Proyecto
PAM cloud (v.3)
Actores
Soffid : sroujac ; gbuades
Cliente : Solarig : dsanchez@solarig.com ; cesarlafuente@solarig.com
Partner : Getronics
Arquitectura
MV Madrid
- sync server proxy
- jump server
MV Soria
- jump server
Consola : https://solarig.prod.soffid.net/
Configuraciones
General
Carga de usuarios : Agente AD en read only + eris
Incluye sincronización y rotación de contraseñas.
Principalmente configuraciones de los menus de acceso y del vault.
Cuentas compartidas
Todas las cuentas AD adm* tienen asociadas el usuario normal como owner para que solo la pueden usar.
Otros componentes
- Break glass
- ESSO
IDP & SP
Soffid IDP config :
- mtd d'autentificació pw + OTP
- perfils : ESSO + openidProfile
- SP SAML
SP Azure :
Config Autentificació
Sesiones PAM
Carpetas de departamentos del cliente : Redes, Cyber y Sistemas.
Menus de acceso
OJO config diferente para Azure.
Config Pw Vault
SSO users : rol SOFFID_PRIV para permitir ver la cuenta pero lanzar workflow de aprobaciones si no es owner de la cuenta.
SSO owners : usuario(s)propietario(s) de la cuenta
Workflows
- reservationAccount en el vault
- Initiadores : rol SOFFID_PRIV
- Abrobadores : SOFFID_SUPER de lunes a viernes y SOFFID_CC el finde
- Elevación de privilegios en equipos
- Initiadores : usuarios ESSO que no tienen cuentas AD admin
- Abrobadores : SOFFID_SUPER de lunes a viernes y SOFFID_CC el finde
Roles importantes
| Soffid roles | Users | Permissions |
| SOFFID_PRIV | Usuarios con acceso a soffid vault | ver el vault, pedir permisiones y acceder a su sistemas y autorizaciones PAM |
| SOFFID_CC | Centro de control de solarig | Validadores de workflow durante el finde |
| SOFFID_SUPER | Departamiento IT | Validadores de workflow durante la semana |
| SOFFID_ACCESO_FINDE | usuarios con acceso a toda hora | usuarios con acceso de lunes a domingo |
|
SOFFID_WEEK_ACCESS |
usuarios con accesos solamente en horarios laborales | usuarios con acceso de 8h a 18h de lunes a viernes |
|
SOFFID_ADMIN |
dsanchez, mfandino & cesarlafuente | * |
|
SOFFID_USER |
Usuarios con acceso a soffid | Acceso consola |
XACML Policies
