Sécurité

Jelina accorde une grande importance à la sécurité de votre flotte. Vos données et équipements sont précieux et souvent critiques ; des mesures préventives sont prises pour les protéger.

La sécurité de l’écosystème repose sur le moindre privilège : les droits ne sont accordés que lorsqu’ils sont nécessaires, et aucun compte ni équipement n’accède à des informations sans lien avec sa tâche. Les composants du processus de mise à jour sont isolés pour qu’un accès non autorisé à l’un d’eux ne fournisse pas les informations permettant d’atteindre les autres composants, comptes ou équipements.

Le mécanisme central est le contrôle d’accès aux API. En limitant les accès, les opérations permises et les canaux de communication, la flotte est protégée à tous ses points d’entrée.

Sécurité des utilisateurs

Les accès entre organisations sont entièrement isolés. Un utilisateur ne peut accéder qu’aux organisations qu’il a créées ou rejointes ; même les administrateurs Jelina ne peuvent accéder aux organisations des utilisateurs. L’authentification utilise adresse e-mail et mot de passe, avec possibilité d’activer une vérification en deux étapes.

Sécurité des équipements

Chaque équipement s’authentifie auprès de JelinaCloud avec une ApiKey unique, générée aléatoirement lors de son enregistrement. Seuls l’équipement et le système JelinaCloud peuvent y accéder.

Par défaut, tous les ports d’accès externes sont fermés, à l’exception d’un port de communication avec JelinaCloud.

L’intégration d’Azure Virtual Network Gateway permet d’accéder aux équipements depuis n’importe où via Jelina. Les protocoles distants pris en charge sont SSH, VNC et RDP.

Authentification SSH par clé et certificat

SSH accepte le mot de passe, la clé privée SSH et le certificat utilisateur OpenSSH. Le certificat est signé par une autorité de certification, CA, approuvée par l’organisation. La plateforme vérifie sa validité, le périmètre des identifiants et les permissions ; le service SSH de l’équipement vérifie sa configuration réelle de CA et de principaux. Cette authentification concerne SSH ; la connexion Web et l’enregistrement cloud conservent leurs propres mécanismes.

L’administrateur peut définir une clé publique partagée ou une CA de confiance pour la flotte, ou une autorisation dédiée à un équipement. L’utilisateur configure lui-même la CA et les principaux de l’équipement. Après enregistrement manuel et confirmation de l’identité d’hôte par l’administrateur, il se connecte avec son certificat personnel et la clé privée correspondante. L’import d’un certificat ne crée pas à lui seul une autorisation de compte système.

L’administrateur stocke les clés privées utilisateur et les phrases secrètes nécessaires sous forme chiffrée dans la gestion de flotte ou d’équipement. Les utilisateurs sélectionnent uniquement les identifiants autorisés, sans pouvoir consulter ni télécharger la clé privée. La clé privée de CA reste chez l’émetteur ; la plateforme ne délivre ni ne renouvelle les certificats utilisateur. Désactiver ou révoquer un identifiant enregistré empêche son utilisation par la plateforme. Cette révocation concerne uniquement les connexions JelinaCloud ; l’utilisateur gère les révocations locales et le nettoyage des anciennes autorisations, sans accusé de réception requis de l’équipement.

Voir Authentification SSH par clé et certificat pour l’utilisation, et Gestion des accès distants pour l’administration.

Sécurité des données

Toutes les requêtes des services internes utilisent HTTPS. Les communications de JelinaCloud, y compris les échanges de données avec les équipements, sont donc chiffrées.

Les fichiers téléversés sont stockés par organisation dans un conteneur Azure Storage dédié, isolé des autres organisations. Les fichiers restent privés. Lorsqu’un équipement doit les télécharger, JelinaCloud génère un lien avec une clé SAS temporaire ; ce lien expire après un certain délai.

Déploiement privé

Si vous préférez ne pas conserver vos données dans l’Azure Storage de Jelina, un déploiement indépendant est possible. Plusieurs plateformes cloud, dont AWS et Alibaba Cloud, sont prises en charge. Vous pouvez déployer Jelina sur vos serveurs ou votre cloud et gérer vous-même toutes les données des équipements et utilisateurs. Même avec un déploiement indépendant, l’équipe Jelina fournit un support technique à long terme et des évolutions continues.