Süreli (JIT) ayrıcalıklı erişim nedir? Uzak masaüstü ve sunucu için rehber

Süreli erişim, JIT (just-in-time, tam zamanında) erişim olarak da bilinir. Bir kişiye sunucu, sanal makine veya masaüstü üzerinde yüksek yetkili erişimi sürekli vermek yerine, yalnızca işin gerektirdiği zaman aralığında açma yaklaşımıdır. Süre dolunca ya da iş bitince erişim kapanır; yeni iş için yeni bir karar gerekir.

Cerberus bu yaklaşımı kaynak bazında uygular: erişim bir kişiye, belirli bir kaynak için, bitiş zamanı ya da kullanım bütçesiyle atanır; etkin oturum politikası gerektiriyorsa oturum onayla başlar; erişim geri alındığında sonuç kayıtlara işlenir.

JIT erişim nedir?

JIT erişimde yetki bir hesaba kalıcı olarak yazılmaz, bir iş için ödünç verilir. Üç özellik bunu kalıcı erişimden ayırır:

• Kapsam dardır. Erişim, işin yapılacağı kaynakla sınırlıdır; tüm ağa ya da tüm sunuculara açılmaz.
• Süre tanımlıdır. Erişimin bir bitiş koşulu vardır ve bu koşul erişim verilirken belirlenir.
• Karar izlenir. Kimin, neden ve hangi süreyle eriştiği sonradan sorulduğunda cevap kayıtlarda bulunur.

Buradaki “ayrıcalıklı” sözcüğü, sıradan kullanıcı işini aşan erişimi anlatır: sunucu yönetimi, bakım, kurulum, acil müdahale gibi.

Kalıcı erişim ile süreli erişim arasındaki fark nedir?

Ortak sunucu, yüklenici hesabı ve bakım pencereleri gibi durumlarda kalıcı erişim zamanla birikir. Süreli erişim bu birikimi bitiş koşuluyla durdurur.

JIT erişim döngüsü nasıl işler?

Döngü dört adımdır.

1. İstek. Kişi ya da yetkili yönetici, hangi kaynağa ne kadar süreyle erişim gerektiğini belirtir.
2. Onay. Etkin oturum politikası gerektiriyorsa yetkili bir kullanıcı isteği inceler; kişiyi, kaynağı ve istenen süreyi doğrular, onaylar ya da reddeder.
3. Bitiş. Süre dolduğunda ya da iş erken bittiğinde yeni oturum başlatma kararı kapanır.
4. Geri alma. Gerekirse yönetici erişimi süre dolmadan sonlandırır ve açık oturumu kapatır.

Karar, atama değişikliği, oturum yaşam döngüsü ve kapanış olayları sonradan incelenebilir.

Cerberus’ta JIT erişim nasıl çalışır?

Cerberus’ta süreli erişim, atama ve oturum kararının parçalarıdır:

• Süreli atama. Davet ya da üye erişimi oluşturulurken zamanlı erişim seçeneği açılır. İki sınırlama biçimi vardır: bitiş zamanı veya kullanım bütçesi. Süre iş uzarsa uzatılabilir; uzatma kaynak eklemez. Adımlar Süreli erişim rehberinde anlatılır.
• Oturum onayı. Etkin oturum politikası onay gerektiriyorsa bir oturum isteği, kişi ve kaynak için istenen süreyle yetkili kullanıcıya gelir. Onay izin verilen süreyi belirler; ret yeni oturum açmaz. Akış oturum onaylarını yönetme sayfasındadır.
• Oturum politikası. Süre, çalışma modu, pano, dosya aktarımı ve kapanış davranışı oturum politikalarıyla belirlenir. Politika, karar verildikten sonra çalışma yüzeyinin nasıl davranacağını söyler.
• Geri alma ve kayıt. Atama kaldırma, aktif oturum sonlandırma ve kaynak hazırlığını geri çekme ayrı işlemlerdir ve her birinin sonucu görünür kalır. Ayrıntı geri alma ve kanıt sayfasındadır.

Kaynağın kendisi RDP, SSH veya VNC ile tarayıcıdan açılır. Normal akışta kullanıcıya ham IP, hostname ya da port dağıtılmaz; oturum Cerberus kararıyla açılır.

Süre dolunca açık oturuma ne olur?

Sürenin bitmesi, kişinin yeni oturum başlatma kararını kapatır. Çalışmakta olan bir oturum ayrı bir konudur: yetkili kullanıcı aktif oturum görünümünden oturumu sonlandırır ve sonucu izler. Sonlandırma isteği başarısız olursa ürün bunu başarılı kapanış olarak işaretlemez; hata görünür kalır ve kontrollü yeniden deneme yapılır.

Bu nedenle süreli erişim planlanırken iki soru birlikte sorulur: erişimin ne zaman biteceği ve bitişte açık oturum olursa kimin kapatacağı.

JIT erişim neyi çözmez?

Sınırı bilmek, beklentiyi doğru kurar:

• Kimlik bilgisini korumaz. Süreli erişim, paylaşılan parolaların nerede tutulduğu sorusunu kendi başına çözmez. Bu konu kimlik bilgisi saklama sayfasındaki modele aittir.
• Hazır olmayan kaynağı açmaz. Kaynak hazırlığı, atama ve politika olmadan oturum açılmaz; süre bu koşulların yerine geçmez.
• Oturum videosu üretmez. Kayıtlar karar, başlangıç, durum değişikliği, geri alma ve kapanış olaylarını içerir. Oturum kaydı geliştirme aşamasındadır.
• Mevzuat uyumu sağlamaz. Süreli erişim, “kim, ne zaman, hangi kararla eriştiğini” cevaplayabilmek için kullanılan kontrollerden biridir; uyum sonucu kendi başına vermez.

JIT erişim VPN ve ortak hesaptan nasıl ayrılır?

VPN bir kişiyi ağa sokar; içeride hangi sunucuya ne zaman girileceği ayrı bir sorudur. Ortak yönetici hesabı ise erişimi kişiden koparır: parola kimde olursa o girer. Süreli erişim sorusu tersine çevirir: hangi kişi, hangi kaynakta, hangi süreyle çalışabilir. Cerberus bu cevabı atama ve (politika gerektiriyorsa) onay kararında tutar; ağ, uzak masaüstü, PAM ve gateway araçlarının aynı işin hangi parçasını karşıladığı karşılaştırma rehberinde ayrı ele alınır.

Sonuç olarak süreli erişim, bir ağ ya da parola çözümünün yerine geçen ayrı bir ürün katmanı olarak değil, kişi-kaynak-süre ilişkisini yöneten karar olarak okunur.

JIT erişim hangi durumlarda işe yarar?

• Dış kaynaklı bakım. Bir tedarikçi teknisyeni yalnızca bakım penceresi boyunca belirli sunucuya girer.
• Ortak test makinesi. Birden fazla kişi aynı kaynakta farklı zamanlarda çalışır; her kişinin erişimi kendi süresiyle biter.
• Acil müdahale. Nöbetçi mühendis olay süresince erişim alır, olay kapanınca erişim de kapanır.

Bu senaryoların akışı için kullanım senaryoları sayfasına bakın; kaynağı Cerberus’a bağlamak için makineyi bağlama rehberini izleyin.

Süreli erişimi denemek için

Süreli atama, oturum onayı ve geri alma akışını canlı demoda inceleyebilirsiniz: demoyu açın.