SECURIX Developed Product
JIT Plug In
Kibana-Plugin, das dauerhafte Berechtigungen in Elastic durch zeitlich begrenzte, genehmigte Zugriffe auf sensible Daten und Admin-Rollen ersetzt. Ein vollständiger Audit Trail dokumentiert, wer wann und warum Zugriff hatte.
Die Lösung im Überblick
JIT Plug In ergänzt Elastic um Just-in-Time-Rollenzuweisungen über Kibana. Nutzer beantragen eine dafür vorgesehene Rolle mit schriftlicher Begründung und einer Dauer von bis zu 48 Stunden. Nach der Genehmigung weist das Plugin die Rolle für den freigegebenen Zeitraum zu und entfernt sie nach Ablauf automatisch. Jede Anfrage, Entscheidung, Freigabe und jeder Ablauf wird in einem eigenen Audit-Index dokumentiert.
Ihr Handlungsbedarf
Wissen Sie, wer Zugriff hatte und warum
Dauerhafte Berechtigungen
Rollen für sensible Daten und administrative Aufgaben bleiben zugewiesen, obwohl die Aufgabe abgeschlossen ist. Vorsorglich vergebene Zugriffe werden dauerhaft, wenn sie niemand entfernt.
Manuelle Administration
Zugriffe für verschiedene Nutzer und Cluster einzurichten, zu pflegen und zu entfernen, erhöht den Administrationsaufwand. Nutzer warten auf Kontoanpassungen, obwohl sie den Zugriff nur für eine konkrete Aufgabe benötigen.
Getrennte Genehmigungen
Genehmigungen per E-Mail, Ticket oder Chat sind nicht mit der Rollenzuweisung selbst verknüpft. Wer Zugriff hatte, wer ihn genehmigt hat und warum, muss nachträglich manuell zusammengetragen werden.
Zielgruppe
Steuern Sie temporäre Zugriffe auf Ihre Elastic-Umgebung
Für Organisationen, die Elastic mit sensiblen Daten, privilegierten Funktionen oder mehreren Clustern betreiben oder externen Dienstleistern Zugriff auf ihre Daten gewähren.
Datenverantwortliche / Compliance
Zugriffe werden im Einzelfall genehmigt. Audit-Datensätze zeigen, wer welche Rolle wann, wie lange und aus welchem Grund hatte.
Elastic-Administratoren / IT Operations
Temporär erhöhte Rollen ermöglichen administrative Aufgaben und Arbeiten an produktiven Umgebungen ohne dauerhafte privilegierte Zuweisungen.
SOC-Analysten / Incident Responders / Auditoren
Nutzer beantragen die für eine Untersuchung, clusterübergreifende Analyse oder externe Prüfung benötigten Zugriffe für einen definierten Zeitraum.
Unsere Leistungen
Zugriffe in Kibana beantragen, genehmigen und nachvollziehen
- Zugriffsanfragen und Genehmigungen — Nutzer beantragen eine JIT-fähige Rolle in Kibana mit schriftlicher Begründung und gewünschter Dauer. Genehmigungsverantwortliche entscheiden über jede Anfrage. Offene, genehmigte und abgelehnte Anfragen sowie aktive Freigaben werden zentral erfasst.
- JIT-Freigabe für Elastic-Rollen — Ihre Organisation definiert reguläre Elastic-Rollen und kennzeichnet die für JIT vorgesehenen Rollen über ein konfigurierbares Rollenpräfix. Dazu können Zugriffe auf sensible Indizes, Remote-Cluster, administrative Funktionen oder begrenzte Lesezugriffe gehören.
- Bestehende Authentifizierung — Das Plugin funktioniert mit nativen Elastic-Nutzern und SSO über OIDC, getestet mit Microsoft Entra ID. Die Authentifizierung verbleibt in Ihrer bestehenden Umgebung.
- Zeitlich begrenzte Rollenzuweisungen — Genehmigte Rollen werden für einen definierten Zeitraum von bis zu 48 Stunden zugewiesen. Nach Ablauf werden die Freigaben automatisch entfernt. Genehmigungsverantwortliche können aktive Freigaben jederzeit vorzeitig widerrufen.
- Eigener Audit Trail — Jede Anfrage, Entscheidung, Freigabe und jeder Ablauf wird in einem eigenen Audit-Index gespeichert. Berichte und Dashboards zeigen, wer welche Rolle wann, wie lange und warum hatte.
- Configuration as Code — Plugin-Einstellungen liegen in der Kibana-Konfiguration. JIT-Rollen und Role Mappings bleiben standardisierte Elasticsearch-Sicherheitsobjekte und können konsistent als Code ausgerollt werden.
- Systeme ausserhalb von Elastic
- Unternehmensweites PAM oder Identity Governance
- Identity-Provider-Funktionen
- Konfiguration des Elastic Security Audit Logging
- Geplante Erweiterungen
Funktionsweise
Von der Zugriffsanfrage zum automatischen Ablauf
-
Ihre Organisation erstellt die bei Bedarf verfügbaren Elastic-Rollen und kennzeichnet sie über ein konfigurierbares Präfix. Antragstellende erhalten Zugriff auf die Get-Access-Funktion des Plugins. Genehmigungsverantwortliche erhalten eine separate Admin-Rolle.
-
Der Nutzer wählt eine JIT-Rolle in Kibana, gibt eine schriftliche Begründung an und beantragt eine Dauer von bis zu 48 Stunden.
-
Eine genehmigungsberechtigte Person entscheidet über die Anfrage. Nach der Genehmigung weist ein dedizierter Service Account des Plugins die Rolle für den freigegebenen Zeitraum zu.
-
Ein geplanter Kibana-Task-Manager-Job entfernt abgelaufene Freigaben automatisch. Genehmigungsverantwortliche können Zugriffe früher widerrufen. Jede Anfrage, Entscheidung, Freigabe und jeder Ablauf wird im Audit-Index gespeichert.
Zugriffsszenarien
Nutzen Sie JIT für die Rollen, die Ihre Organisation festlegt
Sensible interne Daten
Gewähren Sie temporären Zugriff auf Indizes mit HR-Daten, Daten zu Betrugsfällen, Finanzdaten oder personenbezogenen Daten.
Erhöhte administrative Rechte
Weisen Sie administrative Rollen für die erforderliche Aufgabe und Dauer zu, statt privilegierte Zugriffe dauerhaft zu vergeben.
Remote-Cluster
Greifen Sie über Cross-Cluster Search von einer Kibana-Instanz auf Remote-Indizes zu. Die Remote-Umgebung behält die Kontrolle über den API Key, den sie ausstellt und widerrufen kann.
Auditoren und externe Prüfer
Stellen Sie begrenzte, zeitlich befristete Lesezugriffe für Audits oder externe Prüfungen bereit.
Häufige Fragen
Gut zu wissen, bevor Sie JIT einführen
Nein. Ihre Organisation definiert weiterhin die Elastic-Rollen und Role Mappings. Das Plugin steuert, wann JIT-fähige Rollen zugewiesen werden und wie lange. Nutzer authentifizieren sich weiterhin über native Elastic-Nutzer oder bestehendes SSO.
Eine Anfrage kann eine Dauer von bis zu 48 Stunden vorsehen. Nach der Genehmigung wird die Rolle für den freigegebenen Zeitraum zugewiesen und nach Ablauf automatisch entfernt. Genehmigungsverantwortliche können aktive Freigaben früher widerrufen.
Das Plugin dokumentiert Anfragen, Entscheidungen, Freigaben und deren Ablauf. Berichte zeigen, wer welche Rolle wann, wie lange und warum hatte. Um auch die während einer Freigabe ausgeführten Aktionen nachzuvollziehen, ist zusätzlich Elastic Security Audit Logging erforderlich.
Einige Managed-Elastic-Angebote erlauben möglicherweise keine individuellen Kibana-Plugins. In diesem Fall kann eine separate, selbst verwaltete Kibana-Instanz erforderlich sein. Kibana-Plugins werden für eine bestimmte Kibana-Version erstellt. Deployment-Typ und unterstützte Version müssen deshalb geprüft werden.
Kontakt
Sprechen wir über Ihren nächsten Schritt
Erzählen Sie uns, welche Elastic-Rollen nur bei Bedarf verfügbar sein sollen. Gemeinsam klären wir Ihre Zugriffsanforderungen und ob das Plugin zu Ihrer Umgebung passt.
