PierreA

Hello François, do you have any update on this?

So it would be related to the context of the scheduler service account?

Hello François,

Responses in bold:

• OS Version where DVLS is running WINDOWS 2022

• DVLS Version 2023.3.17

• .NET version installed 4.8

• PowerShell versions installed (most likely Windows PowerShell 5.1 by default), but do you also have PowerShell 7 ? Only 5.1

• Do you have extra PowerShell module that could be loaded automatically ? No

• Does PS Remoting enable or not ? Yes. (The AnyIdentity PWS script works fine from command line in pwsh5.1)

Hello, i am trying to scan local account using AnyIdenty provider using template from GitHub (PAM-Providers/Providers/Windows Accounts/Windows Local Accounts.json at master · Devolutions/PAM-Providers (github.com))

When i run a scan i allways end up with an error, see below. But when i take the PWS script for discovery and i run it locally on the DVLS Server it works fine.

Error:

FileNotFoundException - Could not load file or assembly 'Microsoft.Management.Infrastructure, Version=1.0.0.0, Culture=neutral, PublicKeyToken=31bf3856ad364e35'. The system cannot find the file specified.

at System.Reflection.RuntimeAssembly.GetExportedTypes()

at System.Management.Automation.Runspaces.PSSnapInHelpers.GetAssemblyTypes(Assembly assembly, String name)

at System.Management.Automation.Runspaces.PSSnapInHelpers.AnalyzeModuleAssemblyWithReflection(Assembly assembly, String name, PSSnapInInfo psSnapInInfo, PSModuleInfo moduleInfo, String helpFile, Dictionary`2& cmdlets, Dictionary`2& aliases, Dictionary`2& providers)

at System.Management.Automation.Runspaces.PSSnapInHelpers.AnalyzePSSnapInAssembly(Assembly assembly, String name, PSSnapInInfo psSnapInInfo, PSModuleInfo moduleInfo, Dictionary`2& cmdlets, Dictionary`2& aliases, Dictionary`2& providers, String& helpFile)

at System.Management.Automation.Runspaces.InitialSessionState.ImportPSSnapIn(PSSnapInInfo psSnapInInfo, PSSnapInException& warning)

at System.Management.Automation.Runspaces.InitialSessionState.CreateDefault()

at System.Management.Automation.Runspaces.RunspaceFactory.CreateRunspace(PSHost host)

at System.Management.Automation.Runspaces.RunspaceFactory.CreateRunspace()

at Devolutions.Server.Powershell.PowershellScriptRunner.Run()

at Devolutions.Server.Powershell.PowershellScriptBuilder.Build(PamProviderCommand providerCommand, PSRemotingCredential credential)

at Devolutions.Server.NetworkDiscovery.Jobs.CustomAccountDiscoveryJob.Run(List`1 inventoryObjects)

Any help would be appreciated!!!!

Hello Benoit, as i wrote previously, the proxy is configured at all level, os level included:

• netsh winhttp

• internet configuration

• http_proxy, https_proxy system variable (and user variables)

• web.config file off .net application AND system.net

still, the CRL check bypass the proxy. We will try to use the azure option instead for sending emails.

Hello Erica,

Thanks for the fast response! Yes already did that config and it is working well, i can view trafic on the proxy. But the configuration is not used for validating the revocation list of the SMTP server. It seems very specific to me. Like i said all web trafic on the machine goes trough the proxy event dvls, the only exception is the RCL Checking of the SMTP server. I guess it would be the same for all RCL validation.

Regards,

Pierre Ayotte

Proxy is configured at all level on the DVLS Server

• netsh winhttp

• internet configuration

• http_proxy, https_proxy system variable (and user variables)

• web.config file off .net application AND system.net

All http comminication a going trough the proxy excep for one. When i try to test the email configuration (using smtp.office365.com) i always get an unexpected exception unless i open the firewall for port 80. After analyzing i can see that the WP3W.exe (iis) is trying to validate the CRL of the smtp server but it is bypassing the proxy for the crl verrification. I can see it using netstat:

C:\Users\myuser>netstat -ano|find "SYN"

TCP server-ip:49783 192.229.211.108:80 SYN_SENT 3752

C:\Users\myuser>tasklist |find "3752"

w3wp.exe 3752 Services 0 292,968 K

192.229.211.108 is the server where we can find the RCL file, not our proxy.

Is there another place that i should configure the proxy?

Hello Benoit, thanks i agree that it should be clearer in the documentation. Now did configured the afinity in the F5 and it is working good. For those who used F5 i found that configuring the pool advance option "Action On Service Down" to "Reject" so when a node goes down it will fall over other node rapidly and seemlessly.

Version is 2023.3.13.0 and the situation only appear with the load balancer

We seem to have a cahing problem when using a load balancer with two dvls node. Before i go futher i must say that we did not configure afinity as the the documentation says that the solution is "stateless" (Deploy in a high-availability or load-balancing environment - Devolutions Documentation).

Let say i create a new vault and the load balancer redirect me to the first node for the creation of the vault. The vault is created and i can see it in the database. Now i want to update the vault. If i am lucky i will be directed to the first node but if not i won't be able to modify the vault as it will appear but not show any information when i hit modify. The easyest way to reproduce the problem:

Passing trought the LB you create a vault. Then refresh the page until you fall on the second node where the new vault won't appear. Hit refresh again and the vault may appear if you fall on the first node. After a couple of minute, the vault will always appear for both node.

You can also open two session, one on each node without the LB. Create the vault on one node and then on the other session/node consult the list of vault and the new vault won't show (even pressing the refresh button AND refreshing the page).

Is there a way to resolve this behavior apart configuring afinity? Let say we configure the afinity it will work until a failover occur. And when the failover occur we will fall with the same problem for all objects created in the last ?? minutes (i don't have the exact time it takes for the second node to fetch the new information)

Regards,

Pierre Ayotte

Bonjour François,

1- 2023.3.7.0

2- Les 2 comptes causent problème de mémoire

3- Comptes de domaines

Merci!

Bonjour, après plusieurs tentative d'installation écouhée j'ai compris que le nom d'un code utilisateur ne semble pas supporté car après l'avoir changé, l'installation s'est déroulée complètement. Le code utilisateur en question est celui du Application Pool et j'avais mis "dev_svc_web_dvls_iis". J'ai réessayé ave c "dvlsapppool" et cela a fonctionné. Ma question est donc quels sont les requis pour les codes uilisateurslors de l'installation (AppPool, TaskScheduler, etc...)?

Voici l'output ou j'ai surligné en rouge les messages d'erreur:

Done!

Configuring database settings...

Done!

Generating missing keys in encryption file...

Done!

Configuring Devolutions Server Console Password...

Done!

Configuring appSettings Database...

Done!

Configuring administrator settings...

Done!

Some or all identity references could not be translated.

Register Devolutions Server Event Source...

Registering the Web app in Database...

Done!

Configuring service...

Done!

Installing Scheduler Service...

Done!

Ensure Scheduler App Id is set...

Done!

Applying vault user least permissions...

Could not apply least permissions on the database 'dvls2' for the user '':

ExecuteNonQuery: CommandText property has not been initialized

Applying scheduler user least permissions...

Starting scheduler service...

Done!

Deleting temporary data...

Done!

Creating recovery kit...

Done!

Opening web application: https://dvls.experti-inc.com/

Hello Richard,

Is there a more detailed documentation because there are basic port that are note in that documentation (ex: SMTP, Kerberos, Syslog). Is there any other port to open? Is there any port between 2 DVLS Server separated by a Firewall? What are the ports related to the scheduler, etc...

Regards,

Hello Erica,

Is there a documentation of firewall port to be open?

Regards,

Pierre

Lorsde l'utilisation du template anyidentity sur le github pour les comptes windows locaux, tous les comptes ajoutés portent le même nom puisque le compte

administrateur local est le même sur tous les serveurs windows. Lorsqu'on importe les comptes suite à l'exécution du scan, il serait bien que le nom (name) du compte PAM contienne le nom du serveur associé à ce compte. Actuellement ils portent tous le même nom et lorsque des notifications sont envoyées il est impossible de savoir de quel compte/serveur il s'agit. Il faudrait aussi utiliser le "name" dans les notifications et non le "username".

Bonjour @Francois Dubois, est-ce possible à quel moment si oui ou non l'évolution sera incluse dans la version 2024.1?

Merci!

We would like to be able to set permissions on folders in PAM vaults. Actually it is only possible at the PAM Vault level or at the PAM User Level. This functionnality would facilittate permission segregation in PAM Vaults.

See the thread on the forum: Security settings on entry in PAM vault (devolutions.net)

Hello @Richard Boisvert, in your message it looks like we can set permission on folder in the pam vault but i cannot find a way to do so. I can set permission on accounts but not on folder. Am i missing something?

Bonjour Richard,

Merci pour la réponse, tout est maintenant très clair pour moi. J'ajouterais qu'il faut aussi:

• Que l'utilisateur aie le droit "Execute" au niveau de la voûte partagé

• Que l'utilisateur aie au minimum le rôle "Operator" dans la voûte privilégié si c'est un compte à haut privilège qui est configuré.

Voilà je crois qu'on a fait le tour, merci pour l'aide.

Cordialement,

Pierre Ayotte

Bonjour Richard

Bon après plusieurs autres essais, voici ce que je constate:

• Meme en étant "Ower" de la voute PAM je n'ai pas accès à l'option "Allow password in variable"

• Pour avoir l'option, je dois être administrateur dvls

• Si j'active l'option sur l'entrée Powershell avec un administrateur mais que je l'utilise avec un utilisateur qui n'est pas admin (mais owner de la voute PAM) l'entrée n'est plus fonctionnelle pour l'utilisateur qui n'est pas admin (message d'erreur powershell)

Est-ce normal que je doive être administrateur pour être en mesure de sélectionner cette option alors que je suis propriétaire de la voute (donc j'ai accès au mot de passe)?

Merci

En fait j'utilise un identifant d'une voute PAM et je n'ai pas cette option. J'ai tout de même essayé avec une entrée de type "username/password" mais l'option est aussi grisé. Le seul endroit ou j'ai l'option de disponible c'est dans ma voute personnelle mais je ne veux pas utiliser la voute personnelle, je veux utiliser la voute PAM ou la voute DVLS

Est-ce que vous avez une idée du moment ou cela sera disponible?

Bonjour Richard, j'ai oublié de mentionner que cette option est grisé et je ne peux donc pas l'activer dans l'interface RDM.

J'essais de passer la variable $PASSWORD$ dans une entrée de type powershell et je n'y arrive pas. J'utilise un serveur DVLS avec l'option "Allow password variables for all entries".

Mon objectif est que les credential configuré dans l'entrée soient disponibles dans Powershell (que ce soit un mdp normal ou PAM) pour les utilisés dans des commandes pwsh supportants l'option -Credential.

J'essaie entre autre de passer les credential Azure qui sont dans une voute PAM afin de pouvoir me connecter dans azure via le module azure powershell sans avoir besoin de connaitre les credential. Actuellement j'arrive à passer le $USERNAME$ mais pas le mot de passe. Idéalement le mot de passe devrait être sécurisé. Est-ce possible?

Bonjour Richard, j'ai trouvé... J'avais configuré l'approbation obligatoire dans cette voute. Si je précise l'ID de l'approbateur dans le checkout powershell, cela fonctionne bien. Désolé pour le dérangement!!