Configurer la passerelle Advanced Server Access

Remarque : si vous utilisez cette option, le jeton de configuration restera visible en texte brut. Okta recommande de restreindre les autorisations de lecture pour le fichier de configuration (par exemple, 0600 sur Linux).

Cette option est celle qu'il est recommandé d'utiliser.

Si vous utilisez cette option, vous devrez créer manuellement le fichier de jeton de configuration et ajouter le jeton de configuration créé sur la plateforme Advanced Server Access.

Une fois la passerelle inscrite auprès d'une équipe, elle supprime le fichier de jeton.

Remarque : si l'option SetupToken (Jeton de configuration) est également configurée, la passerelle utilisera le jeton indiqué dans l'option.

Les valeurs valides incluent :

• error
• warn
• info
• debug

Remarque : pour utiliser le magasin de certificats du système d'exploitation, attribuez la valeur Faux à cette option.

Indique le nom d'hôte et le port d'un proxy de transfert HTTP utilisé pour la connectivité de réseau sortant vers Advanced Server Access. Vous pouvez également configurer le proxy à l'aide de la variable d'environnement HTTPS_PROXY.

Exemple :

ForwardProxy: myproxydomain.com:8080

Met à niveau les communications du serveur Active Directory/LDAP vers des communications chiffrées via TLS. Si cette option est désactivée, la communication avec le serveur ne sera pas chiffrée.

StartTLS est une extension du protocole LDAP qui utilise le protocole TLS pour chiffrer la communication. Il est impossible d'activer cette option simultanément à l'option UseLDAPS

UseLDAPS

Faux

Active l'utilisation du protocole LDAPS pour chiffrer la communication. Il est impossible d'activer cette option simultanément à l'option StartTLS.

LDAPSPort

636

Si l'option UseLDAPS a la valeur Vrai, la valeur de ce port est utilisée pour établir la connexion LDAPS.

Si cette option est activée, la passerelle cherchera des certificats en suivant le chemin d'accès spécifié par TrustedCAsDir.

Les équipes doivent s'assurer que des certificats valides pour chaque domaine connecté sont stockés sur la passerelle avant d'activer cette option. Si aucun certificat n'est trouvé, la passerelle refusera toutes les connexions.

Vous pouvez utiliser n'importe quel chemin, mais Okta recommande d'utiliser/etc/sft/trusted-ldap-certs/.

Pour plus d'informations sur les certificats, consultez la section Créer un certificat public à utiliser avec les passerelles ScaleFT.

Détermine la fonctionnalité RDP pour la passerelle. Cette option est désactivée par défaut, puisque le RDP nécessite une configuration supplémentaire. La valeur doit être paramétrée sur True avant d'autoriser les connexions RDP.

Vous pouvez utiliser n'importe quel chemin, mais Okta recommande d'utiliser/etc/sft/trusted-rdp-certs/.

Pour plus d'informations sur les certificats, consultez la section Créer un certificat public à utiliser avec les passerelles ScaleFT.

Remarque : paramétrez la valeur sur False pour marquer tous les messages internes du journal RDP comme « débogués ».

Le répertoire par défaut dépend du système d'exploitation utilisé. Sous Linux, le répertoire par défaut est habituellement /tmp, à moins que la variable d'environnement $TMPDIR ne soit spécifiée.

Détermine l'emplacement pour stocker les journaux de session finalisés. Les équipes peuvent stocker les journaux localement ou dans des compartiments AWS ou GCS. Si vous stockez les journaux de session à plusieurs emplacements, les journaux sont envoyés à leur destination dans l'ordre indiqué dans le fichier de configuration. Les journaux de session ne sont jamais envoyés à Advanced Server Access.

Pour garantir une journalisation correcte des sessions avec le stockage S3, configurez la passerelle en lui attribuant les autorisations nécessaires pour écrire des objets dans les compartiments S3. Aucune autre autorisation n'est nécessaire.

Consultez les valeurs par défaut et exemples suivants.

Exemple - Linux/BSD

LogDestinations:
- Type: file
  LogDir: /var/log/sft/sessions

Exemple – AWS

LogDestinations:  
- Type: s3
  Bucket: BUCKET-NAME
  Region: US-EAST-1
  # Use of ec2 instance IAM Role credentials for s3 bucket access is recommended
  # To use ec2 instance IAM Role credentials leave Profile, AccesKeyId, SecretKey, and SessionToken BLANK
  # Specify Profile for shared credentials
  Profile: AWS-PROFILE-NAME
  # Specify AccessKeyId, SecretKey, and SessionToken for static credentials
  AccessKeyId: SECRET
  SecretKey: SECRET
  SessionToken: SECRET

Example – Google Cloud

LogDestinations:  
- Type: gcs
  Bucket: BUCKET-NAME
  # Supply one of CredentialsFile or CredentialsJSON (or none to use instance credentials)
  CredentialsFile: /path/to/cred/file
  CredentialsJSON: |
  {    
  "SOME": "value",
  "IN": "json"    
  }

Formats de nom de fichiers journaux

SSHRecording: {{StartTime}}-{{.TeamName}}-{{Username}}

RDPRecording: {{StartTime}}-{{Protocol}}-{{.TeamName}}-{{ProjectName}}-{[.ServerName}}-{{.Username}}

Les administrateurs système peuvent personnaliser et configurer l'option logFileNameFormats pour mieux comprendre et gérer les journaux d'enregistrement de session.

• StartTime : heure à laquelle l'enregistrement de la session commence. La conversion de l'heure est effectuée à l'aide du format standard ISO 8601.

• TeamName : le nom de l'équipe Advanced Server Access de l'utilisateur qui déclenche la session de connexion.

• UserName : le nom de l'utilisateur qui déclenche la session SSH ou RDP.

• Protocol : le protocole de connexion ; SSH ou RDP.

• ProjectName : le nom du projet auquel appartient le serveur SSH ou RDP cible.

• ServerName : le nom d'hôte du client du serveur cible connecté à la session SSH ou RDP.