Créer un fournisseur PAM personnalisé dans Devolutions Server

Les fournisseurs PAM personnalisés sont construits et gérés à l'aide de modèles. Les modèles tirent parti des efforts de Devolutions et de la communauté pour créer des fournisseurs, réduisant ainsi la nécessité pour les utilisateurs de les créer à partir de zéro.

Un modèle est un objet dans Devolutions PAM qui sert de cadre pour la construction d'un fournisseur PAM personnalisé.

Les modèles guident Devolutions Server dans la mise en correspondance des paramètres et des sorties des scripts d'action avec les propriétés internes de Devolutions PAM, facilitant la saisie et l'échange d'informations. Les modèles permettent aux utilisateurs de renseigner les propriétés d'un fournisseur d'identité pour créer un fournisseur.

Créez un modèle personnalisé ou importez l'un des modèles existants.

WinRM doit être activé pour que cela fonctionne.

Créer un modèle PAM personnalisé

Une fois les scripts d'action créés, l'étape suivante consiste à développer le modèle PAM personnalisé dans Devolutions Server.

1. Dans Devolutions Server, accédez à Administration – Accès privilégié – Fournisseurs.
2. Cliquez sur Modèles PAM personnalisés.
3. Cliquez sur Ajouter pour créer un nouveau modèle.
4. Dans Général, fournissez un Nom (obligatoire) et une Description (facultative) pour votre nouveau modèle. Il est également possible de modifier l'icône affichée.
5. Trois actions peuvent être activées, chacune avec son propre script. Cochez les cases à côté de celles que vous souhaitez que ce fournisseur implémente.

   • Rotation des mots de passe, pour réinitialiser les mots de passe des comptes.
   • Heartbeat, pour synchroniser les comptes.
   • Découverte de comptes, pour l'analyse.

   Bien qu'il ne soit pas obligatoire d'activer chaque action, il est recommandé de le faire pour tirer pleinement parti des avantages d'un fournisseur PAM personnalisé.
6. Dans Propriétés du fournisseur et Propriétés du compte, définissez les champs que les fournisseurs et les comptes implémenteront.

   • Les Propriétés du fournisseur définissent les attributs que le fournisseur PAM personnalisé utilise pour s'authentifier et se connecter à un fournisseur d'identité. Ces propriétés peuvent inclure le nom d'utilisateur, le mot de passe, le nom d'hôte ou tout autre attribut unique d'un fournisseur d'identité.
   • Les Propriétés du compte sont des attributs liés à un compte spécifique sur un fournisseur d'identité. Les propriétés de compte courantes comprennent l'ID, le nom d'utilisateur et le secret. Les propriétés du compte identifient de manière unique les comptes du fournisseur et fournissent une valeur pour stocker le mot de passe d'un compte ou d'autres informations d'identification sécurisées.

   Ajoutez des propriétés en cliquant sur Ajouter une propriété. Pour chaque propriété, fournissez un Nom et un Type. Voici une liste des différents types :

   • Boolean
   • Description (string)
   • Int
   • Password (SecureString)
   • Sensitive Data (SecureString)
   • String
   • Unique Identifier (string)
   • Username (string)

   Veillez à fournir un type Unique Identifier si vous prévoyez d'utiliser la découverte de comptes. Ce champ permet de suivre les comptes qui ont été ajoutés depuis la dernière analyse.
7. Cochez la case Obligatoire à côté d'une propriété si les champs sont requis pour la création/modification.
8. Pour chaque action activée dans la section Général, accédez à la section correspondante dans le menu de gauche.
9. Mappez les propriétés du fournisseur/compte dont le script a besoin pour fonctionner en fournissant les informations suivantes :

   • Nom : nom de la variable dans le script.
   • Source : si la valeur est fournie par le fournisseur ou le compte.
   • Propriété : la propriété source qui sera injectée dans le script.

   Toutes les actions ont des scripts d'action associés avec au moins deux ou trois paramètres. Les fournisseurs PAM personnalisés doivent comprendre comment mapper une propriété à un paramètre de script pour définir la relation entre l'objet fournisseur PAM personnalisé (fournisseur ou compte) et chaque script d'action. Les paramètres de script vous permettent de spécifier au fournisseur PAM personnalisé quels paramètres possède chacun de vos scripts d'action et à quelle propriété du fournisseur PAM personnalisé ce paramètre de script doit être mappé. Si nécessaire, vous pouvez ajouter d'autres paramètres de script.
10. Insérez le script de l'action en parcourant votre ordinateur pour le trouver ou en modifiant manuellement le champ Script. Vous pouvez également générer un script de base sur lequel vous appuyer.
11. Testez votre script une fois qu'il est terminé, puis Enregistrez votre nouveau modèle. Votre nouveau modèle PAM personnalisé a été créé et peut être trouvé dans la liste des modèles. Vous pouvez passer directement à la section Créer un fournisseur PAM personnalisé.

Exemple de modèle

Voici un exemple de valeurs pour un modèle PAM personnalisé complété, basé sur les scripts d'action suivants :

[CmdletBinding()]
param(
    [Parameter(Mandatory)]
    [string]$IdentityProviderEndpoint,

    [Parameter(Mandatory)]
    [string]$IdentityProviderEndpointUserName,

    [Parameter(Mandatory)]
    [securestring]$IdentityProviderEndpointPassword
)

[CmdletBinding()]
param(
    [Parameter(Mandatory)]
    [string]$IdentityProviderEndpoint,

    [Parameter(Mandatory)]
    [string]$IdentityProviderEndpointUserName,

    [Parameter(Mandatory)]
    [securestring]$IdentityProviderEndpointPassword,

    [Parameter(Mandatory)]
    [securestring]$NewPassword,

    [Parameter(Mandatory)]
    [string]$AccountUserName
)

[CmdletBinding()]
param(
    [Parameter(Mandatory)]
    [string]$IdentityProviderEndpoint,

    [Parameter(Mandatory)]
    [string]$IdentityProviderEndpointUserName,

    [Parameter(Mandatory)]
    [securestring]$IdentityProviderEndpointPassword,

    [Parameter(Mandatory)]
    [securestring]$AccountSecret,

    [Parameter(Mandatory)]
    [string]$AccountUserName
)

Propriétés du fournisseur

Nom de la propriété	Type de propriété	Obligatoire
IdentityProviderEndpoint	String	Oui
IdentityProviderEndpointUserName	UserName	Oui
IdentityProviderEndpointPassword	Password	Oui

Propriétés du compte

Nom de la propriété	Type de propriété	Obligatoire
AccountUserName	UniqueIdentifier	Oui
AccountSecret	Password	Oui

Types de paramètres de script

Nom du paramètre	Action(s)	Propriété	Source	Obligatoire
IdentityProviderEndpoint	Rotation des mots de passe, Heartbeat, Découverte de comptes	IdentityProviderEndpoint	Provider	Oui
IdentityProviderEndpointUserName	Rotation des mots de passe, Heartbeat, Découverte de comptes	IdentityProviderEndpointUserName	Provider	Oui
IdentityProviderEndpointPassword	Rotation des mots de passe, Heartbeat, Découverte de comptes	IdentityProviderEndpointPassword	Provider	Oui
NewPassword	Rotation des mots de passe	N/A	System	Oui
AccountUserName	Rotation des mots de passe, Heartbeat	AccountUserName	Account	Oui
AccountSecret	Heartbeat	AccountSecret	Account	Oui

Importer un modèle PAM personnalisé

Vous pouvez accéder à notre dépôt GitHub public pour trouver des fournisseurs PAM personnalisés créés par l'équipe Devolutions et des instructions sur la façon de les utiliser.

1. Dans Devolutions Server, accédez à Administration – Accès privilégié – Fournisseurs.
2. Cliquez sur Modèles PAM personnalisés.
3. Cliquez sur Importer.
4. Téléversez votre fichier .json, puis cliquez sur Importer.
5. Adaptez les paramètres du modèle si nécessaire, puis cliquez sur Enregistrer.

Votre modèle a maintenant été importé et peut être trouvé dans la liste des Modèles PAM personnalisés.

Créer un fournisseur PAM personnalisé

Une fois votre modèle créé ou importé, vous êtes prêt à créer un fournisseur PAM personnalisé.

1. Accédez à Administration – Accès privilégié – Fournisseurs, puis cliquez sur Ajouter.
2. Accédez à Personnalisé dans le menu de gauche, puis sélectionnez votre nouveau modèle dans la liste. Cliquez sur Continuer.
3. Dans la page de configuration du Fournisseur, fournissez un Nom et un Nom d'utilisateur, car ces informations sont obligatoires. Ensuite, si nécessaire, configurez les autres options selon vos besoins.
4. Cliquez sur Enregistrer.

Votre nouveau fournisseur PAM personnalisé a été créé et peut être trouvé dans la liste des fournisseurs.

Voir aussi

• Devolutions Academy - Configuring a custom PAM provider