特权账户发现

PAM360 中的特权账户发现功能使管理员能够识别并管理其环境中与 IT 资源相关的所有特权账户。本文档提供了关于按需发现以及通过定期发现计划发现特权账户的全面指导。 通过遵循本文档中概述的步骤，管理员可以全面掌握整个基础设施中的特权账户情况，降低未受管理或未知账户带来的风险，并将其无缝集成到 PAM360 的账户管理和访问控制工作流中。

本帮助文档详细涵盖了以下主题：

1. 先决条件
2. 特权账户的发现
3. 特权账户的定期发现

1. 先决条件

1. 要发现并枚举特权账户（包括本地管理员账户），PAM360 需要具备足够权限的有效凭据，以便连接到目标资源并查询、枚举及获取其特权账户。您可以通过配置目标资源的远程登录凭据来提供必要的凭据，该资源的账户正是您希望发现的对象。了解此 链接 ，了解在 PAM360 中为不同资源类型配置登录凭据的详细步骤。
2. 要在 Windows 域资源中发现特权域账户，PAM360 需要一个具备必要权限的域管理员账户，以便查询域控制器、枚举 Active Directory 域中的组，并执行密码重置等操作。

2. 发现特权账户

PAM360 允许管理员发现与单个资源关联的特权账户，或同时对多个资源进行批量发现。在发现过程中，PAM360 会连接到目标资源并获取所有关联的特权账户。发现完成后，这些账户将自动添加到各自的资源容器中。

• 发现单个资源的特权账户
• 发现特权域账户
• 发现 Windows 服务账户

2.1 发现单个资源的特权账户

请按照以下步骤发现与某个资源关联的特权账户：

1. 导航至“资源”选项卡，然后单击您希望发现其帐户的目标资源。
2. 在弹出的“帐户详细信息”窗口中，点击顶部窗格中的“发现帐户”按钮。

请按照以下步骤批量发现与多个资源关联的特权账户：

1. 导航至“资源”选项卡，选择您希望发现其账户的目标资源，点击顶部窗格中的“资源操作”按钮，然后从显示的选项中选择“发现账户”。
2. 或者，导航至“组”选项卡，选择包含目标资源的资源组（您希望发现其成员帐户），点击顶部窗格中的“批量配置”按钮，并从显示的选项中选择“发现帐户”。
3. 在弹出的“发现账户”窗口中，选择所需选项并点击“保存”。
1. 勾选“发现后随机化密码”复选框，可在发现特权账户后重置其密码。
   
2. 选择在账户被发现后需要接收发现任务通知的目标用户。您可以选择通知环境中的特定用户或用户组。点击“用户”或“用户组”按钮，然后选择您希望通知的环境中的目标用户或用户组。
3. 您还可以勾选“指定电子邮件地址”复选框，并在指定字段中输入您希望通知的特定用户的电子邮件地址。您可以以逗号分隔的形式输入多个电子邮件地址。

2.2 发现特权域账户

PAM360 通过使用具备必要权限的专用账户连接到 Active Directory，支持特权域账户的发现和管理。该账户可以是域管理员，也可以是受委托的服务账户，但必须具备查询 Active Directory、枚举组以及执行密码重置等操作的充分权限。

请按照以下步骤发现您 Active Directory 域中的特权域账户：

1. 导航至“资源”选项卡，然后单击您希望发现其域帐户的所需 Windows 域资源。
2. 在“帐户详细信息”窗口中，点击顶部窗格中的“发现域帐户”按钮。
   
3. 在弹出的“发现域账户”窗口中，请核对域名称和域控制器。这些值由 PAM360 自动填充。
4. PAM360 需要具有必要权限的有效域账户凭据，才能执行账户发现和密码重置操作。请在“资源名称”和“账户名称”字段中选择所需的资源和账户。该账户可以是同一 Windows 域资源的成员账户，也可以是您环境中与所选 Windows 域资源具有受信任连接的另一个 Windows 域资源的账户。
   
5. 若希望使用所选域账户对已发现的域账户执行密码重置操作，请勾选“使用此账户进行密码重置操作”复选框。请确保所选域账户在 Windows 域内具备执行密码重置操作所需的权限。
6. 若要通过基于账户名称和 AD 组的条件来导入特定域账户，请在“导入条件”部分指定条件。您可以在这些字段中以逗号分隔的格式输入多个值。

   其他详细信息

   • 您可以使用“包含”、“等于”、“不等于”、“以...开头”、“以...结尾”以及正则表达式 (RegEx) 等修饰符，根据条件高效地过滤搜索结果。
   • 在导入过程中，仅会获取当前 Active Directory 域中的域账户。
7. PAM360 可定期查询 AD 以保持资源同步。新增到 AD 中的域账户会自动添加到 PAM360 的库存中，以保持资源数据库的同步。若要添加同步计划以发现新添加的域账户，请勾选“同步计划”复选框，并输入以下详细信息：
1. 执行频率- 选择计划任务的运行频率。选择“一次”仅执行该任务一次；选择“天”则每隔若干天重复执行；选择“每月”则每月执行一次。
2. 从...开始 - 根据计划的执行频率，指定任务应开始的日期或应执行的日期。
3. 开始时间- 指定在所选日期上执行任务的具体时间。
4. 如果您选择了“天”作为执行频率，请在“间隔天数”字段中输入任务应重复执行的天数。计划将每隔指定的天数重复一次。
   
5. 如果您选择了“每月”，则应指定每月执行该计划的日期。任务将在每月的选定日期运行。
8. 如果您已指定导入域账户的条件，请点击“导入”按钮将其导入 PAM360 的资源库。所有符合条件的域账户都将从 AD 域中导入。
9. 若未指定条件，请点击“枚举组”按钮以获取 Active Directory 域中的所有组。从枚举出的组中，选择包含所需特权域账户的目标 Active Directory 组，然后点击“导入”。
10. 可通过“资源操作>> 域账户发现计划”查看特定 Windows 域资源的域账户发现计划。在“域账户发现计划”页面中，您可以编辑、启用、禁用和删除计划从特定组导入域账户的计划。此外，您还可以通过“管理>>管理>>计划任务>>用户创建的计划”执行相同操作。
    

2.2.i 发现特权域账户的限制

• 如果特权域账户或 Active Directory 组的名称中包含逗号 (,)，则不支持域账户发现。
• 名称末尾附加了域控制器名称的特权域账户无法被发现。
• 嵌套在 Active Directory 组中的特权域账户无法自动发现。不过，您仍可在发现过程中单独选中此类组进行导入。

2.3 发现 Windows 服务账户

在发现 Windows 域账户时，PAM360 会自动识别并导入与域成员服务器上运行的服务相关的服务账户，确保管理员能够全面掌握与域环境相关的所有账户。发现过程如下：

1. 在发现过程中，PAM360 会根据域名称创建一个 Windows 域资源。例如，如果域名称为 PAM360，则创建的资源名称将为PAM360 - 域控制器。
2. PAM360 会查询 Active Directory，并获取组内所有可用的 Windows 成员服务器。
3. 随后，PAM360 会检索与这些成员服务器关联的本地帐户和服务帐户。

发现后，服务账户将与包含其所属资源的资源组相关联。资源组名称将采用DomainName_MemberServerGroup 的格式。例如，如果域名为 PAM360，则创建的资源组为PAM360_MemberServerGroup。如果已存在同名的资源组，则相关资源将被添加到现有组中。

3. 特权账户的定期发现

请按照以下步骤在资源组级别添加定期发现计划：

1. 导航至“组”选项卡，并点击包含所需资源的资源组旁边的“操作”按钮，您希望定期发现该组成员帐户。
2. 在弹出的“定期帐户发现”窗口中，输入以下详细信息：
1. 从以下选项中选择计划的运行频率：一次、按天、按月、永不。选择“一次”仅执行该任务一次；选择“按天”则每隔若干天重复执行；选择“按月”则每月执行一次；选择“永不”则禁用现有计划。
   
2. 若选择“一次”，请指定发现任务的执行时间。若选择“现在”，发现任务将立即执行，并从指定域中发现所有特权账户。若选择“稍后”，请指定希望执行发现任务的日期和时间。
3. 若选择“天”作为重复间隔，请在相应字段中输入任务应重复执行的天数、计划开始日期及开始时间。
4. 若选择“每月”作为执行频率，请在相应字段中选择每月执行计划的日期及开始时间。该任务将在每月选定的日期和时间运行。
5. 如果您将执行频率设为“从不”，则任何已配置的发现计划都将被禁用。
3. 若希望在发现后重置密码，请勾选“发现后随机化密码”复选框。
4. 此外，您还可以选择在账户被发现后需要接收发现任务通知的用户。点击“用户”或“用户组”按钮，并选择您环境中需要通知的目标用户或用户组。
5. 您还可以勾选“指定电子邮件地址”复选框，并在指定字段中输入需要通知的特定用户的电子邮件地址。您可以以逗号分隔的形式输入多个电子邮件地址。
6. 输入所需详细信息后，点击“计划”按钮以配置定期账户发现计划。