Comment intégrer PowerProtect Data Manager à CyberArk

1. Informations

CyberArk est une solution PAM (Privileged Access Management) qui fournit une approche centralisée et sécurisée de la gestion des comptes privilégiés, qui sont souvent ciblés par des acteurs malveillants.
En implémentant une solution CyberArk, les entreprises peuvent appliquer une authentification forte et des contrôles d’accès pour les utilisateurs privilégiés. Cela réduit le risque d’accès non autorisé et les failles de sécurité potentielles.
 

2. Comment intégrer PowerProtect Data Manager à CyberArk

Étapes 

1. Connectez-vous SSH au serveur PowerProtect Data Manager avec admin et passez à l’utilisateur root ;
2. Ajoutez l’utilisateur « arkrecon » au groupe « support » (après cette étape, l’utilisateur « arkrecon » peut être utilisé pour la connexion) :
   1. prise en charge useradd arkrecon -g
   2. passwd arkrecon
3. echo « arkrecon ALL=(ALL)NOPASSWD :/usr/bin/passwd,/usr/bin/passwd.unix,/usr/bin/chuser,/usr/bin/pwdadm,/sbin/pam_tally2 » > /etc/sudoers.d/cyberark

Après ces étapes, l’utilisateur « arkrecon » peut être utilisé pour la connexion SSH au serveur PowerProtect Data Manager. Il peut également être utilisé pour la gestion des mots de passe et le déverrouillage de comptes comme ci-dessous :

Après le redémarrage ou la mise à niveau de PowerProtect Data Manager vers une nouvelle version, le fichier /etc/sudoers.d/cyberark reste.
L’utilisateur « arkrecon » peut être utilisé pour la connexion SSH et la gestion des mots de passe et le déverrouillage de comptes.

3. Limitations et rappels

1. La solution s’applique à la version autonome de PowerProtect Data Manager. Elle ne s’applique pas à l’appliance ProtectProtect Data Manager pour DM5500.
2. La sauvegarde ou la restauration des paramètres CyberArc n’est pas couverte par le processus ServerDR. CyberArc ne peut pas continuer à travailler à partir de Server DR.
3. Les clients doivent conserver le mot de passe de l’utilisateur root. Les fichiers sous /etc/sudoers.d peuvent uniquement être lus et modifiés par l’utilisateur root.