KeeperDB x DBeaver: comparação de acesso seguro ao bancos de dados

O KeeperDB lida com credenciais de forma diferente, dependendo de como é executado. No app separado para desktop, o usuário se autentica com Face ID ou Windows Hello, e as conexões recuperam as credenciais diretamente do Keeper Secrets Manager, de modo que as senhas não são digitadas nem copiadas para o cliente. Quando o KeeperDB é executado via Cofre do Keeper ou KeeperDB Proxy, as conexões são totalmente sem senha: o usuário inicia uma sessão no cofre, a credencial é manipulada dentro do ambiente com conhecimento zero e confiança zero do Keeper, e a sessão é executada dentro de um túnel criptografado com confiança zero, para que nada toque a máquina local.

Os caminhos do cofre e do Proxy retiram o vetor de ataque a bancos de dados mais comum: credenciais armazenadas em arquivos de configuração locais, variáveis de ambiente ou strings de conexão compartilhadas.

Quando executado no cofre, o KeeperDB grava cada sessão de banco de dados na íntegra, com gerenciamento central no cofre. Cada consulta, cada ação, cada sessão é capturada como evidência de auditoria imutável. Essas gravações podem ser usadas para monitoramento, investigação e conformidade em setores regulamentados. O KeeperAI também inclui resumos de atividades criptografados, deixando a auditoria muito mais fácil.

Como a gravação é integrada ao caminho de acesso ao cofre, ela é aplicada automaticamente a todas as sessões assim que o KeeperDB é implantado via KeeperPAM, sem que o administrador precise trocar de configurações a cada sessão. O app separado para desktop é um cliente funcional e não grava sessões por conta própria; as equipes que precisam da gravação completa roteiam o KeeperDB pelo cofre ou conectam um cliente via KeeperDB Proxy.

Quando implantado no cofre, o acesso ao KeeperDB é governado pelo mesmo mecanismo de política centralizada que o restante do KeeperPAM. O acesso ao banco de dados é delimitado à identidade do usuário e da função, concedido via JIT e vinculado aos controles de acesso privilegiado mais amplos da organização. O mesmo cofre que gerencia senhas, segredos e sessões privilegiadas também governa quem pode acessar qual banco de dados.

Isso significa que o acesso ao banco de dados não é um silo separado, com o próprio modelo de permissões. Ele herda a governança de identidade, Controle de acesso baseado em funções (RBAC) e fluxos de aprovação já existentes em toda a plataforma.

O app separado para desktop roda nativamente em Mac, Windows e Linux para equipes que desejam desempenho de desktop e uma ferramenta que supera clientes legados por conta própria. Ele se autentica com Face ID ou Windows Hello, integra-se diretamente ao Keeper Secrets Manager para a recuperação de credenciais do cofre, oferece uma interface moderna e inclui um agente de IA integrado que pode rodar no LLM preferido do cliente. Ele pode se conectar diretamente com credenciais em um armazenamento seguro nativo do SO, via Keeper Tunnels ou KeeperDB Proxy, que busca as credenciais no lado do gateway para que o usuário nunca as veja ou digite.

O modo incorporado é iniciado no Cofre do Keeper em um navegador via túnel com confiança zero criptografado. Não é necessário VPN nem configuração no local, e a sessão do banco de dados é projetada visualmente no cofre local sem tocar diretamente na máquina do usuário. Essa configuração é adequada para ambientes regulamentados com confiança zero, adicionando gravação de sessão, registro de consultas, governança e acesso Just-In-Time (JIT) enquanto utiliza o mesmo cliente.

O KeeperAI vem integrado ao KeeperDB com contexto completo do esquema. Ele responde a perguntas em linguagem natural, escreve e executa consultas de forma autônoma, gera gráficos com base em conjuntos de resultados ao vivo, explora o SQL existente e analisa problemas no desempenho pelo monitor. Consultas somente de leitura são executadas automaticamente; qualquer comando de escrita mostra um modal de confirmação, para que o usuário seja sempre o aprovador. As proteções do lado do servidor mantêm o escopo restrito a operações de banco de dados e bloqueiam a geração de código fora do tópico, mesmo sob injeção de prompts.

Os administradores podem vincular o KeeperAI ao próprio endpoint do Azure OpenAI, AWS Bedrock ou Vertex AI, para que os prompts e o esquema nunca saiam de sua rede. Quando o KeeperDB é executado no cofre, cada instrução executada por IA é registrada na sessão da mesma forma que uma consulta digitada por um humano.

O KeeperDB cobre PostgreSQL, MySQL/MariaDB, SQL Server, Oracle, Redshift e SQLite com drivers nativos, sem a necessidade de uma ponte ODBC ou JDBC. A interface inclui um editor de consultas com execução de múltiplas instruções, uma grade de dados editável com exportação para CSV/JSON/SQL, diagramas ER e um bloco de notas para consultas.

O monitor de desempenho é integrado: lista de processos ativos, cadeias de bloqueio, análise de bloqueios e encerramento de sessão com um clique em todos os mecanismos cobertos, exceto SQLite.