Vigicap
Conector
Teleport
Credencial de API, introducida cliente por cliente.
Proxy de acceso de código abierto autoalojado (bastión para SSH, Kubernetes, bases de datos y aplicaciones web internas) con grabación de sesiones. Vigicap lee la política de autenticación del clúster, el número de recursos accesibles, el número de cuentas con rol de administrador o de auditor y si el registro de auditoría contiene eventos recientes, para evaluar los objetivos ReCyF « Sécurisation des accès distants » y « Maîtrise de l'administration des systèmes d'information ». Los accesos remotos que no pasan por el bastión no son visibles desde esta fuente.
01
Lo que usted crea en la herramienta
El acceso se crea en Teleport, no en Vigicap. Vigicap no pide nunca una contraseña de administrador: espera una credencial de API que usted mismo crea, que ve y que puede revocar sin nuestra intervención.
Dónde crearla
Créez un compte local dédié (tctl users add) avec un rôle en lecture seule, puis enrôlez-lui son propre dispositif TOTP et communiquez le secret en base32 affiché à l'enrôlement. Les trois champs sont nécessaires : depuis la version 17, Teleport refuse de démarrer sans second facteur, un couple identifiant / mot de passe seul ne peut donc pas se connecter. N'utilisez jamais le compte d'un administrateur humain — ce compte doit être créé pour Vigicap et pour rien d'autre. Important : l'instance doit présenter un certificat TLS valide et reconnu ; le certificat auto-signé généré par défaut par le proxy Teleport sera refusé par Vigicap (aucune option pour désactiver la vérification TLS, par sécurité).
Rol mínimo
Créez un rôle dédié accordant uniquement `read`/`list` sur user, role, node, event, session et cluster_auth_preference, plus `node_labels: {'*': '*'}` avec `logins: []`. Les labels sont indispensables : sans eux la liste des ressources revient VIDE au lieu de refuser, et `logins` vide garantit que le compte voit le parc sans pouvoir y ouvrir de session. N'utilisez pas les rôles intégrés `editor` ou `access`.
Tomado del modelo de roles del proveedor y comprobado antes de la publicación.
02
Lo que usted rellena en Vigicap
Los campos exactos del formulario de conexión, en el orden en que aparecen. Los valores marcados como «secretos» no vuelven nunca al navegador: se almacenan cifrados y se borran al desconectar.
El formulario empieza por la dirección de la instancia, que se rellena al margen de los campos siguientes. El catálogo público todavía no publica si este conector necesita una, ni qué forma tiene — esta lista es, por tanto, completa para todo lo demás y guarda silencio sobre ese primer campo.
- Nom d'utilisateursecreto
Compte local Teleport dédié, créé avec tctl users add.
vigicap
- Mot de passesecreto
Mot de passe associé à ce compte.
- Secret TOTPsecreto
Secret en base32 du dispositif TOTP enrôlé sur ce compte (affiché à côté du QR code lors de l'enrôlement). Teleport impose un second facteur : sans ce secret, la connexion est impossible.
JBSWY3DPEHPK3PXP
03
Enrutamiento por cliente
La conexión se establece cliente por cliente: una credencial por cliente, introducida en su propia ficha. Nada se comparte entre dos clientes, y desconectar a uno no afecta al otro.
04
Lo que hace y lo que no hace
Objetivos ReCyF precargados
La lectura alimenta 2 objetivos del referencial ReCyF de la ANSSI. Los PROPONE: el nivel no cuenta hasta que un consultor lo confirma.
- #8 Sécurisation des accès distants aux systèmes d'informationSeguridad de los accesos remotos a los sistemas de información
- #11 Maîtrise de l'administration des systèmes d'informationDominio de la administración de los sistemas de información
Solo lectura
Las lecturas son de solo lectura: al leer, Vigicap no escribe nada en la herramienta.
Lo que se lee, lo que se conserva, durante cuánto tiempo y con qué derechos: el mismo registro, conector por conector, en el inventario de datos.
Verificación
Este conector se ha ejecutado de principio a fin en una instancia real de la herramienta, no solo probado contra una simulación.
Las marcas y los logotipos citados pertenecen a sus respectivos titulares e identifican las herramientas con las que Vigicap es compatible — véase el aviso legal.