Sommaire

Introduction

Préparation

Déploiement

Test & validation

Ressources

Contexte & Pré-requis

L'idée ici est de disposer d'un environnement de Lab "fresh install/out-of-the-box" à la maison pour pouvoir faire des tests. On ne vise pas l'environnement de prod avec tout le détail du paramétrage spécifique.

Pour la réalisation de ce tuto je dispose d'une machine avec 32GB de RAM, OS Ubuntu 24.04 et hyperviseur KVM/libvirt (QEMU) installé, ainsi que le gestionnaire de machines virtuelles virt-manager (voir le détail du lab ici). De plus, j'ai créé des templates de VM Ubuntu Server et Windows Server.

Enfin, un environnement Active Directory de test est déployé.

Binaires

Il faut en outre disposer des binaires d'installation du logiciel. Pour ce tuto, les fichiers suivants seront utilisés:

Diagramme de design high-level du lab CyberArk

Le diagramme ci-dessous réprésente le lab à déployer. On a:

• Un Vault (et optionnellement un DR Vault),
• Une machine Windows all-in-one "components" sur laquelle on installera le PVWA, un PSM RDP, et un CPM,
• Une machine Linux sur laquelle on installera un PSM SSH.

Plan d'adressage

Préparation

NB: on est dans un mode de fonctionnement où on va utiliser les Transparent Users et les Transparent Groups dans CyberArk, c'est-à-dire que des groupes AD vont être mappés sur des groupes internes CyberArk de sorte à ce que l'appartenance de comptes AD à ces groupes procure des privilèges dans CyberArk.

Créer les groupes AD:

Créer les utilisateurs AD (LDAP) en correspondance avec le tableau ci-dessous:

Mettre les groupes LinuxAdmins et WindowsAdmins dans le groupe CyberArk Users.

Déployer les machines virtuelles depuis les templates:

• Windows: vault
• Windows: DR
• Windows: components
• Linux: psmssh

Si nécessaire (optionnel), synchroniser le temps de toutes les machines virtuelles du Lab à une date antérieure selon cette procédure.

Joindre les machines au domaine.

Sur le host, faire un script de démarrage et un script d'arrêt du lab. Par exemple:

$ cat startCA.sh
#!/bin/bash
/usr/bin/virsh start DC1
/usr/bin/virsh start vault
/usr/bin/virsh start components
/usr/bin/virsh start psmssh
/usr/bin/virsh start DR
/usr/bin/virsh start windows1
/usr/bin/virsh start linux1

$ cat stopCA.sh
#!/bin/bash
/usr/bin/virsh shutdown DC1
/usr/bin/virsh shutdown vault
/usr/bin/virsh shutdown components
/usr/bin/virsh shutdown psmssh
/usr/bin/virsh shutdown DR
/usr/bin/virsh shutdown windows1
/usr/bin/virsh shutdown linux1

Sur le Domain Controller, ouvrir une console PowerShell:

Add-WindowsFeature Adcs-Cert-Authority -IncludeManagementTools
Install-AdcsCertificationAuthority -CAType EnterpriseRootCA

Exporter le certificat avec certsrv.msc.

Editer la GPO par défaut du domaine:

• lancer group policy management
• aller dans la foret [nom_du_domaine] => domaines => [nom_du_domaine] => group policy objects
• faire clic droit/edit sur Default Domain Policy
• aller dans computer configuration => policies => windows settings => security settings => account policies => password policy
• mettre Minimum Password Age à 0

Procédure de déploiement

1. Serveur VAULT

netsh advfirewall set allprofiles state on

Installer .net framework 4.8

Copier Master CD et Operator CD sur C:\

Renommer la licence en License.xml et la mettre sur C:\

Lancer l'installation (ne pas activer le hardening quand demandé pour env. de test)

• Server-Rls-v12.2.4
• Nommer le vault "lab"

Dans C:\program files (x86)\provateark\server\conf\dbparm.ini, ajouter une ligne pour spécifier l'adresse IP du serveur components, puis indiquer le chemin vers la recovery key du Master CD:

EmergencyStationIP=192.168.122.11
RecoveryPrvKey="C:\Master CD\recprv.key"

Redémarrer le service.

2. Serveur components (PVWA)

Prérequis au PVWA:

• Installer IIS (dans les rôles) et AD DS tools (dans les features)
• Installer ASPNET 4.7:

PS> Install-WindowsFeature Web-Asp-Net45

• Mettre un site Default en https avec certificat autosigné (voir cette doc).

Copier les binaires sources d'install sur C:\

Installer .net framework 4.8

1: Installer le client privateArk et rebooter.

• Ajouter le vault "lab" sur le serveur vault
• Rebooter
• Se loguer en administrator puis en master pour checker la présence des 3 safes par défaut (Notif. Engine, System, VaultInternal) (+du vault Pictures pour le user master)

2: Lancer l'install de PVWA.

• server name: lab
• serveur address: vault

Ouvrir l'URL du PVWA et faire le user provisioning LDAP pour le domaine.

3: Installation de CPM.

CPMEM038E importation des platforms en erreur

Prérequis au PSM RDP:

• Installer feature Remote Desktop Services et choisir "Remote Desktop Session Host"
• Ajouter des ressources: 8 cores, 8GB RAM total, 2nd disk de 160 GiB
• Activer le PowerShell remoting

PS> Enable-PSRemoting
PS> Enable-PSRemoting -Force
PS> Enable-PSRemoting -Force -SkipNetworkProfileCheck

Sur le Domain Controller, ajouter dans les serveurs managés le serveur COMPONENTS:

• Add features => Remote Desktop Services Installation => Quick Start => Session-based desktop deployment => ne laisser que COMPONENTS et valider (cocher la case pour faire un restart auto et cliquer sur Deploy)
• Voir: https://sqx-bki.fr/installation-remoteapp-windows-server-2019/

4: Installation du PSM (Privileged Session Manager-Rls-v12.2.5).

• Lancer l'installation (clic droit/run as admin)
• Changer tous les paths d'installation vers le drive de DATA de 160 GiB

Serveur PSMSSH (centos 7)

Copier PrivilegedSessionManagerSSHProxy-RHELinux-Intel64-Rls-v12.2.5.zip sur le serveur.

Installer le composant:

# yum install unzip
# cd /tmp
# unzip /home/thom/PrivilegedSessionManagerSSHProxy-RHELinux-Intel64-Rls-v12.2.5.zip
# vi vault.ini

   VAULT="lab"
   ADDRESS=192.168.122.10

# yum install libssh
# cp psmpparms.sample /var/tmp/psmpparms
# vi /var/tmp/psmpparms

   InstallationFolder=/tmp
   AcceptCyberArkEULA=Yes

# chmod +x CreateCredFile
# ./CreateCredFile user.cred Password -Username administrator -Password LabPassword123! -EntropyFile
# rpm -i IntegratedMode/CARKpsmp-infra-12.02.5.19.x86_64.rpm
# rpm -i CARKpsmp-12.02.5.19.x86_64.rpm
# service psmpsrv status
# cat /var/opt/CARKpsmp/temp/EnvManager.log

Test & validation

Sur le serveur components: clic droit/properties sur This PC ; Remote settings => décocher la case "Allow connections only from ..."

Sur le Domain Controller: créer des users winadmin et linadmin et les mettre dans les groupes WindowsAdmins et LinuxAdmins.

Sur components: Login PVWA en administrator

• Ajouter les mappings LDAP pour les groupes Windows et Linux sysadmins
• Total 6 mappings: Vault admins, Safe Managers, Auditors, Users, Windows Admins, Linux Admins

Sur components: Login PVWA en mike

Dans la master policy:

• Mettre Require users to specify a reason for this request à Inactive
• Mettre Require privileged session monitoring and isolation à Active

Création du safe WIN_ADM (ajout groupe Cyberark Windows Sysadmins)

Onboarding du compte winadmin

test de connexion: dans la case du milieu (target) mettre vesvres.local puis cliquer Resolve et cocher la case mettre dans le profil. Remote machine: windows1 => Connect

Faire le test de connexion en "john"

Intégration Linux

Voir doc d'intégration AD

$ sudo su -
# hostnamectl set-hostname linux1
# vi /etc/netplan/00*.yaml

Mettre le DC en DNS (192.168.122.20)

netplan apply
vi /etc/resolv.conf

nameserver 192.168.122.20
search [nom_du_domaine]

apt install sssd realmd
realm discover vesvres.local
realm join vesvres.local

Création compte local linadmin (ou intégration compte windows)

PVWA: création du safe LIN_ADM (ajout groupe Cyberark Linux Sysadmins)

Onboarding du compte linadmin

Test: login en carlos et utilisation du compte

2nd onboarding du compte linadmin en mode SSHkey

• Générer une clé avec puttygen (avant d'enregistrer le ppk faire key/parameters et mettre la version à 2
• Copier la clé publique sur linux1 dans authorized_keys
• Faire le onboarding en mode SSHkey
• Message "White space characters were identified in the password and has been removed"
• sur la machine cliente:

# vi /etc/ssh/sshd_config

   PubkeyAuthentication yes
   PubkeyAcceptedKeyTypes=+ssh-rsa

systemctl restart sshd

• Faire le test de connexion Cyberark en user carlos
• checker le roulement de clé ssh dans authorized_keys

Ressources

Sample RestAPI scripts

PAM Documentation

Cet article a été généré par un humain