Password Vault. Обзор решения

Введение

У сотрудников накапливаются учётные данные для множества систем, на которые не распространяется единый вход: порталы поставщиков, экстранеты партнёров, тестовые среды, регистрации на конференции, консоли оборудования. Без специального инструмента эти данные оказываются в электронных таблицах, на стикерах или в черновиках писем.

Password Vault - это веб-часть SharePoint Framework, которая даёт каждому сотруднику личный менеджер паролей внутри Microsoft 365. Каждый пользователь ведёт собственный список записей - название, имя пользователя, пароль, URL-адрес, заметки, папка и теги - под защитой 4-значного PIN-кода. Записи хранятся в зашифрованном виде в файле в OneDrive самого пользователя, а не в списках SharePoint и не на серверах Vitextra. Одну и ту же веб-часть можно разместить на странице SharePoint или в Microsoft Teams, и каждый пользователь всегда видит своё собственное хранилище.

В этой статье описано, что делает веб-часть и как она работает. Чтобы разместить её на странице, см. статью KB10438. Как добавить веб-часть Password Vault на страницу и создать хранилище.

Ключевые возможности

Личное хранилище для каждого пользователя. Веб-часть показывает хранилище того, кто открыл страницу. Если разместить её на общей странице или в канале команды, никакие пароли не становятся общими: каждый посетитель видит только свои записи.

Защита PIN-кодом. При первом использовании пользователь задаёт 4-значный PIN-код. Пока хранилище заблокировано, веб-часть не показывает ни одной записи, а только запрос PIN-кода; после ввода PIN-кода становятся доступны все записи и действия. См. статью KB10442. Как настроить PIN-код в Password Vault.

Автоматическая блокировка. После ввода PIN-кода хранилище остаётся разблокированным, пока пользователь с ним работает, и снова блокируется через 5 минут бездействия: список скрывается, а открытые диалоговые окна закрываются. Перезагрузка страницы также блокирует хранилище. См. статью KB10451. Автоматическая блокировка: когда Password Vault снова запрашивает PIN-код.

Записи со всеми сведениями. У каждой записи есть Название, Имя пользователя, Пароль, необязательный URL-адрес, который открывается в новой вкладке, Папка, Теги и Заметки. См. статью KB10443. Как добавлять, изменять и удалять записи в Password Vault.

Копирование одним нажатием. Имя пользователя и пароль копируются в буфер обмена кнопками Скопировать в буфер обмена, поэтому пароли не нужно показывать на экране. См. статью KB10444. Как просмотреть и скопировать пароль или имя пользователя в Password Vault.

Генератор паролей. Встроенный генератор создаёт случайные пароли длиной от 8 до 64 символов из выбранных пользователем наборов символов, используя криптографический генератор случайных чисел браузера. См. статью KB10445. Как сгенерировать надёжный пароль с помощью генератора Password Vault.

Индикатор надёжности. Пока вводится пароль, шкала из пяти делений показывает его оценочную надёжность - от Очень слабый до Очень надёжный. См. статью KB10446. Индикатор надёжности пароля в Password Vault: что означают уровни.

Папки, теги и избранное. Записи можно группировать по папкам, помечать тегами и добавлять в избранное - такие записи всегда показываются в начале списка. См. статьи KB10447. Упорядочивание записей с помощью папок и тегов в Password Vault и KB10448. Избранное в Password Vault: часто используемые записи в начале списка.

Поиск и фильтр. Поле Поиск находит записи по названию, имени пользователя, URL-адресу, папке, заметкам и тегам; раскрывающийся список фильтра сужает список до избранного, папки или тега. См. статью KB10449. Поиск и фильтрация записей в Password Vault.

SharePoint и Microsoft Teams. Веб-часть работает на современных страницах SharePoint Online, как вкладка канала Teams и как личное приложение Teams Passwords. Везде это одно и то же хранилище.

Тема и язык. Веб-часть следует теме сайта, включая фоны разделов, и использует шрифт сайта. Её интерфейс переведён на языки SharePoint и отображается на языке SharePoint или Teams. В узком столбце (уже 500 пикселей) список переключается на компактный макет.

Как это работает

Где хранятся записи

Хранилище каждого пользователя - это один файл vitextra-password-vault.json в папке приложения в OneDrive этого пользователя. Веб-часть читает и записывает файл через Microsoft Graph от имени вошедшего пользователя. Ничего не хранится в списках SharePoint, в свойствах веб-части или на серверах Vitextra.

Поскольку хранилище находится в OneDrive пользователя, а не на странице, одно и то же хранилище отображается на каждой странице, сайте и вкладке Teams, где размещена веб-часть. Если веб-часть не находит файл хранилища пользователя, она создаёт пустой файл и предлагает пользователю настроить PIN-код. Подробнее: KB10453. Где Password Vault хранит ваши пароли: папка приложения в OneDrive.

Шифрование и PIN-код

Название, имя пользователя, пароль, URL-адрес, заметки, папка и теги каждой записи шифруются алгоритмом AES в браузере пользователя до сохранения файла. Ключ шифрования вычисляется из PIN-кода по алгоритму PBKDF2-SHA256 (случайная соль для каждого хранилища, 600 000 итераций); он нигде не хранится и существует только в памяти открытой страницы, пока хранилище разблокировано, поэтому одного файла хранилища недостаточно, чтобы прочитать записи. Файл передаётся только между браузером и OneDrive пользователя, а доступ к нему регулируется разрешениями Microsoft 365 и OneDrive, как и к любому другому файлу в OneDrive пользователя.

PIN-код открывает хранилище. Пока хранилище заблокировано, веб-часть не показывает ни одной записи - даже их названий, - а только запрос Введите PIN-код с четырьмя полями, в которых вводимые цифры скрыты. Учтите, что PIN-код состоит всего из 4 цифр (10 000 комбинаций): PBKDF2 намеренно замедляет каждую попытку подбора, но тот, кто получит копию файла, всё равно может перебрать все PIN-коды офлайн, так как ограничение в 5 попыток действует только внутри веб-части. Поэтому первой линией защиты остаётся контроль доступа к OneDrive. Полное описание см. в статьях KB10452. Как Password Vault защищает ваши данные: шифрование, PIN-код и хранение и KB10456. Кто может видеть ваши пароли в Password Vault.

Работа на нескольких устройствах

Каждое сохранение сверяется с версией файла, на основе которой оно подготовлено. Если другой сеанс успел сохранить изменения, веб-часть загружает последнюю версию и повторяет сохранение, сохраняя изменения других записей. Если два сеанса редактируют одну запись, последний успешно сохранённый вариант заменяет её целиком; отдельные поля не объединяются. Изменения с другого устройства появляются после Обновить, следующего сохранения или разблокировки. Если PIN-код изменён в другом сеансе, страница блокируется при следующем чтении последней версии файла — при обновлении, разблокировке или сохранении — и запрашивает новый PIN-код.

Для чего предназначен Password Vault

Password Vault - это лёгкое личное хранилище. Его возможности намеренно ограничены:

• Записями нельзя поделиться с коллегами; командных или общих хранилищ нет.
• Нет расширения для браузера и автоматического заполнения форм входа; учётные данные копируются из веб-части.
• У администраторов нет консоли для управления хранилищами пользователей, их просмотра или восстановления.
• Нет экспорта и импорта записей.

Сравнение с другими видами менеджеров паролей приведено в статье KB10440. Password Vault, менеджеры паролей в браузерах и корпоративные менеджеры паролей: что выбрать.

Требования

• Microsoft 365 с SharePoint Online; современные страницы. Веб-часть недоступна для SharePoint Server.
• У каждого пользователя должен быть OneDrive в тенанте, потому что хранилище находится там.
• Пакет развёртывается из каталога приложений, как любой продукт Vitextra; поддерживается развёртывание на уровне всего тенанта. См. статью KB10035. Как установить продукт Vitextra в SharePoint Online.
• Администратор должен одобрить делегированное разрешение Microsoft Graph Files.ReadWrite.AppFolder, которое позволяет веб-части читать и записывать данные только в собственной папке приложения в OneDrive пользователя. См. статьи KB10454. Разрешение Microsoft Graph Files.ReadWrite.AppFolder: зачем оно нужно Password Vault и как его утвердить и KB10360. Как одобрить разрешения Microsoft Graph API для решений Vitextra в Центре администрирования SharePoint.
• Разрешения на списки SharePoint не нужны: любой пользователь, который может открыть страницу, может пользоваться своим хранилищем.
• Лицензирование — на тенант. Когда срок действия лицензии истекает, вместо хранилища веб-часть показывает сообщение Мы надеемся, что вам понравилась бесплатная пробная версия. Купите сейчас полную версию и продолжите работу., пока лицензия не будет продлена; файлы хранилищ в OneDrive не изменяются. См. статьи KB10206. Лицензирование и учётная запись Vitextra: как приобрести и активировать лицензию и KB10364. Что происходит, когда заканчивается пробный период или подписка Vitextra.

Подробнее о продукте: https://vitextra.com/ru/products/password-vault