Настройка времени жизни пользовательских сеансов единого входа и токенов аутентификации

Время жизни токена (или пользовательского сеанса) – это период, в течение которого токен или сеанс остаются действительными и могут использоваться для аутентификации. Когда этот период заканчивается, токен или сеанс автоматически истекает и требуется обновление или повторный вход в систему. Kaspersky Symphony XDR позволяет настраивать время жизни токенов доступа, токенов обновления, используемых для обновления токенов доступа, и время жизни сеансов единого входа (SSO) при отсутствии активности пользователя. Указывая более короткое время жизни токена или сеанса единого входа, вы уменьшаете риск несанкционированного доступа в случае компрометации токена.

Вы можете настроить время жизни токенов и сеансов единого входа перед развертыванием Kaspersky Symphony XDR на нескольких и на одном узле, указав значения соответствующих параметров (tokenhub_access_token, tokenhub_refresh_token, credentials_session_ttl) в конфигурационном файле. Если значения этих параметров не были указаны во время развертывания, будут использованы значения по умолчанию:

• Для токенов доступа (tokenhub_access_token) – 1 час.
• Для токенов обновления (tokenhub_refresh_token) – 24 часа.
• Для сеанса единого входа при отсутствии активности пользователя (credentials_session_ttl) – 1 час.

Чтобы изменить параметры в уже развернутом решении, используйте команды KDT.

Чтобы проверить текущие значения времени жизни:

На устройстве администратора выполните команду:

./kdt invoke iam -a getAuthTTLs

Текущие значения времени жизни для токенов доступа, токенов обновления и времени сеанса единого входа отображаются в выходных данных команды как <часы>h<минуты>m<секунды>s, например:

• 2h
• 23h30m
• 12h55m

Чтобы настроить время жизни токена доступа:

На устройстве администратора выполните команду:

./kdt invoke iam -a setAuthTTLs --param tokenhub_access_token=<время_жизни>

где <время_жизни> – требуемый период в часах, минутах и секундах. Например, 1h или 1h30m. Минимальное значение <время_жизни> для токена доступа составляет 5m, а максимальное значение – 2h.

Чтобы настроить время жизни токена обновления:

На устройстве администратора выполните команду:

./kdt invoke iam -a setAuthTTLs --param tokenhub_refresh_token=<время_жизни>

где <время_жизни> – требуемый период в часах, минутах и секундах. Например, 24h или 720h30m. Минимальное значение <время_жизни> для токена обновления составляет 12m, а максимальное значение – 4320h.

Чтобы настроить время жизни сеанса единого входа при отсутствии активности пользователя:

На устройстве администратора выполните команду:

./kdt invoke iam -a setAuthTTLs --param credentials_session_ttl=<время_жизни>

где <время_жизни> – требуемый период в часах, минутах и секундах. Например, 2h или 1h30m. Минимальное значение <время_жизни> для простоя сеанса единого входа составляет 5m, а максимальное значение – 96h.

Чтобы настроить время жизни сразу для всех параметров:

На устройстве администратора выполните команду:

./kdt invoke iam -a setAuthTTLs --param tokenhub_access_token=<время_жизни> --param tokenhub_refresh_token=<время_жизни> --param credentials_session_ttl=<время_жизни>

где <время_жизни> – требуемый период в часах, минутах и секундах.

Настроено время жизни для токенов аутентификации и сеансов единого входа. Если вы вводите значение за пределами минимального и максимального ограничения, такое значение заменяется значением по умолчанию.

Новое настроенное время жизни применяется только к токенам и сеансам, созданным после сохранения изменений. Срок действия активных токенов и сеансов истекает в зависимости от значений параметров времени жизни, которые действовали на момент их выпуска.