Zero Trust jako metodologia — egzekwowana przez tożsamość opartą na sprzęcie (YubiKey)
Stosujemy Zero Trust jako metodologię. To filozofia bezpieczeństwa oparta na zasadzie nigdy nie ufaj, zawsze weryfikuj i na ścisłym dostępie według najmniejszych uprawnień. W naszym procesie wdrażamy ją przez tożsamość opartą na sprzęcie z kluczami YubiKey. Tożsamość, uwierzytelnianie i autoryzacja inżynierów są powiązane z fizycznym, niemożliwym do wyodrębnienia kluczem prywatnym, który przy każdej operacji wymaga zarówno PIN-u, jak i dotknięcia przez człowieka. Dzięki temu dostępu nie można delegować, udostępnić, wyłudzić phishingiem ani po cichu wykorzystać na przejętej maszynie.
W połączeniu z Keycloak, Teleport i Netbird klucze YubiKey pozwalają nam egzekwować prawdziwe zasady Zero Trust na serwerach, klastrach i w usługach wewnętrznych, dzięki czemu każde działanie jest wyraźnie zweryfikowane, przypisane do konkretnej osoby, zapisane w logach i ograniczone do minimalnego wymaganego zakresu.
Zapewniamy 3 sposoby bezpiecznego dostępu do serwerów Linux i klastrów Kubernetes.
Niezależnie od wybranej opcji zdecydowanie zalecamy ograniczenie ich łączności sieciowej wyłącznie do systemów, którymi zarządzamy, zgodnie z zasadą najmniejszych uprawnień.
Oferujemy dwie utwardzone metody dostępu przez SSH:
Mała maszyna wirtualna w twojej sieci zestawia wychodzący tunel wyłącznie dla SSH do naszej infrastruktury. Cały dostęp przez ten tunel jest uwierzytelniany wyłącznie kluczami SSH przechowywanymi na kluczach YubiKey (wymagane dotknięcie, z 8-cyfrowymi PIN-ami).
Ta wersja nie tworzy połączenia wychodzącego. Zamiast tego nasłuchuje na porcie 22 w twojej sieci i jest osiągalna tylko z naszych stałych, dedykowanych adresów IP w Danii, Niemczech i Finlandii, co zapewnia redundancję.
Oba modele bastionu mogą działać na odizolowanej maszynie wirtualnej lub w twoim klastrze Kubernetes dla wysokiej dostępności.
Alternatywą dla bastionów SSH jest wdrożenie Netbird — otwartego VPN-a korzystającego z protokołu WireGuard.
Netbird integruje się bezpośrednio z Keycloak, co pozwala na scentralizowane uwierzytelnianie, MFA i szczegółowe polityki dostępu bez polegania na statycznych danych uwierzytelniających.
Prawa dostępu są powiązane z tożsamościami użytkowników, a całą aktywność można audytować w Netbird i Keycloak, co zapewnia silne bezpieczeństwo i pełną widoczność.
Do dostępu do Kubernetesa używamy metod uwzględniających tożsamość i opartych na sprzęcie — i włączamy uwierzytelnianie OIDC przez Keycloak w API Kubernetesa.
Do dostępu do serwerów Linux włączamy uwierzytelnianie kluczami SSH — każdy przypisany do klucza YubiKey konkretnej osoby.
Teleport zapewnia bezpieczny, scentralizowany dostęp do Kubernetesa dzięki:
Cały ruch Teleport przechodzi przez bramy wdrożone w twoim środowisku.
Zwykle dostajemy uprawnienia cluster-admin lub na poziomie operatora, żebyśmy mogli diagnozować i rozwiązywać problemy bez budzenia cię w nocy. Ostateczne poziomy dostępu pozostają jednak w pełni pod twoją kontrolą.
Jeśli potrzebne są hasła lub inne dane uwierzytelniające, przechowujemy je w naszym prywatnym repozytorium, zarządzanym otwartym oprogramowaniem passwordstore.org i zabezpieczonym naszymi sprzętowymi tokenami YubiKey:
Gdy tylko to możliwe, w ogóle unikamy haseł i wybieramy Keycloak lub uwierzytelnianie oparte na sprzęcie.
Niezależnie od tego, czy przez Teleport, czy przez Netbird, masz pełny wgląd w to:
Logi można zintegrować z twoimi systemami monitoringu i logowania, a także z naszymi.