Rollen und Berechtigungen

Vaultigen trennt drei Dinge, die viele Passwortmanager vermischen: wer einen Behälter anlegen darf, wer dafür verantwortlich ist und wer seine Geheimnisse lesen darf.

Die Begriffe

• Tresor: die Zugriffsgrenze. Jeder Tresor hat einen eigenen Schlüssel. Ordner, Tags und Einträge liegen darin.
• Ordner: eine flache Ebene pro Tresor. Sie ordnen Einträge und können zusätzliche Berechtigungen tragen. Ein Eintrag kann auch direkt im Tresor liegen.
• Berechtigungen geben einem Benutzer oder einem Team eine Rolle auf einem Tresor, einem Ordner oder einem einzelnen Eintrag, optional mit Ablaufdatum.
• Berechtigungen sind additiv. Eine Ordner- oder Eintragsberechtigung kann Zugriff hinzufügen, nie wegnehmen. Deshalb sieht der Manager eines Tresors jeden Eintrag darin.
• Einen Tresor anzulegen gibt keinen Zugriff darauf. Der Ersteller wird nur durch eine ausdrückliche, protokollierte Berechtigung Manager.
• Plattformrollen geben nie Zugriff auf Geheimnisse.

Tresorrollen

Rolle	Zweck	Zugriff auf Geheimnisse
Betrachter	Sieht Metadaten und zeigt einzelne Werte und Dateien an. Jedes Anzeigen wird protokolliert.	Lesen und anzeigen
Bearbeiter	Legt Einträge in seinem Bereich an und ändert sie. Kann keine Ordner anlegen oder umbenennen.	Lesen und bearbeiten
Manager	Betreibt den Tresor: Einträge, Ordner, Papierkorb, Revisionen und Mitglieder.	Voll, innerhalb des Tresors
Verantwortlicher (Custodian)	Verantwortet den Lebenszyklus: umbenennen, schreibschützen/archivieren/reaktivieren, Verantwortung übertragen, Löschung einleiten, Mitgliederliste lesen. Genau einer pro Tresor.	Keiner

Plattformrollen

Rolle	Zweck	Zugriff auf Geheimnisse
Super-Admin	Benutzer, Teams, Einstellungen, Backups, Schlüssel, Importe, Tresor-Hüllen.	Keiner direkt; nur über den protokollierten Notfallzugriff.
Tresorersteller	Darf Tresore anlegen, sonst nichts.	Keiner
Auditor	Liest das Audit-Log und berechtigte Metadaten.	Keiner

Ein Konto kann viele Rollen haben: Eine Person kann gleichzeitig Super-Admin, Verantwortliche eines Tresors und Betrachterin eines anderen sein.

Was jede Tresorrolle darf

Fähigkeit	Betrachter	Bearbeiter	Manager
Einträge und Metadaten sehen	✓	✓	✓
Geheimnisse anzeigen, Dateien laden	✓	✓	✓
Einträge anlegen und bearbeiten	—	✓	✓
Einträge verschieben	—	Im eigenen Bereich	✓
Einträge löschen und wiederherstellen	—	—	✓
Ordner anlegen und umbenennen	—	—	✓
Zugriff vergeben und entziehen	—	—	✓

Die Regeln, die es sicher machen

1. Eine Plattformrolle gibt nie Zugriff auf Geheimnisse, auch nicht Tresorersteller.
2. Nur ein Manager ändert Zugriffe. Nicht der Admin, nicht der Verantwortliche. Niemand kann sich selbst Zugang verschaffen.
3. Ein Verantwortlicher steuert, ohne zu lesen. Wer entscheidet, dass ein Projekt beendet ist, braucht dessen Passwörter nicht.
4. Ein Super-Admin kann keine gewöhnlichen Berechtigungen vergeben. Ein Tresor ohne aktiven Manager wird über eine eigene, stark authentifizierte und protokollierte Wiederherstellung gerettet.
5. Verschieben schützt den Versionsverlauf. Alte Versionen eines Eintrags sind seinen Managern vorbehalten. Wer für einen Eintrag mit Verlauf keine Manager-Rechte hat, kann ihn weder in einen anderen Tresor noch in einen selbst verwalteten Ordner verschieben. Verschiebt ein Manager den Eintrag in einen anderen Tresor, wandert der Verlauf mit und ist für die Manager des Zieltresors sichtbar.
6. Der Serverbetreiber bleibt vertrauenswürdig. Siehe Sicherheitsmodell.

Eingeschränkte Tresore

Weil Berechtigungen additiv sind, kann keine Berechtigung einen Eintrag vor dem Manager eines Tresors verbergen. Muss ein Geheimnis für den Manager der Gruppe unsichtbar sein, gehört es in einen eigenen Tresor mit eigenem Manager und Verantwortlichem.

Faustregel:

• Ein Tresor pro Projekt, Kunde, System oder Abteilung für alles, was die Gruppe teilt.
• Ordner- und Eintragsberechtigungen für minimale Rechte darin (die Designerin sieht den Design-Ordner, ein Entwickler einen SSH-Schlüssel).
• Ein zweiter, eingeschränkter Tresor nur dann, wenn ein Geheimnis selbst vor dem Manager der Gruppe verborgen sein muss.

„Warum sehe ich das?“

Jeder Tresor zeigt ein Feld Warum sehe ich das?, das die direkten oder Team-Berechtigungen nennt, über die der aktuelle Benutzer Zugriff hat. Änderungen an Berechtigungen und ihre Wirkung sind außerdem im Audit-Log sichtbar.

Beispiel: eine Webagentur

Eine Agentur mit 30 Personen betreut viele Kundenprojekte.

• Der Super-Admin betreibt die Installation und kann keine Kundenpasswörter lesen.
• Erfahrene Projektleitungen haben die Rolle Tresorersteller und legen pro Kunde einen Tresor an, etwa „Acme – Website“. Die Kundenbetreuung für Acme ist Verantwortliche, die Projektleitung Manager.
• Im Tresor: Ordner Design, CMS, Hosting, Analytics.
• Die Designerin erhält Betrachter auf Design. Ein Entwickler erhält Betrachter auf einen SSH-Eintrag. Ein externer Dienstleister erhält Bearbeiter auf einen Ordner, mit Ablaufdatum.
• Endet das Projekt, archiviert oder übergibt die Verantwortliche den Tresor, ohne je die Passwörter von Acme gekannt zu haben.

Beispiel: ein produzierendes Unternehmen

• Die zentrale IT ist Super-Admin und gibt der IT-Koordination jeder Abteilung die Rolle Tresorersteller.
• Die Koordination der Instandhaltung legt „CNC-Linie 3“ an. Die Leitung der Instandhaltung ist Verantwortliche, der erfahrene Techniker Manager.
• Bediener erhalten eine Team-Berechtigung (Betrachter); Eintritt und Austritt aus der Abteilung sind damit eine einzige Teamänderung. Das Admin-Passwort des Herstellers ist per Eintragsberechtigung auf zwei namentlich genannte Personen beschränkt.
• Die Entwicklung braucht einen Lieferantenzugang aus der Buchhaltung. Ein Manager der Buchhaltung gibt der Entwicklung genau diesen einen Eintrag frei, nie den ganzen Tresor.