Overzicht referentierotatie
Referentierotatie is de praktijk van het vervangen van een beherderswachtwoord, SSH-sleutel of token op geplande of op aanvraagbasis. Dit artikel legt uit hoe rotatie werkt in VaultPAM en hoe u rotatiebeleid configureert.
Zie Een referentie roteren voor stapsgewijze instructies om een referentie nu handmatig te roteren.
Wat rotatie betekent
Wanneer een referentie wordt geroteerd, genereert VaultPAM een nieuw geheim en werkt de waarde bij die in de Safe is opgeslagen. Het oude geheim wordt verwijderd. Als de referentie is gekoppeld aan een beheerd account op een doelsysteem, pusht VaultPAM ook de nieuwe waarde naar dat systeem.
Rotatie verkleint het blootstellingsvenster: zelfs als een referentie is gecompromitteerd, wordt deze ongeldig na de volgende rotatie.
Handmatige versus automatische rotatie
| Modus | Wanneer het gebeurt | Wie triggert het |
|---|---|---|
| Handmatig | Op aanvraag | Operator of beheerder vanuit de Safe-weergave |
| Automatisch | Volgens een ingesteld schema | VaultPAM-rotatieengine |
| Gebeurtenisgestuurde rotatie | Na afloop van een sessie of een specifieke gebeurtenis | Configureerbaar per Safe |
Rotatiefrequentie instellen
Rotatiefrequentie wordt per Safe geconfigureerd:
- Ga naar Safes en open de Safe die u wilt configureren.
- Selecteer Instellingen > Rotatiebeleid.
- Stel het rotatieinterval in (dagelijks, wekelijks, maandelijks of aangepast in dagen).
- Schakel optioneel Roteren na sessie in om de referentie automatisch aan het einde van elke sessie te roteren.
- Sla het beleid op.
Succestoestand: De Safe geeft de volgende geplande rotiesdatum en -tijd weer. Rotatiegebeurtenissen verschijnen in het auditlogboek.
Compliancegronden
Regelmatige referentierotatie is vereist of aanbevolen door:
- NIS2 artikel 21 -- toegangscontrole en minste-privilegematen
- SOC 2 CC6.1 -- logische toegangscontroles
- CIS Control 5 -- accountbeheer
Een maximale rotatie van 90 dagen is een gebruikelijke basislijn voor beheerdersaccounts. Voor serviceaccounts met geautomatiseerde checkout worden kortere intervallen (7-30 dagen) aanbevolen.