Adgang

sslbrain forbinder til endpoints via flere metoder afhængigt af platformen. Denne side dækker opsætning af hver forbindelsestype og håndtering af credentials.

SSH

Standardmetoden for Linux-servere og appliances der understøtter SSH. sslbrain forbinder direkte og kører agenten på endpointet.

Login

Opret en credential i sslbrain med brugernavn og adgangskode eller SSH-nøgle. Brugeren skal have rettigheder til at skrive certifikatfiler og genstarte services.

Anbefalet: opret en dedikeret servicebruger (f.eks. sslbrain-svc) med kun de nødvendige rettigheder. Brug aldrig en personlig admin-konto.

sudo useradd -r -m -s /bin/bash sslbrain-svc

Giv adgang til webserver-konfiguration og certifikatfiler:

# Læse Nginx/Apache-konfiguration
sudo usermod -aG www-data sslbrain-svc

# Genindlæse webserver (tilføj til sudoers)
echo "sslbrain-svc ALL=(root) NOPASSWD: /usr/sbin/nginx -s reload, /usr/sbin/apachectl graceful" \
  | sudo tee /etc/sudoers.d/sslbrain-svc

Nøglepar

sslbrain understøtter Ed25519- og RSA-nøgler. Ed25519 anbefales til nye opsætninger.

Generér et nøglepar:

ssh-keygen -t ed25519 -C "sslbrain-svc" -f ~/.ssh/sslbrain_ed25519

Upload den private nøgle som en credential i sslbrain. Den krypteres i vault.

Tilføj den offentlige nøgle til ~/.ssh/authorized_keys på endpointet:

cat ~/.ssh/sslbrain_ed25519.pub >> /home/sslbrain-svc/.ssh/authorized_keys
chmod 600 /home/sslbrain-svc/.ssh/authorized_keys

WinRM

Alternativ til Windows Service for servere hvor du foretrækker push. Kan også bruges til den indledende installation af Windows Service.

Aktivering

WinRM skal aktiveres på Windows-serveren. Kør som administrator:

Enable-PSRemoting -Force
Set-Item WSMan:\localhost\Service\Auth\Basic -Value $true
Set-Item WSMan:\localhost\Service\AllowUnencrypted -Value $false

Konfiguration

sslbrain forbinder via HTTPS (port 5986) som standard. Sørg for at WinRM-listeneren bruger et gyldigt certifikat:

winrm enumerate winrm/config/listener

Opret en credential i sslbrain med en Windows-bruger der har administratorrettigheder. Brug en domænebruger eller lokal administrator.

Firewall

Tillad indgående trafik på port 5986 (HTTPS) fra sslbrain-serverens IP-adresse. Port 5985 (HTTP) bør ikke bruges i produktion.

New-NetFirewallRule -Name "sslbrain-WinRM" `
  -DisplayName "sslbrain WinRM HTTPS" `
  -Direction Inbound -Protocol TCP -LocalPort 5986 `
  -RemoteAddress 10.0.0.50 `
  -Action Allow

Erstat 10.0.0.50 med sslbrain-serverens faktiske IP-adresse.

Windows Service (pull)

Den anbefalede metode til Windows. En letvægts Windows-service der selv henter signerede opgavepakker fra sslbrain via udgående HTTPS. Kræver ingen indgående porte, ingen WinRM og ingen firewall-ændringer.

Installation

Download MSI-pakken fra sslbrain under Downloads. Installer manuelt eller via GPO, SCCM eller Intune.

Under installationen angives:

• sslbrain-serverens adresse (HTTPS)
• Registreringsnøgle fra sslbrain

Servicen registrerer sig automatisk hos sslbrain efter installation. Endpointet dukker op i sslbrain inden for et minut.

Registry

Servicen konfigureres via registry under HKLM\SOFTWARE\sslbrain\Service:

GPO-udrulning

MSI-pakken kan udrulles via Group Policy som en Computer-tilknyttet softwareinstallation. Registreringsnøglen sættes via GPO Registry Preferences.

Hive:  HKEY_LOCAL_MACHINE
Path:  SOFTWARE\sslbrain\Service
Name:  ServerUrl
Type:  REG_SZ
Data:  https://sslbrain.example.com:8443

Fordelen ved GPO-udrulning er at alle Windows-servere i en OU automatisk får servicen installeret uden manuel handling.

API

Til cloud-platforme og appliances der eksponerer et REST API. sslbrain kalder API'et direkte fra sin egen host.

Tokens

De fleste API'er kræver en access token eller API-nøgle. Opret en credential i sslbrain med token-værdien. Den krypteres i vault.

Headers

Nogle API'er kræver custom headers til autentificering. Disse konfigureres pr. credential i sslbrain:

Credentials

Credentials gemmes krypteret i sslbrains vault og kan genbruges på tværs af endpoints.

Typer

Opret en credential

1. Gå til Indstillinger > Credentials
2. Klik Ny credential
3. Vælg type, angiv et beskrivende navn (f.eks. "Linux service account" eller "FortiGate admin") og udfyld felterne
4. Klik Gem

Vault-kryptering

• Alle credentials krypteres med AES-256 i sslbrains vault
• Private SSH-nøgler lagres aldrig i klartekst
• Credentials kan kun bruges af sslbrain. De kan ikke hentes ud igen via UI eller API
• Slet en credential under Indstillinger > Credentials hvis den ikke længere bruges