Основные концепции

Участники

Роль	Кто это	Что делает
Владелец / Администратор	Владелец инстанса или администратор с достаточными правами	Настраивает контур: создаёт аккаунт восстановления, раздаёт доли, подключает аккаунт к политике доступа
Аккаунт восстановления	Сервисный аккаунт или обычный пользователь (в зависимости от редакции)	Хранит секрет, разделённый на доли; при восстановлении используется для выдачи прав администратора в сейфе
Держатели долей	Любые доверенные люди — необязательно пользователи Пассворка	Хранят по одной доле; при инциденте передают её оператору
Оператор восстановления	Тот, кто проводит церемонию восстановления	Собирает кворум долей и выполняет процедуру выдачи доступа

Держателям не нужны учётные записи в Пассворке — доля представляет собой файл, никак не связанный с пользователями системы.

Два варианта в зависимости от редакции

Сервисный аккаунт (Расширенная редакция)

• Что делится на доли — мастер-ключ аккаунта.
• Интерактивный вход у аккаунта — отсутствует, аутентификация только по API-токену.
• Настройка — автоматизирована passwork-cli users create-service-account.
• Восстановление — автоматизировано passwork-cli recovery grant-admin.
• Лицензия — флаг «Сервисные аккаунты» (Расширенная редакция).

Обычный пользователь (любая редакция)

• Что делится на доли — мастер-пароль (или производный мастер-ключ) аккаунта.
• Интерактивный вход у аккаунта — есть, как у обычного пользователя.
• Настройка — выполняется вручную: создание пользователя через продукт + passwork-cli shamir split.
• Восстановление — выполняется вручную: passwork-cli shamir recover + вход под восстановленным паролем и выдача доступа штатными средствами.
• Лицензия — не требуется.

Подробно про сервисный аккаунт — в разделе Настройка сервисного аккаунта, про ручной вариант — в разделе Упрощённый вариант без сервисных аккаунтов. Дальше на этой странице понятия — общие для обоих вариантов, если не указано иное.

Порог M из N

Секрет делится на N долей так, что для восстановления достаточно любых M из них (2 ≤ M ≤ N ≤ 16). Меньше M долей — секрет восстановить невозможно, даже если у вас M − 1 корректных долей. Любые M долей из корректного набора дают тот же исходный секрет, независимо от того, какие именно M выбраны.

Порог выбирает Владелец при настройке, исходя из числа держателей и приемлемого риска:

Схема	Смысл
3 из 5	Устойчива к недоступности до 2 держателей одновременно
2 из 3	Минимальная схема с кворумом больше одного человека
5 из 9	Для крупных организаций с распределённой ответственностью

Два разных RSA-ключа — не путайте их

Независимо от варианта, доли по желанию можно шифровать под персональный ключ каждого держателя. Здесь используются два независимых назначения RSA, и путаница между ними — частая ошибка:

	RSA Пассворка	RSA держателя
Назначение	Шифрование ключей сейфов при выдаче доступа	Шифрование одной доли для конкретного держателя
Размер ключа	2048 бит	4096 бит
Где создаётся	Автоматически внутри продукта при создании аккаунта	Каждым держателем через passwork-cli rsa gen-keys
Кто владеет приватным ключом	Аккаунт восстановления (приватный ключ зашифрован его же мастер-ключом)	Держатель — хранит на своей машине, никому не передаёт

RSA держателя не имеет отношения к криптографии Пассворка — это инструментальная пара только для того, чтобы каждый держатель мог получить свою долю в зашифрованном виде и расшифровать её только у себя.

Клиентское шифрование — обязательное условие для обоих вариантов

Оба варианта имеют смысл только при включённом клиентском шифровании (Zero-Knowledge): без него сервер и так может выдать доступ штатными административными средствами, и восстанавливать через Шамира нечего. В автоматизированном варианте на сервисном аккаунте это ещё и проверяется явно: passwork-cli users create-service-account --m/--n и recovery grant-admin завершатся с кодом 7, если клиентское шифрование выключено.

Версия для LLM