IT 專業技術分享

Safeguard新版發佈通知 發佈最後更新日期 November 2019 目前最新版本編號為 2.10.0 關於Safeguard version 2.10.0 以下提供One Identity Safeguard for Privileged Passwords 2.10.0 release的更新資訊。 新功能 A2A 服務提供多帳號事件 AD帳號可以找出動態tags及動態群組 設定Web Client 沒有活動的逾期時間 提供"Other Managed"的平台種植類 A2A 服務提供多帳號事件         使用A2A服務，一個管理員可以使用signalR連線監控多個帳號在多個A2A註冊的密碼異動事件。         若下面任一失敗情境發生時，可回傳signalR 連線失敗訊息: 當帳號的授權標頭內容大於8K 一個或多個的API keys發送失敗驗證資訊。 發送的一個或多個API keys驗證失敗。 在多個A2A註冊下，發送給符合身份驗證用戶的一個或多個APIkeys可能發生無法配對的情形。 AD帳號可以找出動態tags及動態群組         資產管理員可以 從Active Directory動態標記帳戶。 根據Active Directory組中的成員身份將帳戶添加到動態帳戶群組中。 根據帳戶是否位於AD的特定組織單位（OU）中，將帳戶添加到動態帳戶群組中。 設定Web Client 沒有活動的逾期時間         設備管理員可以設定Web客戶端沒有活動的逾期時間，這是使用者向服務器發出請求以來經過的時間。最小值為5分鐘，最大值為2880分鐘（2天）。當達到超時時間時，將顯示用戶可以繼續或註銷的訊息。若沒有回應，則用戶將被自動登出。預設值為15分鐘。 提供"Other Managed"的平台種植類         為...

無論企業規模，"萬年密碼"是很常見的。使用 One Identity Safeguard 的密碼庫管理系統以動態獲取連線帳密，可以有效率的解決這個包袱。 Application to Application (A2A) integration 用於向系統管理員以及Application to Application和Application to Database方案發布特權憑據。 在應用程式到應用程式和應用程式到資料庫方案中，特權帳號密碼的發出，可以結合自動化工作流程來達成。 One Identity Safeguard for Privileged Passwords 應用程式密碼管理功能，可將hardcoded的應用程式密碼和資料庫密碼，替換為使用程式呼叫，以動態接收帳戶密碼。 可避免在程式中  Hard-Coded Credentials 使用A2A整合 動態的取得帳密 使用 "Application to Application" 服務，允許協力廠商應用程式從 Safeguard for Privileged Passwords vault中取得連線密碼, 而無需通過一般的工作流程。例如， 假設您有一個自動系統，每24小時對資料中心的各種服務執行一次例行系統診斷。為了使自動化系統執行診斷，它必須首先對目標伺服器進行身份驗證。由於目標伺服器的所有帳密都存儲在 Safeguard for Privileged Passwords vault中，因此自動系統通過將使用程式呼叫，以動態接收帳戶密碼。。 1. Retrieve the API key for the selected account from the Safeguard for Privileged Passwords API: 2. To retrieve a credential, use the following request: 可自動更新windows服務與排程工作的密碼 另外一個密碼管理的功能，可以解決常見的問題: 修改密碼後導致windows服務無法啟動的狀況。 為了資安需求，主機的密碼會定期的更新，但常發現特定的服務會在密碼變更後無法啟用。 原因是安裝設定時，Service...

對於Windows、Unix、Linux和資料庫系統，可以在TPAM中配置 帳戶掃描(Account Discovery) 的功能。 帳戶掃描是在TPAM受管系統上發現帳戶的過程。 如果帳戶在遠端系統系統中被發現或被刪除，這些帳戶可以自動在TPAM中新增或被刪除。 TPAM管理員還可以選擇，在這些帳戶時被發現/刪除時，只發送電子郵件通知而不真的進行在TPAM中新增或刪除帳戶。 帳戶掃描使用account template在TPAM的系統上創建新帳戶。 容易讓我們混淆的是，TPAM系統中有一項功能是 自動掃描(Auto Discovery) 。兩者有什麼不同的地方呢? Auto Discovery是一個進程，先查詢LDAP，AD或數據庫，從TPAM外部容器獲取系統或用戶列表的過程。 此列表用於在TPAM中添加，更新或刪除 受管系統 或 用戶 。 Account Discovery - 用帳戶掃描Profile和functional account在現有TPAM受管系統上發現帳戶的過程。 它們由各自獨立的服務控制，目前不共享任何schedule或process information。 這兩個進程間接交互，因為Auto Discovery可以使用帶有Account Discovery Profile的template來進行新增系統。 帳號掃描 Account Discovery 的設定方式:    1. Create a system template. Select Systems, Accounts, & Collections | Systems | Add System Template from the menu.    2. Add an account to the system template. Select Accounts | Add Account from the menu. Filter for the system template you just created. Select the template from the System tab and click the Det...

開放資料已經普遍，JSON成為主要的資料交換格式之一。 但他不給人看的。 以下學習是: 如何從JSON資料來源，轉換成容易閱讀的報表。 第一步可以用網頁工具，將JSON轉成CSV格式，大致看一下這個資料的欄位和內容。 Convert JSON to CSV https://konklone.io/json/ 接下來就可以用微軟Excel，來製作報表了。 Excel 2013、2010版本的事前準備: Excel2013、2010必須到微軟官網下載安裝此功能，安裝後再到「檔案」 / 「選項」 / 「COM增益集」啟用功能，才可以使用。 檔案 -> 資料 -> 取得資料 -> 從檔案 -> 從JSON 選擇JSON file 這時會進入Power Query 編輯器 點選 到表格 點選確定 挑選需要呈現的欄位。 排列欄位順序。 成了，點選關閉並載入。 一份報表就完成了。 如果JSON 檔案有被更新，只要點選檔案 -> 資料 -> 全部重新整理。 即可更新報表內容。

特權帳號 - 資安與系統管理員面臨的挑戰 特權帳戶對於違規行為至關重要 平台多元，管理不易 即便是資深MIS，也很難同時管理不同平台的特權帳號 共用特權帳號，無法識別使用者 為了避免密碼遺失的風險，使用「預設」密碼 「千年帳號」無法回收 特權帳號擁有系統”完整的”控制權 高權限等於高風險，隨時監督難度高 僅能透過系統內部「預設」的控制權管理 無法管控系統層級的指令或程式 稽核資訊不完全 僅能追蹤系統內部的Log紀錄 文字型態紀錄不明確也不易理解 特權設備申請流程繁瑣 面臨各種不同平台的特權帳號管理，增加審核難度 人為審核，無效率也不易追蹤 人為變更密碼，增加工作量 避免遺失或忘記，可能使用紙本或電子檔來紀錄 密碼重複使用，容易被猜測 無法確保符合強密碼規則 有88%的組織面臨特權帳號管理的挑戰 One Identity 解決方案 One Identity Safeguard 的產品效益 減輕安全漏洞可能造成的損害 滿足法令遵循要求 高效的稽核報告創建 簡化特權帳戶管理 - 清楚明瞭對特權帳號和共用帳號的管理 自動化密碼異動和客製化密碼規則 增加對帳號/密碼的審核流程與審核能力 有效監控和完整記錄特權帳號使用者行為 相關文件:   One Identity Safeguard 2.4 Release Notes   如果您需要更多的資訊, 請與我們的服務團隊接洽，聯絡方式請參考 倍力資訊官網 。 

隨著企業的快速發展，AD管理員面臨一個問題: 他們需不眠不休的奮力支援業務需求及滿足稽核人員。每天面對成千上百的新增刪需求，加上授權控制權給不同的管理群組，異動前需要關鍵人員在流程中進行審核等等。 現在透過  One Identity   Active Roles (ARS) ，即可輕鬆有效的保護 AD 和 AAD，解決安全議題並符合法規需求，以ARS自動化工具，便彌補AD和AAD原生工具的不足。 基於定義的管理策略和相關權限，ARS提供全面的特權帳戶管理，使您能 夠使用最小權限來委派控制權 ，也可以OU為單位， 賦予使用者或群組的管理權限 ， 有效提升IT人員的工作效率。 今天的透過委派管理權限的範例，來說明如何進行彈性的調整。 將PSD這個OU的帳號與群組管理權限，委由特定帳號sguser3，透過瀏覽器即可管理OU。 ARS內建workflow，當委派使用者或群組異動權限給特定帳號時，我們同時可以限定該異動必須先通過審核程序(主管，人資或是IT)，始能生效。同時也保留彈性。 建立資料異動的 change workflow 透過瀏覽器，sguser3修改了testuser1的電話號碼，但是必須先經過審核後才會異動。 依公司規範，定義必須的審核層級。 更進一步，我們可以設定白名單與黑名單。 1.  正向表列  – 限定當特定帳號或群組進行異動時，才需要審核流程。(使用 Initiator Condition) 正向表列 2.  負向表列  – 可以將特定名稱的帳戶跳過審核流程。(使用Filtering Condition) 排除清單 將sguser3設定為排除名單 將sguser3設定為排除名單 透過第二種負向表列的方式，我們將PSD OU的委派管理員sguser3，在workflow中設定為排除名單之後，再試著修改testuser1 的電話號碼，就不需要跑簽核流程了。 修改電話號碼 無須審核即可異動。 相關文件:   Active Roles 產品功能與效益   A...

One Identity 最近發佈了 TPAM  的新版本 2.5.921，讓我們來看看有什麼新功能。 Starling Join with Approval Anywhere Starling Two-Factor Radius Agent as external authentication File transfer for PSM Web Access Can configure multiple sys log servers  這次產品的亮點，是與原廠Starling 雲端服務整合，提供了以下兩個服務: Starling Join with Approval Anywhere app for IOS and Android手機，可透過行動裝置隨時簽核request Starling Two-Factor Radius Agent as external authentication app提供Token的功能，提供兩階段的身分驗證 相關文件:   TPAM 2.5.921 Release Notes   TPAM 2.5.921 Required Installation Instructions TPAM 2.5.916 現在受到有限的支援。要確定產品的當前支援階段, 請參閱  TPAM 生命週期表 。 如果您需要幫助升級 TPAM 或優化您的系統, 請與我們的服務團隊接洽，聯絡方式請參考 倍力資訊官網 。