Tailscale PAM дозволяє давати тимчасовий доступ до серверів і баз даних
У бета-версії Tailscale PAM можна обмежити доступ конкретним сервісом і часом, не передаючи користувачу пароль бази даних. Для підключення потрібен конектор.
Підряднику потрібен доступ до однієї бази даних на кілька годин. Як дати його, не пересилаючи пароль від бази? Під такі задачі Tailscale 27 серпня представив бета-версію PAM. Сам Tailscale з’єднує пристрої та корпоративні ресурси в приватну мережу, а PAM дозволяє керувати доступом до конкретних сервісів. Анонс Tailscale.
Адміністратор визначає користувача, сервіс і дозволений час. Запит на доступ можна погодити через Slack. Підтримуються підключення до серверів через SSH і RDP, баз даних, Kubernetes та вебзастосунків. Записувати сесії теж можна, але підтримка залежить від протоколу.
Що доведеться налаштувати
У мережі компанії потрібно розгорнути конектор, програму-посередник із доступом до бази. Він сам встановлює вихідне з’єднання із сервісом PAM. Виставляти базу в публічний інтернет не потрібно.
Фішка в тому, що користувач заходить під власною ідентичністю Tailscale й працює зі звичним клієнтом бази даних. Її облікові дані використовує конектор, тому роздавати спільний пароль усім, кому потрібен доступ, не доведеться. Автентифікація самої бази при цьому залишається. Як це працює.
Спробувати прямо зараз зможуть не всі: Tailscale збирає список очікування бета-версії. Відкритого тарифу в анонсі немає, ціну пропонують уточнювати у відділі продажів.