HashiCorp Boundary — это пропускная система с открытым исходным кодом, которая обеспечивает пользователю безопасный доступ к динамическим хостам и критически важной инфраструктуре в разных средах. Однако, если вам нужен простой и безопасный способ управления доступом к базам данных, кластерам Kubernetes, облачным интерфейсам командной строки, коммутаторам, маршрутизаторам или внутренним веб-приложениям, можно рассмотреть и другие сервисы. В этой статье, мы рассмотрим несколько альтернатив и обсудим сильные и слабые стороны каждой из них. Итак, сделаем экспресс-анализ фичей каждого сервиса, которые, возможно, вас заинтересуют.

HashiCorp Boundary

Краткое описание:

HashiCorp выпустила Boundary в 2020 году в ответ на потребность пользователей Vault в решении для управления сеансами (в противопоставление управлению учетными данными). Проект направлен на упрощение динамического процесса получения доступа к системе, особенно в средах с высокой степенью автоматизации, путем предоставления аутентифицированным и авторизованным пользователям доступа к сложным системам. Он использует принцип наименьших привилегий, предоставляя разработчикам и операторам минимальный доступ, достаточный для выполнения требуемой работы. Это ограничивает доступ к более крупным сетям, снижая риск взлома. Boundary также отслеживает и регистрирует метаданные сеанса.

Примеры использования:

Hashicorp Boundary — это бесплатная система безопасности с открытым исходным кодом на основе идентификационных данных;
Ролевая и логическая авторизация сервисов;
Использует технологию единого входа для управления подключения и отключения;
Интегрируется с существующими инструментами и API.

Плюсы:

Каталоги динамических ресурсов;
Запланированная интеграция с Terraform, AWS / GCP / Azure, Kubernetes для постоянного обновления каталогов на основе тегов в v0.2;
Динамические учетные данные;
Интеграция с Vault и другими посредством сквозных динамических учетных данных;
Аутентифицируется с помощью поставщика удостоверений в процессе использования.

Минусы:

Инструменты могут сбивать с толку;
Сложная установка с множеством «движущихся частей». Пользователи испытывают проблемы с тем что запускать вместе с чем и как это интегрировать;
Требуется третий инструмент, Consul, для управления службами и межмашинным доступом.

strongDM

Краткое описание:

strongDM — это управляющий уровень по контролю и мониторингу доступа к базам данных, серверам и Kubernetes. Их модель безопасности "Zero Trust" означает, что вместо распределения доступа по комбинации VPN, отдельных учетных данных для баз данных, ключей SSH, strongDM объединяет управление пользователями в существующей системе единого входа (Google, Onelogin, Duo, Okta и т. Д.) и сохраняет базовые учетные данные скрытыми. Конечные пользователи не имеют доступа ни к учетным данным, ни к ключам. Поскольку strongDM разбирает каждый протокол на составляющие, он также регистрирует все запросы к базе данных, выполненные сеансы SSH и RDP и активность кластеров Kubernetes.

Примеры использования:

Более быстрое подключение — нет необходимости вводить учетные данные базы данных,ssh ключи и пароли VPN для каждого нового сотрудника;
Безопасное отключение — приостановите доступ к системе единого входа один раз, чтобы отозвать все базы данных и доступ к серверу;
Автоматически применяет лучшие практики безопасности — минимальные привилегии, однодневные разрешения, журнал аудита;
Комплексные журналы — регистрирует каждое изменение разрешений, запросы к базе данных, команды ssh и kubectl.

Плюсы:

Простое интегрирование — самовосстанавливающаяся упорядоченная сеть прокси-серверов, которая автоматически обнаруживает доступную базу данных, узлы ssh и кластеры Kubernetes;
Никаких изменений в рабочем процессе — используйте любой клиент SQL, интерфейс командной строки или BI инструмент;
Стандартизированные журналы для любого типа базы данных, сервера Linux или Windows, и Kubernetes;
Графический клиент для Windows и MacOS;
Смотрите и воспроизводите все действия с записями сеанса;
Управляйте через дружелюбный интерфейс веб-браузера;
Простые и понятные расценки.

Минусы:

Требует постоянный доступ к strongDM API для доступа к управляемым ресурсам.

Teleport (Community Edition или Enterprise)

Краткое описание:

Gravitational Teleport обеспечивает контроль привилегированных пользователей (PAM) в облачных инфраструктурах. Teleport — это прокси-сервер для доступа и аутентификации к SSH и Kubernetes API. Он задумывался как замена sshd, пока и работает с существующими клиентами и серверами OpenSSH. Он позволяет администраторам настраивать доступ группам пользователей и отдельным пользователям к группам серверов, называемым “кластерами”, и реализует управление доступом на основе ролей (RBAC), чтобы обеспечить разные уровни доступа к разным кластерам. Индивидуальные учетные данные сервера недоступны для пользователей, что снижает административные последствия ротации и удаления учетных данных.

Версия Teleport Community Edition с открытым исходным кодом такая же, как и версия Enterprise, за следующими исключениями:

Нет RBAC;
Нет интеграции SSO;
Платная поддержка недоступна.

Примеры использования:

Контроль доступа на основе ролей;
Используйте существующие инструменты управления идентификацией;
Записывает всю активность сеанса в проверяемые журналы.

Плюсы:

Открытый код;
Бесплатно;
Предоставляет пользователям безопасный доступ к ресурсам.

Минусы:

Отсутствие контрактной поддержки т.к продукт бесплатный;
Программное обеспечение Teleport должно быть запущено на каждом сервере, чтобы управлять через Teleport access;
Сложная настройка;
Учетные данные пользователя назначаются для всего кластера, а не для каждого сервера;
Необходима настройка расширений для хранения журналов аудита (AWS S3 / DynamoDB, и Teleport она нужна для хранения журналов сеанса).
Журналы аудита пользователя Teleport доступны только через пользовательский интерфейс или внутреннее хранилище;
Комплексная модель расценок для версии Enterprise.

Bastion Hosts

Краткое описание:

Узел-бастион, или, “транзитный” узел — это просто-напросто сервер Linux / UNIX, который обеспечивает доступ к сложным серверам / базам данных, требуя от пользователя сначала войти на узел-бастион, а затем «перепрыгнуть» к дополнительным ресурсам в сети, контролируемой бастионом. Узел-бастион обычно выполняет только функции безопасности и обновляется и проверяется чаще, для обеспечения безопасности сети.

Организациям необходимо настроить дополнительный сервер, который будет доступен из внешних источников и способен подключаться к внутренним ресурсам.

Примеры использования:

Посредник доступа к защищенным ресурсам в ограниченном сегменте сети;
Приложения баз данных и аналогичные инструменты могут работать через хост-бастион, используя переадресацию портов через SSH-соединение;
Последняя версия системы безопасности обновлена, и компьютер обычно включает программное обеспечение для обнаружения вторжений.

Плюсы:

Очень доступный вариант — по цене специализированного компьютера;
Предоставляет пользователям доступ к ресурсам через SSH.

Минусы:

Поскольку для любого доступа к защищенным ресурсам требуется сначала войти через командную строку на узел-бастион, пользователь должен иметь учетную запись на бастионе и определенный уровень технической сообразительности, особенно при использовании переадресации портов для доступа к базе данных;
Если узел-бастион стал точкой сбоя не доступен, все ресурсы, стоящие за ним также недоступны. Настройка нескольких узлов-бастионов для предотвращения этой возможности означает другой набор учетных данных для управления;
В случае возникновения проблем поддержка ограничивается любой поддержкой доступной для базовой ОС, работающей на узле-бастионе;
Журналы сеансов и активность базы данных / других протоколов не записываются.

Альтернативы HashiCorp Boundary