Discovery collectors: use a password from your company's vault

Erkennungswerkzeuge wie ein Netzscanner brauchen oft ein Passwort, etwa für die Anmeldung an Servern. Für jedes Werkzeug gibt es in knooing einen Eintrag, den Discovery-Sammler. Beim Sammler legen Sie fest, wo das Passwort des Werkzeugs liegt: verschlüsselt in knooing oder im Passwort-Tresor Ihres Unternehmens. Diese Anleitung zeigt den zweiten Weg. In knooing liegt dann keine Kopie des Passworts. Das Werkzeug selbst stellt wie bisher die Person um, die es betreut.

Wann brauchen Sie das? Wenn beim Sammler vermerkt sein soll, wo das Passwort des Werkzeugs liegt, etwa weil Ihre interne Revision das wissen will. Zum Melden von Funden braucht ein Sammler kein Passwort. knooing liest das Passwort nur, wenn jemand auf Verbindung prüfen klickt. Es behält es dabei nur kurz im Arbeitsspeicher, speichert es nirgends und gibt es nie heraus, auch nicht an das Werkzeug. Jeder Lesezugriff steht im Nutzungsverlauf, den niemand ändern kann.

Diese Anleitung ist Teil 2 von 2. In Teil 1 hat Julia Beispiel den Tresor der Beispiel GmbH unter dem Namen „firmentresor“ angebunden. Jetzt verweist sie den Sammler Netzscanner Zentrale auf das Passwort im Tresor, prüft die Verbindung und liest den Nutzungsverlauf. Am Ende zeigt der Sammler bei Zugangsdatum „externer Tresor“, die Prüfung meldet „Verbindung in Ordnung“, und der Zugriff steht im Nutzungsverlauf.

Die wichtigsten Begriffe

• Tresor-Verweis: die Adresse eines Geheimnisses in der Form vault://Name/Pfad, im Beispiel vault://firmentresor/discovery-netzscanner. Name ist der Name im Verweis, Pfad der Name des Geheimnisses. Im Nutzungsverlauf heißt der Verweis Tresor-Referenz.
• Zugangsdatum: So nennt die App das Passwort eines Sammlers. Es liegt entweder im Tresor (externer Tresor) oder verschlüsselt in knooing (hier verschlüsselt, im Nutzungsverlauf „intern verschlüsselt“). Gemeint ist kein Kalenderdatum.
• Nutzungsverlauf: die Liste der Lesezugriffe und der von Hand nachgetragenen Nutzungen eines Sammlers. Die App nennt sie auch Protokoll. Einträge lassen sich weder ändern noch löschen.

Die Zahlen in den Bildern zeigen der Reihe nach, wo Sie klicken, auswählen oder etwas eintragen. (i) zeigt, wo Sie etwas ablesen.

Schritt 1: Den Sammler finden

Klicken Sie ganz unten in der linken Seitenleiste auf Einstellungen, in der Spalte, die sich dann öffnet, auf Integrationen und daneben auf Föderierung & Speichermodus. Klicken Sie oben auf den Reiter Zugangsdaten-Tresor. Oben steht Ihre Tresor-Anbindung aus Teil 1. Scrollen Sie nach unten bis zum Abschnitt Discovery-Sammler und ihre Zugangsdaten.

i

Danach sehen Sie Ihren Sammler in der Tabelle. Bei Zugangsdatum steht „nicht gesetzt“ (i). Steht dort „hier verschlüsselt“, hat der Sammler schon ein Passwort in knooing. Lesen Sie dann zuerst den Warnhinweis am Anfang von Schritt 2. Sammler, die so heißen wie ein Konnektor, hat knooing selbst für diesen Konnektor angelegt. Sie brauchen sie hier nicht.

Warum hier? Die Sammler stehen auf derselben Seite wie die Tresor-Anbindungen.

Beispiel: Julia Beispiel sieht den Sammler Netzscanner Zentrale mit „nicht gesetzt“.

Schritt 2: Den Sammler auf den Tresor verweisen

Achtung: Steht beim Sammler „hier verschlüsselt“, löscht knooing dieses Passwort beim Speichern endgültig. Ansehen können Sie es vorher nicht. Legen Sie deshalb zuerst dasselbe Passwort im Tresor ab. Ein Sammler hat entweder ein Passwort in knooing oder einen Verweis, nie beides.

Klicken Sie in der Zeile des Sammlers auf Zugangsdatum setzen (1), im Beispiel bei Netzscanner Zentrale. Es ist der erste Eintrag in der Spalte Aktionen.

1

Die übrigen Einträge der Zeile brauchen Sie hier nicht. Verwechseln Sie Zugangsdatum setzen nicht mit Anmelde-Token: Das ist das Passwort, mit dem sich das Werkzeug bei knooing meldet. Mit Deaktivieren schalten Sie den Sammler ab.

Es öffnet sich der Dialog Zugangsdatum setzen, oben ist hier verschlüsselt speichern ausgewählt. Wählen Sie in dieser Auswahl externer Tresor-Verweis (2). Erst dann erscheint das Feld Verweis auf den externen Tresor (3). Tragen Sie dort den ganzen Verweis ein, im Beispiel vault://firmentresor/discovery-netzscanner. So bauen Sie ihn:

• Am Anfang steht vault://, dann der Name im Verweis aus Teil 1, ein Schrägstrich und der Pfad des Geheimnisses.
• Beim Azure Key Vault ist der Pfad der Name des Geheimnisses. knooing liest dort immer den Wert des Geheimnisses.
• Beim HashiCorp Vault lassen Sie KV-Mount und data/ weg: Aus secret/data/discovery/netzscanner wird discovery/netzscanner. Liegt das Passwort nicht im Feld value, hängen Sie den Feldnamen mit # an. Für eine Anbindung mit dem Namen hc-tresor lautet der Verweis dann etwa vault://hc-tresor/discovery/netzscanner#passwort.
• Mehrere Sammler dürfen denselben Verweis nutzen.

Der Hinweis unter dem Feld spricht von Pfad oder Kennung und sagt „kein Zugangsdatum selbst“. Gemeint ist: Sie tippen hier nicht das Passwort ein, sondern den ganzen Verweis mit vault://. Den Satz oben im Dialog können Sie übergehen. Klicken Sie auf Speichern (4).

234

Danach meldet knooing „Zugangsdatum gesetzt.“ In der Zeile des Sammlers steht bei Zugangsdatum jetzt externer Tresor (Bild in Schritt 3). Den Verweis selbst zeigt die Tabelle nicht. Sie sehen ihn nach Schritt 3 im Nutzungsverlauf unter Tresor-Referenz. Beim Speichern prüft knooing nur die Form des Verweises, den Namen im Verweis und das Präfix. Ist dabei etwas falsch, bleibt der Dialog offen, und knooing zeigt eine der Meldungen aus „Wenn etwas nicht klappt“. Ob es das Geheimnis wirklich gibt, zeigt erst Schritt 3.

Warum ein Verweis? Das Passwort bleibt im Tresor. Ändert Ihr Tresor-Team es dort, liest knooing beim nächsten Zugriff schon das neue.

Beispiel: Das Passwort des Netzscanners liegt im Tresor unter discovery-netzscanner.

Schritt 3: Die Verbindung prüfen

Verbindung prüfen liest das Passwort einmal aus dem Tresor. Mit dem Netzscanner selbst spricht knooing dabei nicht. In der Zeile des Sammlers steht bei Zugangsdatum jetzt externer Tresor (i). Klicken Sie in dieser Zeile auf Verbindung prüfen (1). Solange kein Zugangsdatum gesetzt ist, ist dieser Eintrag grau. Den Eintrag Verlauf (2) brauchen Sie in Schritt 4.

i12

Danach erscheint am unteren Fensterrand die grüne Meldung „Verbindung in Ordnung. Das Geheimnis wurde abgerufen und sofort verworfen, angezeigt wird es nie.“ Haben Sie sie verpasst, sehen Sie im Nutzungsverlauf nach (Schritt 4): Dort steht bei Ergebnis „ok“. Anders als beim Prüfen der Anmeldung in Teil 1 hat knooing das Geheimnis jetzt wirklich gelesen. Die Prüfung zeigt nur, dass knooing das Passwort aus dem Tresor lesen kann. Ob das Passwort an Ihren Servern gilt, prüft sie nicht.

Klappt es nicht, steht dort „Verbindung fehlgeschlagen. Fehlertyp: …“. Häufig ist not_found, wenn es das Geheimnis unter diesem Namen nicht gibt, oder forbidden, wenn knooing es nicht lesen darf.

Warum prüfen? So merken Sie einen falschen Namen im Verweis oder ein fehlendes Leserecht sofort.

Beispiel: knooing liest das Passwort des Netzscanners aus dem Tresor und verwirft es gleich wieder.

Schritt 4: Den Nutzungsverlauf lesen

Klicken Sie in der Zeile des Sammlers auf Verlauf (2 im Bild von Schritt 3). Es öffnet sich der Dialog Nutzungsverlauf: Netzscanner Zentrale mit den letzten 200 Zugriffen, der neueste oben. Je Klick auf Verbindung prüfen entsteht ein Eintrag. Links stehen Zeitpunkt, Art und Ausgelöst von (i).

i

Der Dialog ist schmaler als die Tabelle. Scrollen Sie in der Tabelle nach rechts, mit zwei Fingern auf dem Touchpad oder mit Umschalttaste und Mausrad. Dann sehen Sie in der Mitte Ziel und Zweck und rechts Ergebnis und Tresor-Referenz (i).

i

Die Spalten bedeuten:

• Zeitpunkt: wann knooing das Geheimnis gelesen hat.
• Art „Verbindungstest“: eine Prüfung wie in Schritt 3. In der Spalte Zweck heißt dieselbe Prüfung „Verbindung prüfen“.
• Art „automatisch“: Ein Konnektor hat das Passwort bei einem Abruf gelesen. Das gibt es nur bei Sammlern, die knooing selbst für einen Konnektor angelegt hat.
• Art „nachgetragen“: Jemand hat über Nutzung nachtragen vermerkt, dass das Passwort außerhalb von knooing benutzt wurde, etwa für eine Anmeldung von Hand. Dieser Schritt liest das Passwort nicht.
• Ausgelöst von: „Person (…)“ mit einer internen Kennung, oder „System (…)“ bei einem Abruf nach Zeitplan. Den Namen der Person zeigt knooing an dieser Stelle nicht an.
• Ziel: wofür knooing gelesen hat. Bei einer Prüfung am Sammler steht dort „collector:“ mit einer internen Kennung, bei einem Konnektor „integration:“. Die Kennungen können Sie übergehen.
• Zweck: was knooing tat, im Beispiel „Verbindung prüfen“. Bei einem Konnektor steht dort „Abruf“ oder „Verbindungstest“ mit der Art des Konnektors.
• Ergebnis: „ok“ oder „Fehler“ mit dem Fehlertyp in Klammern. Was der Fehlertyp bedeutet, steht unter „Wenn etwas nicht klappt“.
• Tresor-Referenz: der Verweis, über den knooing gelesen hat, oder „intern verschlüsselt“ bei einem Passwort in knooing.

Ältere Einträge als die letzten 200 zeigt knooing in der App nicht an. Mit Schließen kehren Sie zur Seite zurück.

Warum ein Verlauf? Bei einer internen Revision oder einem Sicherheitsvorfall sehen Sie, wann und wofür knooing ein Passwort gelesen hat. Das Passwort selbst wurde dabei nie angezeigt.

Beispiel: Im Verlauf des Netzscanners stehen Julias vier Verbindungstests mit dem Ergebnis ok.

Fertig: Der Sammler Netzscanner Zentrale verweist jetzt auf das Passwort im Tresor. Von selbst passiert damit nichts weiter. Wechselt Ihr Tresor-Team das Passwort, ändern Sie in knooing nichts. Mit Verbindung prüfen sehen Sie danach, ob knooing das Geheimnis weiter lesen kann. Soll auch ein Konnektor sein Passwort aus dem Tresor lesen, lesen Sie den Kasten „Tresor auch für Konnektoren“ in Teil 1.

Später ändern

• Zurück zu einem Passwort in knooing: Klicken Sie beim Sammler auf Zugangsdatum setzen, lassen Sie hier verschlüsselt speichern ausgewählt, tragen Sie das Passwort ein und klicken Sie auf Speichern. Der Verweis ist danach entfernt.
• Tresor-Anbindung ändern oder erneuern: siehe „Später ändern oder löschen“ in Teil 1.

Wenn etwas nicht klappt

• Der Punkt Föderierung & Speichermodus fehlt. Ihrer Rolle fehlt in der Zeile CMDB-Verwaltung die Stufe Bearbeiten. Bitten Sie Ihre Administration darum.
• „Noch kein Discovery-Sammler angelegt.“ Legen Sie zuerst einen Sammler an, wie in Erkennungswerkzeug anbinden beschrieben.
• Sie kennen das bisherige Passwort nicht. knooing zeigt es nicht an. Fragen Sie die Person, die das Werkzeug betreut.
• „Der Tresor-Verweis ist nicht lesbar. …“ Der Verweis hat nicht die Form vault://Name/Pfad aus Schritt 2. Tragen Sie ihn mit vault:// vorne ein.
• „Einen aktiven Tresor mit dem Namen … gibt es nicht. Bitte zuerst die Tresor-Anbindung einrichten.“ Der Name im Verweis passt zu keiner Tresor-Anbindung, oder die Anbindung wurde gelöscht. Vergleichen Sie den Namen im Verweis mit der Spalte Name, auch in Groß- und Kleinschreibung.
• „Dieser Pfad ist für den Tresor nicht freigegeben.“ oder Fehlertyp path_not_allowed (Pfad nicht freigegeben). Prüfen Sie zuerst den Pfad im Verweis auf Tippfehler. Stimmt er, ergänzen Sie das Präfix über Freigaben ändern.
• Fehlertyp auth (Anmeldung abgelehnt): „Die Anmeldung am Tresor wurde abgelehnt. Bitte die Zugangsdaten zum Tresor prüfen.“ Die Anmeldedaten am Tresor stimmen nicht oder sind abgelaufen. Beim Azure Key Vault wird oft die ID des geheimen Clientschlüssels statt seines Werts kopiert. Ändern lassen sich die Anmeldedaten nicht. Legen Sie die Anbindung mit demselben Namen und neuen Anmeldedaten neu an, wie in Teil 1 unter „Später ändern oder löschen“ beschrieben.
• Fehlertyp not_found (nicht gefunden): „Das Geheimnis wurde im Tresor nicht gefunden.“ Prüfen Sie den Namen des Geheimnisses mit Ihrem Tresor-Team. Beim HashiCorp Vault schreiben Sie den Pfad ohne KV-Mount und ohne data/. Stimmt der Pfad, kann der KV-Mount der Anbindung falsch sein. knooing zeigt ihn nicht an. Legen Sie die Anbindung im Zweifel neu an.
• Fehlertyp forbidden (Zugriff verweigert): „Der Tresor verweigert den Zugriff auf dieses Geheimnis.“ knooing darf sich anmelden, das Geheimnis aber nicht lesen. Ihr Tresor-Team muss das Leserecht ergänzen. Beim HashiCorp Vault muss die Richtlinie den Pfad mit data/ erlauben, etwa secret/data/discovery/*. Hat Ihr Tresor-Team die Rolle in Azure gerade erst vergeben, warten Sie einige Minuten und prüfen Sie erneut.
• Fehlertyp network oder timeout (nicht erreichbar): „Der Tresor ist nicht erreichbar.“ oder „Der Tresor hat nicht rechtzeitig geantwortet.“ Hat Ihr Tresor eine Firewall, muss sie Anfragen von den IP-Adressen von knooing durchlassen (siehe Teil 1). Beim Azure Key Vault steht das im Azure-Portal unter Netzwerk. Klären Sie das mit Ihrem Netzwerkteam und versuchen Sie es erneut.
• Fehlertyp field_missing (Feld fehlt): „Das angegebene Feld fehlt im Geheimnis oder ist leer.“ Das Feld nach # gibt es im Geheimnis nicht. Ohne # liest knooing das Feld value. Gibt es das nicht, nennen Sie das richtige Feld mit #.
• Ein Passwort in knooing wurde versehentlich ersetzt. Das alte Passwort lässt sich nicht wiederherstellen. Legen Sie es im Tresor ab und setzen Sie den Verweis, oder tragen Sie es wieder mit hier verschlüsselt speichern ein.
• Verbindung prüfen ist grau. Für den Sammler ist noch kein Zugangsdatum gesetzt. Setzen Sie es wie in Schritt 2.
• „Der Nutzungsverlauf ließ sich nicht laden.“ Laden Sie die Seite neu und öffnen Sie den Verlauf erneut. Hilft das nicht, wenden Sie sich an Ihren Ansprechpartner bei knooing.
• Sie wollen wissen, ob Zugriffe scheitern. Für Discovery-Sammler meldet knooing gescheiterte Zugriffe nicht von sich aus. Sehen Sie im Nutzungsverlauf nach: Bei Ergebnis steht dann „Fehler“ mit dem Fehlertyp.