Getting Started with Foxpass

设置 SSH 密钥管理

Foxpass 帮助用户自助服务他们的 SSH 密钥管理，并为服务器提供轻松访问服务。 此外，Foxpass 还提供额外的功能，如临时访问和基于模式的主机匹配。

如何通过 Foxpass 配置主机访问

• 将 Foxpass 与您的主机集成

• 在当前主机上运行 Foxpass 安装脚本。 然后，请参阅左侧的“Linux 配置”部分以获取更多说明。
• 将脚本添加到启动脚本或 Chef 或 Puppet 等配置管理工具中。 这样，无论何时启动新实例，它都已经配置了 Foxpass。

• 生成并上传您的 SSH 密钥

• 按照“将 SSH 密钥添加到 Foxpass”中的说明从您的计算机生成并上传 SSH 密钥到 Foxpass。 如果您已有公钥，则可以上传现有的公钥。
• 确保您的用户类型设置为“工程”，否则 SSH 密钥管理功能将不可用。

此时，您应该能够使用上传到 Foxpass 的 SSH 密钥登录到任何已配置的主机。

3. 后续步骤：更多高级用户的额外选项。

• 设置自动SSH Key过期。 转到“配置”页面并转到“SSH 密钥过期”面板以设置过期时间。 当用户的 SSH 密钥即将过期时，用户将自动收到一封电子邮件，提示上传新密钥。
• 添加一个“foxpass-sudo”组。 如果您想在主机上运行“sudo”命令而无需重新输入密码，请在此处创建一个名为“foxpass-sudo”的组。 根据需要添加您自己或需要轻松 Sudo 访问主机的任何其他用户。
• 管理你的组织。 管理员还可以从“更多操作”下拉菜单下的“用户”页面手动管理其他用户的 SSH 密钥。 管理员可以为特定工程用户上传、启用、禁用或一键禁用所有 SSH 密钥。
• 为临时访问控制启用主机组。 主机组允许您授予用户或组临时或永久访问您的基础设施的权限。 它们是在您的组织中实施最小特权原则的好方法。
• 与 API 集成以自动访问。 查看左侧面板上的 API 端点。

设置 VPN

Foxpass 可以作为身份验证机制与您的 VPN 服务集成。 我们还提供您可以运行 VPN，它直接与 Foxpass 集成。

如何将您的 VPN 与 Foxpass 集成

• 设置您的 VPN

• 运行 Foxpass VPN。 Foxpass 提供自动与我们集成的VPN。 在此处查看 AMI 或阅读更多文档或通过在此处查看 GitHub 自行构建。
• 将 Foxpass 与您现有的 VPN 集成。 在左侧面板的“LDAP 客户端”下找到您的 VPN，然后按照说明进行操作。

• 将您的客户端与 VPN 集成。

• 有关将 Foxpass VPN 与 Mac 或 Windows 计算机集成的说明，请参阅左侧面板上的“VPN 客户端设置”部分。

• 测试您的设置

• 尝试使用您的 Foxpass 密码登录您的 VPN。 如果您尚未设置 Foxpass 密码，请转到此处进行设置。

• 下一步。 用于更高级用法的额外选项。

• 与身份提供者集成。 转到“身份验证设置”页面以启用委托身份验证。 这样，用户就可以在 VPN 中使用他们的常规密码。 要了解更多信息，请阅读与身份提供者集成。
• 为 2FA 启用 Duo。 阅读 Foxpass VPN 文档，了解有关如何使用 Duo 启用 2FA 的信息。 每当用户登录 VPN 时，系统都会提示用户批准从他们的 Duo 应用程序登录。

设置 Wi-Fi® 身份验证

Foxpass 提供 RADIUS 端点以允许基于用户的登录到您的 Wi-Fi。 这增强了网络中的安全性和可见性。

如何配置 RADIUS

• 在 Foxpass 上注册您的网络

• 在“RADIUS 客户端”页面上创建一个 RADIUS 客户端。 然后，复制 Foxpass RADIUS IP 地址和为该 RADIUS 客户端条目创建的“秘密”。

• 设置您的接入点

• 按照左侧面板“接入点设置”部分中针对您的接入点的说明进行操作。 如果您没有看到列出的接入点，请联系我们帮助您进行设置。

• 配置您的最终客户端

• 根据左侧面板中“RADIUS 客户端”部分中列出的说明配置您的客户端。

• 测试您的连接

• 尝试使用您的 Foxpass 密码登录您的 Wi-Fi®。 如果您遇到问题，请查看“RADIUS 日志”页面以查看有关登录尝试的更多详细信息。

• 下一步。 用于更高级用法的额外选项。

• 启用 VLAN。 您可能想要启用额外的半径属性或配置 VLAN 分配。 从以下页面阅读如何执行此操作：启用 RADIUS 属性和通过 RADIUS 属性启用 VLAN。

与身份提供者集成

Foxpass 与您的身份提供者集成，以在您的整个基础设施中传播 SSO。 我们还设置了与您的身份提供商的持续同步，sfao 对您目录的任何更改都会立即反映在 Foxpass 中。 没有更多繁琐的步骤。 如果您希望用户在网络、Wi-Fi®、VPN、机器等环境中使用同一个密码，请按照以下步骤进行设置。

如何与您的身份提供者集成

• 为用户和群组设置同步

• 转到“目录同步”页面并找到您的主要身份提供者。 根据需要启用同步。
• 您可以只同步用户或组或同时同步它们。 同步平均每 10-20 分钟运行一次。
• 用户同步会自动将新用户添加到 Foxpass 或更新他们的任何进一步信息。 在您的身份提供者中禁用或删除的任何用户都将在 Foxpass 中禁用。
• Group sync 将根据您的身份提供者中的组成员身份在Foxpass 中创建和管理组成员身份。
• 您可以在添加凭据后从页面检查同步状态。
• 如果您没有看到您的身份提供者列出，请联系我们将其添加为来源。

• 设置委托身份验证

• 委托身份验证允许用户在其主要身份提供者和 Foxpass 之间维护一个密码。 在“身份验证设置”页面的“密码身份验证委托”面板中选择您的身份提供者。
• 随后的 LDAP 和 RADIUS 请求检查您的身份提供者的密码，而不是 Foxpass 中的密码。 检查 LDAP 或 RADIUS 日志以查看登录尝试是否成功。
• 注意：如果为他们的登录打开 2FA，Foxpass 不能总是与您的身份提供者集成。 如果您希望保持 2FA，但仍让用户在两种服务中使用同一个密码，请阅读以下有关启用密码同步的说明。

• 下一步。 用于更高级用法的额外选项。

• 启用密码同步。 密码同步会将对用户 Foxpass 密码的更改推送回身份提供者。 这允许用户保留一个密码，并为其主要身份提供者启用 2FA。 检查“身份验证设置”页面的底部面板以启用密码同步。 如果您没有看到该面板，请联系我们以添加对您的身份提供商的支持。

与 Foxpass 的 API 集成

Foxpass 提供了一个 API 来获取日志、测试身份验证、管理权限等。 右侧面板上的 API 部分提供了完整的端点列表。

 

如何与 Foxpass API 集成

• 创建 API 密钥

• 在此处创建 API 密钥。 API 密钥可以设置为“只读”，这意味着它们只能获取数据而不能修改任何设置或信息。

• 了解端点和功能

• API 可以通过向组中添加或删除用户来帮助您实现访问自动化。 您还可以自动下载和分析日志。 查看上方下拉菜单下的 API 参考部分。
• 一些想法：

• 检查 PagerDuty 以查看谁在通话并将他们添加到 sudo 组的脚本
• 提取日志并检查可疑活动的脚本，根据需要删除用户访问权限
• 一个插件，当用户的 JIRA 工单获得批准时，该插件会授予用户主机组访问权限