phaf działa i jest dostępny przez HTTPS. Zanim zbudujesz przepływy, poświęć piętnaście minut na ustawienie opcji bezpieczeństwa i alertów. Wszystkie są w Settings i wymagają administratora.
Bezpieczeństwo logowania
Settings › Security, sekcja Sign-in:
| Ustawienie | Zalecane |
|---|---|
| Uwierzytelnianie dwuskładnikowe | Wymagane dla wszystkich. Przy następnym logowaniu użytkownicy skonfigurują kod w Microsoft Authenticator, Google Authenticator lub dowolnej aplikacji TOTP. |
| Minimalna długość hasła | 12 lub więcej. Domyślnie 10. |
| Reguły znaków | Co najmniej jedna mała litera, jedna wielka litera i jedna cyfra (domyślnie). |
| Nie używaj ponownie ostatnich | 5 haseł. |
| Wygasanie hasła | Zgodnie z Twoją polityką. Po włączeniu minimum to 30 dni. |
| Wyłączanie nieaktywnych kont | Po 90 dniach. |
Po 5 nieudanych logowaniach konto jest blokowane na 15 minut, a sesje kończą się po 30 minutach. Te wartości są stałe.
Najpierw skonfiguruj własny kod dwuskładnikowy w My account, zanim uczynisz go obowiązkowym.
Dostęp sieciowy
Settings › Security, sekcja Network access:
- Zaufane adresy IP — sieci, z których pracują użytkownicy i integracje, na przykład
10.0.8.0/24. Akceptowane formaty: pojedynczy adres,10.0.8.*, zakresy10.0.8.1-50, CIDR i IPv6. - API jest zawsze ograniczane tymi listami; ograniczenie konsoli WWW jest opcjonalne — włącz je.
- phaf odrzuca reguły, które zablokowałyby adres IP, z którego je zapisujesz. Jeśli mimo to stracisz dostęp, zobacz Rozwiązywanie problemów.
Użytkownicy i role
Settings › Users. Daj każdej osobie własne konto z najmniejszą potrzebną rolą:
| Rola | Może |
|---|---|
| Administrator | Wszystko, w tym użytkownicy, bezpieczeństwo, certyfikaty i baza danych. Ogranicz do dwóch osób. |
| Standard | Budować, zmieniać i uruchamiać przepływy; wszystko poza administracją. |
| Support | Przeglądać przepływy, transakcje i logi. Bez zmian. |
| User | Tylko podgląd, jak Support. |
Dla integracji wywołujących API phaf utwórz użytkownika typu service: może korzystać tylko z tokenu API, który tworzysz z datą ważności. Konta tymczasowe (na przykład dla konsultanta) można ustawić tak, aby wygasały w wybranym dniu.
Alerty e-mail
Settings › Alerts:
- Wpisz serwer pocztowy, port i szyfrowanie (Automatic, SSL/TLS lub STARTTLS), nadawcę i odbiorców. phaf wymaga TLS 1.2 lub nowszego.
- Kliknij Send test email. Jeśli wysyłka się nie powiedzie, phaf pokaże przebieg rozmowy SMTP, bez haseł.
- Włącz alert o błędach, ostrzeżenie o wygaśnięciu certyfikatu oraz dzienny lub tygodniowy raport statusu.
- Ustaw progi zajętości dysku w kondycji systemu: powyżej pierwszego zaplanowane odbieranie zostaje wstrzymane; powyżej drugiego wstrzymane jest całe przetwarzanie do czasu zwolnienia miejsca.
Wysyłanie dziennika audytu do SIEM (opcjonalnie)
W Settings › Alerts, w sekcji Syslog, wpisz swój serwer syslog (UDP lub TCP) i wybierz CEF lub RFC 5424. Wysyłaj co najmniej dziennik audytu. Kliknij Send test message, aby sprawdzić.
Chroń klucz szyfrowania
C:\phaf\data\phaf.master_key szyfruje wszystkie hasła, hasła do kluczy i sekrety dwuskładnikowe zapisane w phaf.
- Skopiuj go teraz w bezpieczne miejsce poza serwerem — na przykład do sejfu haseł lub na zaszyfrowany nośnik offline — i opisz nazwą serwera.
- Sprawdź, czy
C:\phaf\datamogą otwierać tylko SYSTEM, Administrators i konto usługi (zobacz uprawnienia do folderów). - Zaszyfruj dysk danych BitLockerem lub własnym szyfrowaniem dysków: wiadomości są tam zapisywane jako pliki.
Lista kontrolna instalacji
- Instalator sprawdzony sumą SHA-256; phaf w
C:\phaf\app, dane wC:\phaf\data - Wybrana baza danych; połączenie z SQL Server szyfrowane, hasło zapisane jako
ENC:v1: - Usługa phaf działa na wybranym koncie i wraca po restarcie
- Konsola opublikowana tylko przez HTTPS; port 8181 zamknięty dla sieci
- Dwóch administratorów; uwierzytelnianie dwuskładnikowe wymagane
- Ustawiona polityka haseł i zaufane adresy IP; nagłówek proxy ustawiony na
X-Forwarded-For - Alerty e-mail przetestowane; alerty o błędach i certyfikatach włączone
phaf.master_keyskopiowany w bezpieczne miejsce; dysk danych zaszyfrowany- Wykonana pierwsza kopia zapasowa i przetestowane przywracanie (Kopia zapasowa i przywracanie)