Tailscale представила у статусі beta сервіс PAM для керування привілейованим доступом – тобто входом до серверів, баз даних та інших систем, де користувач може змінювати важливі налаштування або дані. Продукт доповнює Tailscale VPN: VPN створює захищене з’єднання між пристроями, а PAM визначає, хто і до якого конкретно сервісу може підключитися, та залишає журнал таких сесій.
Звичайний мережевий доступ сам по собі не розв’язує проблему облікових даних. Наприклад, команда може дістатися до бази даних через захищену мережу, але все одно користуватися одним паролем сервісу. Tailscale заявляє, що її PAM може передавати пароль або токен доступу під час підключення, тому секрет не потрібно роздавати всім користувачам. Якщо пароль змінюють, його можна оновити в консолі адміністратора або зовнішньому сховищі секретів.
Конектор потрібен у кожній доступній мережі
Для роботи PAM потрібно розгорнути PAM Connector у тому сегменті мережі, де працює цільовий ресурс: наприклад, сервер, база даних або кластер Kubernetes. Саме цей компонент приймає підключення користувача через зашифрований канал і передає його до сервісу. Для кожної мережі, до якої має бути доступ, потрібен щонайменше один конектор. За потреби в одному сегменті можна встановити кілька конекторів, щоб не залежати від одного вузла.
Натомість клієнт Tailscale не обов’язково встановлювати на кожен сервер, до якого надають доступ. Це може спростити підключення до наявної інфраструктури, але не скасовує потреби правильно розмістити й налаштувати конектори.
Tailscale вказує підтримку SSH, баз даних, Kubernetes, віддаленого робочого столу та вебзастосунків. Сервіс перевіряє кожне нове підключення за правилами доступу, а не лише факт входу користувача до мережі.
Журнали показують не лише факт входу
PAM фіксує ідентичність користувача, дані його пристрою, IP-адресу, визначену за IP країну, час і тривалість сесії. Це дає змогу відрізнити дії конкретних людей, що неможливо, коли кілька працівників використовують один обліковий запис сервісу.
Для частини типів підключень доступний запис сесій. Для баз даних Tailscale зазначає збереження запитів і повідомлень про помилки, а для SSH – текстового вмісту сесії та її відеоповтору. Можливості запису залежать від сервісу й налаштувань. Записи зазвичай зберігаються у Tailscale, а в тарифі Premium їх можна спрямувати у власне сховище Amazon S3.