1. ¿Necesito instalar algún software antes de utilizar PAM360?
Aparte de los requisitos estándar del sistema (tanto de hardware como de software), los siguientes elementos son esenciales para garantizar el correcto funcionamiento del servidor PAM360.
Estos son especialmente necesarios si usted está planeando utilizar las opciones de descubrimiento de cuenta y restablecimiento de contraseña de PAM360.
Para comprobar si estos requisitos de software están configurados:
Vaya a Support »Software Requirements y haga clic en Check Configuration.
En la ventana emergente se mostrará el estado de la configuración.
2. ¿Qué sistemas operativos son compatibles con PAM360?
PAM360 es compatible con las siguientes versiones de los sistemas operativos Windows y Linux:
| Windows | Linux |
|---|---|
| Windows Server 2019 | Ubuntu 9.x o superior |
| Windows Server 2016 | CentOS 4.4 o superior |
| Windows Server 2012 R2 | Red Hat Linux 9.0 |
| Windows Server 2012 | Red Hat Enterprise Linux 7.x |
| Windows 10 | Red Hat Enterprise Linux 6.x |
| Windows 8 | Red Hat Enterprise Linux 5.x |
3. ¿Las otras personas pueden ver los recursos que agrego?
Excepto los superadministradores (si están configurados en PAM360), nadie, incluyendo los usuarios administradores, podrá ver los recursos que usted añade. Sin embargo, si comparte sus recursos con otros administradores, ellos podrán verlos.
4. ¿Puedo añadir mis propios atributos a los recursos de PAM360?
Sí, puede ampliar los atributos del recurso de PAM360 y la cuenta de usuario para incluir detalles que son específicos para sus necesidades. Consulte este documento para obtener más detalles.
5. ¿Qué ocurre si un usuario abandona la organización sin compartir sus contraseñas confidenciales con alguien?
Si un usuario administrativo abandona la organización, puede transferir los recursos que posee a otros administradores. Al hacerlo, ya no tendrán acceso a esos recursos, a menos que se los transfieran a sí mismos. Consulte este documento para obtener más detalles.
6. ¿Cómo añadir un nuevo dominio de Active Directory (AD) en PAM360?
Los administradores pueden añadir nuevos dominios tanto para las operaciones de descubrimiento de recursos como para las de descubrimiento de usuarios.
Consulte esta sección de ayuda para obtener instrucciones detalladas.
Para añadir un nuevo dominio para el descubrimiento de usuarios:
Consulte esta sección de ayuda para obtener instrucciones detalladas.
7. ¿Cómo eliminar un dominio de PAM360?
Para eliminar un dominio de PAM360, primero debe eliminar los usuarios que pertenecen a este dominio. Una vez eliminados los usuarios, siga estos pasos para eliminar la información del dominio:
8. ¿Cómo solucionar los errores “The list of Groups is too large to display ” y "La lista de OU es demasiado grande para mostrarse" durante la importación desde AD?
Para solucionar estos errores, es necesario aumentar el número de OUs y de grupos permitidos durante la importación desde AD. Siga estos pasos:
9. ¿Cómo puedo editar las propiedades de una tarea programada existente, como cambiar la hora o la frecuencia?
Puede modificar el intervalo de tiempo para la sincronización de AD siguiendo los pasos que se indican a continuación. Para crear una nueva tarea o editar las tareas programadas existentes, siga estos pasos:
10. ¿Se puede configurar una tarea de sincronización de AD para que se realice varias veces al día, por ejemplo, una vez cada 4 horas?
Para configurar una programación que se ejecute cada 4 horas, debe hacerlo cuando importe el OU/group desde AD.
ara importar, vaya a Resources >> Discover Resources >> Import.Aquí, especifique el intervalo de sincronización según su requisito e importe.
11. ¿Cómo solucionar el error “PAM360 detected harmful content in the data entered by the user and aborted the operation" que se produce al importar recursos a través de un archivo csv/tsv?
Como medida de seguridad, PAM360 restringe ciertos caracteres como etiquetas HTML (< , >), "URL: HTTPS://" or "URL: HTTPS://" o "URL: HTTP://", marca de seguridad (?), línea final y espacios múltiples en las notas o cualquier otro campo en PAM360 para evitar violaciones de seguridad en el producto.
Si alguno de estos caracteres se utiliza en cualquier otro campo excepto en el campo de contraseña, se produce una violación de seguridad y falla la importación.
Para evitar esto, verifique su archivo CSV/TSV para asegurarse de que estos caracteres se eliminaron para que la importación se realice correctamente.
12. ¿Cómo puedo solucionar el problema si falla la importación de usuarios/recursos desde AD?
Compruebe lo siguiente:
Si el fallo continúa, contacte a pam360-support@manageengine.com.
13. ¿Puedo realizar consultas personalizadas para generar resultados para la integración con otros sistemas de informes?
Sí puede. Póngase en contacto con nuestro servicio de soporte con su solicitud específica y le ayudaremos con la consulta SQL pertinente para generar la salida XML.
14. ¿El SSO de dominio funciona a través de firewalls/ VPN?
El inicio de sesión único de dominio (autenticación integrada en Windows) se habilita en el entorno Windows estableciendo parámetros no estándar en la cabecera HTTP, que suelen ser eliminados por dispositivos como firewalls/ VPN. PAM360 está diseñado para usarse dentro de la red. Por lo tanto, si tiene usuarios que se conectan desde fuera de la red, no puede tener el SSO habilitado.
15. ¿Puedo personalizar PAM360 con mi propio logo e información organizacional?
Sí. PAM360 le ofrece las siguientes opciones de personalización y cambio de marca:
Para usar las funcionalidades anteriores:
Tenga en cuenta que en cualquier momento puede desactivar esta configuración. Instrucciones
16. ¿PAM360 registra los intentos de visualización y recuperación de contraseñas por parte de los usuarios?
Sí, PAM360 registra todas las operaciones que puede realizar el usuario, incluyendo las operaciones para copiar y visualizar contraseñas. En las pistas de auditoría, puede obtener una lista completa de todas las acciones y los intentos de los usuarios respecto a la recuperación de contraseñas. Más información
17. ¿Por qué aumenta rápidamente el tamaño del archivo wal_archive de PostgreSQL?
Este problema se produce cuando la ubicación de la copia de seguridad especificada en PAM360 ya no es accesible para guardar el archivo de copia de seguridad. En términos simples, cada vez que la copia de seguridad de la base de datos PostgreSQL falla, el tamaño de la carpeta wal_archive comenzará a aumentar.
Solución:
Esto iniciará una copia de seguridad al instante y depurará automáticamente el directorio wal_archive.
18. ¿PAM360 admite la alta disponibilidad?
Sí, consulte el documento Alta disponibilidad para obtener más detalles.
19. ¿Cuáles son los distintos formatos syslog que sigue PAM360?
Los siguientes son tres tipos diferentes de formatos syslog que PAM360 utiliza para enviar mensajes syslog a su host recopilador de syslog:
i. Auditoría de recursos
ii. Auditoría de usuarios
iii. Auditoría de claves
20. ¿PAM360 altera el número de licencias CAL de Windows?
Generalmente, las sesiones RDP se invocan desde el servidor PAM360 y se retransmiten al navegador del usuario final a través de un componente de terceros llamado Spark Gateway. Este componente viene incluido con PAM360 y no tiene ninguna relación con las licencias CAL de Windows. Por lo tanto, PAM360 no afecta en modo alguno al número de licencias CAL de Windows. Los usuarios deben adquirir tantas licencias CAL como sugiera Microsoft.
21. ¿Cómo puedo ejecutar el servicio PAM360 utilizando una cuenta de servicio gestionada de grupo (gMSA)?
Para saber en detalle cómo ejecutar el servicio PAM360 utilizando una cuenta de servicio gestionada de grupo, haga clic aquí.
22. ¿Cómo puedo solucionar el fallo de arranque del servidor PostgreSQL?
Escenarios de error:
Durante la actualización:
Error "Trying to start PostgresSQL server failed" en el símbolo del sistema después de seleccionar el archivo PPM.
Mientras se configura la HA:
Error "Trying to start PostgresSQL server failed" en el símbolo del sistema después de ejecutar el comando HASetup.bat.
Durante el inicio del servicio:
Para los dos casos anteriores, haga lo siguiente:
Abra el archivo <PAM360-HOME>\logs\wrapper con notepad/Notepad++ y desplácese hasta la parte inferior del archivo (es decir, el intervalo de tiempo más reciente) y compruebe si aparece el error "Se produjo un error al intentar iniciar el servidor PostgresSQL" (Trying to start PostgresSQL server failed).
Posibles causas:
Las siguientes causas se explican con respecto a los escenarios de error anteriores.
El error "Se produjo un error al intentar iniciar el servidor PostgresSQL", ocurre cuando:
Solución:
La solución dada a continuación se aplica a todos los escenarios de error anteriores. Para solucionar este problema, siga estos pasos para proporcionar el permiso:
Si el problema continúa, comprima y envíenos los logs de <PAM360_HOME> y también de la carpeta <PAM360-HOME>\pgsql\data\pg_log junto con las capturas de pantalla anteriores a pam360-support@manageengine.com.
23. ¿Cómo manejar las siguientes excepciones que se producen al actualizar la versión de PAM360?
Excepción #1: Causado por: java.lang.OutOfMemoryError: Se ha superado el límite de sobrecarga de GC
Si el problema continúa, envíenos sus logs a pam360-support@manageengine.com para una investigación más exhaustiva.
Excepción #2: Error al intentar iniciar el servidor PostgreSQL
24. ¿Cómo realizar la actualización de versión utilizando la CLI?
Windows
Linux
Haga clic aquí para obtener instrucciones detalladas sobre el paquete de actualización.
25. Los logs, informes y CAPTCHA son ilegibles tras una actualización de versión. ¿Cómo solucionar este problema?
Compruebe lo siguiente:
Utilice los siguientes comandos para instalar las fuentes dejavu.
1. Para RHEL / Centos:
sudo yum install fontconfig dejavu-sans-fonts dejavu-serif-fonts
2. Ubuntu / Debian:
sudo apt install fonts-dejavu fontconfig
3. SLES:
sudo zypper install dejavu-fonts fontconfig
Ahora, usted ha instalado correctamente la fuente dejavu en su equipo.
Después de la instalación, siga estos pasos:
1. ¿Puedo cambiar el puerto 8282 predeterminado donde escucha PAM360?
Sí, puede cambiar el puerto predeterminado como se explica a continuación:
2. ¿Cómo puedo cambiar la URL de acceso al portal web de PAM360?
Esto servirá como su URL web personalizada para PAM360 a partir de ahora.
3. PAM360 es una aplicación web a la que se puede acceder a través de un navegador web. ¿Eso significa que puedo acceder a ella desde cualquier lugar?
PAM360 es una herramienta on-premise instalada en un servidor físico o en equipos virtuales (VM). Puede acceder a la interfaz web de PAM360 desde cualquier equipo de la red conectada a la misma red LAN mediante los navegadores web.
4. ¿Puedo cambiar la dirección IP a la que la aplicación PAM360 está vinculada si tengo múltiples tarjetas NIC e IP disponibles en el servidor?
PAM360 viene con una versión adaptada del servidor web TomCat que permite a los usuarios acceder a la página web y también al JVM que realiza las operaciones del producto. Usted puede utilizar los siguientes pasos para configurar la dirección IP Bind para estos dos componentes.
Pasos para cambiar la IP Bind del servidor web
Pasos para cambiar la IP bind del JVM
5. ¿Qué pasa si mis usuarios no son notificados sobre sus cuentas PAM360?
En general, los usuarios son notificados sobre sus cuentas PAM360 sólo a través de correos electrónicos. Si un usuario no recibe los correos electrónicos de notificación, verifique:
6. ¿Cuáles son los esquemas de autenticación disponibles en PAM360?
Usted puede utilizar uno de los siguientes tres mecanismos de autenticación fuera de PAM360:
Nota:
Para la autenticación SAML SSO, la Assertion Consumer URL es el nombre de host del servidor, por defecto. Para actualizar la URL de aserciones, siga estos pasos:
Ahora, la Assertion Consumer URL se actualizará en los Service Provider Details.
7. ¿Cuáles son los roles de usuario disponibles en PAM360? ¿Cuáles son sus niveles de acceso?
PAM360 tiene cinco roles predefinidos:
Además de estos roles predeterminados, cualquier administrador puede ser promocionado como Super Administrator con el privilegio de ver y gestionar todos los recursos. Haga clic aquí para obtener detalles sobre los niveles de acceso de los roles predeterminados.
8. ¿Qué pasa si olvido mi contraseña de acceso a PAM360?
Si usted ya tiene una cuenta de PAM360 válida, puede utilizar el enlace "'Forgot Password?'" disponible en la página de inicio de sesión para restablecer su contraseña. El nombre de usuario/ID de correo suministrado debe coincidir con los datos ya configurados para el usuario. La contraseña se restablecerá para ese usuario y la nueva contraseña se enviará a la dirección de correo electrónico correspondiente. Sin embargo, no necesitará esta opción si la autenticación AD/LDAP está activada.
9. ¿Por qué a veces veo una advertencia de seguridad al acceder a la consola de PAM360 a través del navegador?
La consola web de PAM360 siempre utiliza el HTTPS protocol para comunicarse con el servidor PAM360. El servidor PAM360 viene con un self-signed SSL certificate, por defecto, que los navegadores web estándar no reconocerán, emitiendo así una advertencia. Puede ignorar esta advertencia mientras prueba o evalúa el producto. Sin embargo, si va a ponerlo en producción, le recomendamos install an SSL certificate comprado a una authorized Certificate Authority (CA) que sea reconocido por todos los navegadores web estándar. Más información
1. ¿Qué tan seguras son mis contraseñas en PAM360?
Garantizar un almacenamiento seguro de las contraseñas y ofrecer una sólida defensa contra intrusiones son las principales prioridades de PAM360. Las siguientes medidas garantizan un alto nivel de seguridad para sus contraseñas:
2. ¿Qué tan segura es la gestión de contraseñas de aplicación a aplicación y de aplicación a base de datos a través de las API de gestión de contraseñas?
PAM360 ofrece API RESTful y API CLI basadas en SSH que se pueden utilizar para gestionar contraseñas de aplicación a aplicación/base de datos. Las aplicaciones se conectan e interactúan con PAM360 a través de HTTPS. La identidad de una aplicación se verifica en primer lugar comprobando la validez de su certificado SSL y, a continuación, verificando la IP/nombre de host de origen en la que reside. Cada aplicación/base de datos se debe registrar como un usuario API en PAM360. Durante este registro, se debe proporcionar el nombre de host/IP del servidor de la aplicación y se generará un token de autenticación único que utiliza la API REST. Este token se debe enviar junto con las solicitudes de la API para la autenticación. Además de estas comprobaciones de seguridad, cada aplicación/base de datos sólo puede acceder a la información que le haya delegado explícitamente un usuario administrativo. Consulte este documento para obtener más información sobre cómo compartir/delegar contraseñas.
3. ¿Podemos instalar nuestros propios certificados SSL?
Sí, puede instalar sus propios certificados SSL. Siga los pasos que se indican a continuación:
4. ¿Cómo generar certificados SSL firmados?
PAM360 se ejecuta como un servicio HTTPS. Requiere un certificado SSL válido firmado por una CA con el nombre principal como el nombre del host en el que se ejecuta. Por defecto, la primera vez que se inicia crea un certificado autofirmado, en el que no confiarán los navegadores de los usuarios. Por lo tanto, al conectarse a PAM360, es necesario verificar manualmente la información del certificado y el nombre del host del servidor PAM360 cuidadosamente y debe forzar al navegador a aceptar el certificado.
Para que los navegadores web y los usuarios confíen en el servidor PAM360:
Hay diferentes maneras de generar los certificados SSL firmados:
Puede decidir el modo en que se van a generar los certificados SSL firmados según las recomendaciones de sus administradores de seguridad. Los pasos detallados para utilizar cada uno de los métodos anteriores se proporcionan en los siguientes enlaces.
Nota: Si ya dispone de un certificado firmado por una CA, le recomendamos que utilice OpenSSL para crear el almacén de claves y configurarlo en PAM360 (pasos 4 y 5 de las siguientes instrucciones).
1. Generar certificados SSL firmados utilizando el módulo de gestión de certificados de PAM360
Puede generar certificados SSL firmados a través del módulo de gestión de certificados de PAM360 y también aplicar los cambios del certificado (almacén de claves y certificados) directamente desde la consola de PAM360. Esto implica tres procesos:
1.1 Generar una solicitud de firma de certificado (CSR):
Para solicitar y adquirir certificados de una CA local a través de PAM360, es necesario generar primero una solicitud de firma de certificado (CSR). Aquí están los pasos para hacerlo:
Nota: El icono de un ojo con el mensaje "mostrar frase de contraseña" correspondiente a cada CSR permite a los administradores ver las contraseñas del almacén de claves de los archivos CSR.
1.2 Firmar el certificado::
PAM360 proporciona la opción de firmar y emitir certificados a todos los clientes de su red, ya sea desde su autoridad de certificación de Microsoft o utilizando un certificado CA raíz personalizado que sea de confianza dentro de su entorno.
Nota: Recuerde que debe haber generado una solicitud de firma de certificado (CSR) válida antes de solicitar que su certificado sea firmado desde la CA local.
Siga estos pasos para firmar el certificado:
1.3 Aplicar el almacén de claves y certificados para el servidor web de PAM360::
Para aplicar el almacén de claves y certificados, primero necesita crearlo.
2. Generar certificados SSL firmados utilizando OpenSSL
OpenSSL suele venir incluido con las distribuciones de Linux. Si utiliza un servidor Windows y no tiene OpenSSL instalado, descárguelo de http://www.slproweb.com/products/Win32OpenSSL.html. Asegúrese de que la carpeta "bin" de la instalación de OpenSSL está incluida en la variable de entorno "PATH".
2.1 Crear el par de claves pública-privada que se utilizará para la negociación de SSL
<privatekey_filename> is the filename you specify to store the private key.
2.2 Crear una solicitud de firma de certificado (CSR) para presentarla a una autoridad de certificación para crear un certificado firmado con la clave pública generada en el paso anterior
2.3 Enviar la CSR a una autoridad de certificación (CA) para obtener un certificado CA firmado
Algunas de las CA más importantes son Verisign, Thawte, RapidSSL. Consulte su documentación / sitio web para obtener más información sobre el envío de CSR y esto implicará un coste que se pagará a la CA. Este proceso suele tardar unos días y le devolverán su certificado SSL firmado y el certificado raíz de la CA como archivos .cer. Guarde ambos archivos en la misma carpeta de trabajo en la que están almacenados los archivos de los pasos 1 y 2
2.4 Importar el certificado firmado por la CA a un almacén de claves
dónde,
2.5 Configurar el servidor PAM360 para que utilice el almacén de claves con su certificado SSL
Este es el paso final para generar certificados SSL firmados utilizando OpenSSL.
3. Generar certificados SSL firmados utilizando Keytool
3.1 Crear el par de claves pública-privada que se utilizará para la negociación de SSL
dónde,
<keystore_password> es la contraseña para acceder al almacén de claves, <privatekey_password> es la contraseña para proteger su clave privada. Tenga en cuenta que debido a una limitación inherente en tomcat, estas dos contraseñas tienen que ser las mismas. (Aunque no está documentado, Tomcat tiene problemas con las contraseñas que contienen caracteres especiales, así que utilice una contraseña que sólo tenga caracteres alfabéticos)
<no_of_days> es la validez del par de claves en número de días, desde el día en que se creó
3.2 Crear una solicitud de firma de certificado (CSR) para presentarla a una autoridad de certificación para crear un certificado firmado con la clave pública generada en el paso anterior
Nota: El archivo <csr_filename> que elija debe tener la extensión .csr.
3.3 Enviar la CSR a una autoridad de certificación (CA) para obtener un certificado firmado
Algunas de las CA más importantes son Verisign, Thawte, RapidSSL. Consulte su documentación / sitio web para obtener más información sobre el envío de CSR. Tenga en cuenta que se trata de un servicio de pago. Este proceso suele tardar unos días. Recibirá su certificado SSL firmado y el certificado de la CA como archivos .cer. Guarde ambos archivos en la carpeta <PAM360_Home>/jre/bin folder.
3.4 Importar el certificado firmado por la CA al servidor PAM360
"keytool -import -alias PAM360 -keypass <privatekey_password> -storepass <keystore_password> -keystore <keystore_filename> -trustcacerts -file <your_ssl_bundle.p7b>"
dónde,
3.5 Configurar el servidor PAM360 para que utilice el almacén de claves con su certificado SSL
Este es el paso final para generar certificados SSL firmados utilizando Keytool.
Nota: Este paso sólo es aplicable si utiliza la versión 9700 o superior.
Nota: Tomcat, por defecto, sólo acepta el formato JKS (Java Key Store) y PKCS #12 keystores. En caso de que el almacén de claves tenga el formato PKCS #12, incluya la siguiente opción en el archivo server.xml junto con el nombre del almacén de claves, keystoreType="PKCS12? Esto indica a tomcat que el formato es PKCS12. Reinicie el servidor después de realizar este cambio.
4. Generar certificados SSL firmados instalando un certificado SSL existente compatible con wild card::
Nota: Por favor, consulte la documentación de su CA para obtener más detalles e información para la resolución de problemas.
5. Cómo hacer que los navegadores web y los usuarios confíen en el servidor PAM360?
PAM360 se ejecuta como un servicio HTTPS. Requiere un certificado SSL válido firmado por una CA con el nombre principal como el nombre del host en el que se ejecuta. Por defecto, la primera vez que se inicia crea un certificado autofirmado, en el que no confiarán los navegadores de los usuarios. Por lo tanto, al conectarse a PAM360, es necesario verificar manualmente la información del certificado y el nombre del host del servidor PAM360 cuidadosamente y debe forzar al navegador a aceptar el certificado.
Para que los navegadores web y los usuarios confíen en el servidor PAM360:O]
Hay diferentes maneras de generar los certificados SSL firmados:
Puede decidir el modo en que se van a generar los certificados SSL firmados según las recomendaciones de sus administradores de seguridad. Los pasos detallados para utilizar cada uno de los métodos anteriores se proporcionan en los siguientes enlaces.
Nota: If you already have a certificate signed by a CA, then we recommend using OpenSSL to create the keystore and configure it in PAM360 (steps 4 and 5 in the instructions below).
1. Generar certificados SSL firmados utilizando el módulo de gestión de certificados de PAM360
Puede generar certificados SSL firmados a través del módulo de gestión de certificados de PAM360 y también aplicar los cambios del certificado (almacén de claves y certificados) directamente desde la consola de PAM360. Esto implica tres procesos:
1.1 Generar una solicitud de firma de certificado (CSR)::
Para solicitar y adquirir certificados de una CA local a través de PAM360, es necesario generar primero una solicitud de firma de certificado (CSR). Aquí están los pasos para hacerlo:
Nota: El icono de un ojo con el mensaje "mostrar frase de contraseña" correspondiente a cada CSR permite a los administradores ver las contraseñas del almacén de claves de los archivos CSR.
1.2 Firmar el certificado:
PAM360 proporciona la opción de firmar y emitir certificados a todos los clientes de su red, ya sea desde su autoridad de certificación de Microsoft o utilizando un certificado CA raíz personalizado que sea de confianza dentro de su entorno.
Nota: Recuerde que debe haber ggenerado una solicitud de firma de certificado (CSR) válida antes de solicitar que su certificado sea firmado desde la CA local.
Siga estos pasos para firmar el certificado:
1.3 Aplicar el almacén de claves y certificados para el servidor web de PAM360:
Para aplicar el almacén de claves y certificados, primero necesita crearlo.
2. Generar certificados SSL firmados utilizando OpenSSL
OpenSSL suele venir incluido con las distribuciones de Linux. Si utiliza un servidor Windows y no tiene OpenSSL instalado, descárguelo de http://www.slproweb.com/products/Win32OpenSSL.html. Asegúrese de que la carpeta "bin" de la instalación de OpenSSL está incluida en la variable de entorno "PATH".
2.1 Crear el par de claves pública-privada que se utilizará para la negociación de SSL
<privatekey_filename> es el nombre de archivo que especifica para almacenar la clave privada.
2.2 Crear una solicitud de firma de certificado (CSR) para presentarla a una autoridad de certificación para crear un certificado firmado con la clave pública generada en el paso anterior
2.3 Enviar la CSR a una autoridad de certificación (CA) para obtener un certificado CA firmado
Algunas de las CA más importantes son Verisign, Thawte, RapidSSL. Consulte su documentación / sitio web para obtener más información sobre el envío de CSR y esto implicará un coste que se pagará a la CA. Este proceso suele tardar unos días y le devolverán su certificado SSL firmado y el certificado raíz de la CA como archivos .cer. Guarde ambos archivos en la misma carpeta de trabajo en la que están almacenados los archivos de los pasos 1 y 2
2.4 Importar el certificado firmado por la CA a un almacén de claves
dónde,
2.5 Configurar el servidor PAM360 para que utilice el almacén de claves con su certificado SSL
Este es el paso final para generar certificados SSL firmados utilizando OpenSSL.
3. Generar certificados SSL firmados utilizando Keytool
3.1 Crear el par de claves pública-privada que se utilizará para la negociación de SSL
dónde,
<keystore_password> es la contraseña para acceder al almacén de claves, <privatekey_password> es la contraseña para proteger su clave privada. Tenga en cuenta que debido a una limitación inherente en tomcat, estas dos contraseñas tienen que ser las mismas. (Aunque no está documentado, Tomcat tiene problemas con las contraseñas que contienen caracteres especiales, así que utilice una contraseña que sólo tenga caracteres alfabéticos)
<no_of_days> es la validez del par de claves en número de días, desde el día en que se creó
3.2 Crear una solicitud de firma de certificado (CSR) para presentarla a una autoridad de certificación para crear un certificado firmado con la clave pública generada en el paso anterior
Nota: El archivo
3.3 Enviar la CSR a una autoridad de certificación (CA) para obtener un certificado firm
Algunas de las CA más importantes son Verisign, Thawte, RapidSSL. Consulte su documentación / sitio web para obtener más información sobre el envío de CSR. Tenga en cuenta que se trata de un servicio de pago. Este proceso suele tardar unos días. Recibirá su certificado SSL firmado y el certificado de la CA como archivos .cer. Guarde ambos archivos en la carpeta <PAM360_Home>/jre/bin.
3.4 Importar el certificado firmado por la CA al servidor PAM360
"keytool -import -alias PAM360 -keypass <privatekey_password> -storepass <keystore_password> -keystore <keystore_filename> -trustcacerts -file <your_ssl_bundle.p7b>"
donde,
3.5 Configurar el servidor PAM360 para que utilice el almacén de claves con su certificado SSL
TEste es el paso final para generar certificados SSL firmados utilizando Keytool.
Nota: Este paso sólo es aplicable si utiliza la versión 9700 o superior.
Nota: Tomcat, por defecto, sólo acepta el formato JKS (Java Key Store) y PKCS #12 keystores. En caso de que el almacén de claves tenga el formato PKCS #12, incluya la siguiente opción en el archivo server.xml junto con el nombre del almacén de claves, keystoreType="PKCS12? Esto indica a tomcat que el formato es PKCS12. Reinicie el servidor después de realizar este cambio.
4. Generar certificados SSL firmados instalando un certificado SSL existente compatible con wild card::
Nota: Por favor, consulte la documentación de su CA para obtener más detalles e información para la resolución de problemas.
6. ¿Podemos crear certificados de servidor con nombre alternativo del sujeto (SAN)?
Sí, puede crear un certificado utilizando SAN con un nombre de alias y aplicarlo en PAM360. Siga estos pasos:
1. Crear una CSR utilizando el módulo de gestión de certificados SSL de PAM360, y enviarla a cualquier CA para su firma
1.1 Crear una solicitud de firma de certificado (CSR)
1.2 Enviar la CSR a una autoridad de certificación (CA) para obtener un certificado CA firmado
Después de crear la CSR, el siguiente paso es hacer que la CSR sea verificada y firmada por una CA. Hay dos opciones para hacerlo:
Una vez firmado, puede ver el certificado en "Certificados".
1.3. Importar el certificado firmado por la CA al servidor PAM360
To import the certificates in your network:
2. Crear un certificado con SAN utilizando la CA interna de Microsoft
Asegúrese de seguir los pasos mencionados a continuación para crear un certificado de servidor con nombre alternativo del sujeto utilizando la CA interna de Microsoft. Además, en Atributos adicionales, especifique "san:dns=
Notas:
Por ejemplo,
./keytool -import -alias root1 -keypass Password123 -storepass Password123 -keystore PAM360.keystore -trustcacerts -file root1.cer
./keytool -import -alias root2 -keypass Password123 -storepass Password123 -keystore PAM360.keystore -trustcacerts -file root2.cer
Based on the number of root or intermediate root certificates, you have to execute the above command with different alias names and then continue with the actual certificate.
3. Crear un certificado SAN firmado por terceras partes como GoDaddy, Verisign, Commodo, etc.
Asegúrese de seguir los pasos que se indican a continuación para obtener el certificado SAN firmado por terceros.
'./keytool -genkey -alias PAM360 -keyalg RSA -keypass <privatekey_password> -storepass <keystore_password> -validity <no_of days> -sigalg SHA256withRSA -keysize 2048 -keystore <keystore_filename>"'
Aquí, cuando se le pida el nombre y apellido, especifique el nombre que utiliza para acceder a PAM360.
'keytool -certreq -keyalg RSA -alias PAM360 -keypass <privatekey_password> -storepass <keystore_password> -file <csr_filename> -keystore PAM360.keystore'
Nota: recibe el mensaje de error "No se ha podido establecer la cadena a partir de la respuesta" con el comando anterior. Entonces, los certificados raíz e intermedio de su CA no están disponibles en el almacén de confianza de PAM360. Por lo tanto, antes de importar el certificado real, tiene que importar el certificado raíz con un alias diferente y luego importar el certificado real. Además, si usted tiene múltiples certificados raíz, entonces tiene que importarlos uno por uno con los diferentes nombres de alias. Por ejemplo,
./keytool -import -alias root1 -keypass Password123 -storepass Password123 -keystore PAM360.keystore -trustcacerts -file root1.cer
./keytool -import -alias root2 -keypass Password123 -storepass Password123 -keystore PAM360.keystore -trustcacerts -file root2.cer
Dependiendo del número de certificados raíz o raíz intermedio, deberá ejecutar el comando anterior con diferentes nombres de alias y, a continuación, continuar con el certificado real.
1. ¿Puedo cambiar las contraseñas de los recursos desde la consola de PAM360?
Sí. PAM360 puede restablecer las contraseñas de varios endpoints de forma remota. PAM360 admite los cambios de contraseñas con y sin agente. Consulte este documento para obtener más información.
2. ¿Cuándo utilizar los modos con agente y sin agente para la sincronización de contraseñas?
Veamos primero los requisitos para ambos modos:
El modo con agente requiere que el agente se instale como un servicio en cada endpoint y se ejecute con privilegios administrativos para realizar las operaciones de restablecimiento de contraseña. El agente utiliza la comunicación unidireccional mediante tráfico saliente para llegar al servidor PAM360.
Para el modo sin agente, debe proporcionar credenciales administrativas para realizar los cambios de contraseña. Para Linux, debe especificar dos cuentas, una con privilegios de root y la otra con privilegios de usuario normal, que se pueden utilizar para iniciar sesión de forma remota. El servicio Telnet o SSH debe estar ejecutándose en los recursos. Para el dominio Windows, debe proporcionar las credenciales del administrador de dominio. Para Windows y el dominio Windows, PAM360 utiliza llamadas remotas, por lo que los puertos relevantes deben estar abiertos en el recurso.
En base a esto, puede elegir qué modo desea para su entorno, teniendo en cuenta estos consejos:
Elija el modo con agente cuando:
Elija el modo sin agente en todos los demás casos, ya que es una forma más cómoda y fiable de realizar cambios de contraseña.
3. ¿Puedo habilitar el restablecimiento de contraseña sin agente si añado mi propio tipo de recurso para otras distribuciones de Linux / otras versiones de Windows?
Sí puede. Siempre que la etiqueta de tipo de recurso contenga la cadena "Linux" o "Windows", podrá configurar el restablecimiento de contraseña sin agente para esos recursos.
Ejemplo de etiquetas de tipo de recurso válidas para habilitar el restablecimiento de contraseña:
Debian Linux, Linux - Cent OS, SuSE Linux, Windows XP Workstation, Windows 2003 Server
4. Is there a way to carry out remote password synchronization for custom resource types that do not come out of the box in PAM360?
PAM360 supports remote password reset for custom resource types through SSH command sets, password reset plugins, and password reset listeners.
5. How do I troubleshoot when password reset does not happen?
In the agent mode:
In the agent less mode:
6. How do I reset domain passwords when Windows domain password reset fails with an error message: "The authentication mechanism is unknown"?
This happens when PAM360 is run as a Windows service and the 'Log on as" property of the service is set to the local system account. Change it to any domain user account to be able to reset domain passwords. Follow the instructions below to effect that setting:
7. What are the prerequisites for enabling Windows Service Account Reset?
Before enabling windows service account reset, ensure if the following services are enabled in the servers where the dependent services are running:
8. Does domain SSO work across firewalls / VPNs?
The domain Single Sign On (windows integrated authentication) is achieved in the Windows environment by setting non-standard parameters in the HTTP header, which are usually stripped off by devices like firewalls / VPNs. PAM360 is designed for use within the network. So, if you have users connecting from outside the network, you cannot have SSO this enabled.
1. ¿Puedo mover PAM360 de un servidor a otro?
Sí. Puede migrar PAM360 a otro servidor siguiendo estos pasos:
2. ¿Puedo configurar la recuperación ante desastres para la base de datos de PAM360?
Sí puede. PAM360 puede realizar copias de seguridad periódicas de todo el contenido de la base de datos, que se pueden configurar a través de la consola de PAM360. Consulte este documento para obtener más detalles.
3. ¿Dónde se almacenan los datos de la copia de seguridad? ¿Están cifrados?
Todos los datos sensibles en el archivo de copia de seguridad se cifran utilizando la utilidad 7-Zip, que tiene opciones para cifrar y comprimir los datos mediante el algoritmo AES256. Los datos encriptados se almacenan en el directorio "<PAM360_Install_Directory/backUp>" como un archivo .zip. Le recomendamos guardar la copia de seguridad en un almacenamiento secundario seguro para la recuperación ante desastres.
1. ¿Cuál es la política de licencia de PAM360?
Existen tres tipos de licencia:
Nota: PAM360 viene con cinco roles de usuario - Administrador, Administrador de contraseñas, Administrador privilegiado, Auditor de contraseñas y Usuario de contraseñas. El término "administrador" denota Administradores, Administradores de contraseñas y Administradores privilegiados. Por lo tanto, la concesión de licencias restringe el número de administradores en su conjunto, que incluye a los Administradores, Administradores de contraseñas y Administradores privilegiados. No hay restricción en el número de Usuarios de contraseñas y Auditores de contraseñas. Para obtener más detalles sobre los cinco roles de usuario, consulte esta sección de nuestra documentación de ayuda.
2. ¿Puedo comprar una licencia permanente para PAM360? ¿Cuáles son las opciones disponibles?
Aunque PAM360 sigue un modelo de suscripción anual para la fijación de precios, también ofrecemos la opción de licencia perpetua. La licencia perpetua costará tres veces el precio de suscripción anual, con un 20% de AMS a partir del segundo año. Contacte a sales@manageengine.com para obtener más información.
3. ¿Cómo aplico mi archivo de licencia?
4. Quiero tener un entorno de alta disponibilidad con varios servidores. ¿Será suficiente una sola licencia?
Sí, si adquiere una única licencia, tendrá derecho a disponer de un entorno de alta disponibilidad. Puede aplicar la misma licencia tanto en el servidor primario como en el secundario. Siga estos pasos:
5. ¿PAM360 puede admitir más de 1000 administradores?
Sí, por supuesto. Si desea una licencia con más de 1000 usuarios administradores, póngase en contacto con sales@manageengine.com para obtener más información.
6. ¿Puedo ampliar mi evaluación para incluir a más usuarios administradores o durante más días?
Sí. Llene los detalles requeridos en el sitio web y le enviaremos las claves de licencia.
1. ¿Hay alguna diferencia en la forma de gestionar las cuentas de usuario SSH y las cuentas de servicio SSH utilizando PAM360?
No. PAM360 adopta el mismo enfoque para la gestión de cuentas de usuario SSH y cuentas de servicio SSH. La única diferencia es que durante el descubrimiento del recurso, si se proporcionan las credenciales de la cuenta de servicio / raíz para establecer la conexión con el recurso, se adquieren privilegios ampliados para importar y gestionar las claves de todas las cuentas de usuario del recurso.
Mientras que, si la conexión con el recurso se establece utilizando credenciales de cuenta de usuario, se obtienen privilegios de gestión de claves sólo para las claves SSH presentes en esa cuenta en particular.
2. ¿Hay alguna forma de ver las claves SSH que no se han rotado?
Sí. Disponemos de un dashboard que muestra el número de claves que no se han rotado durante el periodo de tiempo predefinido especificado en la política de notificación.
3. ¿PAM360 permite gestionar claves digitales que no sean claves SSH y certificados SSL?
PAM360 aloja una bóveda de claves llamada "almacén de claves" que facilita el almacenamiento y la gestión de cualquier tipo de clave digital. Sin embargo, la opción de descubrimiento e importación se limita sólo a las claves SSH y certificados SSL, y no está disponible para otros tipos de claves digitales.
1. ¿Hay algún tipo de certificado con el que PAM360 sea incompatible?
No. PAM360 es compatible con todos los tipos de certificados X.509.
2. ¿Es posible identificar y actualizar automáticamente la última versión de los certificados en el repositorio de certificados de PAM360?
Sí. Puede crear tareas programadas para realizar el descubrimiento de certificados automáticamente a través del cual puede importar y reemplazar certificados antiguos de los sistemas de destino con sus versiones actualizadas en el repositorio de certificados de PAM360. Haga clic aquí para obtener una explicación detallada sobre cómo crear programaciones.
3. ¿La versión Linux de PAM360 admite la detección de certificados de Active Directory y MS Certificate Store?
No, no lo hace. Las pestañas Certificado de usuario de AD y MS Certificate Store sólo aparecen en la versión Windows de PAM360.
4. ¿Es posible supervisar la caducidad de los certificados con el mismo nombre común en el repositorio de certificados de PAM360?
PAM360 diferencia los certificados por sus nombres comunes y registra los certificados con los mismos nombres comunes como una única entrada en su repositorio de certificados. Lo hemos diseñado así porque las licencias de PAM360 se basan en el número de certificados y no queremos que los clientes gasten muchas claves de licencia para el mismo certificado.
Sin embargo, si necesita gestionar ambos certificados por separado, puede hacerlo listándolos como entradas separadas en el repositorio de certificados de PAM360. Una vez en la lista, el certificado recién añadido se tendrá en cuenta para la concesión de licencias.
Para añadir un certificado con el mismo nombre común como una entrada separada en el repositorio de certificados,
5. ¿Cómo puedo importar la clave privada de un certificado?
Siga estos pasos para importar la clave privada de un certificado a PAM360.
Busque el archivo que contiene la clave privada, ingrese la contraseña del almacén de claves y haga clic en "Importar". La clave privada se importará y se adjuntará al certificado seleccionado.
6. ¿Cómo puedo implementar un certificado en el almacén de certificados y asignarlo a la aplicación que utiliza el certificado?
PAM360 facilita la implementación de certificados a través de la cual puede implementar certificados desde su repositorio al almacén de certificados de Microsoft del servidor de destino.
Haga clic aquí para obtener una explicación paso a paso sobre la implementación de certificados.
Para asignar el certificado a su aplicación correspondiente, debe reiniciar manualmente el servidor en el que se ejecuta la aplicación para que el cambio surta efecto.
7. ¿PAM360 admite el descubrimiento de certificados basado en subred?
No. PAM360 actualmente no admite el descubrimiento de certificados SSL basado en subred.
8. ¿PAM360 admite la programación automática para la detección de certificados de MS Certificate Store?
No. Actualmente, PAM360 no admite la programación automática para la detección de certificados de MS Certificate Store.
9. ¿Los correos electrónicos de alerta relacionados con certificados se generan para todas las versiones de un certificado (las que se muestran también en el "Historial de certificados") o sólo para los certificados que aparecen en el repositorio de certificados de PAM360?
Las notificaciones por correo electrónico se generan SÓLO para los certificados que figuran en el repositorio de certificados de PAM360 y NO para las diferentes versiones de un certificado que se muestran en la sección "Historial de certificados".
10. ¿Los certificados emitidos por la autoridad de certificación (AC) interna de la empresa se tienen en cuenta para la concesión de licencias?
Sí. Todos los tipos de certificados SSL, claves SSH y cualquier otra clave digital gestionada con PAM360 se tienen en cuenta para la concesión de licencias. Hay un widget del dashboard llamado "Detalles de licencia" que proporciona información sobre el tipo y el número de identidades digitales que se gestionan mediante PAM360 que se tendrán en cuenta para la concesión de licencias.
11. ¿Cómo puedo importar un certificado raíz en PAM360?
Para importar un certificado raíz, abra el símbolo del sistema, vaya hasta el directorio <pam360_server_home>\bin directory y ejecute el siguiente comando:
Para Windows:
importCert.bat <Absolute Path of certificate>
Para Linux:
importCert.sh <Absolute Path of certificate>