibi oturumu duraklatamıyor ya da paylaşamıyordu.
• Bir yük dengeleyicinin arkasında, aynı hedef hesap üzerinde başka bir düğümde çalışan bir iş arkadaşının oturumu algılanmıyordu ve bu kullanıcının masaüstü oturumu kapatılabiliyordu.
• Birden fazla istek aynı anda çalıştığında tarayıcı istekleri net::ERR_CONNECTION_CLOSED hatasıyla başarısız olabiliyordu.
• SFTP, SSH ve oturum izleme bağlantıları, oturumun ortasında WebSocket 1006 koduyla kesilebiliyordu.
• PAM sunucusu durdurulduğunda oturum kayıtları eksik kalabiliyordu. Açık oturumlar artık kapanışta düzgün biçimde sonlandırılır; böylece kayıtları eksiksiz olur.

Sunucular ve Parola Kasası

• Bir sunucuyu klonlamak, yeni bir sunucu oluşturmak yerine düzenleme için en son açılan sunucunun üzerine yazıyordu.
• Listeden bir uygulama seçilerek kaydedilen 3rd party uygulama türündeki sunucular bağlanamıyordu (“Third-party application not found”).
• Bir kasa kaydının Sunucu Rolleri alanı kaydedilmiyordu. Sunucu rolleri artık Sunucular alanında seçilir.
• Active Directory’de değiştirilen bir parola, dizinin yanıtı sonunda bir NUL karakteri içerdiğinde kaybolabiliyordu.

Roller

• Haftalık rol zamanlamaları hiçbir zaman eşleşmiyordu; bu nedenle rol her gün erişimi reddediyordu.
• Gece yarısından sonra biten zaman aralıkları (örneğin 22:00–06:00) hiçbir zaman eşleşmiyordu.
• Özel rol zamanlamalarının başlangıç ve bitiş tarihleri kaydedilmiyordu; bu nedenle bu roller hiç sınırlanmıyordu.
• Bir rolün yetkili kullanıcılarını ya da gruplarını kaydederken bir hata oluşursa rol, hiç yetkili kullanıcı ya da grup olmadan kalabiliyordu.
• Bir rolün sahip iletişim kutusu, herhangi bir hesabı sahip olarak ekleyebiliyor ya da bir MASTER ortak sahibini kaldırabiliyordu. İletişim kutusu artık toplu sahip değişiklikleriyle aynı kurallara uyar.

Raporlar ve Günlükler

• Hesap raporundaki (Raporlar > Hesap) değerler hatalıydı: değiştirilen ya da doğrulanan hesaplar başarısız olarak sayılıyordu ve bazı grafikler yanlış sütunu okuyordu.
• Zamanlanmış bir e-posta raporunun anında gönderilmesi, e-posta gönderilemediğinde bile her zaman başarılı olarak raporlanıyordu.
• Birden fazla Syslog hedefi olduğunda kayıtları yalnızca bir hedef alıyordu ve erişilemeyen bir hedef iletimi tamamen durduruyordu.
• Syslog hedefleri okunurken gelen denetim kayıtları kayboluyordu.

Dizin Araması

• Kullanıcı ve grup otomatik tamamlamada tam bir eşleşme, daha uzun adlar tarafından sonuçların dışına itilebiliyordu.
• Erişilemeyen bir LDAP sunucusu, yerel ve RADIUS kullanıcıları dahil her kullanıcı aramasını geciktiriyordu.

Sertifikalar

• Başarılı bir doğrulamadan sonra Web TLS sertifikasının uygulanması başarısız oluyordu.
• Sertifika alanına yapıştırılan tam zincir, yanlış bir “no chain was supplied” uyarısına neden oluyordu ve ara sertifika iki kez gönderilebiliyordu.
• İki düzeyli bir iç CA için eksik bir zincir sunuluyordu.

Kullanıcı Arayüzü

• Rol görünümlerindeki aramalar Türkçe karakterleri eşleştirmiyordu (örneğin “istanbul” araması “İSTANBUL” sonucunu bulmuyordu).
• Yetki profili iletişim kutusunun Kaydet düğmesi küçük ekranlarda görünür alanın dışında kalabiliyordu.
• Bazı metinler çeviri anahtarları olarak gösteriliyordu ve güncel olmayan bir sayfa bölümü istendiğinde paneller bir güncellemeden sonra yeniden yüklenmiyordu.

Yükseltme Notları

Mevcut bir kurulumu Keycyte PAM 3.2’ye yükseltmeden önce bu notları okuyun.

Yükseltmeden Önce

• Yedek alın. Ayarlar > Yedekleme sayfasında bir yedek oluşturun ve yedeği ana bilgisayarın dışına kopyalayın. .env dosyası dahil kurulum paketi klasörünü ve ~/record ile ~/drive dizinlerini de yedekleyin.
• Şifreleme anahtarını koruyun. Yeni sürüm, mevcut kurulumla aynı şifreleme anahtarını (KEYSTORE_KEY_HEX) ve oturum sırrını (SESSION_SECRET_KEY) kullanmalıdır. Aksi halde saklanan gizli bilgilerin, yedeklerin ve kayıtların şifresi çözülemez.
• Önce Password Manager’ı yükseltin. Keycyte PAM 3.2’nin önce hesabın kendisiyle yapılan parola değişikliği, aynı sürümün Password Manager servisini gerektirir. Yeni Password Manager’ı PAM sunucusundan önce ya da onunla birlikte dağıtın.
• Bir bakım penceresi planlayın. Kapsayıcılar yeniden başlatılırken etkin oturumlar kesintiye uğrar.
• Birden fazla düğüm. Tüm düğümleri aynı sürüme yükseltin.

Veritabanı Şeması

Veritabanı şeması, PAM sunucusu başlatıldığında otomatik olarak geçirilir. PAM sunucusu yeni tablolar oluşturur, yeni sütunlar ve dizinler ekler; mevcut sütunları ya da dizinleri kaldırmaz. Elle yapılması gereken bir veritabanı adımı yoktur. Geçiş başarısız olursa PAM sunucusu başlamaz ve günlüğe Failed to run ent auto-migration yazar.

Değişen Davranışlar

Yükseltmeden sonra aşağıdaki değişiklikleri denetleyin:

• Rol zamanlamaları uygulanır. Haftalık zamanlamalar, gece yarısını aşan zaman aralıkları ve özel tarih aralıkları artık yapılandırıldığı gibi çalışır. Önceki sorunlar nedeniyle erişimi reddeden roller, yapılandırılmış aralıkları içinde erişim vermeye başlar. Sunucu, parola ve kullanıcı rollerinizin zamanlamalarını gözden geçirin.
• Parola değiştirme yöntemi. Mevcut parola politikaları yeni varsayılan değiştirme yöntemini kullanır: hesap önce kendi parolasını değiştirir, bu başarısız olursa ayrıcalıklı sıfırlamaya geçilir. Parola politikalarınızın Değiştirme Yöntemi ayarını gözden geçirin.
• ADMIN hesapları bir yetki profili gerektirir. ADMIN hesapları yetki profilleriyle sınırlandırılır. Ayarlar > Yetki Profilleri sayfasındaki profilleri ve her ADMIN hesabına atanan profili gözden geçirin. Yetki profillerinden önce alınmış bir yedek geri yüklendiğinde her ADMIN hesabına yerleşik tam yetki profili atanır.
• Silinen kasa kayıtları geri dönüşüm kutusuna taşınır. Bir kasa kaydını silmek, kaydı saklama süresi dolana kadar Ayarlar > Geri Dönüşüm Kutusu sayfasına taşır. Bu süre boyunca arşivlenen parola hedef sistemde değiştirilmez.
• 3rd party uygulama sunucuları. 3rd party uygulama türündeki ve uygulamanın kimliği yerine adını saklayan sunucular düzenlenmelidir: sunucuyu açın, uygulamayı yeniden seçin ve kaydedin.
• MFA kilitlemesi. Başarısız MFA doğrulamalarından sonra uygulanan hesap kilitlemesi tüm kullanıcı türleri için geçerlidir. Kilitleme süresi KEYCYTE_MFA_LOCKOUT_DURATION_MIN ile ayarlanır (varsayılan 15 dakika).
• Servis erişim anahtarları. Servis erişim anahtarları yalnızca ortamdan (.env) okunur. Yönetici Paneli’nde oluşturulamaz ya da yenilenemez.
• İstek hızı sınırlama. PAM sunucusu artık istemci başına istek hızını sınırlamaz. Gerekiyorsa hız sınırlamayı bir ters proxy üzerinde yapılandırın.
• Oturum çerezi. Oturum çerezi __Host- önekiyle gönderilir. Bu öneki kullanmayan bir sürümden yükseltiyorsanız, kullanıcıların oturumu yükseltmeden sonra bir kez kapatılır ve kullanıcıların yeniden giriş yapması gerekir.