Сравни внедрил JumpServer PAM: что важно в архитектуре доступа

Исходная задача

Финансовый маркетплейс «Сравни» использует внутренние сервисы и внешние облачные ресурсы. При росте инфраструктуры требовалось сохранить привычные способы работы администраторов и одновременно перевести привилегированный доступ в централизованный, контролируемый процесс.

По опубликованным данным, JumpServer PAM внедрялся при участии интегратора «Айти Таск» и AFI Distribution. Важно, что проект рассматривал PAM не как отдельный интерфейс для ИБ, а как общий шлюз для терминальных клиентов, RDP и подключений к базам данных.

Какие элементы вошли в контур

• централизованное разграничение прав и проксирование сессий;
• запись терминальных команд, SQL-запросов, файловых операций и RDP;
• интеграция журналов с SIEM;
• изоляция реквизитов целевых систем и ротация технических учётных записей;
• синхронизация пользователей и прав с Active Directory;
• обязательная многофакторная аутентификация;
• включение управления доступом в процессы команд через Terraform и GitLab.

Почему кейс полезен заказчику

Кейс показывает, что крупный PAM-проект необязательно должен лишать инженеров привычных клиентов или превращать каждую выдачу прав в ручную операцию ДИБ. Зоны ответственности можно делегировать владельцам команд, сохранив централизованные правила и аудит.

Для другого заказчика этот результат не переносится автоматически. На пилоте необходимо проверить собственные клиенты, способы подключения, модель делегирования, интеграции AD/MFA/SIEM и непрерывность доступа при миграции.

Что включить в похожий пилот

1. Выбрать 3–5 систем и несколько ролей пользователей.
2. Подключить корпоративный каталог и второй фактор.
3. Проверить терминальный, RDP и SQL-сценарии.
4. Передать события в SIEM и найти контрольное действие.
5. Проверить временный доступ, отзыв прав и ротацию учётной записи.
6. Зафиксировать влияние PAM на рабочий процесс инженеров.

Источник: публикация о внедрении JumpServer PAM в «Сравни».