Implementando o Delinea Secret Server para PAM

Quando Usar

• A organização precisa de gerenciamento centralizado de credenciais privilegiadas em infraestruturas híbridas.
• Requisitos de conformidade exigem controles de acesso privilegiado (SOX, PCI-DSS, HIPAA, NIST 800-53).
• Contas de serviço e credenciais compartilhadas são armazenadas em planilhas ou arquivos de texto simples.
• Necessidade de implementar rotação automática de senhas para contas privilegiadas.
• Requer gravação de sessão e registro de teclas para atividades de usuários privilegiados.
• Migração de processos manuais de PAM para uma solução de cofre corporativo.

Não use para gerenciamento de senhas de usuários finais padrão; o Delinea Secret Server foi projetado para gerenciamento de credenciais de contas privilegiadas e compartilhadas que exigem controles de nível corporativo.

Pré-requisitos

• Licença do Delinea Secret Server (On-Premises ou Cloud).
• Windows Server 2019/2022 para implantação on-premises com IIS e SQL Server.
• Conta de serviço do Active Directory com permissões de leitura para descoberta.
• Certificado SSL/TLS para criptografia da interface web.
• Conectividade de rede com os sistemas de destino para rotação de senhas.
• PowerShell 5.1+ para scripts de automação.

Fluxo de Trabalho

Etapa 1: Implantar a Infraestrutura do Secret Server

Instale e configure o servidor de aplicação do Secret Server:

# Pre-installation checks for on-premises deployment
# Verify IIS is installed with required features
Import-Module ServerManager
Install-WindowsFeature Web-Server, Web-Asp-Net45, Web-Windows-Auth, Web-Mgmt-Console

# Verify SQL Server connectivity
$sqlConn = New-Object System.Data.SqlClient.SqlConnection
$sqlConn.ConnectionString = "Server=sql01.corp.local;Database=master;Integrated Security=True"
$sqlConn.Open()
Write-Host "SQL Server connection successful: $($sqlConn.ServerVersion)"
$sqlConn.Close()

# Create Secret Server database
Invoke-Sqlcmd -ServerInstance "sql01.corp.local" -Query @"
CREATE DATABASE SecretServer
GO
ALTER DATABASE SecretServer SET RECOVERY FULL
GO
"@

# Download and run Secret Server installer
# Navigate to https://thy.center/ss/link/SSDownload for latest version
# Run setup.exe and follow the installation wizard

# Post-installation: Configure application pool
Import-Module WebAdministration
Set-ItemProperty "IIS:\AppPools\SecretServer" -Name processModel.identityType -Value SpecificUser
Set-ItemProperty "IIS:\AppPools\SecretServer" -Name processModel.userName -Value "CORP\svc-secretserver"

Etapa 2: Configurar Modelos de Segredos e Estrutura de Pastas

Defina modelos de segredos e organize a hierarquia do cofre:

# Connect to Secret Server API
$baseUrl = "https://pam.corp.local/SecretServer"
$creds = @{
    username = "ss-admin"
    password = $env:SS_ADMIN_PASSWORD
    grant_type = "password"
}
$token = (Invoke-RestMethod "$baseUrl/oauth2/token" -Method POST -Body $creds).access_token
$headers = @{ Authorization = "Bearer $token" }

# Create folder structure for organizing secrets
$folders = @(
    @{ folderName = "Windows Servers"; parentFolderId = -1; inheritPermissions = $false },
    @{ folderName = "Linux Servers"; parentFolderId = -1; inheritPermissions = $false },
    @{ folderName = "Network Devices"; parentFolderId = -1; inheritPermissions = $false },
    @{ folderName = "Cloud Accounts"; parentFolderId = -1; inheritPermissions = $false },
    @{ folderName = "Service Accounts"; parentFolderId = -1; inheritPermissions = $false },
    @{ folderName = "Database Accounts"; parentFolderId = -1; inheritPermissions = $false }
)

foreach ($folder in $folders) {
    Invoke-RestMethod "$baseUrl/api/v1/folders" -Method POST -Headers $headers `
        -ContentType "application/json" -Body ($folder | ConvertTo-Json)
}

# Create custom secret template for database credentials
$template = @{
    name = "Database Credential"
    fields = @(
        @{ name = "Server"; isRequired = $true; fieldType = "Text" },
        @{ name = "Port"; isRequired = $true; fieldType = "Text" },
        @{ name = "Database"; isRequired = $true; fieldType = "Text" },
        @{ name = "Username"; isRequired = $true; fieldType = "Text" },
        @{ name = "Password"; isRequired = $true; fieldType = "Password" },
        @{ name = "Connection String"; isRequired = $false; fieldType = "Notes" }
    )
}
Invoke-RestMethod "$baseUrl/api/v1/secret-templates" -Method POST -Headers $headers `
    -ContentType "application/json" -Body ($template | ConvertTo-Json -Depth 3)

Etapa 3: Configurar Descoberta e Integração de Contas

…