Crear un proveedor PAM personalizado en Devolutions Server

Los proveedores PAM personalizados se crean y gestionan mediante plantillas. Las plantillas aprovechan el trabajo de Devolutions y de la comunidad para crear proveedores, lo que reduce la necesidad de que los usuarios los creen desde cero.

Una plantilla es un objeto dentro de Devolutions PAM que sirve como marco para construir un proveedor PAM personalizado.

Las plantillas guían a Devolutions Server en la asignación de los parámetros y las salidas del script de acción a las propiedades internas de Devolutions PAM, facilitando la introducción y el intercambio de información. Las plantillas permiten a los usuarios rellenar las propiedades de un proveedor de identidad para crear un proveedor.

Cree una plantilla personalizada o importe una de las plantillas que ya existen.

Es necesario habilitar WinRM para que esto funcione.

Crear una plantilla PAM personalizada

Una vez creados los scripts de acción, el siguiente paso es desarrollar la plantilla PAM personalizada en Devolutions Server.

1. En Devolutions Server, vaya a Administración – Acceso privilegiado – Proveedores.
2. Haga clic en Plantillas PAM personalizadas.
3. Haga clic en Añadir para crear una nueva plantilla.
4. En General, indique un Nombre (obligatorio) y una Descripción (opcional) para su nueva plantilla. También es posible cambiar el icono mostrado.
5. Se pueden habilitar tres acciones, cada una con su propio script. Marque las casillas junto a las que desee que implemente este proveedor.

   • Rotación de contraseñas, para restablecer las contraseñas de las cuentas.
   • Heartbeat, para sincronizar las cuentas.
   • Descubrimiento de cuentas, para el escaneo.

   Aunque no es obligatorio habilitar cada acción, se recomienda hacerlo para aprovechar plenamente las ventajas de un proveedor PAM personalizado.
6. En Propiedades del proveedor y Propiedades de la cuenta, establezca los campos que implementarán los proveedores y las cuentas.

   • Las Propiedades del proveedor definen los atributos que el proveedor PAM personalizado utiliza para autenticarse y conectarse a un proveedor de identidad. Estas propiedades pueden incluir el nombre de usuario, la contraseña, el nombre de host o cualquier otro atributo único de un proveedor de identidad.
   • Las Propiedades de la cuenta son atributos relacionados con una cuenta específica en un proveedor de identidad. Las propiedades de cuenta habituales incluyen el ID, el nombre de usuario y el secreto. Las propiedades de la cuenta identifican de forma única las cuentas del proveedor y proporcionan un valor para almacenar la contraseña de una cuenta u otras credenciales seguras.

   Añada propiedades haciendo clic en Añadir propiedad. Para cada propiedad, indique un Nombre y un Tipo. A continuación se muestra una lista de los diferentes tipos:

   • Boolean
   • Description (cadena)
   • Int
   • Password (SecureString)
   • Sensitive Data (SecureString)
   • String
   • Unique Identifier (cadena)
   • Username (cadena)

   Asegúrese de indicar un tipo Unique Identifier si tiene previsto utilizar el descubrimiento de cuentas. Este campo ayuda a saber qué cuentas se han añadido desde el último escaneo.
7. Marque la casilla Obligatorio junto a una propiedad si los campos son necesarios para la creación o la edición.
8. Para cada acción que se haya habilitado en la sección General, vaya a la sección correspondiente en el menú de la izquierda.
9. Asigne las propiedades del proveedor/cuenta que el script necesita para funcionar indicando lo siguiente:

   • Nombre: nombre de la variable en el script.
   • Origen: si el valor lo proporciona el proveedor o la cuenta.
   • Propiedad: la propiedad de origen que se inyectará en el script.

   Todas las acciones tienen scripts de acción asociados con al menos dos o tres parámetros. Los proveedores PAM personalizados deben saber cómo asignar una propiedad a un parámetro de script para definir la relación entre el objeto del proveedor PAM personalizado (proveedor o cuenta) y cada script de acción. Los parámetros de script le permiten especificar al proveedor PAM personalizado qué parámetros posee cada uno de sus scripts de acción y a qué propiedad del proveedor PAM personalizado debe asignarse ese parámetro de script. Si es necesario, puede añadir otros parámetros de script.
10. Inserte el script de la acción, ya sea buscándolo en su ordenador o editando manualmente el campo Script. También puede generar un script base sobre el que trabajar.
11. Pruebe su script una vez completado y, a continuación, Guarde su nueva plantilla. Su nueva plantilla PAM personalizada se ha creado y se puede encontrar en la lista de plantillas. Puede pasar directamente a la sección Crear un proveedor PAM personalizado.

Ejemplo de plantilla

A continuación se muestra un ejemplo de valores para una plantilla PAM personalizada completada basada en los siguientes scripts de acción:

[CmdletBinding()]
param(
    [Parameter(Mandatory)]
    [string]$IdentityProviderEndpoint,

    [Parameter(Mandatory)]
    [string]$IdentityProviderEndpointUserName,

    [Parameter(Mandatory)]
    [securestring]$IdentityProviderEndpointPassword
)

[CmdletBinding()]
param(
    [Parameter(Mandatory)]
    [string]$IdentityProviderEndpoint,

    [Parameter(Mandatory)]
    [string]$IdentityProviderEndpointUserName,

    [Parameter(Mandatory)]
    [securestring]$IdentityProviderEndpointPassword,

    [Parameter(Mandatory)]
    [securestring]$NewPassword,

    [Parameter(Mandatory)]
    [string]$AccountUserName
)

[CmdletBinding()]
param(
    [Parameter(Mandatory)]
    [string]$IdentityProviderEndpoint,

    [Parameter(Mandatory)]
    [string]$IdentityProviderEndpointUserName,

    [Parameter(Mandatory)]
    [securestring]$IdentityProviderEndpointPassword,

    [Parameter(Mandatory)]
    [securestring]$AccountSecret,

    [Parameter(Mandatory)]
    [string]$AccountUserName
)

Propiedades del proveedor

Nombre de la propiedad	Tipo de propiedad	Obligatorio
IdentityProviderEndpoint	String	Sí
IdentityProviderEndpointUserName	UserName	Sí
IdentityProviderEndpointPassword	Password	Sí

Propiedades de la cuenta

Nombre de la propiedad	Tipo de propiedad	Obligatorio
AccountUserName	UniqueIdentifier	Sí
AccountSecret	Password	Sí

Tipos de parámetros de script

Nombre del parámetro	Acción(es)	Propiedad	Origen	Obligatorio
IdentityProviderEndpoint	Rotación de contraseñas, Heartbeat, Descubrimiento de cuentas	IdentityProviderEndpoint	Proveedor	Sí
IdentityProviderEndpointUserName	Rotación de contraseñas, Heartbeat, Descubrimiento de cuentas	IdentityProviderEndpointUserName	Proveedor	Sí
IdentityProviderEndpointPassword	Rotación de contraseñas, Heartbeat, Descubrimiento de cuentas	IdentityProviderEndpointPassword	Proveedor	Sí
NewPassword	Rotación de contraseñas	N/D	Sistema	Sí
AccountUserName	Rotación de contraseñas, Heartbeat	AccountUserName	Cuenta	Sí
AccountSecret	Heartbeat	AccountSecret	Cuenta	Sí

Importar una plantilla PAM personalizada

Puede acceder a nuestro repositorio público de GitHub para encontrar proveedores PAM personalizados creados por el equipo de Devolutions e instrucciones sobre cómo utilizarlos.

1. En Devolutions Server, vaya a Administración – Acceso privilegiado – Proveedores.
2. Haga clic en Plantillas PAM personalizadas.
3. Haga clic en Importar.
4. Cargue su fichero .json y, a continuación, haga clic en Importar.
5. Adapte la configuración de la plantilla si es necesario y, a continuación, haga clic en Guardar.

Su plantilla se ha importado y se puede encontrar en la lista de Plantillas PAM personalizadas.

Crear un proveedor PAM personalizado

Una vez creada o importada su plantilla, ya está listo para crear un proveedor PAM personalizado.

1. Vaya a Administración – Acceso privilegiado – Proveedores y, a continuación, haga clic en Añadir.
2. Vaya a Personalizado en el menú de la izquierda y, a continuación, seleccione su nueva plantilla en la lista. Haga clic en Continuar.
3. En la página de configuración del Proveedor, indique un Nombre y un Nombre de usuario, ya que esta información es obligatoria. A continuación, si es necesario, establezca las demás opciones según sus necesidades.
4. Haga clic en Guardar.

Su nuevo proveedor PAM personalizado se ha creado y se puede encontrar en la lista de proveedores.

Véase también

• Devolutions Academy - Configurar un proveedor PAM personalizado