Configurer la passerelle Okta Privileged Access

Remarque : si vous utilisez cette option, le jeton de configuration restera visible en texte brut. Okta recommande de restreindre les autorisations de lecture pour le fichier de configuration (par exemple, 0600 sur Linux).

Cette option est celle qu'il est recommandé d'utiliser.

Si vous utilisez cette option, vous devrez créer manuellement le fichier de jeton de configuration et ajouter le jeton de configuration créé sur la plateforme Okta Privileged Access.

Une fois la passerelle inscrite auprès d'une équipe, elle supprime le fichier de jeton.

Remarque : si l'option SetupToken (Jeton de configuration) est également configurée, la passerelle utilisera le jeton indiqué dans l'option.

Les valeurs valides incluent :

• error
• warn
• info
• debug

Remarque : pour utiliser le magasin de certificats du système d'exploitation, attribuez la valeur Faux à cette option.

Indique le nom d'hôte et le port d'un proxy de transfert HTTP utilisé pour la connectivité de réseau sortant vers Okta Privileged Access. Vous pouvez également configurer le proxy à l'aide de la variable d'environnement HTTPS_PROXY.

Exemple :

ForwardProxy: myproxydomain.com:8080

Détermine la fonctionnalité RDP pour la passerelle. Cette option est désactivée par défaut, car RDP nécessite une autre configuration et doit être défini sur True avant que les connexions RDP ne soient autorisées.

Remarque : paramétrez la valeur sur False pour marquer tous les messages internes du journal RDP comme « débogués ».

Le répertoire par défaut dépend du système d'exploitation utilisé. Sous Linux, le répertoire par défaut est habituellement /tmp, à moins que la variable d'environnement $TMPDIR ne soit définie.

Consultez les valeurs par défaut et exemples suivants.

Exemple - Linux/BSD

LogDestinations: - Type: file LogDir: /var/log/sft/sessions

Exemple – AWS

LogDestinations:
  - Type: s3
  Bucket: BUCKET-NAME
  Region: us-east-1
  # Use of ec2 instance IAM Role credentials for s3 bucket access is recommended
  # To use ec2 instance IAM Role credentials leave Profile, AccesKeyId, SecretKey, and SessionToken BLANK
  # Specify Profile for shared credentials
  Profile: AWS-PROFILE-NAME
  # Specify AccessKeyId, SecretKey, and SessionToken for static credentials
  AccessKeyId: SECRET
  SecretKey: SECRET
  SessionToken: SECRET

Example – Google Cloud

LogDestinations:
 - Type: gcs
  Bucket: BUCKET-NAME
  # Supply one of CredentialsFile or CredentialsJSON (or none to use instance credentials)
  CredentialsFile: /path/to/cred/file
  CredentialsJSON: |
  {
      "SOME": "value",
      "IN": "json"
  }

Formats de nom de fichiers journaux

SSHRecording: {{StartTime}}-{{.TeamName}}-{{Username}}

RDPRecording: {{StartTime}}-{{Protocol}}-{{.TeamName}}-{{ProjectName}}-{[.ServerName]}-{{.Username}}

Les administrateurs système peuvent personnaliser et configurer l'option logFileNameFormats pour mieux comprendre et gérer les journaux d'enregistrement de session.

• StartTime : heure à laquelle l'enregistrement de la session commence. La conversion de l'heure est effectuée à l'aide du format standard ISO 8601.

• TeamName : le nom de l'équipe Okta Privileged Access de l'utilisateur qui déclenche la session de connexion.

• UserName : le nom de l'utilisateur qui déclenche la session SSH ou RDP.

• Protocol : le protocole de connexion ; SSH ou RDP.

• ProjectName : le nom du projet auquel appartient le serveur SSH ou RDP cible.

• ServerName : le nom d'hôte du client du serveur cible connecté à la session SSH ou RDP.