Кейс
Подрядчик на две недели: доступ по заявке и с записью сеансов
На складе в Казани сбоит коммутатор, и менять его будет подрядчик «ИнтегроСервис». Инженеру подрядчика нужны доступ к сетевому оборудованию, схема сети и договор. Работы ведутся в заявке, схема сети открывается ему на две недели, сеансы к оборудованию идут под контролем привилегированного доступа (PAM) и пишутся, а когда работы закончены, доступ снимается без звонков и общих паролей.
С чего начинается
Ситуация
Что происходит
Подрядчику обычно дают общий пароль от оборудования или VPN-доступ «на время работ». Через месяц уже никто не помнит, что доступ остался, а пароль знает ещё один человек.
Схему сети и договор пересылают почтой, и куда они ушли дальше — неизвестно. Если на объекте что-то сломалось, восстановить, кто и что делал, почти невозможно.
Как это устроено в INFRAX
Работы, права и документы связаны: заявка объясняет, зачем нужен доступ, схема сети открывается подрядчику лично и на срок, договор уходит ссылкой с паролем и лимитом скачиваний, а все его права видны на одной вкладке.
Подрядчик работает в той же заявке, что и сотрудники ИТ, а каждое подключение к оборудованию попадает в журнал сеансов с записью.
По шагам
Как это решается в INFRAX
Каждый шаг — экран демонстрационного стенда INFRAX 2.0: под ним подпись, что именно видно и чьими глазами. Компания «Северный склад» и все данные вымышленные.
- Шаг 01Сервис-деск ITSM
Работы оформлены заявкой
Сетевой инженер разбирает обращение склада и решает менять коммутатор целиком. Исполнителем назначен инженер подрядчика: он сам договаривается с начальником склада о времени работ и отчитывается в той же переписке, а руководитель ИТ и техник склада подписаны наблюдателями.
Заявка #7 «Склад Казань: на отгрузке периодически пропадает сеть» глазами руководителя ИТ: заметка сетевого инженера о замене kzn-sw-01, ответы подрядчика, наблюдатели и метки. - Шаг 02Вход и права IAM · SSO
Все права подрядчика — на одной вкладке
На вкладке «Доступ» в разделе входа и прав (IAM) видно всё, что открыто подрядчику: лично — раздел «Узлы сети» и файл схемы сети склада, остальное — через группу «Подрядчики». У каждого права указано, кто и когда его выдал, а срок и основание — если они заданы. Схему сети подрядчику открыли на две недели: по сроку доступ к файлу закроется сам.
Вкладка «Доступ» подрядчика глазами руководителя ИТ: лично — раздел «Узлы сети» с основанием «Заявка: замена коммутатора» и схема сети склада, обоим правам осталось 12 дней; ниже — права группы «Подрядчики». - Шаг 03Знания и файлы KB
Договор — ссылкой с паролем и лимитом
Документ, который подрядчику нужно получить без входа в систему, уходит ссылкой с паролем, сроком действия и лимитом скачиваний. Ссылку можно отозвать одним действием, а выдача прав и скачивания попадают в аудит.
Ссылка на договор с подрядчиком в разделе «Файлы»: пароль, срок до 19 октября, скачано 2 из 5, кнопки «Копировать» и «Отозвать». - Шаг 04Удалённый доступ с записью PAM
Подключения идут через шлюз и пишутся
Подключения к серверам склада идут через шлюз площадки, и каждый сеанс попадает в журнал с записью: кто, к какому узлу, каким способом и сколько работал. Отбор по инициатору оставляет сеансы одного человека — так проверяют и работу подрядчика; запись открывается в плеере или выгружается видео.
Журнал «Сессии» глазами руководителя ИТ с отбором по инициатору: сеансы инженера Павла Орлова — SSH к kzn-wms-01 за шлюзом площадки, SSH к msk-files-01 и RDP к msk-ws-01, у всех «Запись: Велась». - Шаг 05Вход и права
Работы закончены — доступ закрыт
Право со сроком перестаёт действовать само — так закроется схема сети. Остальное снимается без звонков и смены общих паролей: личные права — кнопкой «Отозвать все личные», групповые — выводом из группы «Подрядчики». Плитка «истекает за месяц» заранее показывает, что закончится скоро.
Сводка доступа подрядчика: 11 прав, 2 выдано лично, 9 через группы, 2 истекают за месяц; над личными правами — кнопка «Отозвать все личные».
Результат
Что получает ИТ-служба
Доступ закрывается без звонков
Право со сроком перестаёт действовать само, остальные личные права снимаются одной кнопкой, групповые — выводом из группы.
Видно, откуда доступ
У каждого права — кто и когда его выдал, лично или через группу; по любому объекту видно, кому он открыт и каким правилом.
Документы под контролем
Ссылка с паролем, сроком и лимитом; отзывается одним действием, скачивания — в аудите.
Пароли оборудования не раздаются
Учётные данные хранятся централизованно, а при подключении по протоколам удалённого доступа RDP или SSH через шлюз пароль сервера на компьютер подрядчика не попадает.
Подрядчик работает в вашей заявке
Переписка с заявителем и отчёт о работах — в той же карточке, что видят ИТ и наблюдатели.
Всё восстановимо
Кто выдал право, что подрядчик скачал и что делал в каждом сеансе.
В одном продукте
Задачи, которые здесь работают вместе
Ни одну из них не нужно покупать и подключать отдельно: пользователи, права, узлы и заявки у них общие.
Вход и права IAM · SSO
Единый вход, второй фактор, домен (AD, LDAP), Госуслуги; права лично и через группы
Страница задачиДоступ и безопасностьУдалённый доступ с записью PAM
Подключения RDP, SSH, VNC через шлюз; запись сеансов
Страница задачиПоддержка пользователейСервис-деск ITSM
Обращения, инциденты, проблемы, сроки SLA по календарю
Страница задачиПоддержка пользователейЗнания и файлы KB
База знаний, вопросы-ответы, файлообменник с аудитом
Страница задачиВопросы и документация
Вопросы
Подрядчик может подключаться своим клиентом, а не из браузера?
Да: через Infrax-плагин подключение открывается в привычном клиенте — на Windows RDP в mstsc и SSH в PuTTY, на macOS во встроенном RDP-клиенте плагина и в Terminal. Такие подключения идут через шлюз записи INFRAX, пароль сервера на компьютер подрядчика не попадает, а сеанс пишется так же, как из браузера. Исключение — аварийный режим «Нативные подключения напрямую», если его включили в настройках: такие сеансы не записываются.
Как передать подрядчику схему сети, не открывая ему все файлы?
Файл открывают ему лично — с уровнем доступа и сроком, как схему сети склада в этом кейсе, или отправляют ссылкой без входа в систему: с паролем, сроком действия и лимитом скачиваний. Выдача прав и скачивания попадают в аудит, ссылка отзывается одним действием.
Кейсы
Другие кейсы
Крупный сбой: от сигнала мониторинга до ответа всем заявителям
Три сервера одной сети перестают отвечать, сотрудники пишут в поддержку. Инциденты собираются в одну проблему, обращения добавляются в её состав, а заявители получают один ответ.
МониторингСервис-деск ITSMУдалённый доступ с записью PAMАналитика и отчётность BIРазобрать по шагам
Новый сотрудник: одна заявка вместо писем в три отдела
Выход сотрудника оформляют одной заявкой на портале. HR, ИТ и скрипт на файловом сервере отрабатывают свои шаги, а учётная запись и ноутбук появляются в одном продукте.
Портал и процессы ESM · BPMАвтоматизация и бэкапСервис-деск ITSMВход и права IAM · SSOУчёт активов CMDB · ITAMРазобрать по шагам
Новый филиал без VPN: площадка подключается одним кодом
На складе в Казани ставят небольшой сервер со шлюзом площадки. Мониторинг, опрос устройств по SNMP и подключения к серверам идут через него, без VPN и открытых портов.
ФилиалыМониторингУдалённый доступ с записью PAMРазобрать по шагам