SSH est le protocole pour le shell distant sécurisé et le transfert de fichiers. Il fonctionne sur une large gamme d'équipements, des serveurs et du matériel réseau aux passerelles et contrôleurs embarqués courants en OT (une passerelle MOXA dans cet exemple), et il est souvent sécurisé par un unique identifiant partagé difficile à faire tourner. Avec l'accès à distance, Access Gate médie chaque session SSH via un proxy par navigateur : les identifiants de l'appareil vivent sur l'Access Gate et sont injectés à la connexion, de sorte que l'opérateur ne détient jamais la clé ou le mot de passe.
Ce que vous obtenez
- Une session proxy, pas un chemin réseau. Le point d'accès n'obtient jamais de route directe vers la cible. La machine de l'opérateur ne parle qu'au proxy ; le proxy parle à l'appareil.
- Identifiants côté serveur. La clé SSH ou le mot de passe est stocké sur l'Access Gate et injecté à la connexion, jamais exposé à l'utilisateur final.
- Révocation par autorisation. Révoquer l'accès signifie révoquer une autorisation, pas faire tourner un identifiant d'appareil.
Configuration
1. Créer l'actif et son service SSH
Ajoutez l'appareil en tant qu'actif. Ouvrez ensuite l'actif et cliquez sur Edit Network. Dans la liste des actifs, assurez-vous que le service SSH:22 est déclaré, et saisissez les informations du service d'accès à distanc.
2. Créer une enclave
Créez une enclave contenant l'actif et l'utilisateur ou le groupe auquel vous voulez accorder l'accès.
3. Activer l'accès à distance sur l'autorisation
Pour accorder l'accès à distance, une session proxy maintenue par Access Gate, sélectionnez l'option Remote Access. Avec cette option, les identifiants stockés sur l'Access Gate sont utilisés à la connexion, sans être exposés à l'utilisateur final. Accordez ensuite l'accès.
Côté utilisateur
L'utilisateur s'authentifie via un écran d'accès et voit les sessions d'accès à distance qu'il peut activer.
Cliquer sur le lien ouvre une session de navigateur avec accès à distance vers la machine cible.
Les identifiants ne vivent pas sur la machine de l'opérateur. L'autorisation (creds=...) est injectée côté serveur, de sorte que la personne au clavier ne détient jamais la clé SSH ni le mot de passe du boîtier MOXA. Révoquer l'accès, c'est révoquer une autorisation, pas faire tourner un identifiant d'appareil.
Récapitulatif
Vous avez chargé les identifiants de l'appareil dans Access Gate et accordé l'accès à distance, de sorte qu'un utilisateur s'authentifie une fois et atteint la cible via une session à distance dans un onglet de navigateur.
Ce que vous exécutez, c'est du SSH, déjà chiffré de bout en bout, enveloppé dans une console par navigateur qui atteint la cible via le proxy Access Gate sur TLS. Pour le modèle plus large de session d'administration (RDP, VNC, enregistrement de session), voir Gestion des accès à privilèges.