Bastionhost s'intègre à Key Management Service (KMS) pour vous permettre d'importer directement les secrets Elastic Compute Service (ECS) dans Bastionhost. Une fois importés et autorisés, ces secrets permettent aux utilisateurs de Bastionhost de se connecter aux instances ECS sans saisir de mot de passe.
Versions prises en charge
Édition Enterprise et Édition SM.
Si votre instance Bastionhost est en édition Basic, commencez par la mettre à niveau. Pour plus d'informations, consultez la rubrique Mettre à niveau le type d'instance.
Prérequis
Avant de commencer, assurez-vous d'avoir :
Des secrets ECS hébergés dans KMS. Pour plus d'informations, consultez la rubrique Gérer et utiliser les secrets ECS.
Des instances ECS importées dans Bastionhost. Pour plus d'informations, consultez la rubrique Importer des instances ECS.
La stratégie AliyunYundunBastionHostFullAccess attachée à votre utilisateur RAM via le compte Alibaba Cloud auquel cet utilisateur appartient. Pour plus d'informations, consultez la rubrique Accorder des autorisations aux utilisateurs RAM.
Importer des secrets KMS
Connectez-vous au système Bastionhost. Pour plus d'informations, consultez la rubrique Se connecter au système.
Dans le volet de navigation de gauche, choisissez Assets > Hosts.
Repérez l'hôte cible et cliquez sur Import KMS Secret dans la colonne Actions.
Dans la boîte de dialogue Import KMS Secret, sélectionnez les secrets ECS à importer et cliquez sur Import.
Une fois l'importation terminée, cliquez sur le nom de l'hôte pour ouvrir l'onglet Host Account afin de consulter et gérer les secrets importés.
Gérer les secrets importés
Depuis l'onglet Host Account, vous pouvez effectuer les opérations suivantes sur les secrets ECS importés.
Supprimer des secrets ECS
Sélectionnez un ou plusieurs secrets ECS et supprimez-les. La suppression d'un secret le retire uniquement de Bastionhost ; le secret reste présent dans KMS.
Après la suppression d'un secret ECS dans KMS, le secret ECS correspondant dans votre hôte bastion est marqué comme supprimé et ne peut plus être utilisé.
Restreindre l'accès au protocole SFTP uniquement
Activez l'option Enable Only SFTP Permission pour un compte afin de désactiver la connexion SSH pour ce compte.
Étapes suivantes
Pour permettre aux utilisateurs de Bastionhost de se connecter aux instances ECS à l'aide des secrets importés, accordez-leur les autorisations nécessaires :
Autoriser les utilisateurs : accordez des autorisations sur les instances ECS et les secrets aux utilisateurs de Bastionhost. Consultez la rubrique Autoriser un utilisateur à gérer les hôtes.
Contrôler les opérations : définissez des règles régissant les opérations d'exploitation et de maintenance que les utilisateurs autorisés peuvent effectuer. Consultez la rubrique Configurer une politique de contrôle.