Привет, Хабр! Меня зовут Кирилл Белов (@KirillBelovTest на Хабре), я инженер по автоматизации тестирования. На работе я администрирую виртуальные машины и часто задумываюсь о том, насколько надежен доступ к той или иной виртуалке или сервису, который на ней запущен. На Хабре у меня уже почти два десятка статей, и сегодня я хочу рассказать о сервисе управления паролями Пассворк. 

У нас в компании тоже используется корпоративный менеджер паролей, поэтому мне было особенно интересно сравнить функциональность Пассворка и нашего текущего менеджера. Перед тем как попробовать новую версию, я прочитал обзорную статью, где уже был подробный разбор возможностей. 

Мне не хочется повторяться, поэтому я сосредоточусь только на нововведениях версии 7.0: изменение групп и ролей, улучшение пользовательского интерфейса, повышение безопасности, а также обновленная версия Python connector. Разбирать буду коробочную версию сервиса. За подробностями добро пожаловать под кат!

Как изменился интерфейс

Конечно же, самые заметные для пользователя функции всегда связаны с UI. Пассворк с каждым релизом улучшает свой внешний вид и старается следовать современным стандартам. При сравнении с предыдущей версией первое, что бросилось мне в глаза, — это возможность задавать собственный цвет папок. Лично у меня при переключении было ощущение как от перехода на цветное ТВ. Кроме визуальной составляющей, это еще и полезная функция. На демостенде было не так много папок, а цвета уже очень хорошо помогали быстро ориентироваться, не вчитываясь в каждое название. Но весь потенциал «раскрашивания» раскроется, когда число папок с паролями превысит несколько десятков.

Еще одно важное улучшение UI, на которое я обратил внимание, — возможность менять ширину левой боковой панели. Можно увеличить панель, если название элемента в навигаторе не помещается по ширине, либо уменьшить, если монитор небольшой и хочется сэкономить место. Меня только расстроило, что настройка размера имеет ограничения. Я бы хотел большей адаптивности для широкоформатных мониторов и иметь возможность растянуть в ширину как навигатор, так и основную рабочую область приложения, а при необходимости совсем скрыть боковую панель. Буду ждать эту фичу в следующих версиях.

Есть и более мелкие изменения, которые связаны с переходом на последние версии UI-библиотек. Я специально сравнил старые скриншоты с новым интерфейсом и обнаружил, что многие иконки были обновлены под современные стандарты, а элементы страницы лучше подходят под общий стиль приложения. Это хорошо видно по изменению дизайна кнопки «Добавить пароль».

Изменения основного функционала

Создание собственных ролей

С одной стороны, Пассворк для пользователя — это сервис хранения паролей, с другой стороны — это инструмент системного администратора для управления пользователями, а точнее их доступами. В этом аспекте произошли очень серьезные изменения. Ранее существовало всего три категории пользователей: владелец, администратор и сотрудник. Сейчас же я могу создать любую роль и наделить ее правами по своему усмотрению. И это очень важное изменение, на мой взгляд. Только посмотрите на то, как это было устроено в предыдущей версии и как в текущей:

Во-первых, хочу отметить, что и здесь интерфейс претерпел значительные изменения: все настройки теперь разбиты на блоки, и все блоки расположены в одной колонке. Во-вторых, роли больше не содержат настройки доступа к сейфам и папкам.

Группы

Настройки доступа к сейфам и папкам я нашел в новом разделе управления группами. Теперь часть старого функционала, которая относилась к ролям, находится здесь. И, на мой взгляд, это верное и очень логичное решение. Это упрощает управление доступом для команд. Появилась возможность добавить одного пользователя в разные группы. Например, IT-support будет «вхож» ко всем, с кем работает. Так как произошли изменения в нейминге и терминологии, я бы хотел подробнее остановиться на этом моменте, а самое важное, на предназначении ролей и групп.

Роли в первую очередь нужны для настройки доступов к функциям самого сервиса: управлению пользователями, администрированию LDAP, настройке способов регистрации. Группы же связаны с доступом к данным, которые хранит Пассворк, — это пароли, сейфы и папки. При настройке структуры групп в сервисе удобнее всего будет создать некоторое отображение реальных отделов и департаментов в группы Пассворк. Такое разделение ответственности реализует модель управления доступом RBAC и  делает сервис удобнее, а еще косвенно повышает безопасность, ведь шанс ошибиться, случайно предоставив доступ не к тем паролям, выдав роль пользователю, теперь заметно ниже.

30 июня, в то время как я работал над этим обзором для Пассворка, вышло очередное обновление 7.0.8. Теперь пользователь может делиться паролями сразу с группой пользователей. Особенно удобно, что доступ к паролю автоматически синхронизируется: добавили пользователя в группу — он моментально увидит пароль во «Входящих», удалили — пароль исчезает из его списка.

Упрощение сейфов

Теперь пользователь меньше нагружен выбором и настройками. Я попробовал создать несколько сейфов — процесс стал заметно проще, а администратор больше не добавляется автоматически. Затем я попробовал добавить других пользователей — сейф автоматически переносится в раздел «Общие сейфы». То есть мне не пришлось делать дополнительные действия и возиться с настройкой доступа отдельно, стало меньше неочевидных ситуаций. Все, что я сделал, — это нажал на кнопку добавления пользователя и выбрал, кого добавить. 

Тут есть важный момент. На скриншоте ниже я добавил доступ только к отдельной папке с паролями, но не ко всему сейфу. То есть доступ ко всему сейфу имею только я, а вот к конкретной папке внутри него — другие пользователи. Такие изменения функционала снижают вероятность ошибки, когда в предыдущих версиях не предназначенные для этого пароли попадали в сейф организации и становились доступны всем.

Обновленные фильтры

Изначально мое внимание привлекло то, что по сравнению с предыдущей версией поле поиска изменилось, а кнопка с выпадающими фильтрами исчезла. Мне сперва показалось, что фильтры совсем упразднили, но воспользовавшись поиском, я понял, что теперь фильтры появляются автоматически при фокусе на поле поиска. Я попробовал воспользоваться поиском и в других разделах сервиса. Особенно удобно оказалось искать события сервиса. Это суперполезно, ведь количество сейфов, папок и паролей меняется медленно и хорошо структурировано, т. е. поиск глазами не составляет труда, если структура хорошая. А вот события генерируются постоянно и накапливаются в виде сплошного списка, поэтому удобный поиск в истории действий — очень важная функция.

Что теперь с безопасностью

Подтверждение доступа к сейфам

Выше я создал несколько пользователей и задал им кастомные роли. По умолчанию оказалось, что эти пользователи вообще не имеют никакого доступа ни к одному паролю. Для получения доступа к общим папкам это нужно подтверждать вручную. Подтверждение сразу видит администратор, который предоставил доступ. Теперь все сотрудники получают доступ без треда в слаке «отпишитесь админу, у кого еще нет доступа». А еще это хорошо видно в истории действий.

Уровни доступа

Та фича, которая используется в компании, где я работаю. Типичный случай, применимый к моему личному опыту, — наш тимлид команды может менеджерить папку своей команды, но не других. Повышает продуктивность и не заставляет сотрудников создавать тикеты в джире на любую мелкую проблему с доступом.

Сброс 2ФА

Я взял на себя роль тестировщика безопасности и решил проверить, как работает 2FA. Я знаю, что в прошлых версиях двухфакторную аутентификацию можно было сбросить, но сейчас у меня не получилось это сделать. Такой кнопки и ссылки даже нет, теперь все нужно делать через администратора. Пусть это не так удобно для пользователя, но зато куда надежнее, а сервис хранения паролей обязан быть максимально защищенным. А еще Пассворк может работать как сервис SSO для доступа к подсистемам внутри организации, и если пароль пользователя был скомпрометирован, то доступ к подсистемам тоже будет заблокирован без возможности сброса 2FA.

Блокировка аккаунта

Я покопался немного в настройках пользователя и обнаружил много интересного. Кроме доступа, можно лично для себя настроить блокировку. Появилась гибкая настройка блокировки. Теперь системные администраторы и пользователи с необходимыми правами могут увеличить (еще один шанс для забывчивых сотрудников) или уменьшить (повышение безопасности) число попыток входа. Я постоянно забываю пароли, выставил себе побольше попыток.

Безопасность ярлыков

В 7.0 запрещено копирование ярлыков, к исходным паролям у которых отсутствуют права на создание ярлыков. Попробовал скопировать папку, в которую специально положил несколько ярлыков, недоступных для копирования, и папки скопировались без них.

Уведомления, теги к паролям и базы данных

Уведомления

Еще при первом входе я обратил внимание на множество активных уведомлений. Их стало больше, и добавились новые типы событий. Теперь администратор может даже отслеживать события входа и детектировать попытку взлома. Вот пример событий, после того как я создал нового пользователя и авторизовался в сервисе:

Системный баннер

Теперь есть возможность включить системный баннер, который будет виден всем пользователям Пассворка, — баннер отображается вверху рабочей зоны экрана Пассворка. Текст баннера можно менять по своему усмотрению. Администраторы могут использовать его для важных уведомлений, предупреждений или инструкций.

Теги к паролям

Мне, как и многим, нравятся простые, полезные и законченные вещи. Теперь для паролей можно проставлять теги. Один из простейших, но полезных кейсов, где я это попробовал применять, — проставить теги к паролям чтобы визуально отделить боевое окружение от тестового. Но важнее другое: теперь теги можно использовать в поиске, задавая фильтрацию по ним.

API

Я люблю код. Эта часть мне наиболее интересна. Я всегда к любому сервису ищу API и радуюсь, когда нахожу. Вот шаги по установке и настройке. У меня локально установлен Python 3.13. Сначала в рабочей папке я создал виртуальное окружение:

python -m venv .venv

Активировал его (да, я все делал на Windows):

.venv\Scripts\Activate.ps1

И установил пакет вместе с зависимостями:

pip install git+https://github.com/passwork-me/passwork-python.git

Теперь, наконец, можно приступать к работе. Я использую Jupyter в VS Code, так как мне нравится интерактивный режим работы, где можно сразу видеть результат. Для начала я должен импортировать модуль коннектора вот так:

import sys
import os
from passwork_client import PassworkClient

Затем я задаю токены доступа, мастер-ключ и адрес стенда:

ACCESS_TOKEN = "<my access token>"
REFRESH_TOKEN = "<my refresh token>"
MASTER_KEY = "<my master key>"
HOST = "<endpoint>"

Их все можно получить на странице настройки пользователя. Затем я пошагово подключаюсь к сервису, добавляю токены и ключ:

passwork = PassworkClient(HOST, True, True)
passwork.set_tokens(ACCESS_TOKEN, REFRESH_TOKEN)
passwork.set_master_key(MASTER_KEY)

Если во время подключения не возникло исключений, это очень хороший знак. А далее я попробовал выполнить самое простое действие — создать новый сейф с именем "My new vault created from python".

vault_name = "My new vault created from python"
vault_id = passwork.create_vault(vault_name)

Теперь если я авторизуюсь, то увижу следующее:

А вообще Python connector дает полный доступ к сервису и позволяет автоматизировать многие рутинные задачи и сложные бизнес-процессы. Насколько я понял из документации к клиентской библиотеке, в Пассворке реализован Secret Manager, что повышает безопасность и значительно снижает риск утечек при использовании Python-клиента. Плюс в документации есть готовые примеры кода для некоторых рутинных задач. Вы всегда можете использовать их и на основе примеров строить свою собственную автоматизацию. Для DevOps-специалистов и системных администраторов есть другой вариант взаимодействия с API — более привычный для них командный интерфейс (CLI).

База данных

Незаметная для рядовых пользователей, но очень крутая штука для DevOps-инженеров и системных администраторов. Теперь в качестве базы данных можно использовать PostgreSQL или специализированные сборки, такие как Pangolin, в которой повышенное внимание уделено безопасности. Казалось бы, в чем разница с MongoDB, которая используется в Пассворке по умолчанию? Жаль, что у меня нет возможности самостоятельно развернуть сервис локально и настроить его конфигурацию, но я использую Postgres в своей работе и хорошо знаю его преимущества. Mongo, по сути, хранит JSON-объекты, а Postgres — это все-таки база данных SQL, а значит, она более строгая, с поддержкой языка запросов и более производительная, имеет более развитое сообщество и огромное количество плагинов. 

И когда речь заходит о безопасности, то у PostgreSQL существует бесплатный плагин PGAudit, который позволяет проанализировать все транзакции и действия, найти небезопасные, подозрительные и составить отчет. Ради справедливости, я проверил, есть ли поддержка похожего инструмента в MongoDB: в версии по умолчанию такого просто нет. Что-то похожее на PGAudit есть только для Enterprise-версии.

Заключение

Для себя я бы выделил в качестве самых полезных изменений возможность выбирать цвет папок и разделение пользователей на роли и группы. Первое — очень простое, но очень эффективное средство, которое упрощает жизнь пользователей. Второе — просто необходимая функциональность для администраторов и руководителей. Разделение ответственности всегда в итоге приводит к большему порядку. 

Что я как инженер надеюсь увидеть в следующих релизах? Если говорить об интерфейсе, то горячие клавиши и интуитивный Drag & Drop. Хочется редактировать имена и пароли нажатием F2, удалять нативным Delete, а переходить в поле поиска нажатием Q. А вам, уважаемые читатели, чего не хватает в ваших менеджерах паролей? Пользуетесь ли вы Пассворком или предпочитаете что-то другое?