Configuration et utilisation du tableau de bord CyberArk
L'objectif de l'entrée Tableau de bord CyberArk est de fournir aux utilisateurs de Remote Desktop Manager une interface qui élimine le besoin d'utiliser Password Vault Web Access (PVWA) pour consulter la liste des coffres et des identifiants auxquels l'utilisateur actuellement connecté a accès. Combiné à des scénarios sans mot de passe et/ou à notre contrôle d'accès basé sur les rôles (RBAC) avancé, cela signifie qu'un utilisateur n'a PAS besoin de connaître les identifiants CyberArk pour se voir présenter la liste des comptes auxquels il a accès. De plus, puisque le tableau de bord est conçu pour s'authentifier une seule fois auprès de votre serveur et, surtout, maintenir une session active aussi longtemps qu'il est actif, il présente l'avantage considérable de n'exiger le MFA qu'une seule fois lors du lancement du tableau de bord.
Les intégrations CyberArk nécessitent soit l'édition Remote Desktop Manager Team, soit la licence du package de solutions de gestion des accès privilégiés.
Un autre principe de conception du tableau de bord est que son modèle d'utilisation principal consiste à passer par le CyberArk Privileged Session Manager (PSM) pour accéder aux ressources. Cela signifie que Remote Desktop Manager n'a PAS besoin de lire le mot de passe du compte à utiliser. Des modèles moins sécurisés sont disponibles pour prendre en charge des scénarios plus anciens que certains de nos clients utilisent encore.
En savoir plus sur l'option de délimiteur MFA CyberArk.
Configuration
Créez une nouvelle entrée Tableau de bord CyberArk ou accédez aux Propriétés de votre entrée existante.
Dans la section Général, spécifiez un Nom et un Dossier pour votre entrée si cela n'est pas déjà fait.
Onglet Général
Entrez l'URL des services Web pour vous connecter à votre instance CyberArk. Il s'agit de l'adresse du serveur et elle devrait ressembler à « https://<nom du serveur>.<notre domaine>.loc/ ».
Voici ce que sera votre URL des services Web, selon votre abonnement CyberArk :
SelfHosted : URL courte
PrivilegeCloud : URL courte si l'URL ne se termine pas par « cyberark.cloud »
PrivilegeCloud : /privilegecloud si l'URL se termine par « cyberark.cloud »
Entrez un Répertoire virtuel. Ce champ est soit /privilegecloud, soit vide.
Sélectionnez une Version dans la liste déroulante. Cela correspond à la version de CyberArk PVWA affichée sur la page d'authentification CyberArk.
Veuillez noter que nous ne prenons en charge que l'API CyberArk V12 pour l'instant et que CyberArk version 12.1 est requise.
Sélectionnez le Mode d'authentification utilisé pour vous connecter à l'instance CyberArk (CyberArk, Windows, LDAP, RADIUS ou SAML).
L'authentification SAML est prise en charge avec CyberArk depuis la version 2022.3.25 de Remote Desktop Manager, mais des améliorations importantes et des corrections de bogues ont été apportées dans les versions ultérieures. Nous recommandons de mettre à jour au moins vers la version 2023.1 de Remote Desktop Manager si votre version actuelle est plus ancienne. L'une des améliorations de la version 2023.1 est que vous n'avez plus à fournir l'URL de connexion IdP lors de la configuration de votre authentification SAML. Si vous rencontrez des problèmes avec votre authentification SAML, consultez Configuration et dépannage SAML. L'authentification SAML pour CyberArk Privilege Cloud nécessite Remote Desktop Manager 2023.2.17 ou une version plus récente.
L'administrateur de votre coffre CyberArk devrait vous indiquer le modèle d'authentification utilisé, mais si, dans PVWA, vous cliquez sur un lien correspondant au nom de domaine de votre entreprise, cela indique que le modèle LDAP est utilisé.
Dans la liste déroulante Identifiants d'authentification, sélectionnez Personnalisé pour saisir vos identifiants ci-dessous ou sélectionnez-les à l'aide d'un mécanisme de Remote Desktop Manager. Cette liste n'est pas disponible avec le Mode d'authentification SAML.
Comme pour toutes les entrées Tableau de bord dans Remote Desktop Manager, si vous créez une entrée qui sera visible par plusieurs utilisateurs, nous recommandons de choisir Paramètres de mon compte PVWA, puis de visiter Fichier – Paramètres de mon compte – CyberArk PVWA pour saisir vos identifiants CyberArk personnels.
Suivez cette étape si vous avez sélectionné Personnalisé dans la liste Identifiants d'authentification. Sinon, passez à la section Onglet avancé.
Entrez votre Nom d'utilisateur et votre Mot de passe dans les champs correspondants. Utilisez le Générateur de mot de passe pour vous aider à créer un mot de passe sécurisé.
Cochez la case Toujours demander le mot de passe pour être invité à saisir votre mot de passe à chaque connexion.
Si vous disposez d'un code RSA SecurID, cochez la case Ajouter le code RSA SecurID au mot de passe, puis sélectionnez ci-dessous la Source RSA SecurID.
Onglet Avancé
Général
L'option Actualisation automatique est activée par défaut. Elle maintient la connexion à votre environnement CyberArk et supprime le besoin de saisir les identifiants 2FA à chaque connexion. Il est recommandé de la laisser activée.
Cochez Ouvrir les sessions en externe si vous ne souhaitez pas que vos sessions s'ouvrent en mode intégré dans Remote Desktop Manager. Cela est principalement utile pour les applications qui ne prennent en charge que l'ouverture en externe, telles que PSM-Putty (PSM-SSH) et de nombreux autres composants de connexion PSM. Cette option est requise pour se connecter à des applications distantes à l'aide de connexions PVWA.
Pour la plupart des composants de connexion nécessitant l'ouverture d'une application sur PSM, l'option Ouvrir en externe doit être activée. Cela est dû à une limitation de l'ActiveX RDP que nous utilisons, qui ne prend pas en charge le mode RDP RemoteApp. Cependant, cette limitation peut être atténuée en définissant un paramètre de composant de connexion dans CyberArk. Ce paramètre s'appelle DisableRemoteApp et doit être défini sur Yes. Pour plus d'informations, consultez la documentation de CyberArk.
Cochez Autoriser la connexion à l'hôte si vous souhaitez autoriser une connexion directe à la machine distante, ce qui signifie que l'utilisateur actuellement connecté doit avoir le droit d'afficher le mot de passe ; cette option est donc moins sécurisée et n'est pas recommandée par l'équipe CyberArk.
Cochez Demander un motif si vous devez fournir un motif pour établir une connexion.
Cochez Demander un numéro de ticket si vous devez fournir un numéro de ticket pour établir une connexion selon votre configuration CyberArk. Le champ Système de ticketing associé à cette option est une valeur de chaîne qui a du sens dans votre environnement. Il est informatif et nous l'envoyons avec le numéro.
L'option Enregistrement par défaut charge vos coffres. Vous pouvez également cocher la case Charger les favoris par défaut pour charger vos coffres favoris.
Définissez le Format du nom d'utilisateur par défaut pour pouvoir vous connecter à la machine distante. Il peut également être modifié dans le tableau de bord pour des connexions ad hoc, mais ce sera le format par défaut pour cette instance de tableau de bord.
Sélectionnez la Méthode de recherche de domaine dans la liste déroulante.
La liste déroulante Champ de domaine n'est pertinente que lorsque le Format du nom d'utilisateur est défini sur la valeur Champ. Selon la configuration de votre coffre, différents champs CyberArk peuvent être utilisés pour stocker les informations de domaine. Choisissez la valeur qui correspond aux paramètres de votre coffre.
PVWA
L'option Autoriser les connexions directes (PVWA) est activée par défaut et constitue la méthode recommandée. Elle permet exactement la même action que le bouton Connexion proposé dans PVWA.
Dans la zone Composants de connexion, entrez les composants que vous souhaitez utiliser pour vos connexions. Nous initialisons le champ avec les composants par défaut d'une installation CyberArk standard, mais cette liste DOIT correspondre aux composants configurés dans votre coffre.
Depuis Remote Desktop Manager version 2023.2.24, il existe une nouvelle fonctionnalité appelée Remplacer les paramètres RDP. Par défaut, les paramètres RDP sont récupérés depuis CyberArk PVWA lors de la génération de la session PSM. Cette nouvelle option vous permet d'ignorer les paramètres fournis par CyberArk et d'appliquer ceux spécifiés dans l'entrée Tableau de bord CyberArk à la place. Ce remplacement s'applique à toutes les sessions PSM établies depuis ce tableau de bord afin d'avoir des paramètres d'affichage différents. Il peut être judicieux de créer différentes instances de l'entrée de tableau de bord pour refléter les préférences de différents utilisateurs.
Les versions de Remote Desktop Manager et de Devolutions Server doivent être au moins 2023.2.28 et 2023.2.8 pour que Remplacer les paramètres RDP fonctionne.
PSM
L'option Autoriser la connexion via PSM (shell alternatif) est désactivée par défaut. Activez-la si vous souhaitez autoriser les connexions via PSM, mais en utilisant la méthode héritée consistant à fournir un shell alternatif.
Activez la stratégie suivante pour n'autoriser que Cyberark PSM connect.%Root%\SOFTWARE\Policies\Devolutions\RemoteDesktopManager\DisableCyberArkPasswordRetrieval
Voici les restrictions liées au PSM :
Un utilisateur doit se connecter au serveur PSM via RDP et avoir l'autorisation de le faire.
PSM doit pouvoir associer le compte LDAP à un profil CyberArk PVWA (peut fonctionner avec un SAML Entra ID lorsque LDAP est cloné sur Entra ID).
Le compte à utiliser doit être trouvé sans ambiguïté dans le coffre CyberArk.
Cette option est fournie par commodité et n'est pas recommandée par l'équipe CyberArk. Elle présente certaines limitations par rapport à l'action Connexion de PVWA qui utilise un jeton à durée de vie limitée. Vous devez avoir une entrée Serveur PSM configurée dans le même coffre. Sélectionnez-la dans la liste déroulante du serveur PSM.
Utilisation du tableau de bord
Veuillez noter que, par souci de clarté, cette section ne fournira des informations que sur le modèle d'utilisation principal consistant à se connecter via PSM.
Interface utilisateur
Le menu Actions vous permet de :
Vous connecter ou vous déconnecter du tableau de bord.
Vous connecter à un hôte en utilisant les identifiants sélectionnés.
Actualiser le contenu du coffre.
Ajouter un coffre à vos favoris.
Le menu supérieur vous permet de :
Sélectionner un coffre auquel vous connecter.
Sélectionner le Format du nom d'utilisateur.
Autoriser ou interdire l'Ouverture en externe de la session (non intégrée dans Remote Desktop Manager).
Actualiser le contenu du coffre.
Activer ou désactiver l'Actualisation automatique. Si désactivée, les connexions PSM peuvent nécessiter le MFA à chaque connexion.
La zone de contenu vous permet de voir et d'interagir avec les comptes au sein d'un coffre ou d'un groupe. Vous pouvez voir le Compte, son Adresse, sa Plateforme et le Coffre dans lequel il se trouve.
Sélection d'un coffre
Grâce au sélecteur de coffre, vous pouvez parcourir vos coffres et sélectionner celui que vous souhaitez utiliser.
La section supérieure de la liste déroulante contient un sous-ensemble des coffres auxquels vous avez accès. Vous pouvez également consulter et gérer la liste des coffres exclus dans Fichier – Paramètres – Types – CyberArk.
Favoris affichera les comptes qui ont été marqués comme favoris dans CyberArk, mais depuis Remote Desktop Manager. L'ajout ou la suppression d'un favori mettra à jour CyberArk.
Afficher tout listera tous les comptes auxquels l'utilisateur a accès. Pour certains utilisateurs, il s'agira d'une liste volumineuse et l'opération ne sera pas rapide. Cette option est fournie pour les utilisateurs ayant accès à une liste finie de comptes.
Parcourir... affichera la boîte de dialogue de sélection de coffre, où des options de pagination et de filtrage sont disponibles pour aider l'utilisateur à localiser le coffre concerné. Là encore, ils sont listés par défaut dans l'ordre reçu de CyberArk.
Voici un aperçu de la page Sélection du coffre CyberArk qui apparaît après avoir sélectionné Parcourir... dans le sélecteur de coffre.
Dans cette vue, si vous sélectionnez un coffre et cliquez sur OK, vous pourrez alors consulter les comptes de ce coffre.
Connexion à un hôte
Après avoir sélectionné le compte que vous souhaitez utiliser, vous pouvez utiliser le bouton Connexion dans le menu Actions ou effectuer un clic droit et sélectionner le composant de connexion approprié.
Dans les deux cas, une boîte de dialogue s'affiche pour vous permettre de spécifier l'hôte auquel vous souhaitez vous connecter.
Sélection d'un hôte
Champ Hôte
Si le champ Accès à la machine distante CyberArk est utilisé dans les propriétés du compte, les points de terminaison qui ont été saisis seront listés dans ce champ. Cela permet des connexions même pour des ressources qui ne sont pas gérées dans Remote Desktop Manager.
Si le champ Accès à la machine distante CyberArk n'est pas utilisé, vous pouvez saisir n'importe quel nom dans le contrôle pour vous y connecter. Veuillez noter que la résolution de nom est effectuée au niveau PSM. Par conséquent, veuillez respecter les standards de votre installation CyberArk pour garantir le succès.
Champ Filtrer : saisissez des caractères correspondant au nom d'une ressource pour appliquer un filtre dans la grille ci-dessous.
La grille affichera les entrées représentant un système hôte. Connectez-vous donc à celle qui représente le point de terminaison auquel vous devez vous connecter.
Utilisation du volet de navigation de Remote Desktop Manager pour établir des connexions
Après avoir sélectionné le compte dans le Tableau de bord CyberArk, vous pouvez également utiliser le volet de navigation pour sélectionner un hôte en effectuant un clic droit sur une entrée et en accédant au menu Se connecter via.
Il est possible de contourner le menu en autorisant une action de double-clic lorsqu'il n'existe qu'une seule combinaison possible de compte/passerelle/composant.
Vous pouvez utiliser un script PowerShell de modification en lot pour autoriser une action de double-clic au lieu de sélectionner l'option décrite dans les étapes ci-dessous.
Sélectionnez une entrée et accédez à Propriétés – Avancé.
Accédez à Se connecter via le tableau de bord au double-clic et cliquez sur Oui.
La même option se trouve dans Fichier – Paramètres – Types.
Cliquez sur OK pour enregistrer et fermer la fenêtre.
Un double-clic ouvrira désormais automatiquement le Tableau de bord.
Voir aussi
Mis à jour
Ce contenu vous a-t-il été utile ?