NetBackup-Konsole auf CyberArk PAM: So binden Sie sie an

Wenn Ihre Organisation verlangt, dass die administrative NetBackup-Windows-Konsole über den CyberArk Privileged Session Manager läuft, behandeln Sie das als ein Problem der Desktop-Anwendungsintegration. Prüfen Sie zuerst den CyberArk Marketplace auf einen vorhandenen unterstützten Connector. Passt keiner, dokumentiert CyberArk einen Custom-Universal-Connector-Workflow, der AutoIt verwendet, um die Anwendung zu starten, Session-Eigenschaften von PSM zu empfangen, die Authentifizierung zu automatisieren und den Anwendungsprozess zur Überwachung an PSM zurückzugeben.

Das ist die nützliche Antwort hinter einer sehr kurzen Administratordiskussion. Die ursprüngliche Anforderung war einfach: Das Team hatte bereits eine Web-Konsole angebunden, musste nun aber die ausführbare Datei der administrativen NetBackup-Konsole anbinden. Ein Kommentator verwies direkt auf AutoIt und CyberArks Universal-Connector-Dokumentation.

Warum unterscheidet sich das Onboarding einer EXE vom Onboarding einer Web-Konsole?

Eine Web-Konsole passt normalerweise zu einer browserbasierten PSM-Connection-Komponente. CyberArk kann einen Browser starten, zu einer URL navigieren, Zugangsdaten injizieren oder vermitteln und die privilegierte Sitzung über einen vertrauten Web-Workflow aufzeichnen.

Eine Windows-Ausführungsdatei ist anders, weil Login-Formular, Fensterklasse, Prozess-Lifecycle, Child-Fenster, Credential-Felder und Anwendungsverhalten zu einem nativen Client gehören. PSM braucht eine Connection-Komponente, die weiß, wie sie dieses Programm startet und dessen Login-Sequenz abschließt, ohne das privilegierte Passwort dem Benutzer offenzulegen.

Deshalb sollte die Anforderung nicht auf „diese EXE zu CyberArk hinzufügen" reduziert werden. Der Connector muss den Anwendungsstart und den Authentifizierungsablauf verstehen.

Wenn die Sicherheitsanforderung mit der NetBackup-Web-UI-Administration erfüllt werden kann, ist der NetBackup-11-Web-UI-und-RBAC-Guide relevant, weil Browser-Zugriff einfacher zu steuern sein kann. Wenn speziell die Desktop-Konsole gefordert ist, machen Sie mit einem nativen PSM-Connector-Design weiter.

Sollten Sie zuerst nach einem fertigen Connector suchen?

Ja. CyberArks eigene Universal-Connector-Dokumentation verweist Administratoren auf den CyberArk Marketplace, bevor eine benutzerdefinierte Komponente gebaut wird. Ein unterstützter oder Community-Connector kann Entwicklungsaufwand sparen und bereits den Anwendungsstart, das Prozesshandling und die Login-Automatisierung enthalten, die Sie brauchen.

Die Reddit-Diskussion bestätigt nicht, dass ein Connector für die administrative NetBackup-Konsole im Marketplace existiert, gehen Sie also nicht davon aus, dass einer verfügbar ist. Suchen Sie nach NetBackup, Veritas, Cohesity und dem genauen Namen der Client-Anwendung, die in Ihrer Umgebung verwendet wird.

Verifizieren Sie außerdem, ob der Connector zur Konsolenversion passt. Desktop-Management-Anwendungen ändern über Releases hinweg Fenstertitel, Ausführungspfade, Authentifizierungsdialoge und Steuerelemente. Ein für einen älteren Client geschriebener Connector startet vielleicht erfolgreich, scheitert aber beim Login.

Existiert kein passender Connector, ist der dokumentierte Custom-Universal-Connector-Weg der sicherere nächste Schritt.

Wie funktioniert das CyberArk-AutoIt-Connector-Modell?

CyberArks Custom Universal Connector verwendet ein AutoIt-Skript als Dispatcher für die Zielanwendung. Das Skript identifiziert die ausführbare Client-Datei, startet sie, ruft Session-Informationen von PSM ab, automatisiert den Login-Prozess und meldet die Anwendungsprozess-ID, damit PSM die Sitzung überwachen kann.

CyberArk stellt im Bereich PSM Components ein Skeleton namens PSMAutoItDispatcherSkeleton.au3 bereit. Der dokumentierte Workflow besteht darin, dieses Skeleton auf eine Entwicklungsmaschine zu kopieren, die ausführbare Zielanwendungsdatei zu definieren, den Abschnitt zur Login-Behandlung durch anwendungsspezifische Logik zu ersetzen und den Connector anschließend mit dem mitgelieferten Generic Client Driver zu testen.

Das ist strukturierter als ein normales AutoIt-Login-Makro. Der Connector nutzt die PSM-Universal-Connector-API, um Eigenschaften wie Benutzername, Adresse und Passwort aus der privilegierten Sitzung abzurufen. Das hält den Credential-Fluss innerhalb der PAM-Architektur, statt Secrets fest in ein Skript zu kodieren.

Beginnen Sie nicht damit, Mauskoordinaten aufzuzeichnen. Bauen Sie den Connector um stabile Fenstersteuerelemente, Anwendungszustände und PSM-Session-Eigenschaften herum.

Was sollte der NetBackup-Connector automatisieren?

Automatisieren Sie nur die Schritte, die für eine authentifizierte NetBackup-Konsolensitzung nötig sind. Das bedeutet normalerweise, genau die ausführbare Konsolendatei zu starten, auf das Login-Fenster zu warten, die erforderlichen Server- oder Domäneninformationen einzutragen, das privilegierte Credential über PSM bereitzustellen, den Login abzusenden, den erfolgreichen Anwendungsstart zu bestätigen und die korrekte PID an PSM zu melden.

Die genauen NetBackup-Dialogfelder sind in der Reddit-Quelle nicht dokumentiert, Sie müssen sie also in Ihrer installierten Konsolenversion selbst ermitteln. Notieren Sie den Ausführungspfad, den Haupt-Fenstertitel, die Fensterklasse, den Titel des Login-Dialogs, die Steuerelement-Kennungen und alle sekundären Authentifizierungsabfragen.

Wenn die NetBackup-Konsole die Authentifizierung an Windows oder einen anderen Identity Provider delegiert, braucht der Connector möglicherweise einen anderen Ablauf als eine Konsole mit eigenem Benutzername-Passwort-Formular. Belegen Sie das manuell auf der PSM-Entwicklungsmaschine, bevor Sie die Automatisierung schreiben.

Für Servicekonto-Probleme auf dem NetBackup-Server selbst behandelt der NetBackup-Domänenkonto-Installations-Troubleshooting-Guide eine separate Identitätsschicht. Vermischen Sie NetBackup-Servicekonten nicht mit dem privilegierten Benutzerkonto, das CyberArk in die Konsole vermittelt.

Warum ist SendPID in einem PSM-Connector wichtig?

CyberArk dokumentiert SendPID als die Funktion, die die Prozess-ID des Connection-Clients an den PSM-Server meldet. Nach dieser Übergabe überwacht PSM den Zielclient und erlaubt die normale Benutzerinteraktion, die für die Sitzung definiert ist.

Wenn der Connector NetBackup startet und sich beendet, ohne den korrekten Prozess zu melden, kann PSM die Sitzung als beendet behandeln, obwohl das Konsolenfenster noch sichtbar ist. Das erzeugt verwirrendes Verhalten, bei dem die Login-Automatisierung scheinbar funktioniert und sich die Sitzung unmittelbar danach schließt.

Native Anwendungen können außerdem Child-Prozesse erzeugen. Testen Sie, welcher Prozess nach der Authentifizierung das nutzbare NetBackup-Hauptfenster besitzt. Der ursprünglich gestartete Prozess muss nicht der Prozess sein, der aktiv bleibt.

CyberArk warnt außerdem, dass Titel und Klassenname des Hauptanwendungsfensters wichtig sind, um zu verhindern, dass die Anwendung versteckt wird, und für die Sitzungsaufzeichnung. Erfassen Sie diese Werte während der Entwicklung und geben Sie sie an den PSM-Administrator weiter, der die Komponente konfiguriert.

Wie sollte der Connector getestet werden?

Entwickeln und testen Sie den AutoIt-Connector, wie von CyberArk empfohlen, auf einer separaten Entwicklungsmaschine. Verwenden Sie den Generic Client Driver und Testwerte, bevor Sie die Komponente auf einen produktiven PSM-Server verschieben.

Eine sinnvolle Testsequenz ist bewusst unspektakulär. Belegen Sie zuerst, dass das Skript die NetBackup-Konsole startet. Belegen Sie dann, dass es das Login-Fenster erkennen kann. Rufen Sie anschließend Platzhalter-Session-Eigenschaften ab. Füllen Sie dann ein Feld nach dem anderen. Testen Sie schließlich einen erfolgreichen Login und die korrekte PID-Übergabe.

Testen Sie auch Fehlerfälle. Verwenden Sie ein falsches Passwort, einen nicht erreichbaren NetBackup-Primary-Server, ein abgelaufenes Konto, ein langsames Netzwerk und einen unerwarteten Dialog. Ein PAM-Connector, der nur auf dem perfekten Pfad funktioniert, kann Administratoren genau dann aussperren, wenn sie Notfallzugriff brauchen.

Der Generic Client Driver erzeugt Log-Ausgaben für das Connector-Testing. Bewahren Sie diese Entwicklungslogs auf, denn sie sind deutlich nützlicher als das Debugging einer undurchsichtigen produktiven PSM-Sitzung nach dem Deployment.

Wie sollte der benutzerdefinierte Connector paketiert werden?

CyberArk dokumentiert, das AutoIt-Skript zu einer 64-Bit-Ausführungsdatei zu kompilieren und sie mit den von der Connection-Komponente benötigten Dateien zu paketieren. Das Paket enthält eine package.json-Datei, die die Client-Anwendungspfade angibt, die PSM über AppLocker freigeben muss.

Dieser Paketierungsschritt ist wichtig, weil eine benutzerdefinierte Ausführungsdatei, die beiläufig auf einen PSM-Server kopiert wird, blockiert werden kann, selbst wenn die AutoIt-Logik korrekt ist. Die NetBackup-Zielausführungsdatei, der Dispatcher, benötigte DLLs und alle weiteren Abhängigkeiten müssen Teil eines kontrollierten Deployment-Designs sein.

CyberArk empfiehlt, AutoIt zu kompilieren, statt rohe Skripte direkt mit AutoIt3.exe auszuführen, weil das das Sicherheitsrisiko senkt. Zudem rät CyberArk davon ab, die Ausführungsdatei direkt unter C:\ abzulegen, und dokumentiert die Verwendung der PSM-Components-Struktur und des Deployment-Toolings.

Behandeln Sie das Paket wie privilegierten Zugriffscode. Versionieren Sie es, überprüfen Sie Änderungen, signieren Sie es, wo Ihr Prozess das verlangt, und bewahren Sie eine nachweislich funktionierende Rollback-Kopie auf.

Welche Sicherheitsfehler sollten vermieden werden?

Schreiben Sie das NetBackup-Passwort nicht auf die Festplatte, geben Sie es nicht in Logs aus, zeigen Sie es nicht in einem Dialog an und lassen Sie es nach dem Login nicht sichtbar in der Anwendung stehen. CyberArks Guidance warnt Connector-Entwickler ausdrücklich davor, Zugangsdaten über die Benutzeroberfläche offenzulegen, und verlangt, während einer Sitzung geschriebene sensible Daten zu bereinigen.

Geben Sie Benutzern nicht die Kontrolle, bevor der automatisierte Login abgeschlossen ist. PSM kann Benutzereingaben während des Login-Prozesses blockieren, und der Connector sollte die passende Übergabe erst aufrufen, nachdem die Authentifizierung den beabsichtigten Zustand erreicht hat.

Beschränken Sie außerdem, was die PSM-Sitzung starten kann. Eine privilegierte NetBackup-Konsolensitzung sollte nicht zu einem Allzweck-Desktop werden, auf dem dasselbe im Vault gespeicherte Credential in unabhängigen Anwendungen wiederverwendet werden kann.

Testen Sie schließlich Sitzungsaufzeichnung und -beendigung. Das Schließen der NetBackup-Konsole sollte die Verbindung sauber beenden, und das Trennen der PSM-Sitzung sollte keine authentifizierte Konsole unbeaufsichtigt auf dem PSM-Host laufen lassen.

Was würde ich für diese NetBackup-Anforderung implementieren?

Ich würde zuerst den CyberArk Marketplace nach einem gepflegten Connector durchsuchen, der zur Version der administrativen NetBackup-Konsole passt. Existiert keiner, würde ich auf einer separaten Entwicklungs-Workstation einen Custom Universal Connector aus dem von CyberArk bereitgestellten AutoIt-Skeleton bauen.

Der erste Meilenstein wäre ein zuverlässiger Start und Prozess-Tracking, nicht die Credential-Injection. Sobald das funktioniert, würde ich den Abruf der PSM-Session-Eigenschaften hinzufügen, die genauen NetBackup-Login-Steuerelemente automatisieren, SendPID erst nach der Authentifizierung der Konsole aufrufen und Sitzungsaufzeichnung sowie Cleanup testen.

Die Ausgangsdiskussion gibt eine Richtung vor, AutoIt, und CyberArks aktuelle Dokumentation stützt diese Richtung. Sie liefert weder einen fertigen NetBackup-Connector noch ein fertiges Skript. Die Integration als Standard-PSM-Universal-Connector zu bauen, hält das Design supportfähig und verhindert, dass aus einem privilegierten administrativen Login ein fragiles Desktop-Makro wird.