implementing-delinea-secret-server-for-pam

使用 Delinea Secret Server 实施 PAM

适用场景

• 组织需要跨混合基础设施集中管理特权凭据
• 合规要求强制执行特权访问控制（SOX、PCI-DSS、HIPAA、NIST 800-53）
• 服务账户和共享凭据存储在电子表格或明文文件中
• 需要为特权账户实施自动密码轮换
• 需要对特权用户活动进行会话录制和键盘记录
• 正在从手动 PAM 流程迁移到企业级密钥库解决方案

不适用于标准终端用户密码管理；Delinea Secret Server 专为需要企业级控制的特权账户和共享账户凭据管理而设计。

前置条件

• Delinea Secret Server 许可证（本地部署或云端）
• 本地部署需要 Windows Server 2019/2022，并安装 IIS 和 SQL Server
• 具有读取权限的 Active Directory 服务账户（用于发现）
• 用于 Web 界面加密的 SSL/TLS 证书
• 与目标系统的网络连接（用于密码轮换）
• PowerShell 5.1+ 用于自动化脚本

工作流程

步骤 1：部署 Secret Server 基础设施

安装和配置 Secret Server 应用服务器：

# 本地部署预安装检查
# 验证 IIS 是否安装了所需功能
Import-Module ServerManager
Install-WindowsFeature Web-Server, Web-Asp-Net45, Web-Windows-Auth, Web-Mgmt-Console

# 验证 SQL Server 连接
$sqlConn = New-Object System.Data.SqlClient.SqlConnection
$sqlConn.ConnectionString = "Server=sql01.corp.local;Database=master;Integrated Security=True"
$sqlConn.Open()
Write-Host "SQL Server 连接成功：$($sqlConn.ServerVersion)"
$sqlConn.Close()

# 创建 Secret Server 数据库
Invoke-Sqlcmd -ServerInstance "sql01.corp.local" -Query @"
CREATE DATABASE SecretServer
GO
ALTER DATABASE SecretServer SET RECOVERY FULL
GO
"@

# 下载并运行 Secret Server 安装程序
# 访问 https://thy.center/ss/link/SSDownload 获取最新版本
# 运行 setup.exe 并按照安装向导操作

# 安装后：配置应用程序池
Import-Module WebAdministration
Set-ItemProperty "IIS:\AppPools\SecretServer" -Name processModel.identityType -Value SpecificUser
Set-ItemProperty "IIS:\AppPools\SecretServer" -Name processModel.userName -Value "CORP\svc-secretserver"

步骤 2：配置密钥模板和文件夹结构

定义密钥模板并组织库层次结构：

# 连接到 Secret Server API
$baseUrl = "https://pam.corp.local/SecretServer"
$creds = @{
    username = "ss-admin"
    password = $env:SS_ADMIN_PASSWORD
    grant_type = "password"
}
$token = (Invoke-RestMethod "$baseUrl/oauth2/token" -Method POST -Body $creds).access_token
$headers = @{ Authorization = "Bearer $token" }

# 创建用于组织密钥的文件夹结构
$folders = @(
    @{ folderName = "Windows 服务器"; parentFolderId = -1; inheritPermissions = $false },
    @{ folderName = "Linux 服务器"; parentFolderId = -1; inheritPermissions = $false },
    @{ folderName = "网络设备"; parentFolderId = -1; inheritPermissions = $false },
    @{ folderName = "云账户"; parentFolderId = -1; inheritPermissions = $false },
    @{ folderName = "服务账户"; parentFolderId = -1; inheritPermissions = $false },
    @{ folderName = "数据库账户"; parentFolderId = -1; inheritPermissions = $false }
)

foreach ($folder in $folders) {
    Invoke-RestMethod "$baseUrl/api/v1/folders" -Method POST -Headers $headers `
        -ContentType "application/json" -Body ($folder | ConvertTo-Json)
}

# 为数据库凭据创建自定义密钥模板
$template = @{
    name = "数据库凭据"
    fields = @(
        @{ name = "服务器"; isRequired = $true; fieldType = "Text" },
        @{ name = "端口"; isRequired = $true; fieldType = "Text" },
        @{ name = "数据库"; isRequired = $true; fieldType = "Text" },
        @{ name = "用户名"; isRequired = $true; fieldType = "Text" },
        @{ name = "密码"; isRequired = $true; fieldType = "Password" },
        @{ name = "连接字符串"; isRequired = $false; fieldType = "Notes" }
    )
}
Invoke-RestMethod "$baseUrl/api/v1/secret-templates" -Method POST -Headers $headers `
    -ContentType "application/json" -Body ($template | ConvertTo-Json -Depth 3)

步骤 3：配置发现和账户入库

设置跨环境自动发现特权账户：

# 配置 Active Directory 发现源
$adDiscovery = @{
    name = "企业 AD 发现"
    discoverySourceType = "ActiveDirectory"
    active = $true
    settings = @{
        domainName = "corp.local"
        friendlyName = "企业域"
        discoveryAccountId = 12  # 服务账户密钥 ID
        ouFilters = @(
            "OU=Servers,DC=corp,DC=local",
            "OU=Workstations,DC=corp,DC=local"
        )
    }
    scanInterval = 86400  # 24 小时
}
Invoke-RestMethod "$baseUrl/api/v1/discovery" -Method POST -Headers $headers `
    -ContentType "application/json" -Body ($adDiscovery | ConvertTo-Json -Depth 3)

# 为 Windows 服务器配置本地账户发现
$localDiscovery = @{
    name = "Windows 本地账户发现"
    discoverySourceType = "Machine"
    active = $true
    settings = @{
        machineType = "Windows"
        accountScanTemplate = "Windows 本地账户"
        dependencyScanTemplate = "Windows 服务"
    }
}
Invoke-RestMethod "$baseUrl/api/v1/discovery" -Method POST -Headers $headers `
    -ContentType "application/json" -Body ($localDiscovery | ConvertTo-Json -Depth 3)

# 将发现的账户导入为密钥
# 发现运行后，审查并导入找到的账户
$discoveredAccounts = Invoke-RestMethod "$baseUrl/api/v1/discovery/status" -Headers $headers
Write-Host "已发现 $($discoveredAccounts.totalAccounts) 个账户"
Write-Host "  - 域管理员：$($discoveredAccounts.domainAdmins)"
Write-Host "  - 本地管理员：$($discoveredAccounts.localAdmins)"
Write-Host "  - 服务账户：$($discoveredAccounts.serviceAccounts)"

步骤 4：实施密码轮换策略

配置带复杂度要求的自动密码轮换：

# 创建密码轮换策略
$rotationPolicy = @{
    name = "高安全性 30 天轮换"
    rotationIntervalDays = 30
    passwordRequirements = @{
        minimumLength = 24
        maximumLength = 32
        requireUpperCase = $true
        requireLowerCase = $true
        requireNumbers = $true
        requireSymbols = $true
        allowedSymbols = "!@#$%^&*()-_=+[]{}|;:,.<>?"
    }
    rotationType = "AutoChange"
    autoChangeSchedule = @{
        changeType = "RecurringSchedule"
        recurrenceType = "Monthly"
        dayOfMonth = 1
        startTime = "02:00"
    }
}
Invoke-RestMethod "$baseUrl/api/v1/remote-password-changing/configuration" -Method POST `
    -Headers $headers -ContentType "application/json" -Body ($rotationPolicy | ConvertTo-Json -Depth 4)

# 为 Windows 账户配置远程密码更改（RPC）
$rpcConfig = @{
    secretId = 100  # 目标密钥
    autoChangeEnabled = $true
    autoChangeNextPassword = $true
    privilegedAccountSecretId = 50  # 用于执行更改的账户
    changePasswordUsing = "PrivilegedAccount"
}
Invoke-RestMethod "$baseUrl/api/v1/secrets/100/remote-password-changing" -Method PUT `
    -Headers $headers -ContentType "application/json" -Body ($rpcConfig | ConvertTo-Json)

# 配置心跳监控以验证凭据有效性
$heartbeat = @{
    enabled = $true
    intervalMinutes = 60
    onFailure = "SendAlert"
    alertEmailGroupId = 5
}
Invoke-RestMethod "$baseUrl/api/v1/secrets/100/heartbeat" -Method PUT `
    -Headers $headers -ContentType "application/json" -Body ($heartbeat | ConvertTo-Json)

步骤 5：配置会话录制和监控

为特权访问会话启用会话录制：

# 启用会话录制策略
$sessionPolicy = @{
    name = "完整录制策略"
    recordSessions = $true
    recordKeystrokes = $true
    recordApplications = $true
    maxSessionDurationMinutes = 480
    requireComment = $true
    requireTicketNumber = $true
    ticketSystemId = 1  # ServiceNow 集成
    settings = @{
        videoCodec = "H264"
        videoQuality = "High"
        captureInterval = 1000  # 毫秒
        storageLocation = "\\\\fileserver\\SSRecordings"
        retentionDays = 365
    }
}
Invoke-RestMethod "$baseUrl/api/v1/secret-policy" -Method POST -Headers $headers `
    -ContentType "application/json" -Body ($sessionPolicy | ConvertTo-Json -Depth 3)

# 为 RDP 会话配置会话启动器
$rdpLauncher = @{
    launcherType = "RDP"
    enableRecording = $true
    enableDualControl = $true
    approverGroupId = 10  # 安全团队组
    connectAsSecretId = 100
    settings = @{
        useSSL = $true
        restrictedEndpoints = @("192.168.1.0/24")
        inactivityTimeout = 30  # 分钟
    }
}
Invoke-RestMethod "$baseUrl/api/v1/launchers" -Method POST -Headers $headers `
    -ContentType "application/json" -Body ($rdpLauncher | ConvertTo-Json -Depth 3)

# 配置双重控制/审批工作流
$approvalWorkflow = @{
    name = "Tier-0 账户审批"
    requireApproval = $true
    approvers = @(
        @{ groupId = 10; requiredApprovals = 1 }
    )
    accessRequestExpirationMinutes = 60
    notifyOnApproval = $true
    notifyOnDenial = $true
}

步骤 6：与 SIEM 和合规报告集成

将 Secret Server 事件连接到安全监控：

# 配置 Syslog 转发到 SIEM
$syslogConfig = @{
    enabled = $true
    syslogServer = "siem.corp.local"
    port = 514
    protocol = "TLS"
    facility = "Auth"
    severity = "Informational"
    events = @(
        "SecretView", "SecretEdit", "SecretCreate", "SecretDelete",
        "PasswordChange", "PasswordChangeFailure",
        "SessionStart", "SessionEnd",
        "LoginFailure", "LoginSuccess",
        "PermissionChange", "ApprovalRequest"
    )
}
Invoke-RestMethod "$baseUrl/api/v1/configuration/syslog" -Method PUT -Headers $headers `
    -ContentType "application/json" -Body ($syslogConfig | ConvertTo-Json -Depth 2)

# 生成合规报告
$report = @{
    reportType = "PasswordCompliance"
    dateRange = @{
        startDate = (Get-Date).AddDays(-30).ToString("yyyy-MM-dd")
        endDate = (Get-Date).ToString("yyyy-MM-dd")
    }
    filters = @{
        folderIds = @(1, 2, 3, 4, 5, 6)
        includeSubFolders = $true
    }
}
$reportResult = Invoke-RestMethod "$baseUrl/api/v1/reports" -Method POST -Headers $headers `
    -ContentType "application/json" -Body ($report | ConvertTo-Json -Depth 3)

# 显示合规摘要
Write-Host "PAM 合规报告"
Write-Host "====================="
Write-Host "密钥总数：         $($reportResult.totalSecrets)"
Write-Host "轮换合规：         $($reportResult.rotationCompliant) ($($reportResult.rotationCompliancePct)%)"
Write-Host "心跳健康：         $($reportResult.heartbeatHealthy) ($($reportResult.heartbeatHealthyPct)%)"
Write-Host "密码超龄 > 90 天：  $($reportResult.passwordAgeViolations)"
Write-Host "孤儿账户：         $($reportResult.orphanedAccounts)"

核心概念

术语	定义
特权访问管理（PAM）	通过凭据保管和会话管理来控制、监控和审计对关键系统和数据的提升访问的安全框架
密钥（Secret）	库中存储的凭据或敏感数据项，包括密码、SSH 密钥、API 令牌和证书
远程密码更改（RPC）	无需人工干预，根据定义的策略连接到目标系统轮换密码的自动化机制
心跳（Heartbeat）	定期检查以验证存储的凭据与目标系统的一致性，确保库内容保持同步和可用
双重控制（Dual Control）	在授予对高度敏感密钥的访问权限之前，需要第二个授权用户批准的安全机制
发现（Discovery）	跨 Active Directory、服务器和网络设备自动扫描基础设施，识别特权账户、服务账户和依赖关系
会话录制（Session Recording）	捕获完整的特权会话活动，包括视频、键盘输入和应用程序使用情况，用于审计和取证审查

工具与系统

• Delinea Secret Server：企业级 PAM 解决方案，提供凭据保管、密码轮换、会话录制和特权访问工作流
• Delinea Distributed Engine：部署在网络分段中的代理，用于跨防火墙环境实现密码更改和发现
• Secret Server REST API：用于程序化密钥管理、自动化以及与 DevOps 流水线集成的 RESTful API
• Secret Server SDK：用于应用程序级 Secret Server 库集成的 .NET 和 PowerShell SDK

常见场景

场景：将共享管理员凭据迁移到库

背景：一个组织将 500+ 个共享管理员凭据存储在 Excel 电子表格和密码保护文档中。审计人员将此标记为需要在 90 天内整改的关键发现。

处理方式：

1. 使用 SQL Server 后端部署 Secret Server 并配置 HTTPS 访问
2. 设计反映组织结构的文件夹层次（按部门、系统类型、环境）
3. 创建与正在使用的凭据类型匹配的密钥模板（Windows、Linux、数据库、网络设备）
4. 通过 CSV 导入或 PowerShell 批量创建导入现有凭据
5. 配置发现以查找 AD 和本地系统中未记录的特权账户
6. 从非生产账户开始启用远程密码更改以验证轮换
7. 推出会话启动器，替换直接的 RDP/SSH 连接
8. 逐步为 Tier-0 账户（域管理员、root 账户）启用双重控制
9. 配置 SIEM 集成和合规报告以提供审计证据

注意事项：

• 启用密码轮换前未识别所有服务账户依赖关系（会导致服务中断）
• 未先在非生产环境测试就为生产账户启用 RPC
• 为需要协调重启的服务账户设置的轮换间隔太短
• 未为防火墙隔离的网络分段配置 Distributed Engine

输出格式

DELINEA SECRET SERVER PAM 部署报告
=============================================
环境：        混合（本地 + Azure）
版本：        Secret Server 11.6
部署模式：     本地（高可用性）

库统计
密钥总数：         1,247
  Windows 凭据：   523
  Linux/SSH 密钥：  312
  数据库账户：      198
  网络设备：        87
  云 API 密钥：     127

密码轮换状态
自动更改已启用：   1,089 / 1,247 (87.3%)
轮换合规：        1,056 / 1,089 (97.0%)
心跳健康：        1,198 / 1,247 (96.1%)
轮换失败（30 天）：12

会话管理
活跃会话：         23
录制会话（30 天）：4,567
平均会话时长：     22 分钟
审批请求（30 天）：189（174 已批准，15 已拒绝）

发现结果
扫描系统：        2,340
发现账户：        3,891
已入库：          1,247 (32.1%)
待审查：          892

合规性
SOX 控制满足：    12/12
PCI-DSS 要求：    8/8
密码超龄违规：    3（整改中）