Portail
Forum
Devolutions Force
Hub Business
Hub Personal
Devolutions Send
Devolutions Academy
RDM
Workspace
Launcher
Être toujours en avance sur les menaces potentielles est essentiel. Le flux de travail d'AnyIdentity, basé sur trois actions clés — détection de compte, battement de cœur (de l’anglais « heartbeat ») et rotation des mots de passe — constitue une défense robuste contre les accès non autorisés. Aujourd'hui, nous nous concentrons sur la troisième étape et peut-être la plus critique : la rotation des mots de passe.
L'aboutissement du flux de travail d'AnyIdentity
Avant d'examiner en détail la rotation des mots de passe, récapitulons le flux de travail en quatre étapes d'AnyIdentity :
- Détection de compte : Identifie et catalogue les comptes privilégiés.
- Battement de cœur : Vérifie si les mots de passe stockés correspondent aux mots de passe actuels.
- Rotation des mots de passe : Met à jour les mots de passe si nécessaire.
- Propagation des mots de passe : Synchronise le nouveau mot de passe sur tous les systèmes connectés.
La rotation des mots de passe est l'action qui sécurise finalement vos comptes privilégiés en changeant régulièrement leurs identifiants.
Que fait l'action de rotation des mots de passe?
Au cœur de l'action de rotation des mots de passe, l'objectif principal est simple : changer le mot de passe d'un compte privilégié. Cependant, son exécution implique plusieurs étapes cruciales :
- Générer un nouveau mot de passe sécurisé.
- Lancer le script d’action de rotation des mots de passe pour mettre à jour le mot de passe sur le fournisseur d’identité.
- Stocker le nouveau mot de passe dans le PAM.
Comme toutes les actions d'AnyIdentity, le script d’action de rotation des mots de passe est écrit en PowerShell, vous donnant un contrôle total pour personnaliser et mettre à jour selon vos besoins.
La rotation des mots de passe en action
Observons un scénario typique pour voir comment fonctionne la rotation des mots de passe en pratique. Une fois qu'un compte privilégié a été défini pour être géré par Devolutions PAM et qu'une vérification planifiée a lieu :
- L’action de battement de cœur détecte une incompatibilité de mot de passe pour le compte « dbadmin ».
- L’action de rotation des mots de passe est déclenchée automatiquement.
- Un nouveau mot de passe est généré selon la politique de mot de passe de votre organisation.
- L'action met à jour le mot de passe pour « dbadmin » sur le fournisseur d'identité (par exemple, Active Directory).
- Le nouveau mot de passe est stocké en toute sécurité dans le PAM.
Voici une version simplifiée de ce à quoi pourrait ressembler un script de rotation des mots de passe pour un secret Azure Key Vault :
$Vault = Get-AzKeyVault -VaultName $KeyVaultName -ErrorAction Stop
$Secret = Get-AzKeyVaultSecret -VaultName $KeyVaultName -Name $Name -ErrorAction Stop
$Secret = Get-AzKeyVaultSecret -VaultName $KeyVaultName -Name $Name -ErrorAction Stop
Set-AzKeyVaultSecret -VaultName $Vault.VaultName -Name $Secret.Name -SecretValue $NewPassword -ErrorAction Stop
Configuration des paramètres de rotation des mots de passe et du script d’action
Si vous créez votre modèle AnyIdentity, vous trouverez les paramètres du script sous Actions —> Rotation des mots de passe.
Les paramètres du script sont l’endroit où vous définirez tous les paramètres personnalisables que vous souhaitez transmettre au script de rotation des mots de passe.
Une fois les paramètres du script définis, vous pouvez ajouter le script d’action de rotation des mots de passe.
La logique réelle de rotation des mots de passe est implémentée dans un script PowerShell, que vous pouvez personnaliser en fonction de vos besoins.
Remarque : Si vous utilisez un modèle pré-créé du dépôt PAM-Providers, il vous suffira de fournir des valeurs pour les paramètres obligatoires du script.
Configuration des intervalles de rotation des mots de passe
Une fois que vous avez créé le modèle de fournisseur AnyIdentity ci-dessus et créé un fournisseur AnyIdentity à partir de celui-ci, vous associerez ce fournisseur à un coffre PAM. Le coffre vous permet de définir sur quels utilisateurs vos fournisseurs interviendront. Le coffre vous permet également de définir le calendrier de rotation des mots de passe.
Le calendrier de rotation des mots de passe est l'endroit où vous pouvez définir la fréquence à laquelle AnyIdentity change le mot de passe.
Rotation des mots de passe lors de la restitution
Si vous utilisez Devolutions Hub avec le module PAM, vous avez plus de contrôle et pouvez faire tourner les mots de passe lors de la restitution, selon un calendrier ou manuellement.
Devolutions Hub vous couvre si vous avez besoin de plus de contrôle sur le moment où les mots de passe sont tournés pour vos utilisateurs.
L'impact d'une rotation efficace des mots de passe
La rotation régulière des mots de passe améliore considérablement votre posture de sécurité en :
- Limitant la fenêtre d'opportunité pour les attaquants potentiels.
- Réduisant le risque d’identifiants compromis.
- Assurant la conformité avec les politiques et les règlements de sécurité.
En exploitant les capacités de rotation des mots de passe d’AnyIdentity, vous ne faites pas que changer des mots de passe, vous renforcez activement la défense de votre organisation contre les accès non autorisés.
Rotation des mots de passe : La troisième étape du cycle de sécurité
L'approche en quatre volets d'AnyIdentity en matière de gestion des accès privilégiés — détection de compte, battement de cœur, rotation des mots de passe et propagation des mots de passe — constitue une stratégie de sécurité complète. Alors que la détection de compte révèle les comptes privilégiés cachés et que battement de cœur garantit l’intégrité des mots de passe, la rotation des mots de passe est le dernier bastion, mettant automatiquement à jour les identifiants pour maintenir une sécurité robuste. Ces composants créent un système qui s’adapte continuellement pour protéger les points d’accès les plus sensibles de votre organisation.
Lorsque vous mettez en place ou affinez votre configuration AnyIdentity, réfléchissez à la manière dont vous pouvez optimiser l’action de rotation des mots de passe pour répondre au mieux aux besoins de sécurité de votre organisation, ou créez votre propre fournisseur AnyIdentity avec des scripts d’action pour commencer à faire tourner les mots de passe sur n'importe quel fournisseur d'identité!
