KeeperDB и DBeaver: сравнение безопасного доступа к базам данных

KeeperDB обрабатывает учетные данные по-разному в зависимости от способа запуска. В отдельном настольном приложении пользователь проходит аутентификацию с помощью Face ID или Windows Hello, а соединения получают учетные данные напрямую из Keeper Secrets Manager, поэтому пароли не нужно вводить или копировать в клиент. Когда KeeperDB работает через Keeper Vault или KeeperDB Proxy, соединения полностью осуществляются без паролей: пользователь запускает сеанс из хранилища, учетные данные обрабатываются в среде Keeper с нулевым знанием и нулевым доверием, а сеанс выполняется внутри зашифрованного туннеля с нулевым доверием, поэтому никакие данные не попадают на локальный компьютер.

Пути через хранилище и прокси-сервер устраняют наиболее распространенный вектор атаки на базы данных: учетные данные, хранящиеся в локальных конфигурационных файлах, переменных окружения или общих строках подключения.

Когда KeeperDB работает в хранилище, он полностью записывает каждую сессию базы данных с централизованным управлением в хранилище. Каждый запрос, каждое действие, каждая сессия фиксируются как неизменяемое доказательство для аудита. Эти записи могут использоваться для мониторинга, расследований и обеспечения соответствия нормативным требованиям в регулируемых секторах. KeeperAI также включает зашифрованные сводки активности, что значительно упрощает аудит.

Поскольку запись встроена в путь доступа к хранилищу, она автоматически применяется к каждому сеансу после развертывания KeeperDB через KeeperPAM, и администратору не нужно настраивать параметры для каждого сеанса отдельно. Автономное настольное приложение является рабочим клиентом и не записывает сеансы самостоятельно; командам, которым требуется полная запись, следует направлять KeeperDB через хранилище или подключать существующий клиент через KeeperDB Proxy.

При развертывании через хранилище доступ к KeeperDB регулируется тем же механизмом централизованных политик, что и остальные компоненты KeeperPAM. Доступ к базе данных определяется идентификационными данными пользователя и его ролью, предоставляется по запросу (JIT) и связан с общими средствами контроля привилегированного доступа в организации. То же хранилище, которое управляет паролями, секретами и привилегированными сессиями, также определяет, кто и к какой базе данных может получить доступ.

Это означает, что доступ к базе данных не является отдельной изолированной системой со своей собственной моделью разрешений. Она наследует управление идентификацией, контроль доступа на основе ролей (RBAC) и рабочие процессы одобрения, уже действующие на платформе.

Отдельное десктопное приложение работает нативно на Mac, Windows и Linux для команд, которым нужна высокая производительность и инструмент, превосходящий устаревшие клиенты. Приложение аутентифицируется с помощью Face ID или Windows Hello, напрямую интегрируется с Keeper Secrets Manager для получения учетных данных из хранилища, обладает современным интерфейсом и включает встроенный ИИ-агент, который может работать на LLM, выбранной клиентом. Подключение может осуществляться напрямую с использованием учетных данных из защищенного хранилища ОС, через Keeper Tunnels или через KeeperDB Proxy, который получает учетные данные на стороне шлюза, поэтому пользователь никогда их не видит и не вводит.

Встроенный режим запускается из хранилища Keeper Vault в браузере через зашифрованный туннель с нулевым доверием. VPN или локальная настройка не требуются, а сессия базы данных визуально проецируется в локальное хранилище, не затрагивая напрямую устройство пользователя. Эта конфигурация подходит для регулируемых сред с нулевым доверием, добавляя запись сеансов, ведение журнала запросов, управление и доступ «точно в срок» (JIT) при использовании того же клиента.

KeeperAI встроен в KeeperDB с полным контекстом схемы. Он отвечает на вопросы на естественном языке, автономно пишет и выполняет запросы, генерирует диаграммы из живых наборов результатов, изучает существующий SQL и анализирует проблемы с производительностью с монитора. Запросы только для чтения выполняются автоматически; при любых командах записи появляется модальное окно подтверждения, поэтому пользователь всегда выступает в роли утверждающего. Серверные защитные механизмы ограничивают его областью работы с базами данных и блокируют генерацию кода не по теме, даже при внедрении подсказок.

Администраторы могут привязать KeeperAI к собственной конечной точке Azure OpenAI, AWS Bedrock или Vertex AI, чтобы подсказки и схемы никогда не покидали их сеть. Когда KeeperDB работает в хранилище, каждый оператор, выполненный ИИ, записывается в сеансе так же, как и запрос, введенный человеком.

KeeperDB поддерживает PostgreSQL, MySQL/MariaDB, SQL Server, Oracle, Redshift и SQLite с помощью собственных драйверов, не требуя моста ODBC или JDBC. Интерфейс включает редактор запросов с возможностью выполнения нескольких операторов, редактируемую таблицу данных с экспортом в CSV/JSON/SQL, ER-диаграммы и блокнот для заметок.

Встроенный монитор производительности: списки активных процессов, цепочки блокировок, анализ блокировок и завершение сеанса в один клик для всех поддерживаемых движков, кроме SQLite.