Tous les produits
Search

Ce produit

    Bastionhost:Manage users

    Centre de documentation

    Bastionhost:Manage users

    Dernière mise à jour :Sep 14, 2026

    Les utilisateurs Bastionhost correspondent aux comptes utilisés par les ingénieurs d'exploitation et de maintenance (O&M) pour se connecter et accéder aux hôtes et bases de données autorisés. Les administrateurs créent et gèrent ces comptes depuis la page de gestion de Bastionhost.

    Types d'utilisateurs

    Sélectionnez le type d'utilisateur correspondant à votre source d'identité. Les ingénieurs O&M peuvent provenir d'utilisateurs RAM Alibaba Cloud importés, d'utilisateurs locaux Bastionhost ou d'utilisateurs authentifiés via AD, LDAP ou IDaaS importés.

    Type d'utilisateur

    Description

    Utilisateur RAM

    Après avoir créé un utilisateur RAM Alibaba Cloud dans la console RAM, importez-le en un clic depuis la page de gestion de Bastionhost.

    Utilisateur local Bastionhost

    Créez des utilisateurs locaux Bastionhost individuellement ou importez-les par lot à partir d'un fichier.

    Utilisateur AD/LDAP

    Configurez l'authentification AD ou LDAP, puis synchronisez ces utilisateurs avec Bastionhost.

    Utilisateur IDaaS

    Configurez l'authentification IDaaS, puis synchronisez ces utilisateurs avec Bastionhost.

    Liste des utilisateurs

    Une fois les utilisateurs créés, la liste des utilisateurs affiche les éléments suivants.

    Élément

    Description

    Logon Name

    Nom du compte utilisé pour se connecter à Bastionhost. Sa source et la possibilité de le modifier dépendent du type d'utilisateur.

    Authentication Source

    Type d'utilisateur. Par exemple, un utilisateur local s'affiche sous la forme Local Authentication.

    Two-factor Authentication Methods

    Authentification secondaire requise après la vérification du mot de passe. Les méthodes disponibles dépendent du type d'utilisateur.

    OTP App

    Indique si l'utilisateur a créé des utilisateurs. Ne s'applique pas aux utilisateurs RAM ou IDaaS.

    Status

    État actuel de l'utilisateur.

    Actions

    Opérations d'autorisation pour l'utilisateur. Pour plus d'informations, consultez la rubrique Autoriser les utilisateurs à gérer les ressources et les comptes de ressources ou Autoriser les utilisateurs à gérer les groupes de ressources.

    Nom de connexion

    Le nom de connexion d'un utilisateur provient de sa source d'authentification :

    • Utilisateur RAM : le nom de connexion défini lors de la création et de la synchronisation de l'utilisateur RAM. Si vous avez modifié le nom d'utilisateur dans la console RAM, accédez à System Settings > User Settings et configurez User Sync Settings.

    • Utilisateur local : le nom d'utilisateur défini par l'administrateur lors de la création. Il ne peut pas être modifié. La complexité du mot de passe suit les paramètres de sécurité des mots de passe utilisateur.

    • Utilisateur AD/LDAP : le nom d'utilisateur synchronisé depuis le serveur AD ou LDAP. Modifiez-le directement sur ce serveur.

    • Utilisateur IDaaS : le compte synchronisé depuis Alibaba Cloud IDaaS EIAM. Il ne peut pas être modifié.

      Pour les paramètres de sécurité des utilisateurs et des mots de passe, consultez la rubrique Configuration des utilisateurs.

    Méthodes d'authentification à deux facteurs

    Après l'authentification par mot de passe, l'utilisateur doit également saisir un code de vérification dynamique envoyé par SMS, e-mail ou DingTalk. Cette vérification secondaire réduit les risques de sécurité. Configurez la méthode au niveau de la source d'authentification de l'utilisateur :

    État de l'utilisateur

    La colonne Status affiche l'un des états suivants :

    • Inactive : un utilisateur qui ne se connecte pas dans le délai spécifié est marqué comme Inactive.

    • Password Expired : une fois la période de validité du mot de passe écoulée, l'utilisateur est marqué comme Password Expired.

    • Locked :

      • Un utilisateur qui dépasse le nombre autorisé de tentatives de mot de passe incorrectes consécutives, ou qu'un administrateur verrouille manuellement, est marqué comme Locked.

      • Dans System Settings, après avoir activé Automatically Lock Inactive User Accounts, Bastionhost verrouille automatiquement les utilisateurs inactifs depuis longtemps et les marque comme Locked.

    • Remote Deleted : si l'utilisateur est introuvable dans la source d'authentification correspondante en fonction de l'ID source de l'utilisateur, celui-ci est marqué comme Remote Deleted.

    • Remote DN Changed : si le BaseDN de l'utilisateur sur le serveur AD ou LDAP ne correspond pas à la configuration sur Bastionhost, l'utilisateur est marqué comme Remote DN Changed.

      Pour les paramètres d'état des utilisateurs, consultez la rubrique Configuration des utilisateurs.

    Créer des utilisateurs

    Créez les comptes que vos ingénieurs O&M utilisent pour se connecter à Bastionhost. Chaque onglet ci-dessous couvre un type d'utilisateur.

    Importer des utilisateurs RAM

    1. Connectez-vous à la console Bastionhost. Dans la barre de navigation supérieure, sélectionnez la région où se trouve votre instance Bastionhost.

    2. Dans la liste des instances Bastionhost, recherchez l'instance cible et cliquez sur Manage.

    3. Dans le volet de navigation de gauche, choisissez Users > Users.

    4. Sur la page Users, cliquez sur Import RAM Users.

    5. Facultatif : Si vous n'avez pas créé d'utilisateur RAM, accédez à la page Import RAM Users, cliquez sur Create RAM User et suivez les instructions.

      Pour créer un utilisateur RAM, consultez la rubrique Créer un utilisateur RAM.

    6. Sur la page Import RAM Users, recherchez l'utilisateur RAM à importer et cliquez sur Import dans la colonne Actions. Pour en importer plusieurs à la fois, sélectionnez-les et cliquez sur Import.

      Remarque

      Pour configurer l'authentification à deux facteurs pour un utilisateur RAM, connectez-vous à la console RAM et configurez l'authentification multifacteur (MFA) pour l'utilisateur RAM. Pour plus d'informations, consultez la rubrique Lier un dispositif MFA à un compte Alibaba Cloud.

    Créer des utilisateurs locaux

    Sur la page Users, créez un seul utilisateur local ou importez plusieurs utilisateurs locaux à partir d'un fichier.

    Pour créer un seul utilisateur local

    1. Connectez-vous à la console Bastionhost. Dans la barre de navigation supérieure, sélectionnez la région où se trouve votre instance Bastionhost.

    2. Dans la liste des instances Bastionhost, recherchez l'instance cible et cliquez sur Manage.

    3. Dans le volet de navigation de gauche, choisissez Users > Users.

    4. Choisissez Import Other Users > Create User.

    5. Dans le panneau Create User, configurez les informations de l'utilisateur et cliquez sur Create.

      Définissez Authentication Method sur Local Authentication. Outre les informations de base, le reste de cet onglet couvre les paramètres facultatifs.

    6. Facultatif : Pour notifier l'adresse O&M à l'utilisateur, attribuez un numéro de téléphone mobile ou une adresse e-mail à l'utilisateur local, puis sélectionnez Send O&M Addresses to User.

    Pour importer plusieurs utilisateurs locaux à partir d'un fichier

    1. Sur la page Users, dans la liste Import Other Users, sélectionnez Import Users from File.

    2. Cliquez sur Download User Template pour télécharger le modèle, renseignez les informations utilisateur et enregistrez le fichier.

    3. Dans le panneau Import Local Users, cliquez sur Upload pour charger le fichier modèle utilisateur.

    4. Dans la boîte de dialogue Preview, sélectionnez les utilisateurs à importer et cliquez sur Import.

    5. Dans le panneau Import Local Users, confirmez les informations utilisateur et cliquez sur Import Local Users.

      Si vous sélectionnez Users must reset the password at next logon., tous les utilisateurs importés devront réinitialiser leur mot de passe lors de la prochaine connexion.

      Remarque

      Un utilisateur dont le nom d'utilisateur duplique une autre entrée dans le fichier ou un utilisateur système existant est ignoré. Dans le panneau Import Local Users, cliquez sur Details pour afficher les utilisateurs qui n'ont pas été importés.

    Paramètres facultatifs pour un utilisateur local

    • Activez Users must reset the password at next logon. : l'utilisateur local doit changer son mot de passe lors de la prochaine connexion. Cela s'applique uniquement aux utilisateurs locaux ; pour un utilisateur existant, un administrateur peut activer/désactiver cette option depuis la liste des utilisateurs.

    • Définissez la Validity Period : une fois définie, la colonne Status affiche Expired pour un utilisateur ayant dépassé cette période, et celui-ci ne peut plus se connecter pour effectuer des opérations O&M.

    • Configurez les Two-factor Authentication Methods : utilisez la méthode globale d'authentification à deux facteurs ou une méthode spécifique à cet utilisateur.

    • Configurez la langue d'envoi des notifications d'authentification à deux facteurs (Two-factor Notification Sending Language) : utilisez la langue de notification globale ou une langue spécifique à cet utilisateur.

    Méthodes d'authentification à deux facteurs

    Remarque

    • Avec l'authentification à deux facteurs activée, l'utilisateur reçoit un code de vérification par SMS ou e-mail lors de la connexion. Assurez-vous donc que le numéro et l'adresse spécifiés sont corrects. Pour connaître les pays et régions pris en charge pour les SMS, consultez la rubrique Pays et régions prenant en charge l'authentification à deux facteurs par SMS.

    • Le numéro de téléphone mobile et l'adresse e-mail sont utilisés uniquement pour les codes de vérification et les notifications d'alerte, et à aucune autre fin.

    Les Two-factor Authentication Methods prennent en charge deux types :

    • Sélectionnez For All Users pour appliquer la méthode globale d'authentification à deux facteurs, que vous configurez dans System Settings. Pour plus d'informations, consultez la rubrique Activer l'authentification à deux facteurs.

    • Sélectionnez For Single User pour définir une méthode d'authentification à deux facteurs pour cet utilisateur uniquement.

      Si vous sélectionnez For Single User, choisissez l'une des méthodes suivantes :

    • Disable : l'authentification à deux facteurs n'est pas activée.

    • Text Message : authentification secondaire par SMS vers le numéro de téléphone mobile de l'utilisateur, que vous devez spécifier.

    • Email : authentification secondaire par e-mail vers l'adresse e-mail de l'utilisateur, que vous devez spécifier.

    • DingTalk : authentification secondaire via DingTalk de l'utilisateur, qui nécessite un numéro de téléphone mobile.

      Remarque

      L'authentification DingTalk présente les exigences suivantes :

      • Un numéro de téléphone mobile est associé au compte utilisateur utilisé pour les opérations O&M. Pour plus d'informations sur l'ajout d'un numéro de téléphone mobile pour un utilisateur, consultez la rubrique Modifier les informations de base d'un utilisateur local.

      • L'administrateur DingTalk a créé une application d'entreprise interne et lui a accordé l'autorisation API Access Permission To Get Member Information By Phone Number And Name.

      • Vous avez obtenu les valeurs AppKey, AppSecret et AgentId de l'application d'entreprise interne.

    • OTP App : authentification avec le jeton OTP mobile de l'utilisateur, que l'utilisateur doit d'abord lier.

      Remarque

      Téléchargez d'abord une application TOTP standard, telle que l'application Alibaba Cloud. Connectez-vous ensuite au portail O&M Bastionhost via l'endpoint public et, dans le volet de navigation de gauche, cliquez sur Security Settings, cliquez sur l'onglet Enable OTP, cliquez sur Bind OTP App et scannez le code QR pour lier le jeton. Pour trouver l'adresse O&M, consultez la rubrique Présentation de la console Bastionhost.

    Langue d'envoi des notifications d'authentification à deux facteurs

    Configurez la Two-factor Notification Sending Language de l'une des façons suivantes :

    • Sélectionnez For All Users pour envoyer les notifications dans la langue configurée dans System Settings. Pour plus d'informations, consultez la rubrique Activer l'authentification à deux facteurs.

    • Sélectionnez For Single User pour envoyer les notifications d'authentification à deux facteurs en chinois simplifié ou en anglais.

    Importer des utilisateurs AD/LDAP

    Configurez l'authentification AD ou LDAP avant d'importer les utilisateurs. Pour plus d'informations, consultez la rubrique Configurer l'authentification AD ou LDAP.

    1. Connectez-vous à la console Bastionhost. Dans la barre de navigation supérieure, sélectionnez la région où se trouve votre instance Bastionhost.

    2. Dans la liste des instances Bastionhost, recherchez l'instance cible et cliquez sur Manage.

    3. Dans le volet de navigation de gauche, choisissez Users > Users.

    4. Choisissez Import Other Users > Import AD Users ou Import LDAP Users.

    5. Sur la page Import AD Users ou Import LDAP Users, recherchez l'utilisateur à importer et cliquez sur Import dans la colonne Actions.

      Sélectionnez plusieurs utilisateurs pour les importer par lot.

    Importer des utilisateurs IDaaS

    Configurez l'authentification IDaaS avant d'importer les utilisateurs. Pour plus d'informations, consultez la rubrique Gérer l'authentification IDaaS.

    1. Connectez-vous à la console Bastionhost. Dans la barre de navigation supérieure, sélectionnez la région où se trouve votre instance Bastionhost.

    2. Dans la liste des instances Bastionhost, recherchez l'instance cible et cliquez sur Manage.

    3. Dans le volet de navigation de gauche, choisissez Users > Users.

    4. Choisissez Import Other Users > Import IDaaS User.

    5. Sur la page Import IDaaS User, recherchez l'utilisateur à importer et cliquez sur Import dans la colonne Actions.

      Sélectionnez plusieurs utilisateurs pour les importer par lot. Si aucun utilisateur IDaaS n'apparaît, cliquez sur Synchronize.

    Modifier les informations d'un utilisateur local

    Pour les utilisateurs AD/LDAP, RAM et IDaaS, modifiez les informations de base directement à la source d'authentification.

    Mettez à jour le numéro de téléphone mobile ou l'adresse e-mail d'un utilisateur local dans la console dès qu'ils changent. À défaut, les codes de vérification seront envoyés à l'ancien numéro et l'utilisateur ne pourra pas se connecter pour effectuer des opérations d'O&M.

    1. Connectez-vous à la console Bastionhost. Dans la barre de navigation supérieure, sélectionnez la région où se trouve votre instance Bastionhost.

    2. Dans la liste des instances Bastionhost, repérez l'instance cible et cliquez sur Manage.

    3. Dans le volet de navigation de gauche, accédez à Users > Users.

    4. Repérez l'utilisateur concerné et cliquez sur son nom d'utilisateur.

    5. Sous l'onglet Basic Info de l'utilisateur, modifiez les informations, puis cliquez sur Update.

    Modifier l'obligation de réinitialisation du mot de passe lors de la prochaine connexion

    Lors de la création d'un utilisateur local, activez l'option Users must reset the password at next logon. Pour modifier ce paramètre, utilisez le menu groupé situé sous la liste des utilisateurs.

    1. Connectez-vous à la console Bastionhost. Dans la barre de navigation supérieure, sélectionnez la région où se trouve votre instance Bastionhost.

    2. Dans la liste des instances Bastionhost, repérez l'instance cible et cliquez sur Manage.

    3. Dans le volet de navigation de gauche, accédez à Users > Users.

    4. Dans la liste des utilisateurs, sélectionnez l'utilisateur à modifier. Sous la liste, choisissez Batch > Change Configuration of Local Users Must Reset Passwords at Next Logons.

    5. Dans la boîte de dialogue qui s'affiche, sélectionnez Enable ou Disable, puis cliquez sur OK.

    Gérer les clés publiques des utilisateurs

    Hébergez la clé publique d'un utilisateur sur Bastionhost afin que l'ingénieur O&M puisse se connecter depuis un client O&M avec la clé privée correspondante. Pour plus de détails sur le processus d'O&M, consultez la rubrique Effectuer des opérations d'O&M basées sur SSH.

    1. Connectez-vous à la console Bastionhost. Dans la barre de navigation supérieure, sélectionnez la région où se trouve votre instance Bastionhost.

    2. Dans la liste des instances Bastionhost, repérez l'instance cible et cliquez sur Manage.

    3. Dans le volet de navigation de gauche, accédez à Users > Users.

    4. Dans la liste des utilisateurs, cliquez sur le nom d'utilisateur. Sur la page des détails de l'utilisateur, accédez à l'onglet User Public Key et cliquez sur Add SSH Public Key.

    5. Dans le panneau Add SSH Public Key, spécifiez le nom et le contenu de la clé publique, puis cliquez sur Add SSH Public Key.

      La liste des clés publiques des utilisateurs affiche les clés hébergées, que vous pouvez également exporter.

    Restrictions de connexion des utilisateurs

    Restreignez les adresses IP sources et les plages horaires à partir desquelles les utilisateurs peuvent se connecter à Bastionhost.

    1. Connectez-vous à la console Bastionhost. Dans la barre de navigation supérieure, sélectionnez la région où se trouve votre instance Bastionhost.

    2. Dans la liste des instances Bastionhost, repérez l'instance cible et cliquez sur Manage.

    3. Dans le volet de navigation de gauche, accédez à Users > Users.

    4. Dans la liste des utilisateurs, cliquez sur le nom d'utilisateur de l'utilisateur à restreindre.

    5. Sous l'onglet User Logon Restrictions , définissez les restrictions d'adresse IP source et de plage horaire, puis cliquez sur Update.

      Les modes de restriction d'adresse IP suivants sont disponibles :

      • (Whitelist) Only Listed IP Addresses Are Allowed : seules les adresses IP sources figurant sur la liste blanche peuvent se connecter à Bastionhost, et uniquement pendant les périodes spécifiées.

      • (Blacklist) Listed IP Addresses Are Not Allowed : les adresses IP sources figurant sur la liste noire ne peuvent jamais se connecter à Bastionhost ; toutes les autres adresses peuvent se connecter uniquement pendant les périodes spécifiées.

    Verrouiller ou déverrouiller un utilisateur

    Lorsqu'un utilisateur n'a pas besoin de Bastionhost pendant un certain temps, un administrateur peut verrouiller manuellement le compte ou définir des conditions de déclenchement pour le verrouiller automatiquement, puis le déverrouiller au retour de l'utilisateur.

    Verrouiller automatiquement un utilisateur

    Bastionhost verrouille automatiquement un utilisateur lorsque l'une des conditions ci-dessous est remplie. Configurez les deux paramètres sur la page System Settings .

    • Tentatives de mot de passe incorrectes : par défaut, Bastionhost verrouille un utilisateur après cinq saisies consécutives de mot de passe incorrect. Définissez le paramètre Account Lockout Threshold pour modifier ce seuil.

    • Inactivité : une fois qu'un administrateur a activé l'option Inactive User Account , Bastionhost verrouille tout utilisateur marqué comme inactif.

      Pour plus d'informations, consultez la rubrique Configuration des utilisateurs.

    Verrouiller ou déverrouiller manuellement un utilisateur

    Les verrouillages et déverrouillages manuels prennent effet immédiatement. Un utilisateur verrouillé ne peut pas se connecter aux serveurs ; procédez donc avec prudence.

    1. Connectez-vous à la console Bastionhost. Dans la barre de navigation supérieure, sélectionnez la région où se trouve votre instance Bastionhost.

    2. Dans la liste des instances Bastionhost, repérez l'instance cible et cliquez sur Manage.

    3. Dans le volet de navigation de gauche, accédez à Users > Users.

    4. Sur la page Users , sélectionnez les utilisateurs que vous souhaitez verrouiller ou déverrouiller. En bas de la liste des utilisateurs, choisissez Batch > Locked ou Batch > Unlock.

      • Locked : après avoir verrouillé un utilisateur, le message The user is locked. s'affiche. Le Status de l'utilisateur verrouillé passe de Normal à Locked . Un administrateur peut toujours modifier les informations de base de l'utilisateur et accorder l'accès aux hôtes et aux groupes d'actifs.

      • Unlock : après le déverrouillage de l'utilisateur, le message The user is unlocked. s'affiche. L'utilisateur peut alors se connecter et travailler sur les hôtes autorisés.

    Exporter des utilisateurs

    Exportez la liste des utilisateurs vers un fichier CSV local.

    1. Connectez-vous à la console Bastionhost. Dans la barre de navigation supérieure, sélectionnez la région où se trouve votre instance Bastionhost.

    2. Dans la liste des instances Bastionhost, repérez l'instance cible et cliquez sur Manage.

    3. Dans le volet de navigation de gauche, accédez à Users > Users.

    4. Sur la page Users , cliquez sur Export Users dans le coin supérieur droit de la liste des utilisateurs.

    Supprimer un utilisateur

    Lorsqu'un ingénieur O&M n'a plus besoin de Bastionhost, supprimez l'utilisateur pour réduire les risques de sécurité.

    1. Connectez-vous à la console Bastionhost. Dans la barre de navigation supérieure, sélectionnez la région où se trouve votre instance Bastionhost.

    2. Dans la liste des instances Bastionhost, repérez l'instance cible et cliquez sur Manage.

    3. Dans le volet de navigation de gauche, accédez à Users > Users.

    4. Dans la liste des utilisateurs, sélectionnez les utilisateurs à supprimer et cliquez sur Delete sous la liste.

    Remarque

    La suppression d'un compte source ne supprime pas l'utilisateur Bastionhost correspondant. Si vous supprimez un utilisateur RAM ou un compte AD, LDAP ou IDaaS, l'utilisateur Bastionhost importé à partir de ce compte reste présent. Le Status de l'utilisateur peut toujours être normal et les sessions O&M établies par l'utilisateur peuvent toujours être valides. L'utilisateur peut donc toujours se connecter à Bastionhost.

    Pour désactiver complètement l'utilisateur, connectez-vous à la console Bastionhost, puis supprimez l'utilisateur sur la page Users . Vous pouvez également attendre que le Status de l'utilisateur passe à Remote Deleted , puis supprimer l'utilisateur manuellement.