Connector

Teleport

API-toegangsmiddel, per klant afzonderlijk ingevoerd.

Zelf gehoste openbrontoegangsproxy (bastion voor SSH, Kubernetes, databases en interne webapplicaties) met sessieopname. Vigicap leest het authenticatiebeleid van het cluster, het aantal bereikbare resources, het aantal accounts met een beheerders- of auditorrol en of het auditlogboek recente gebeurtenissen bevat, om de ReCyF-doelstellingen « Sécurisation des accès distants » en « Maîtrise de l'administration des systèmes d'information » te beoordelen. Toegang op afstand die niet via de bastion loopt, is vanuit deze bron niet zichtbaar.

Wat u in de tool aanmaakt

De toegang maakt u aan in Teleport, niet in Vigicap. Vigicap vraagt nooit om een beheerderswachtwoord: het verwacht een API-toegangsmiddel dat u zelf aanmaakt, dat u ziet en dat u zonder onze tussenkomst kunt intrekken.

Waar u het aanmaakt

Créez un compte local dédié (tctl users add) avec un rôle en lecture seule, puis enrôlez-lui son propre dispositif TOTP et communiquez le secret en base32 affiché à l'enrôlement. Les trois champs sont nécessaires : depuis la version 17, Teleport refuse de démarrer sans second facteur, un couple identifiant / mot de passe seul ne peut donc pas se connecter. N'utilisez jamais le compte d'un administrateur humain — ce compte doit être créé pour Vigicap et pour rien d'autre. Important : l'instance doit présenter un certificat TLS valide et reconnu ; le certificat auto-signé généré par défaut par le proxy Teleport sera refusé par Vigicap (aucune option pour désactiver la vérification TLS, par sécurité).

Minimale rol

Créez un rôle dédié accordant uniquement `read`/`list` sur user, role, node, event, session et cluster_auth_preference, plus `node_labels: {'*': '*'}` avec `logins: []`. Les labels sont indispensables : sans eux la liste des ressources revient VIDE au lieu de refuser, et `logins` vide garantit que le compte voit le parc sans pouvoir y ouvrir de session. N'utilisez pas les rôles intégrés `editor` ou `access`.

Overgenomen uit het rollenmodel van de leverancier en vóór publicatie nagetrokken.

Wat u in Vigicap invult

De exacte velden van het verbindingsformulier, in de volgorde waarin ze verschijnen. Waarden die als « geheim » zijn gemarkeerd, komen nooit terug naar de browser: ze worden versleuteld opgeslagen en bij het verbreken van de verbinding gewist.

Het formulier begint met het adres van de instantie, dat los van de onderstaande velden wordt ingevuld. De openbare catalogus publiceert nog niet of deze connector er een nodig heeft, noch hoe het eruitziet — deze lijst is dus volledig voor al het overige en zwijgt over dat eerste veld.

Nom d'utilisateurgeheim
Compte local Teleport dédié, créé avec tctl users add.
vigicap
Mot de passegeheim
Mot de passe associé à ce compte.
Secret TOTPgeheim
Secret en base32 du dispositif TOTP enrôlé sur ce compte (affiché à côté du QR code lors de l'enrôlement). Teleport impose un second facteur : sans ce secret, la connexion est impossible.
JBSWY3DPEHPK3PXP

Routering per klant

De verbinding wordt per klant afzonderlijk gemaakt: één toegangsmiddel per klant, ingevoerd in zijn eigen fiche. Niets wordt tussen twee klanten gedeeld, en het verbreken bij de ene raakt de andere niet.

Wat het wel en niet doet

Vooraf ingevulde ReCyF-doelstellingen

De uitlezing voedt 2 doelstellingen van het ANSSI ReCyF-referentiekader. Zij STELT die VOOR: het niveau telt pas mee nadat een consultant het heeft bevestigd.

#8 Sécurisation des accès distants aux systèmes d'informationBeveiliging van de toegang op afstand tot de informatiesystemen
#11 Maîtrise de l'administration des systèmes d'informationBeheersing van het systeembeheer van de informatiesystemen

Alleen lezen

De uitlezingen zijn alleen lezend: Vigicap schrijft bij het lezen niets weg in de tool.

Wat er wordt uitgelezen, wat er wordt bewaard, hoe lang en met welke rechten: hetzelfde register, connector voor connector, in de gegevensinventaris.

Verificatie

Deze connector is van begin tot eind uitgevoerd op een echte instantie van de tool, niet alleen getest tegen een nabootsing.

De genoemde merken en logo's behoren toe aan hun respectieve houders en identificeren de tools waarmee Vigicap compatibel is — zie de juridische informatie.