Un plugin de Remmina lleva las credenciales de Delinea Secret Server a Linux

Un administrador de sistemas ha movido su estación de trabajo de Windows a CachyOS y, al encontrarse sin la pieza que le abría RDP contra sus jump hosts con las credenciales de Delinea Secret Server, se la ha escrito él. El resultado es un plugin de Remmina, publicado en GitHub bajo GPL-2.0-or-later, que cubre el hueco entre el gestor de secretos y el cliente de escritorio remoto en Linux.

Cómo funciona

Cada perfil de Remmina guarda dos cosas: un jump host y un Secret ID. Al conectar, el plugin va a la API REST de Secret Server y trae de allí usuario, contraseña y dominio para lanzar la sesión. La contraseña se pide de nuevo en cada conexión y no se escribe nunca en el perfil de Remmina. Funciona contra Secret Server Cloud, y los jump hosts pueden repartirse entre los grupos Tier 0 a Tier 3 en la lista de conexiones normal de Remmina.

La autenticación contra Secret Server tiene dos vías. La primera es el sign-in desde navegador, pensada para montajes con ADFS y MFA: inicias sesión en la web, generas un token de API y lo pegas en Remmina. El plugin no lee cookies del navegador ni tiene callback de OAuth. La segunda es el login directo por API, con OTP opcional y refresh tokens, siempre que la instancia de Secret Server lo permita.

Ese token puede guardarse en un fichero cifrado con libsodium, de modo que reiniciar la máquina no obligue a volver a autenticarse. La passphrase que lo protege solo vive en memoria y hay una casilla para desactivar el fichero. Las credenciales de RDP no entran en él ni en el perfil, según la descripción del propio autor.

Lo que no trae

No hay checkout de secretos ni integración con el proxy RDP de Delinea. Tampoco hay pruebas en macOS: el script de instalación compila Remmina y el plugin allí, pero el autor no ha llegado a abrir una sesión RDP en ese sistema. El entorno donde lo usa a diario es CachyOS con Remmina 1.4.43.

A quien lo pruebe con otra configuración de login le pide justamente eso: que le cuente si le funciona.

Para quien administre escritorios Linux y tenga Secret Server en casa, la pieza tapa un hueco que hasta ahora se resolvía con scripts propios o directamente siguiendo en Windows. El pero es el de casi todo proyecto de una sola persona: sin pruebas en otras plataformas, sin la parte de checkout y con la GPL como única garantía. Antes de meterlo en una estación que alcanza jump hosts de Tier 0, toca leer el código.