Версия: Privileged Access Manager 2.10

Сервисные операции

Сервисные операции для ресурсов Windows

Сервисные операции для ресурсов Windows выполняются от имени доменной или локальной учётной записи:

предупреждение

Если компоненты сервера управления установлены на операционную систему Linux, то для выполнения сервисных операций на Windows ресурсе должна быть настроена служба WinRM по HTTPS

Проверка соединения с ресурсом
Синхронизация локальных учётных записей
Проверка пароля локальных учётных записей
Изменение пароля локальных учётных записей
Получение данных о ОС
Получение списка групп безопасности

Настройка доменной учётной записи в качестве сервисной

Выполните вход на ресурс.
Запустите оснастку Управление компьютером (Computer management)
Перейдите в раздел Служебные программы (System tools) → Локальные пользователи (Local Users and Groups) → Группы (Groups)
Откройте контекстное меню группы Администраторы (Administrators)
Выберите пункт Свойства (Properties)
Нажмите Добавить (Add)
Выберите доменную учётную запись, которая будет использоваться в роли сервисной для ресурса и нажмите Ок

Настройка локальной учётной записи в качестве сервисной

Если в качестве сервисной учётной записи будет использоваться локальный встроенный (built-in) администратор, то дополнительная настройка не требуется. Если в качестве сервисной учётной записи будет использоваться не встроенная локальная учётная запись администратора, то необходимо:

Выполните вход на ресурс.
Запустите оснастку Управление компьютером (Computer management)
Перейдите в раздел Служебные программы (System tools) → Локальные пользователи (Local Users and Groups) → Группы (Groups)
Откройте контекстное меню группы Администраторы (Administrators)
Выберите пункт Свойства (Properties)
Нажмите Добавить (Add)
Выберите локальную учётную запись, которая будет использоваться в роли сервисной для ресурса и нажмите Ок
Запустите Редактор реестра (RegEdit)
Раскройте ветку HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\
Откройте контекстное меню раздела System
Выберите пункт Создать (Create) → Параметр DWORD 32 (DWORD (32-bit) Value)
Введите название параметра — LocalAccountTokenFilterPolicy
Откройте контекстное меню параметра LocalAccountTokenFilterPolicy
Выберите пункт Изменить (Modify) и установите Значение: (Value data:) равное 1

Настройка реестра необходима из-за ограничений удалённого управления WinRM для всех локальных учётных записей, кроме встроенного (built-in) администратора.

Настройка Indeed PAM Core для выполнения сервисных операций от имени локальных учётных записей ресурса

Сервисные операции выполняются при помощи WinRM, для использования локальных учётных записей ресурса в качестве сервисных необходимо добавить ресурс в список доверенных TrustedHosts на сервере Indeed PAM Core.

Настройка TrustedHosts

Выполните вход на сервер Indeed PAM Core
Откройте Командную строку (CMD) от имени администратора
Выполните команду

C:\>winrm s winrm/config/client @{TrustedHosts="Resource1.domain.local, Resource2.domain.local"}

Указанные ресурсы будут добавлены в список доверенных.

предупреждение

При добавлении новых ресурсов в список доверенных необходимо указывать добавленные ранее ресурсы и новые, так как новое значение перезаписывает старое.

@{TrustedHosts="Resource1.domain.local, Resource2.domain.local, Resource3.domain.local"}