Utiliser Conjur pour les connexions sans-agent

Organisation des secrets Conjur

Pour configurer une connexion SSH ou WinRM reliée à des secrets Conjur, le nom d’utilisateur et le secret (mot de passe ou clé) doivent tous deux être stockés dans Conjur. Pour SNMP, les secrets à stocker dépendent de la version : le nom de communauté en v1 ou v2c, ou le nom d’utilisateur et les mots de passe d’authentification et de chiffrement en v3. Leur emplacement vis-à-vis des politiques Conjur est libre.

Configurer un hôte Conjur pour Cyberwatch

Avec Conjur, les utilisateurs de services destinés aux accès par API sont appelés des hôtes. Il est recommandé de créer un hôte spécifique à Cyberwatch et de lui donner les accès uniquement aux secrets des machines à superviser.

Dans le cas d’un parc segmenté, il est possible de créer plusieurs hôtes pour Cyberwatch, chacun ayant accès à une section spécifique du parc, et d’enregistrer chacun des hôtes dans Cyberwatch.

Pour enregistrer les identifiants d’un hôte dans Cyberwatch, aller dans le menu Identifiants enregistrés puis ajouter un jeu d’identifiants de type CyberArk Conjur avec les informations de connexions :

  • Le compte Conjur est habituellement le nom de l’organisation ou du coffre Conjur. Il doit contenir à la fois les secrets voulus et l’hôte Conjur auquel Cyberwatch s’authentifiera

  • L’ID d’hôte est le chemin vers la resource hôte destinée à Cyberwatch depuis la politique racine, le tout préfixé de host/

  • La clé API est un mot de passe aléatoire générée à de la création de l’hôte Conjur

Pour plus de détails sur le processus de création d’hôtes Conjur, voir le guide Enrolling an application de la documentation officielle de Conjur.

Créer une connexion SSH ou WinRM avec Conjur

  1. Dans la section Actifs, aller dans Gestion des actifs > Connexions sans-agent
  2. Cliquer sur Ajouter
  3. Dans « Protocole d’accès », sélectionner SSH ou WinRM
  4. Sélectionner comme jeu d’identifiants l’hôte Conjur configuré ci-dessus
  5. Indiquer le chemin des variables requises, suivant la structure de votre politique

Créer une connexion SNMP avec Conjur

  1. Dans Réglages > Identifiants enregistrés, cliquer sur Ajouter et choisir le type SNMP via CyberArk Conjur
  2. Dans Identifiant Conjur, sélectionner le jeu d’identifiants CyberArk Conjur configuré ci-dessus. Il doit appartenir au même projet que l’identifiant SNMP ou être global
  3. Choisir la Version de SNMP utilisée par l’équipement :
    • en v1 ou v2c, renseigner le Chemin du nom de communauté ;
    • en v3, renseigner les chemins du nom d’utilisateur, du mot de passe d’authentification et du mot de passe de chiffrement, puis choisir les protocoles d’authentification et de chiffrement de l’équipement
  4. Enregistrer le jeu d’identifiants SNMP
  5. Dans Gestion des actifs > Connexions sans-agent, cliquer sur Ajouter
  6. Dans « Protocole d’accès », sélectionner SNMP, renseigner l’adresse de l’équipement et sélectionner le jeu d’identifiants SNMP via CyberArk Conjur créé précédemment
  7. Enregistrer la connexion

Les chemins désignent les variables de la politique Conjur, par exemple reseau/routeurs/community, et non leurs valeurs. Cyberwatch lit les secrets dans Conjur à chaque scan.