Teleport est une plateforme qui permet d'accéder de manière simple et sécurisée à votre infrastructure IT. Elle permet entre autres de gérer les accès serveurs (Server Access), bases de données (Database Access), applications (Application Access), bureau (Desktop Access) et à Kubernetes (Kubernetes Access). Teleport est open source et disponible en version Community et Entreprise.Teleport 10 est disponible. Il s'agit pour l'entreprise Teleport, la plus grande version à ce jour dans l'histoire de la plateforme en termes d'ensembles de fonctionnalités. Nous présentons ici les nouveautés majeures de cette version.
Authentification sans mot de passe
La fonctionnalité phare de Teleport 10 est incontestablement la solution d'authentification sans mot de passe. L'authentification sans mot de passe remplace les noms d'utilisateur et les mots de passe par une méthode d'authentification plus sécurisée soutenue par la biométrie, supprimant entièrement la cause la plus courante de violation de données de l'équation : vols de paramètres de connexion.
Teleport préconise depuis longtemps la suppression des mots de passe et autres secrets de l'infrastructure. Par exemple, avant Teleport 10, Teleport a remplacé les clés SSH, les informations d'identification d'administrateur et d'autres secrets partagés par une connexion à authentification unique (SSO) protégée par un deuxième facteur. Et après l'authentification initiale, les utilisateurs avaient recours à des certificats de courte durée émis par Teleport comme méthode sans mot de passe pour accéder aux ressources de l'infrastructure. Mais en réalité, les utilisateurs devaient encore s'authentifier auprès du système SSO (comme Okta) à l'aide d'informations d'identification basées sur un mot de passe. Cela change avec l'authentification sans mot de passe de Teleport.
L'authentification sans mot de passe de Teleport offre une solution sans mot de passe de bout en bout pour l'accès à l'infrastructure. La solution est basée sur FIDO2 WebAuthn, ce qui signifie une compatibilité entre tous les navigateurs Web et appareils d'authentification pris en charge tels que Apple Touch ID, Yubikey, Windows Hello, etc. L'authentification sans mot de passe est disponible dans les éditions Teleport Community et Teleport Enterprise.
Contrôle d'accès amélioré
Demandes d'accès aux ressources
Les demandes d'accès à la volée (Just-in-time Access Requests) de Teleport permettent à tout développeur de demander l'accès à une ressource ou à un rôle en fonction de ses besoins. La demande peut ensuite être approuvée ou refusée en fonction d'un nombre configurable d'approbateurs.
Les demandes d'accès aux ressources permettent aux ingénieurs de créer un inventaire des ressources auxquelles ils doivent accéder. Cette fonctionnalité permet aux équipes de mettre en œuvre le principe du moindre privilège en ne donnant accès qu'aux ressources dont l'ingénieur a besoin. Cette fonctionnalité s'appuie sur des demandes d'accès basées sur les rôles. Mais pour de nombreux cas d'utilisation, comme la mise en œuvre de privilèges non permanents, les demandes d'accès basées sur les rôles ne fournissent pas suffisamment de granularité. Avec les demandes d'accès à la volée aux ressources, un ingénieur peut demander l'accès à une ou plusieurs ressources individuelles dont il a besoin quand il en a besoin.
Restrictions basées sur IP dans les certificats
Teleport permet d'accéder aux ressources à l'aide de certificats de courte durée. Les certificats de courte durée sont soutenus par l'identité ; pour les renouvellements de certificat, un utilisateur doit se ré-authentifier. Pendant la courte fenêtre d'accès, il est possible que le certificat soit volé. Certains clients de Teleport ont donc demandé une protection supplémentaire contre d'éventuels certificats volés.
Teleport Enterprise offre une couche de protection supplémentaire à votre infrastructure avec des restrictions basées sur IP. En plus des contrôles d'accès basés sur les rôles, Teleport peut lier des certificats SSH de courte durée à une IP cliente et valider l'IP sur chaque connexion pour empêcher les attaques pivot.
Provisionnement automatique des utilisateurs Linux
Lorsque les utilisateurs accèdent aux serveurs Linux via SSH, ils accèdent au compte d'utilisateur Linux local. Les actions et autorisations de chaque utilisateur avant et après l'authentification et l'autorisation sont attachées au compte Linux local. Mais les comptes d'utilisateurs locaux de longue durée peuvent présenter un risque pour la sécurité.
Avec la fonction de provisionnement automatique des utilisateurs Linux de Teleport, le nœud SSH Teleport créera automatiquement un compte utilisateur Linux local pendant la durée de l'accès, puis le déprovisionnera une fois l'accès terminé, supprimant ainsi tous les risques associés aux comptes résiduels privilégiés de longue durée. Les utilisateurs peuvent être ajoutés à des groupes Linux spécifiques et se voir attribuer les privilèges "sudoer" appropriés.
Améliorations pour Teleport Database Access
Prise en charge de bases de données supplémentaires
Teleport 10 vient avec la prise en charge des nouvelles bases de données suivantes : Snowflake, Elasticache pour Redis, Memory DB, Elasticsearch, Cassandra.
Audit d'accès pour Microsoft SQL Server
Teleport prend en charge Microsoft SQL Server depuis la version Teleport 9. Avec Teleport 10, l'entreprise a ajouté une fonctionnalité d'audit au niveau du protocole, qui sera utile pour les audits d'accès à Microsoft SQL Server.
Améliorations pour Teleport Desktop Access
Partage de répertoire d'accès desktop
Teleport Desktop Access permet un accès sécurisé basé sur un certificat aux hôtes Windows distants à partir d'un navigateur. Grâce à la prise en charge du partage de répertoires, les utilisateurs de Desktop Access peuvent désormais partager des fichiers sur des hôtes Windows. Les fichiers du client local sont instantanément disponibles sur l'hôte Windows distant et vice versa. Pas de chargement ou de téléchargement manuel. Le tout via le navigateur.
Configuration simplifiée d'Active Directory
La configuration dans l'écosystème Windows est principalement basée sur l'interface graphique. Les registres Powershell et Windows et les objets de stratégie de groupe (GPO) Active Directory (AD) peuvent être utilisés pour l'automatisation, mais il est toujours difficile de mettre en œuvre la configuration automatique au niveau commun sur Linux. Teleport Desktop Access prend en charge l'authentification basée sur les certificats, et pour configurer cette méthode d'authentification, les configurations de l'objet de stratégie de groupe et du certificat du serveur doivent être mises à jour. Auparavant, il s'agissait d'une tâche manuelle qui nécessitait la mise à jour de plusieurs configurations, ce qui prend du temps pour les personnes qui souhaitent essayer Teleport Desktop Access. Dans la nouvelle version, il est maintenant plus simple pour les administrateurs de configurer Teleport Desktop Access.
Améliorations pour Teleport Application Access
Contrôlez l'accès à n'importe quelle application avec le proxy compatible TCP de Teleport
Actuellement, Teleport prend en charge le contrôle d'accès aux applications basé sur les connexions HTTP, HTTPS et WebSocket. Mais dans un environnement industriel de technologie opérationnelle (OT), des protocoles tels que MQTT, Modbus, etc., sont populaires et largement utilisés. Teleport prendra désormais en charge le contrôle d'accès aux applications vers des points de terminaison TCP arbitraires. L'entreprise a mis en place un proxy TCP qui permet désormais aux utilisateurs de protéger tout type d'application tant qu'elles adhèrent au protocole TCP/IP.
Autres nouveautés et améliorations
Il y a encore bien d'autres nouveautés et améliorations. On peut citer encore une concernant Machine ID pour Kubernetes et Application Access.
Teleport Machine ID a été lancé pour permettre aux développeurs de sécuriser facilement les communications de machine à machine basées sur les certificats X.509 et SSH. La première préversion de Machine ID ne prenait en charge Teleport Server Access et, entre autres, permettait aux développeurs d'utiliser des certificats de courte durée avec Ansible. Teleport 9.3.0 a ajouté le support de Database Access à Machine ID. Enfin, dans Teleport 10, on note la prise en charge de Kubernetes Access et Application Access. Désormais, vous pouvez contrôler le niveau d'autorisation dont dispose un compte de service pour accéder aux clusters Kubernetes ou à une application Web, aussi facilement que vous pouvez contrôler l'accès à un serveur Linux ou à une base de données.
Vous trouverez plus d'informations sur les nouveautés de Teleport sur le site officiel de la plateforme.
Téléchargement de Teleport