Eine Art "Kennwort-Tresor" in einer Domäne bzw. AD?

[Dukel 436]

Ich vermute folgende Vorgehen:

- Admin Team nutzt gemeinsam KeePass Dateien und speichert wichtige (Administrator, root,...) Passwörter

- Kollege verlässt das Unternehmen, kopiert sich die KeePass Datei aber vorher

- Ehemaliger Kollege hat Zugriff auf wichtige Passwörter

 

EDIT:

 

Welche Lösungen sind das z.B.? Hört sich genau nach dem an, was wir benötigen

 

Wir haben selbst noch keine Lösung im Einsatz sondern haben uns mehrere Produkte angeschaut.

Es gibt z.B.

http://www.cyberark.com/

https://www.manageengine.com/products/passwordmanagerpro/

http://www.passwordsafe.de/support/features/einleitung.html

...

 

bearbeitet 30. März 2016 von Dukel

[OliverHu 19]

Die Lösung die das kann steht oben in meinem Link...

[NilsK 2.785]

Moin,

 

das ist genau das, was ich mit einem organisatorischen Problem meine. Das kann man vielleicht technisch ein wenig eingrenzen, aber nicht lösen. Wenn der genannte Admin die Kennwörter mitnehmen will, kann er das tun, sobald er einmal Kenntnis von ihnen erhält. Egal, welche technischen Finessen die Datenbank als ganze schützen.

 

Gruß, Nils

[PadawanDeluXe 75]

Moment mal.... also meines Wissens kann Keepass sehr wohl serverbasiert genutzt werden zB über einen FTP Service, WebDAV ect..... Ebenfalls besitzt Keepass auch eine Passwort Historie die man nutzen kann, damit man den Wechsel auch nachvollziehen kann. Natürlich ist es nicht die Eierlegende Wollmilchsau die wir uns alle wünschen, stellt für mich jedoch mit ein bisschen Arbeit den kleinsten gemeinsamen Nenner dar, den die meisten Kunden haben. Ok. Das war jetzt aber nicht deine Anforderung. Ich fasse mal gerade zusammen:

 

Du hättest gerne:

• AD Integration
• Passwort Historie / Diebstahlschutz
• Benutzergebundene Freigabe von Passwörtern
• Ändern eines Passworts nur nach "lock" des Passworts

Ich sehe das gerade bei dir so, dass du mehrere Autorisierungslevel für bestimmte Passwörter hast und deiner Kollegen eben nicht das Superuser Kennwort für den Rechner des Chefs bekommen sollen. Definiere doch mal was du jetzt gerne hättest. Geht es in die Richtung oder hast du da zB noch andere Gedanken die du gerne umgesetzt hättest?

[Dr.Melzer 191]

Moment mal.... also meines Wissens kann Keepass sehr wohl serverbasiert genutzt werden zB über einen FTP Service, WebDAV ect..... Ebenfalls besitzt Keepass auch eine Passwort Historie die man nutzen kann, damit man den Wechsel auch nachvollziehen kann.

Aber das löst alles nicht das Problem welches Nils beschreibt.

 

Eine Datei auf einem FTP Server abzulegen hat nichts damit zu tum was im Allgemeinen unter "Serverbasiert" verstanden wird. Du kannst auch ein Notepad Dokument auf einem FTP Server ablegen, serverbasiert ist Notepad damit noch llange nicht... ;-)

 

Und auch die Passwort Historie bringt dir nichts, wenn der entlassene Admin eine Kopie der KeePass Datei mitgenommen hat.

[Doso 77]

Die Lösung dafür wäre wiederrum eine organisatorische: Alle Passwörter ändern.

[Dukel 436]

Und eben das geht mit Keepass sehr langsam, fehleranfällig und manuell, mit anderen Tool automatisch und sofort.

[lindi200000 12]

Hallo,

wir verwenden den Pleasant Password Server. Passwörter werden in einer DB gespeichert, die Verbindung dahin ist verschlüsselt und der Key dafür ist nur über den Server zu bekommen, wo niemand ran kommt.

User können Kennwörter per Webseite abrufen bzw. bietet Pleasant Password Server einen abgewandelten KeePass Client an, der sich mit dem Server verbindet.

User können aus der AD importiert werden, genauso wie Gruppen. So können Passwörter auf Gruppen freigegeben werden, oder der User kann seine eigenen Kennwörter drin Verwalten.

 

Zusätzlich kann man Passwort Richtlinien setzen, um eine gewisse Komplexität zu gewährleisten.

 

Gruß Lindi

[Dukel 436]

Eine Anforderung bei uns ist, die alle Tools können sollten wie der Pleasant Passwort Server oder Thycotic, das Passwörter automatisch von der Software an den unterschiedlichsten Systemen gesetzt werden können. Dabei geht es nicht nur um Windows Kennwörter sondern auch Linux, HW Server (HP iLO, Bios), Appliances (Netapp Storages, Brocade FC Switches, Firewalls,...) und Applikationen / Datenbanke (Oracle, Webphere, Jboss,...).

[NilsK 2.785]

Moin,

 

nachvollziehbar - aber man muss aufpassen, dass man da nicht den Teufel mit dem Beelzebub austreibt. Ein System, das überall Änderungen vornehmen kann, braucht sehr hohe Berechtigungen und ist damit ein 1a-Angriffskandidat.

 

Gruß, Nils