Требования к учетным записям

В этом разделе описаны требования к учетным записям для интеграции сервера Kaspersky Password Manager для бизнеса с внешними системами, включая серверы баз данных, SMTP-серверы и LDAP-каталоги.

Требования к учетной записи базы данных

В целях обеспечения безопасности приложение должно работать с базой данных по принципу минимально необходимых привилегий.

Права, необходимые на этапе установки и первоначальной инициализации базы данных, существенно отличаются от прав, необходимых приложению во время работы. После завершения установки рекомендуется ограничить полномочия учетной записи базы данных, используемой службами приложения.

Использование учетной записи с административными правами в процессе работы с приложением не рекомендуется, поскольку увеличивает последствия возможной компрометации приложения или учетных данных.

Для обеспечения максимального уровня безопасности рекомендуется использовать следующую модель работы с учетными записями:

• Учетная запись установки — используется только во время установки, обновления и выполнения миграций схемы базы данных.
• Учетная запись приложения — используется службами приложения во время эксплуатации.

После завершения установки и настройки приложения сменить учетную запись на менее привилегированную можно с помощью утилиты KpmCtl, поставляемой в составе приложения. Если по организационным причинам используется одна учетная запись, после завершения установки ее права рекомендуется самостоятельно привести к уровню, соответствующему учетной записи приложения.

Права, необходимые на этапе установки

Во время установки приложению может потребоваться создание новой базы данных (если она отсутствует), а также полное создание схемы.

Учетная запись должна иметь возможность:

• создавать новую базу данных (при необходимости);
• создание схем;
• создавать таблицы;
• создавать первичные и внешние ключи;
• создавать индексы;
• создание представлений;
• создавать последовательности (Sequences);
• создавать пользовательские типы данных (User Defined Types);
• создавать хранимые процедуры;
• создание функций;
• создание триггеров;
• создавать пользователя службы (и/или логин);
• создавать и назначать роли;
• создавать ограничения (Constraints);
• изменять созданные объекты;
• выполнять начальное заполнение данных.

Данные права требуются исключительно на этапе установки и обновления схемы базы данных.

Права, необходимые во время использования

После завершения установки рекомендуется удалить все права, связанные с изменением структуры базы данных.

Во время использования приложению достаточно следующих возможностей:

• подключение к базе данных;
• чтение данных таблиц и представлений (SELECT);
• добавление данных таблиц и представлений (INSERT);
• изменение данных таблиц и представлений (UPDATE);
• удаление данных таблиц и представлений (DELETE);
• выполнение хранимых процедур;
• выполнение функций;
• использование пользовательских типов данных;
• использование последовательностей.

Приложению не должны предоставляться права на:

• создание, удаление баз данных;
• создание схем;
• создание, изменение, удаление схем;
• создание, изменение, удаление таблиц;
• создание, изменение, удаление индексов;
• создание представлений;
• создание функций;
• создание процедур;
• создание триггеров;
• создание пользовательских типов;
• выдачу разрешений другим пользователям;
• создание пользователей;
• создание ролей;
• изменение разрешений других пользователей;
• выполнение административных операций СУБД.

Microsoft SQL Server

PostgreSQL

MySQL или MariaDB

Требования к учетной записи сервера SMTP

Для интеграции сервера Kaspersky Password Manager для бизнеса с сервером SMTP рекомендуется использовать отдельную сервисную учетную запись с минимальным набором необходимых прав.

Учетная запись службы должна иметь следующие разрешения:

• Выполнение аутентификации на сервере SMTP.
• Отправлять электронные сообщения.

Требования к учетной записи сервера LDAP

Для интеграции сервера Kaspersky Password Manager для бизнеса с сервером LDAP рекомендуется использовать отдельную сервисную учетную запись с минимальным набором необходимых прав.

Учетная запись службы должна иметь следующие разрешения:

• Выполнение аутентификации на сервере LDAP.
• Выполнение следующих операций с LDAP:
  • Аутентификация
  • Поиск
  • Сравнение
• Чтение следующих атрибутов:
  • mail
  • objectClass
  • objectSid
  • sAMAccountName
  • userAccountControl
  • userPrincipalName

Дополнительные разрешения только для Microsoft Active Directory:

• Чтение атрибута configurationNamingContext из RootDSE.
• Чтение атрибутов дочерних объектов dnsRoot и nETBIOSName в контейнере CN=Partitions.