Разграничение прав доступа в Пассворке: роли, группы и типы сейфов

Разграничение прав доступа в Пассворке строится на трёх механизмах. Роль определяет, какие функции и настройки системы доступны сотруднику. Группа и уровень доступа задают, какие сейфы и папки он видит и что может с ними делать. Тип сейфа задаёт правила для целой категории сейфов: кто их создаёт и кто ими управляет.

Это разграничение нужно, потому что в менеджере паролей собраны доступы с разной степенью критичности: серверы, система учёта клиентов, почта, банк-клиент, рекламные кабинеты. Бухгалтеру не нужны пароли от инфраструктуры, подрядчику не нужны финансы. Так работает принцип наименьших привилегий: сотрудник получает ровно те права, которые нужны для его задач.

Лишние права создают два риска:

• Внутренний — сотрудник может по ошибке изменить или удалить чужую запись, а при увольнении за ним остаётся доступ, о котором никто не помнит.
• Внешний — если каждому доступно всё, любая учётная запись становится слишком ценной целью для злоумышленников.

О внешнем риске говорит статистика. По данным Solar 4RAYS, в первом полугодии 2025 года 40% расследованных целевых атак начинались со скомпрометированных учётных записей. Если у сотрудника есть доступ только к тому, что нужно для работы, взлом его записи ограничится этим набором паролей. Три механизма позволяют провести такие границы внутри общего хранилища.

Три слоя разграничения прав доступа в Пассворке

Разграничение прав доступа в Пассворке разделено на три слоя, и у каждого своя зона ответственности:

• Роль управляет доступом к функциям и настройкам системы.
• Группа с уровнем доступа открывает конкретные сейфы и папки.
• Тип сейфа задаёт правила, по которым создаются и администрируются все сейфы одной категории.

Роль в Пассворке сама по себе не открывает доступ к записям в сейфах. Через роль сотрудник получает право настраивать и администрировать отдельные части системы (или всю целиком), а содержимое сейфов ему открывают группы и уровни доступа. Поэтому системный администратор может вести LDAP и контролировать фоновые задачи, ни разу не увидев паролей бухгалтерии.

Доступ к записям выдают на сейф или папку, пользователю напрямую или группе. Уровень, назначенный группе, получают все её участники, поэтому новый сотрудник видит сейфы группы сразу после добавления в неё. Кого подключить к сейфу и с каким уровнем, решает администратор этого сейфа.

Типы сейфов добавляют поверх этого централизованные правила, которые администратор отдельного сейфа изменить не может: кто вправе создавать сейфы категории, кто автоматически становится в них администратором и какой уровень доступа получает создатель сейфа выбранной категории.

Роли: кто и что может делать в системе

Роль пользователя в Пассворке — набор прав на функции и настройки системы, который назначают пользователю. У каждого пользователя ровно одна роль. При назначении новой роли предыдущая снимается, а при снятии роли сотрудник получает базовую роль «Сотрудник». Роль определяет, что человек может администрировать, и к записям в сейфах доступа не даёт.

Базовых ролей три: Владелец, Администратор и Сотрудник. У Владельца и Администратора по умолчанию одинаковые права, но Владелец в системе один, и его права изменить нельзя. Остальные роли собирают из блоков прав:

• Общие — история действий, доступ к разделам «Политики паролей», «Настройки SSO», «Фоновые задачи» и «Информация о лицензии».
• Системные настройки — отдельные блоки системных настроек.
• Сейфы — вкладки раздела «Управление сейфами».
• Настройки LDAP — серверы, списки групп, синхронизация.
• Управление пользователями — пользователи, группы и приглашения.
• Роли — просмотр и изменение ролей.
• Офлайн-доступ — офлайн-копии записей в приложениях.
• Аккаунт — интерфейс, API, приложения и браузерное расширение.
• Аутентификация — срок сессии и токенов, обязательная двухфакторная аутентификация (2FA), ключи безопасности.

Ещё один блок «Управление пользователями на основе ролей» разрешает одной роли управлять пользователями другой. На этих блоках строится разделение обязанностей. Системный администратор настраивает LDAP и фоновые задачи без доступа к хранимым паролям. Служба безопасности просматривает историю действий и ведёт политики паролей. HR-менеджер заводит пользователей и не трогает системные настройки.

Учитывайте эту связку при настройке разграничения прав доступа — кто управляет группами, может добавить в группу с доступом к сейфу и себя.

Группы и уровни доступа: кто видит данные

Доступ к паролям в Пассворке выдают на сейф или папку, пользователю напрямую или группе. Группе назначают уровень доступа, и все её участники его наследуют. Новый сотрудник получает доступ ко всем сейфам группы в момент добавления. При отключении группы он теряет этот доступ, если такой же не даёт другая его группа. Количество групп неограниченно.

Шесть уровней доступа

Доступ можно не только выдавать, но и временно отзывать. Группу отключают переключателем «Статус группы»: все её права на данные снимаются, пока группу не включат обратно. Так закрывают временные доступы: подрядчик закончил этап, проект поставили на паузу, группу нужно на время отрезать от сейфов. Группу не приходится удалять и собирать заново, после включения права возвращаются.

Если закрыть нужно только один сейф, пользователя отключают от него операцией «Отключить от сейфа». Остальные его доступы не меняются, вернуть подключение может только администратор.

Группы из каталога Active Directory можно сопоставлять с группами Пассворка. Для каждой группы AD можно указать одну или несколько групп. Так пользователи из определённой группы будут автоматически получать нужные права.

Связь групп с каталогом снимает с администратора большую часть рутины. Сотрудник из группы каталога получает права в Пассворке автоматически, удалённый из каталога деактивируется.

Наследование по папкам

Доступ, выданный на сейф или папку, распространяется на все вложенные папки. На отдельной папке его можно уточнить: дать одной группе больше прав или закрыть папку от части команды.

Два уровня ведут себя иначе. «Запрещён» и «Администрирование» наследуются вниз без возможности изменения: запрет нельзя снять на вложенной папке, администратора нельзя понизить уровнем ниже.

Типы сейфов: правила для целой категории данных

Тип сейфа — набор правил для всех сейфов одной категории. Сейф хранит записи, а тип определяет, кто может создавать такие сейфы, кто автоматически становится в них администратором и какой уровень доступа получает создатель. Изменения в настройках типа применяются ко всем сейфам этого типа.

Базовых типов два. Пользовательские сейфы по умолчанию доступны только создателю и делятся на приватные и общие: приватный становится общим, когда в него добавляют других пользователей. В корпоративных сейфах, кроме создателя, всегда есть выбранные неудаляемые корпоративные администраторы. Кроме базовых можно создавать свои типы сейфов, чтобы повторить структуру организации в менеджере паролей.

Собственный тип настраивают по четырём параметрам:

• Название — например, «ИТ-инфраструктура», «Финансы», «Проекты подрядчиков».
• Администраторы — пользователи, которые автоматически добавляются и получают доступ «Администрирование» во всех сейфах типа. Пока они в списке, их нельзя удалить из сейфа или понизить в правах.
• Доступ создателя сейфа — уровень, который получает сотрудник, создавший сейф. Например, «Полный доступ» разрешает работать с сейфом, но не приглашать в него других.
• Право на создание сейфа — конкретные пользователи, группы, роли или все сотрудники.

Преимущества типов сейфов

• Делегирование — типы сейфов позволяют детально распределить права. Руководитель ИТ-направления управляет ИТ-сейфами, директор по продажам — сейфами отдела продаж.
• Постоянный контроль — в новые сейфы конкретного типа автоматически добавляются выбранные неудаляемые администраторы, они всегда имеют доступ к ключевым данным.
• Единые правила — изменения в настройках типа применяются ко всем сейфам этого типа, поэтому правила не приходится менять сейф за сейфом.
• Управляемое создание — право создавать сейфы категории выдают только нужным пользователям, группам и ролям.

Как Пассворк определяет итоговый доступ сотрудника

Когда права сотрудника приходят из нескольких источников, Пассворк определяет итоговый уровень по фиксированным правилам. Ручная настройка важнее групповой, из нескольких групп побеждает наивысший уровень, а запрет и администрирование нельзя переопределить ниже по дереву папок.

Пример. Менеджер состоит в группах «Продажи» с уровнем «Только чтение» и «Руководители» с уровнем «Редактирование» на сейф «Клиенты». Итог: «Редактирование». Руководителю отдела нужно больше, и ему вручную выставляют «Администрирование» на этот сейф. Остальные участники «Продаж» по-прежнему получают права от группы, создавать отдельную группу ради одного человека не пришлось.

Политики паролей: какие пароли допустимы в каждом сейфе

Права доступа определяют, кто работает с записями сейфа. Политика паролей определяет, каким должен быть пароль в этих записях. Её назначают на сейф, папку или отдельную запись, и она использует ту же иерархию, что и права: вложенные папки наследуют политику родительской директории.

У каждой записи и директории ровно одна политика, и она действует на все парольные поля записи, включая дополнительные поля типа «Пароль». Изменение политики сразу применяется ко всем записям, где она назначена. Наследование здесь мягче, чем у прав: политику можно заменить на любом вложенном уровне, а «Запрещён» и «Администрирование» ниже не меняются.

Строгость задаёт переключатель «Создание записей, не соответствующих политике паролей». Если он выключен, запись с неподходящим паролем сохранить нельзя. Если включён, сохранить можно, но администраторы директории получат уведомление. Записи, которые не проходят по сложности, Панель безопасности относит к «слабым», с истёкшим сроком — к «старым».

Как спланировать структуру доступа до внедрения

Права проще спроектировать до импорта, чем перестраивать после. От структуры сейфов, групп и ролей зависит, сколько ручной работы придётся делать при каждом найме, увольнении и реорганизации. Порядок ниже подходит и для первого внедрения, и для работающей системы.

План структуры доступа в восемь шагов:

1. Инвентаризируйте учётные данные — выясните, где сейчас лежат пароли, и разделите их по категориям риска: инфраструктура, финансы, рабочие сервисы, личные.
2. Определите типы сейфов — под каждую категорию или отдел свой тип, у каждого типа назначены корпоративные администраторы.
3. Решите, кто создаёт сейфы — безопаснее начать с централизованного создания и открывать это право по мере роста.
4. Повторите оргструктуру в группах — если есть Active Directory, сопоставьте группы каталога с группами Пассворка.
5. Настройте роли — отделите администрирование системы от доступа к данным.
6. Назначьте политики паролей — строгие на привилегированные сейфы, «Базовую» на остальные.
7. Импортируйте данные в готовую структуру — записи, загруженные в систему без типов и групп, потом придётся раскладывать вручную.
8. Назначьте пересмотр — например, раз в квартал проверяйте подключения к сейфам, неактивные группы и записи, которые Панель безопасности отмечает как «слабые» и «старые».

Частые ошибки при разграничении прав доступа

Ошибки в правах редко видны сразу. Они копятся месяцами и всплывают при увольнении, проверке или инциденте, когда выясняется, что к критичному сейфу подключено больше людей, чем нужно для работы.

• Один сейф на всю компанию — любой сотрудник видит пароли не из своей зоны, а при увольнении приходится менять всё. Разделите сейфы по отделам и задачам.
• У всех роль «Администратор» — каждый может изменить критичные настройки, и непонятно, кто за что отвечает. Оставьте роль «Администратор» двум-трём людям, остальным дайте «Сотрудник» или создайте отдельную роль с нужными правами для задач сотрудника.
• Привилегированные и повседневные доступы в одном сейфе — пароли от серверов видят люди, которым нужна была только почта. Выносите инфраструктуру в отдельный сейф с собственной группой, при необходимости с отдельным типом сейфа.
• Уровень доступа выдают «с запасом» — «Администрирование» или «Полный доступ» ставят, чтобы не возвращаться к вопросу. Но «Полный доступ» разрешает и удаление записей. Начинайте с «Только чтение» или «Редактирование», повышайте уровень под конкретную задачу и на конкретный срок.
• Доступ без срока и пересмотра — подрядчики и сотрудники, сменившие отдел, годами сохраняют права. Назначьте регулярную сверку: раз в квартал сравнивайте состав групп с оргструктурой и списком действующих подрядчиков. Для подрядчиков заводите временные группы и отключайте их по окончании проекта.
• Структуру знает один администратор — его отпуск или уход останавливает выдачу доступа. Назначьте руководителей отделов администраторами их сейфов или типов сейфов и зафиксируйте схему прав в документе.
• Журнал действий ведётся, но его никто не смотрит — без регулярного просмотра он нужен только после инцидента, когда поздно. Назначьте ответственного, настройте выгрузку в SIEM и определите, какие события требуют реакции.

Разграничение прав доступа нужно поддерживать после настройки

Схема разграничения прав верна в день настройки. Потом компания нанимает людей, меняет оргструктуру и закрывает проекты, и схема постепенно расходится с реальностью. Разграничение держится, когда у каждого сейфа и каждой группы есть администратор, а состав пересматривается по расписанию.

Разграничение прав проверяется практикой. Перенесите структуру компании в Пассворк: группы вместо отдельных людей, роли вместо общих прав, типы сейфов вместо ручных настроек. Протестируйте бесплатно в облаке или на своём сервере.

Часто задаваемые вопросы о разграничении прав в Пассворке