Bastionhost vous permet de gérer de manière centralisée les utilisateurs provenant de plusieurs sources d'authentification : RAM, Active Directory (AD), Lightweight Directory Access Protocol (LDAP) et Identity as a Service (IDaaS). Vous n'avez pas besoin de maintenir une base de données d'utilisateurs distincte pour chaque source. Cette rubrique explique comment importer des utilisateurs depuis chaque source prise en charge.
Fonctionnement
Lorsqu'un utilisateur tente de se connecter, Bastionhost délègue l'authentification à la source d'identité configurée (pour les utilisateurs RAM, AD, LDAP et IDaaS). Pour les utilisateurs locaux, Bastionhost effectue l'authentification directement. La source d'identité vérifie les informations d'identification et Bastionhost accorde l'accès en fonction de l'enregistrement utilisateur qu'il détient. Ajoutez des utilisateurs à Bastionhost en les important depuis une source d'identité (ou en les créant localement), puis attribuez-leur séparément des autorisations sur les ressources.
Les quatre sources d'identité prises en charge correspondent à quatre méthodes de gestion des utilisateurs :
| Source d'identité | Type d'utilisateur | Cas d'utilisation |
|---|---|---|
| RAM (Resource Access Management) | Utilisateurs RAM | Votre équipe utilise déjà RAM pour accéder à Alibaba Cloud |
| Authentification locale | Utilisateurs locaux | Aucun fournisseur d'identité externe ; contrôle total sur les informations d'identification et l'authentification multifacteur (MFA) |
| AD ou LDAP | Utilisateurs AD/LDAP | Votre organisation exécute un service d'annuaire sur site |
| IDaaS (Identity as a Service) | Utilisateurs IDaaS | Vous devez regrouper des utilisateurs provenant de plusieurs fournisseurs (DingTalk, Microsoft Entra ID, etc.) |
Importer des utilisateurs RAM
Prérequis
Avant de commencer, assurez-vous de disposer des éléments suivants :
Une instance Bastionhost
Au moins un utilisateur RAM dans Resource Access Management (RAM)
Pour activer l'authentification à deux facteurs (MFA) pour un utilisateur RAM, connectez-vous à la console RAM et activez l'authentification multifacteur. Pour plus d'informations, consultez la rubrique Associer un dispositif MFA à un compte Alibaba Cloud .
Étapes
Connectez-vous à la console Bastionhost. Dans la barre de navigation supérieure, sélectionnez la région où réside votre hôte bastion.
Dans la liste des hôtes bastion, recherchez l'hôte bastion cible et cliquez sur Manage.
Dans le volet de navigation de gauche, choisissez Users > Users.
Sur la page Users, cliquez sur Import RAM Users.
(Facultatif) Si aucun utilisateur RAM n'existe, cliquez sur Create RAM User dans la boîte de dialogue Import RAM Users et suivez les instructions. Pour plus d'informations, consultez la rubrique Créer un utilisateur RAM.
Dans la boîte de dialogue Import RAM Users, cliquez sur Import dans la colonne Actions à côté de l'utilisateur RAM que vous souhaitez importer. Pour importer plusieurs utilisateurs simultanément, sélectionnez-les et cliquez sur Import sous la liste.
Créer des utilisateurs locaux
Les utilisateurs locaux s'authentifient directement auprès de Bastionhost. Utilisez cette méthode lorsque vous ne disposez pas de fournisseur d'identité externe ou lorsque vous avez besoin de comptes fonctionnant indépendamment de votre service d'annuaire.
Créer un seul utilisateur local
Connectez-vous à la console Bastionhost. Sélectionnez la région où réside votre hôte bastion.
Dans la liste des hôtes bastion, recherchez l'hôte bastion cible et cliquez sur Manage.
Dans le volet de navigation de gauche, choisissez Users > Users.
Choisissez Create User dans la liste déroulante Import Other Users.
Dans le panneau Create User, définissez Authentication Method sur Local Authentication.
-
Configurez les informations d'identification de l'utilisateur et les paramètres facultatifs :
Champ Description Users must reset the password at next logon. Cochez cette case pour obliger l'utilisateur à modifier son mot de passe lors de sa première connexion. Validity Period Définissez une date d'expiration. Lorsque la période expire, le Status de l'utilisateur passe à Expired. Two-factor Authentication Methods Consultez la section Options d'authentification à deux facteurs. Two-factor Notification Sending Language Sélectionnez Simplified Chinese ou English pour remplacer les paramètres pour un seul utilisateur, ou utilisez For All Users pour hériter du paramètre par défaut de la page System Settings. Cliquez sur Create.
Options d'authentification à deux facteurs
Définissez Two-factor Authentication Methods sur For All Users ou For Single User.
For All Users : utilise le paramètre global configuré sur la page System Settings. Pour plus d'informations, consultez la rubrique Activer l'authentification à deux facteurs.
-
For Single User : applique une méthode à cet utilisateur uniquement :
Méthode Exigence Disable Aucune Text Message Numéro de téléphone mobile requis Email Adresse e-mail requise DingTalk Numéro de téléphone mobile requis ; consultez la section Exigences DingTalk OTP App L'utilisateur doit d'abord associer un jeton OTP ; consultez la section Configuration de l'application OTP
Pour connaître les pays et régions où l'authentification à deux facteurs par SMS est prise en charge, consultez la rubrique Pays et zones pris en charge . Les numéros de téléphone mobile et les adresses e-mail sont utilisés uniquement pour les codes de vérification et les notifications d'alerte.
Exigences DingTalk
Pour utiliser l'authentification à deux facteurs DingTalk, remplissez toutes les conditions suivantes avant de l'activer :
Spécifiez le numéro de téléphone mobile de l'utilisateur. Pour plus d'informations, consultez la rubrique Modifier les informations de base d'un utilisateur local.
Demandez à l'administrateur DingTalk de créer une application d'entreprise interne et d'activer l'autorisation « obtain member information based on mobile phone numbers and names ».
Obtenez les valeurs AppKey, AppSecret et AgentId depuis l'application DingTalk.
Configuration de l'application OTP
Pour utiliser l'authentification à deux facteurs via une application OTP :
Téléchargez une application d'authentification TOTP standard (par exemple, l'application Alibaba Cloud).
Connectez-vous au portail O&M de Bastionhost en utilisant un endpoint public. Pour plus de détails sur les endpoints, consultez la page Présentation.
Dans le volet de navigation de gauche, cliquez sur Security Settings.
Sur l'onglet Enable OTP, cliquez sur Bind OTP App et scannez le code QR pour associer le jeton OTP.
Importer plusieurs utilisateurs locaux depuis un fichier
Utilisez cette option pour créer plusieurs utilisateurs locaux simultanément à l'aide d'un fichier modèle.
Connectez-vous à la console Bastionhost. Sélectionnez la région où réside votre hôte bastion.
Dans la liste des hôtes bastion, recherchez l'hôte bastion cible et cliquez sur Manage.
Dans le volet de navigation de gauche, choisissez Users > Users.
Choisissez Import Users from File dans la liste déroulante Import Other Users.
Cliquez sur Download User Template, extrayez le package, renseignez les informations utilisateur dans le fichier modèle et enregistrez-le.
Dans le panneau Import Local Users, cliquez sur Upload pour télécharger le fichier modèle complété.
Dans la boîte de dialogue Preview, sélectionnez les utilisateurs à importer et cliquez sur Import.
Vérifiez les informations utilisateur et cliquez sur Import Local Users. Si vous sélectionnez Users must reset the password at next logon., tous les utilisateurs locaux importés devront réinitialiser leur mot de passe lors de leur prochaine connexion.
(Facultatif) Pour notifier aux utilisateurs l'adresse O&M, spécifiez leur numéro de téléphone mobile ou leur adresse e-mail et sélectionnez Send O&M Addresses to User.
Si plusieurs utilisateurs du fichier partagent le même nom d'utilisateur, seule la dernière occurrence est importée. Si le nom d'utilisateur d'un utilisateur importé correspond à celui d'un utilisateur existant dans Bastionhost, cet utilisateur est ignoré. Cliquez sur Details dans le panneau Import Local Users pour afficher les utilisateurs ignorés.
Importer des utilisateurs authentifiés par AD ou LDAP
Prérequis
Avant de commencer, assurez-vous que :
L'authentification AD ou LDAP est configurée dans Bastionhost. Pour les instructions de configuration, consultez la rubrique Configurer l'authentification AD ou l'authentification LDAP.
Étapes
Connectez-vous à la console Bastionhost. Sélectionnez la région où réside votre hôte bastion.
Dans la liste des hôtes bastion, recherchez l'hôte bastion cible et cliquez sur Manage.
Dans le volet de navigation de gauche, choisissez Users > Users.
Choisissez Import Other Users > Import AD Users ou Import LDAP Users.
Dans la boîte de dialogue, cliquez sur Import dans la colonne Actions à côté de l'utilisateur que vous souhaitez importer. Pour importer plusieurs utilisateurs simultanément, sélectionnez-les et cliquez sur Import sous la liste.
Importer des utilisateurs authentifiés par IDaaS
IDaaS vous permet de regrouper des utilisateurs provenant de plusieurs fournisseurs d'identité externes, tels que DingTalk et Microsoft Entra ID (anciennement Azure AD), dans une instance Employee Identity and Access Management (EIAM) et de les pousser vers Bastionhost. Si votre fournisseur d'identité n'est pas nativement pris en charge par IDaaS, activez le Single Sign-On (SSO) après avoir créé un utilisateur IDaaS. Pour consulter les fournisseurs d'identité pris en charge, reportez-vous à la rubrique Fournisseurs d'identité. Pour la configuration des applications SSO, consultez la rubrique Créer des applications.
Les utilisateurs IDaaS ne peuvent pas se connecter avec un mot de passe via un client. Ils doivent utiliser l'authentification basée sur un jeton O&M sur un client ou accéder aux ressources via le portail O&M. Pour plus d'informations, consultez le Manuel O&M.
Prérequis
Avant de commencer, assurez-vous que :
L'authentification IDaaS est configurée dans Bastionhost. Pour les instructions de configuration, consultez la rubrique Gérer l'authentification IDaaS.
Étapes
Connectez-vous à la console Bastionhost. Sélectionnez la région où réside votre hôte bastion.
Dans la liste des hôtes bastion, recherchez l'hôte bastion cible et cliquez sur Manage.
Dans le volet de navigation de gauche, choisissez Users > Users.
Choisissez Import IDaaS User dans la liste déroulante Import Other Users.
Dans la boîte de dialogue Import IDaaS User, cliquez sur Import dans la colonne Actions à côté de l'utilisateur que vous souhaitez importer. Pour importer plusieurs utilisateurs simultanément, sélectionnez-les et cliquez sur Import sous la liste.
Si aucun utilisateur authentifié par IDaaS n'apparaît dans la boîte de dialogue Import IDaaS User , cliquez sur Synchronize .