Vigicap
Konnektor
WALLIX Bastion
API-Zugangsdaten, pro Kunde eingetragen.
Verwaltung privilegierter Zugriffe (französischer Hersteller): Sitzungs-Gateway, Secrets-Tresor, Genehmigungsworkflow, Sitzungsaufzeichnung. Zwei getrennte Messungen. Läuft die Administration tatsächlich ÜBER den Bastion? Eine Autorisierung, die das Auslesen des Zielpassworts erlaubt, lässt einen Administrator sich direkt verbinden, außerhalb des Bastion — der dedizierte Pfad wird optional. Und ist das Ganze nachvollziehbar? Eine Sitzungsautorisierung ohne Aufzeichnung ist ein Administrator, der ohne Protokoll handelt. Dieser Konnektor fragt niemals die Secrets des Tresors ab.
01
Was im Werkzeug anzulegen ist
Der Zugang wird in WALLIX Bastion angelegt, nicht in Vigicap. Vigicap fragt nie nach dem Passwort eines Administrators: Es erwartet API-Zugangsdaten, die Sie anlegen, die Sie sehen und die Sie ohne uns widerrufen können.
Wo er erzeugt wird
Dans le Bastion : créez un utilisateur dédié en lecture seule, puis une clé d'API pour lui (Configuration > Utilisateurs). Saisissez ici l'adresse du Bastion, le nom de cet utilisateur et la clé. N'accordez pas le droit « Credential recovery » : ce connecteur ne lit aucun secret du coffre.
Minimale Rolle
Utilisateur Bastion dédié en lecture seule, avec une clé d'API (et non le mot de passe d'un administrateur humain) : la clé se révoque seule. Toutes les lectures de ce connecteur sont des GET sur les autorisations, les équipements et les comptes. CE CONNECTEUR N'ENVOIE JAMAIS le paramètre `passwords=true` sur /api/accounts, qui ferait renvoyer en clair les mots de passe et les clés privées des comptes à privilèges. Le profil de l'utilisateur n'a donc aucun besoin du droit « Credential recovery », et il ne faut pas le lui accorder.
Dem Rollenmodell des Herstellers entnommen und vor der Veröffentlichung geprüft.
02
Was in Vigicap einzutragen ist
Die genauen Felder des Verbindungsformulars, in der Reihenfolge ihres Erscheinens. Als „geheim“ markierte Werte gelangen nie zurück in den Browser: Sie werden verschlüsselt gespeichert und beim Trennen gelöscht.
Das Formular beginnt mit der Adresse der Instanz, getrennt von den Feldern unten eingetragen. Der öffentliche Katalog veröffentlicht bislang nicht, ob dieser Konnektor eine braucht und wie sie aussieht — diese Liste ist also für alles Übrige genau und zu diesem ersten Feld stumm.
- Adresse du BastionURL
L'adresse de votre appliance WALLIX Bastion. Une adresse privée (RFC1918) est le cas normal.
https://bastion.interne.example
- Utilisateur d'API
Le nom de l'utilisateur Bastion auquel la clé appartient.
- Clé d'APIgeheim
La clé générée dans le Bastion pour cet utilisateur. Préférez-la au mot de passe d'un administrateur : elle se révoque indépendamment.
03
Routing pro Kunde
Die Verbindung wird pro Kunde hergestellt: ein Zugang je Kunde, auf dessen Kundenakte eingetragen. Zwischen zwei Kunden wird nichts geteilt, und das Trennen des einen lässt den anderen unberührt.
04
Was er tut und was er nicht tut
Vorbefüllte ReCyF-Ziele
Eine Lesung speist 2 Ziele des ANSSI-Referenzrahmens ReCyF. Sie SCHLÄGT sie vor: Ein Niveau zählt erst, wenn eine Beraterin oder ein Berater es bestätigt hat.
- #11 Maîtrise de l'administration des systèmes d'informationBeherrschung der Administration der Informationssysteme
- #19 Administration des systèmes d'information depuis des ressources dédiéesAdministration der Informationssysteme von dedizierten Ressourcen aus
Nur lesend
Die Lesevorgänge sind rein lesend: Vigicap schreibt beim Lesen nichts in das Werkzeug.
Was gelesen wird, was aufbewahrt wird, wie lange und mit welchen Rechten: dasselbe Verzeichnis, Konnektor für Konnektor, im Datenverzeichnis.
Überprüfung
Die API ist öffentlich und dokumentiert, aber nur mit einem kostenpflichtigen Abonnement erreichbar, für das der Hersteller keine Testversion ausgibt: es gibt keine Instanz, die wir beschaffen könnten, um ihn auszuführen. Das ist kein „noch nicht erledigt“ — dafür müsste uns ein Kunde seinen Tenant leihen.
Die genannten Marken und Logos gehören ihren jeweiligen Inhabern und kennzeichnen die Tools, mit denen Vigicap kompatibel ist — siehe das Impressum.