Integrações

O módulo de integração é a única parte do Bastion Pass que depende do sistema protegido. Em qualquer sistema, ele faz três coisas:

1. percebe o início de cada conexão, com o usuário e o IP de origem;
2. pergunta ao Bastion Pass se a conexão pode seguir;
3. encerra a conexão quando a resposta é negativa.

O portal, o cadastro do autenticador, as políticas, a análise de risco e a auditoria não mudam de um sistema para outro.

Microsoft RD Gateway

A integração com o RD Gateway protege o acesso RDP feito pela Conexão de Área de Trabalho Remota (mstsc) ou por qualquer cliente compatível com o gateway.

O módulo é instalado no servidor NPS que o RD Gateway já usa como servidor central de políticas de autorização. Nada é instalado nos servidores do gateway, e uma farm com vários nós de gateway é atendida pelo mesmo NPS.

As políticas do próprio gateway continuam valendo. A política de autorização de conexão (CAP) e a de recursos (RAP) decidem, como hoje, quem pode usar o gateway e a quais servidores pode chegar. O Bastion Pass acrescenta o segundo fator a essa decisão.

Para o usuário, uma conexão sem liberação abre e é encerrada em até 2 segundos, com a mensagem de desconexão do Windows. O usuário libera o acesso no portal e conecta de novo.

Requisitos do ambiente

• RD Gateway com as políticas de autorização apontadas para um servidor NPS central.
• Active Directory, usado pelo gateway e pelo portal para conferir a senha.
• Servidor Linux com Docker para o Bastion Pass e um banco PostgreSQL.
• Portal publicado na mesma rede de saída (DMZ) do gateway.
• Servidores de destino que aceitam RDP apenas a partir do gateway. Sem essa regra, um acesso direto ao servidor não passaria pelo segundo fator.

Outros sistemas

O mesmo modelo serve para sistemas cujo cliente não tem como pedir um segundo fator, por exemplo:

• aplicação Java legada com cliente desktop, em que o módulo fica no ponto em que o servidor aceita o login;
• sistemas com cliente proprietário que autenticam em um servidor central.

Para criar uma integração, o sistema precisa expor, no início de cada conexão, o usuário e o IP do cliente, e permitir recusar ou encerrar aquela conexão. Esse ponto pode estar na própria aplicação, no servidor de aplicação ou em um componente que fica na frente dela, como um gateway ou proxy.

Cada caso é avaliado com o time de Customer Success da GuardianKey, que indica onde instalar o módulo e o que precisa ser desenvolvido.