Appearance
PAM — привилегированный доступ вашей организации
PAM (Privileged Access Management) — отдельный раздел платформы, не входящий в обычную панель администратора организации (/admin). Открывается по ссылке 🛡️ PAM в меню, если она у вас видна. В нём три независимые друг от друга возможности: временная выдача ролей сотрудникам (JIT), каталог типовых запросов доступа (Entitlement Catalog) и защищённое хранилище секретов (Vault).
Все три доступны администратору организации автоматически, сразу после одобрения заявки на организацию (01-organization-and-access.md) — без отдельного обращения к администратору платформы.
Роли: чем PAM отличается от обычной панели администратора
Управление пользователями/клиентами/группами (admin.users и соседние роли) и управление PAM — это два независимых канала прав, с разной механикой выдачи доступа:
Узкие роли админ-панели (например, admin.users) | Роли PAM вашей организации | |
|---|---|---|
| Что дают | Постоянное управление пользователями/клиентами/группами/аудитом | Согласование временного доступа (JIT), свой каталог типовых запросов, свой журнал привилегированных сессий |
| Область действия | Только ваша организация | Только ваша организация |
| Как выдаётся доступ | Мгновенно и навсегда, самим администратором организации | Через запрос сотрудника и согласование — на ограниченное время, автоматически снимается по истечении срока |
| Кому доступны | /admin | Отдельный раздел /pam |
| Можно ли делегировать коллеге | Да — на странице участника, поле «Роли» | Да — так же, полем «Роли», получатель должен состоять в вашей организации |
Полное описание узких ролей админ-панели — в appendix-admin-scope.md.
Роли PAM вашей организации
| Роль | Что даёт |
|---|---|
| Согласование JIT | Видеть очередь запросов от сотрудников вашей организации, одобрять/отклонять их, отзывать уже выданный временный доступ досрочно |
| Полный PAM вашей организации | То же самое, что согласование JIT, плюс: вести свой каталог типовых запросов доступа и видеть журнал того, кто и когда пользовался привилегированным доступом в вашей организации |
Обе роли выдаются вам автоматически при одобрении заявки на организацию. Узкую роль «только согласование» можно отдельно делегировать коллеге (например, тимлиду), не давая ему остальной доступ администратора организации — так же, как и с узкими ролями админ-панели.
Ограничение, действующее независимо от того, кто согласовывает запрос: через PAM вашей организации нельзя выдать роль, дающую доступ за пределами вашей организации, или платформенную роль уровня самой SSO — это заблокировано всегда, вне зависимости от того, из какой вы организации и какую роль пытаетесь запросить. PAM вашей организации — это способ временно выдавать роли внутри вашей организации (те, что вы и так могли бы назначить постоянно через управление пользователями), а не способ получить более широкий доступ к платформе.
JIT — временный доступ
JIT (Just-In-Time) — механизм временной выдачи ролей: сотрудник запрашивает доступ на ограниченное время с указанием причины, согласующий одобряет или отклоняет запрос, а по истечении срока роль снимается автоматически. Полезно, если вам не нужны постоянные привилегированные роли у сотрудников «на всякий случай» — доступ выдаётся только когда он реально нужен, и только на нужное время.
Как это выглядит на практике
- Сотрудник заходит в
/pam/jit, выбирает нужный доступ (из каталога вашей организации или вводит роль свободным текстом), указывает причину и желаемую длительность. - Запрос появляется в очереди согласования у вас (или у того, кому вы делегировали эту роль).
- Вы одобряете или отклоняете запрос, с необязательным комментарием.
- При одобрении роль немедленно добавляется сотруднику и автоматически снимается по истечении срока — вручную отслеживать и отзывать её не нужно (хотя досрочный отзыв тоже доступен).
Страницы
| Страница | Кто видит |
|---|---|
| Подать запрос | Любой сотрудник вашей организации |
| Мои запросы — история своих обращений | Тот, кто подавал |
| На согласовании — очередь ожидающих запросов | Вы (или тот, кому делегирована роль согласования) — только запросы сотрудников вашей организации |
| Активные гранты — кто сейчас пользуется временным доступом, с кнопкой отзыва | То же самое |
Запросы и активные гранты строго ограничены вашей организацией — вы видите и согласовываете только то, что подано сотрудниками, которые состоят в ней же. Запрос от человека вне вашей организации вам не виден и не может быть согласован вами, даже если бы вы попытались обратиться к нему напрямую по ссылке.
Если сотрудник не состоит ни в одной организации
Такой запрос вы не увидите и не сможете согласовать — обращение в этом случае идёт к администратору платформы напрямую, тот же редкий случай, что и с SCIM-токеном на весь directory.
Каталог типовых запросов (Entitlement Catalog)
Вместо того чтобы каждый раз просить сотрудников вводить нужную роль свободным текстом, можно завести список заранее описанных вариантов — они появятся выпадающим списком на странице подачи JIT-запроса. У каждой записи — название, описание, уровень риска, кто отвечает за этот доступ, и опционально — своя максимальная длительность и свой согласующий (если согласовывать эту конкретную запись должен не общий состав PAM-согласующих, а отдельный ответственный).
Каталог, который вы ведёте, виден и запрашиваем только сотрудникам вашей организации (плюс общие, предустановленные на платформе записи, доступные всем). Записи, заведённые другими организациями, вам не видны и не редактируемы, как и наоборот.
Vault — хранилище секретов
Зашифрованное хранилище для секретов, которыми пользуется ваша команда: пароли от внешних систем, API-ключи, SSH-ключи, токены сторонних сервисов, сертификаты. Полезно, если вы не хотите заводить для этого отдельный секрет-менеджер только ради небольшой команды.
Что доступно администратору организации
Как администратор своей организации вы можете создавать, редактировать и удалять секреты в рамках своей организации — управление системными секретами (не привязанными ни к одной организации) и секретами других организаций вам недоступно, как и другим администраторам недоступны секреты вашей.
Тип секрета, привязанного к организации, фиксируется при создании и не меняется позже — если нужно изменить принадлежность, придётся создать новый секрет и удалить старый.
Типы секретов
| Тип | Назначение |
|---|---|
| Пароль | Пароли от внешних систем |
| API-ключ | Ключи доступа к сторонним API |
| SSH-ключ | Приватные SSH-ключи |
| Токен | Токены авторизации сторонних сервисов |
| Сертификат | TLS/SSL-сертификаты |
Управление доступом
У каждого секрета — список пользователей, которым разрешено его просматривать, помимо того, кто его создал. Как администратор организации вы можете добавлять в этот список только пользователей, которые сами состоят в вашей организации, — расшарить секрет с человеком за её пределами через эту функцию нельзя.
Аудит
Каждый просмотр значения секрета (не только создание или изменение) фиксируется отдельно — вы можете проверить, кто и когда обращался к конкретному секрету. Это стоит учитывать при выдаче доступа: расширенный список доступа означает более широкий круг тех, чьи обращения к секрету нужно будет при необходимости разбирать.
Журнал привилегированных сессий
Полный PAM вашей организации даёт доступ к журналу: хронология того, кто и когда выполнял привилегированные действия (согласование JIT-запросов, просмотр/изменение секретов в Vault) в рамках вашей организации. Полезно для разбора инцидентов и периодических проверок — «кто в прошлом месяце смотрел вот этот секрет» или «кто согласовывал вот этот временный доступ».
Журнал, как и всё остальное в этом разделе, строго ограничен вашей организацией — действия сотрудников других организаций вам не видны, прямой переход по ссылке на чужую запись вернёт ошибку «не найдено».