Passwort-Tresor Ihres Unternehmens anbinden: Azure Key Vault oder HashiCorp Vault

Passwörter, die knooing für andere Systeme braucht, müssen nicht in knooing liegen. Liegen sie im Passwort-Tresor Ihres Unternehmens, hinterlegen Sie in knooing nur einen Verweis darauf. knooing liest das Passwort dann erst, wenn es gebraucht wird, behält es nur kurz im Arbeitsspeicher und gibt es nie heraus. Wechselt Ihr Tresor-Team ein Passwort, ändern Sie in knooing nichts. Den Tresor nutzen Discovery-Sammler und Konnektoren.

Diese Anleitung ist Teil 1 von 2. Darin bindet Julia Beispiel den Tresor der Beispiel GmbH an, einen Azure Key Vault, und prüft die Anmeldung. Am Ende steht der Tresor in der Tabelle Tresor-Anbindungen, und knooing kann sich dort anmelden. Wie Sie einen Discovery-Sammler auf ein Passwort im Tresor verweisen, zeigt Teil 2.

Die wichtigsten Begriffe

• Tresor: ein Programm Ihres Unternehmens, das Passwörter und Schlüssel sicher aufbewahrt, etwa HashiCorp Vault oder Azure Key Vault. Die App nennt den Reiter dafür Zugangsdaten-Tresor.
• Geheimnis: ein Eintrag im Tresor, hier das Passwort des Erkennungswerkzeugs.
• Tresor-Anbindung: der Eintrag in knooing, der sagt, welchen Tresor knooing fragt und wie es sich dort anmeldet.
• Name im Verweis: der Name, unter dem Sie den Tresor in knooing ansprechen, im Beispiel firmentresor. Die App schreibt dafür manchmal auch „Tresorname“.
• Anmeldedaten am Tresor: womit sich knooing am Tresor anmeldet, etwa Client-ID und Client-Secret. Die App sagt in Meldungen auch „Zugangsdaten zum Tresor“.
• Tresor-Verweis: die Adresse eines Geheimnisses in der Form vault://Name/Pfad, im Beispiel vault://firmentresor/discovery-netzscanner. Name ist der Name im Verweis, Pfad der Name des Geheimnisses. Im Nutzungsverlauf heißt der Verweis Tresor-Referenz.
• Pfad-Präfix: der Namensanfang der Geheimnisse, die knooing lesen darf, im Beispiel discovery. Die Tabelle zeigt sie als Freigegebene Pfade. Alle anderen Geheimnisse bleiben für knooing gesperrt.
• Konnektor: eine Verbindung zu einem anderen System, über die knooing regelmäßig Daten holt. Diesen Vorgang nennt die App Abruf. Wo die App „Integration“ schreibt, ist hier ein Konnektor gemeint.

Die Zahlen in den Bildern zeigen der Reihe nach, wo Sie klicken, auswählen oder etwas eintragen. (i) zeigt, wo Sie etwas ablesen.

Schritt 1: Den Reiter Zugangsdaten-Tresor öffnen

Klicken Sie ganz unten in der linken Seitenleiste auf Einstellungen. In der Spalte, die sich dann öffnet, klicken Sie auf Integrationen. Klicken Sie in der Spalte daneben auf den letzten Eintrag Föderierung & Speichermodus (1). Der Name kann abgeschnitten sein. Klicken Sie oben auf den Reiter Zugangsdaten-Tresor (2). Den Reiter Speichermodus brauchen Sie hier nicht.

12i

Danach sehen Sie den Abschnitt Tresor-Anbindungen mit „Noch keine Tresor-Anbindung eingerichtet.“ (i) und darunter das Formular Neue Tresor-Anbindung. Den Untertitel der Seite können Sie übergehen. Das Beispiel im grauen Erklärtext ist ein Verweis für einen HashiCorp Vault. Ihren Verweis bauen Sie in Teil 2.

Steht oben schon ein Tresor in der Tabelle, etwa weil jemand ihn für Konnektoren angelegt hat, vergleichen Sie die Spalte Adresse mit der Adresse von Ihrem Tresor-Team. Stimmt sie, legen Sie keine zweite Anbindung an. Notieren Sie den Namen aus der Spalte Name, Sie brauchen ihn in Teil 2. Prüfen Sie in Freigegebene Pfade, ob Ihr Namensanfang dabei ist. Fehlt er, ergänzen Sie ihn wie unter „Später ändern oder löschen“ beschrieben. Machen Sie dann mit Schritt 3 weiter. Stimmt die Adresse nicht, legen Sie in Schritt 2 eine eigene Anbindung mit anderem Namen an.

Warum hier? Den Tresor nutzen Discovery-Sammler und Konnektoren, darum liegt er bei den Integrationen.

Beispiel: Julia Beispiel sieht noch keine Tresor-Anbindung.

Schritt 2: Eine Tresor-Anbindung anlegen

Die Felder unter Neue Tresor-Anbindung haben keine Beschriftung. Ihr Name steht grau im leeren Feld und verschwindet, sobald Sie tippen. Wählen Sie zuerst im zweiten Feld den Tresortyp, im Beispiel Azure Key Vault. Die Felder darunter passen sich an. Füllen Sie danach die übrigen Felder von oben nach unten aus (1):

• Name im Verweis: ein kurzer Name für den Tresor, im Beispiel firmentresor. Das erste Zeichen ist ein Buchstabe oder eine Ziffer. Danach sind Buchstaben ohne Umlaute, Ziffern, Punkt, Bindestrich und Unterstrich erlaubt, keine Leerzeichen. Groß- und Kleinschreibung zählt, im Verweis schreiben Sie den Namen genau so. Ändern können Sie ihn in der App später nicht.
• Tresortyp: anfangs HashiCorp Vault (KV v2), im Beispiel Azure Key Vault.
• Adresse: die HTTPS-Adresse des Tresors. Beim Azure Key Vault steht sie im Azure-Portal auf der Übersichtsseite des Key Vault unter Tresor-URI (englisch Vault URI), im Beispiel https://beispiel-tresor.vault.azure.net. Beim HashiCorp Vault nennt sie Ihr Tresor-Team.
• Beim Azure Key Vault folgen drei Felder:
  • Verzeichnis-ID (Tenant): die Verzeichnis-ID.
  • Client-ID: die Anwendungs-ID.
  • Client-Secret: der Wert des geheimen Clientschlüssels.
• Beim HashiCorp Vault folgt stattdessen eine Auswahl, die anfangs Token zeigt. Wählen Sie dort Token oder AppRole. Dann folgen KV-Mount (Standard: secret), Namespace (optional) und das Token oder Role-ID und Secret-ID. Den KV-Mount lassen Sie leer, wenn Ihr Tresor-Team secret nennt. Den Namespace tragen Sie nur ein, wenn Ihr Tresor-Team einen nennt.
• Erlaubte Pfad-Präfixe: je Zeile ein Namensanfang, im Beispiel discovery. Ohne Präfix können Sie die Anbindung anlegen, knooing liest dann aber kein Geheimnis. In der Tabelle steht dann „keine (nichts wird aufgelöst)“.

Setzen Sie keinen Haken bei Für Integrationen freigeben. Discovery-Sammler dürfen den Tresor auch ohne Haken nutzen. Konnektoren können ihn nur mit Haken nutzen (Kasten am Ende).

Übertragen Sie die Anmeldedaten genau so, wie Ihr Tresor-Team sie Ihnen übergibt, ohne Leerzeichen am Anfang oder Ende. Ändern lassen sie sich später nicht. Ob sie stimmen, zeigt Schritt 3. Klicken Sie auf Anbindung anlegen (2). Der Knopf bleibt grau, bis Name, Adresse und alle Anmeldefelder ausgefüllt sind.

12

Danach erscheint am unteren Fensterrand für einige Sekunden die Meldung „Tresor-Anbindung angelegt.“ Haben Sie sie verpasst: Steht der Tresor in der Tabelle, hat es geklappt. Der Tresor steht dort mit Name, Tresortyp, Adresse und Freigegebene Pfade, in der Spalte Aktiv steht „aktiv“ (Bild in Schritt 3). Das Formular ist wieder leer. Die Anmeldedaten zeigt knooing nie wieder an. Läuft das Client-Secret oder das Token ab, scheitert jeder Zugriff mit dem Fehlertyp auth. Wie Sie die Anbindung dann erneuern, steht unter „Später ändern oder löschen“.

Warum Pfad-Präfixe? Sie bestimmen, welche Geheimnisse knooing lesen darf. Beim Azure Key Vault reicht der Anfang des Namens: discovery gibt jedes Geheimnis frei, dessen Name mit discovery beginnt, also auch discovery-netzscanner oder discoveryadmin. Wählen Sie den Namensanfang deshalb so eng wie möglich, etwa discovery- mit Bindestrich. Beim HashiCorp Vault ist das Präfix ein Ordner: discovery gibt discovery/netzscanner frei, aber nicht discovery-netzscanner.

Beispiel: Der Tresor der Beispiel GmbH heißt in knooing „firmentresor“. knooing darf dort nur Geheimnisse lesen, deren Name mit discovery beginnt.

Schritt 3: Die Anmeldung prüfen

Oben steht Ihr Tresor jetzt in der Tabelle (i). Klicken Sie in seiner Zeile auf Anmeldung prüfen (1). Die Prüfung ändert nichts, Sie können sie jederzeit wiederholen.

i1

Danach erscheint am unteren Fensterrand für einige Sekunden die grüne Meldung „Die Anmeldung am Tresor funktioniert.“ Haben Sie sie verpasst, klicken Sie noch einmal. knooing hat sich dabei nur angemeldet. Es hat noch kein Geheimnis gelesen und nichts in den Nutzungsverlauf geschrieben. Die beiden anderen Einträge der Zeile, Freigaben ändern und Löschen, erklärt „Später ändern oder löschen“.

Klappt die Anmeldung nicht, steht dort „Anmeldung fehlgeschlagen. Fehlertyp: …“, etwa mit auth bei falschen Anmeldedaten. Die Fehlertypen erklärt „Wenn etwas nicht klappt“.

Warum zuerst die Anmeldung? So wissen Sie, dass Adresse und Anmeldedaten stimmen, bevor ein Sammler oder Konnektor den Tresor braucht.

Beispiel: Die Anmeldung von knooing am Azure Key Vault funktioniert.

Später ändern oder löschen

• Präfixe oder Freigabe ändern: Klicken Sie in der Zeile des Tresors auf Freigaben ändern. Im Dialog Freigaben passen Sie Erlaubte Pfad-Präfixe und Für Integrationen freigeben an und klicken auf Speichern. knooing meldet „Freigaben gespeichert.“
• Adresse oder Anmeldedaten ändern: Das geht in der App nicht. Notieren Sie zuerst den Namen und die Spalte Freigegebene Pfade. Steht dort „(für Integrationen freigegeben)“, ist der Haken gesetzt. Notieren Sie auch Tresortyp, KV-Mount und Namespace, soweit Sie sie kennen. Klicken Sie in der Zeile des Tresors auf Löschen und bestätigen Sie die Rückfrage „Diese Tresor-Anbindung löschen? Verweise darauf lassen sich danach nicht mehr auflösen.“
• Legen Sie die Anbindung sofort wie in Schritt 2 neu an. Nehmen Sie denselben Namen und dieselben Präfixe. Setzen Sie den Haken, wenn er vorher gesetzt war. Die Verweise an den Sammlern und der Nutzungsverlauf bleiben erhalten. Mit der neuen Anbindung funktionieren die Verweise wieder, bis dahin schlägt jeder Zugriff fehl.

Wenn etwas nicht klappt

• Der Punkt Föderierung & Speichermodus fehlt. Ihrer Rolle fehlt in der Zeile CMDB-Verwaltung die Stufe Bearbeiten. Bitten Sie Ihre Administration darum.
• Ihr Tresor ist nur im internen Netz erreichbar. Dann kann knooing ihn nicht nutzen. Lassen Sie das Passwort verschlüsselt in knooing (hier verschlüsselt speichern).
• Anbindung anlegen bleibt grau. Name, Adresse oder ein Anmeldefeld ist leer.
• „Der Name ist Pflicht (Buchstaben, Ziffern, Punkt, Bindestrich, Unterstrich).“ Der Name im Verweis enthält ein nicht erlaubtes Zeichen, etwa einen Umlaut oder ein Leerzeichen.
• „Das Pfad-Präfix „…“ ist nicht zulässig.“ Das Präfix enthält ein Leerzeichen, einen Umlaut oder ... Nutzen Sie nur Buchstaben, Ziffern, Bindestrich, Punkt und Schrägstrich.
• „Einen Tresor mit diesem Namen gibt es schon.“ Der Name ist vergeben. Steht Ihr Tresor schon in der Tabelle, nutzen Sie diese Anbindung. Sonst wählen Sie im Feld Name im Verweis einen anderen Namen.
• „Die Adresse des Tresors muss eine HTTPS-Adresse ohne Zugangsdaten und Parameter sein.“ Tragen Sie die Adresse mit https:// ein, ohne Benutzername, Passwort oder Zusätze nach einem Fragezeichen.
• „Die Adresse eines Azure Key Vault muss auf *.vault.azure.net, *.vault.azure.cn, *.vault.usgovcloudapi.net, *.vault.microsoftazure.de enden.“ Kopieren Sie den Tresor-URI von der Übersichtsseite des Key Vault im Azure-Portal, etwa https://beispiel-tresor.vault.azure.net.
• Fehlertyp auth (Anmeldung abgelehnt): „Die Anmeldung am Tresor wurde abgelehnt. Bitte die Zugangsdaten zum Tresor prüfen.“ Die Anmeldedaten am Tresor stimmen nicht oder sind abgelaufen. Beim Azure Key Vault wird oft die ID des geheimen Clientschlüssels statt seines Werts kopiert. Ändern lassen sich die Anmeldedaten nicht. Legen Sie die Anbindung mit demselben Namen und neuen Anmeldedaten neu an, wie unter „Später ändern oder löschen“ beschrieben.
• Fehlertyp ssrf (Sperre für interne Adressen): „Die Adresse des Tresors wurde von der Sicherheitsprüfung abgelehnt (nur öffentliche HTTPS-Ziele sind erlaubt).“ knooing spricht nur Tresore an, die aus dem Internet erreichbar sind. Sonst prüfen Sie die Adresse auf Tippfehler.
• Fehlertyp network oder timeout (nicht erreichbar): „Der Tresor ist nicht erreichbar.“ oder „Der Tresor hat nicht rechtzeitig geantwortet.“ Hat Ihr Tresor eine Firewall, muss sie Anfragen von den IP-Adressen von knooing durchlassen (siehe Kasten „Das klären Sie vorher mit Ihrem Tresor-Team“). Beim Azure Key Vault steht das im Azure-Portal unter Netzwerk. Klären Sie das mit Ihrem Netzwerkteam und versuchen Sie es erneut.
• Fehlertyp unavailable (gestört): „Der Tresor ist derzeit überlastet oder gestört.“ Versuchen Sie es später erneut. Hält das länger an, wenden Sie sich an Ihr Tresor-Team.
• Fehlertyp policy (nicht für Konnektoren freigegeben): „Dieser Tresor ist für Integrationen nicht freigegeben. …“ Ein Konnektor will den Tresor nutzen. Setzen Sie den Haken Für Integrationen freigeben über Freigaben ändern.