Une seule porte pour entrer sur vos serveurs
Vos équipes et vos prestataires ouvrent une session depuis leur navigateur, sans rien installer et sans jamais voir le mot de passe de la machine. Vous savez qui est entré, où, et ce qu'il y a fait. Le bastion se pose sur l'infrastructure que nous hébergeons ou que nous exploitons déjà pour vous : c'est un module de votre contrat, pas un abonnement à part.
Rien à installer
RDP, SSH et VNC passent dans le navigateur. Le prestataire ouvre un lien, saisit son code, il est sur la machine. Plus de client à déployer chez des gens qui ne sont pas à vous.
Un compte par personne
Chacun le sien, avec ses machines et rien d'autre. C'est la fin du compte administrateur partagé dont personne ne sait plus qui connaît le mot de passe.
Double facteur à la porte
Code à usage unique ou clé matérielle, imposé à tout le monde. Un identifiant volé ne suffit pas à entrer.
Les mots de passe restent chez vous
Le bastion présente les identifiants à la machine, l'utilisateur ne les voit jamais. Une fin de mission se règle en désactivant un compte, sans changer les mots de passe du parc.
Sessions enregistrées
La session se rejoue comme une vidéo. Ça sert après un incident, et ça sert à montrer ce qui a été fait pendant une intervention facturée.
Fenêtres d'accès
Un prestataire peut n'avoir la porte ouverte que pendant son intervention. Après, elle se referme sans que personne ait à y penser.
Au périmètre, dans votre contrat
Le bastion s'ajoute à votre infogérance. Le montant dépend du nombre de machines à joindre et du travail de mise en service : inventaire des accès qui existent aujourd'hui, raccordement, comptes de départ, puis le plan de fermeture des accès directs. Nous le chiffrons après avoir regardé votre parc, il n'y a pas de grille.
À savoir
Pour qui ça se pose simplement, et pour qui c'est un projet
Si nous hébergeons votre infrastructure, le bastion se pose à côté de vos machines et il n'y a aucun réseau à construire. Si nous exploitons votre pare-feu, le lien existe déjà. Si vous avez votre propre datacenter et votre propre réseau, le bastion se déploie chez vous et nous l'exploitons à distance : c'est possible et c'est même souvent la bonne réponse, mais c'est un projet avec son étude et son devis.
Notre bastion est-il partagé avec vos autres clients ?
Non, et c'est structurant. Une instance par client, avec son propre lien vers votre parc, et aucun routage mutualisé. Un incident chez un autre client ne donne rien chez vous. C'est la première question que pose un responsable sécurité, la réponse doit être celle-là.
Est-ce que ça remplace notre VPN ?
Pas forcément, et ce n'est pas le même problème. Le VPN met quelqu'un sur le réseau. Le bastion décide sur quelle machine il va, et garde la trace de ce qu'il y a fait. Beaucoup de clients gardent le VPN pour leurs salariés et passent les prestataires par le bastion.
Que doit installer notre prestataire ?
Un navigateur. C'est tout. Pas de client RDP, pas de profil VPN à configurer, rien à faire valider par sa propre DSI.
Les enregistrements, on a le droit ?
Oui, à condition de prévenir. Les personnes filmées doivent être informées, salariés comme prestataires, et la durée de conservation doit être fixée d'avance. Nous vous donnons le texte à intégrer à vos contrats et à votre note interne, et nous réglons la purge automatique avec vous.
Et si le bastion tombe ?
Vous gardez vos accès habituels, il ne coupe rien de ce qui existe. Mais autant le dire tout de suite : tant que le RDP direct et les comptes partagés restent ouverts à côté, vous avez gagné du confort et pas un contrôle. Fermer les autres portes est la vraie partie du travail, et c'est pour ça que nous la planifions avec vous plutôt que de vous vendre un abonnement.
Où est-il hébergé ?
Sur une instance rien qu'à vous, en France chez OVHcloud, sauvegardée chaque nuit sur un autre site. Il peut aussi tourner chez vous si votre politique l'exige.
Le bastion repose sur Apache Guacamole, un projet de la fondation Apache publié sous licence Apache 2.0.