Key Management Service:Intégrer les secrets ECS dans Bastionhost

Présentation de la fonctionnalité

Vous pouvez enregistrer les mots de passe des comptes ECS ou les paires de clés SSH sous forme de secrets ECS dans KMS. Côté Bastionhost, il vous suffit d'importer les secrets ECS. Vous n'avez pas besoin de saisir manuellement les mots de passe des comptes ECS ni les paires de clés SSH. Lorsque Bastionhost se connecte à une instance ECS, il récupère la valeur du secret depuis KMS en temps réel pour l'authentification.

KMS prend en charge la rotation périodique automatique des secrets ECS. Étant donné que Bastionhost récupère en temps réel la valeur du secret de la version ACSCurrent depuis KMS, la rotation n'affecte pas les connexions distantes de Bastionhost vers les instances ECS. Pour plus d'informations sur les versions des secrets, consultez la section Versions des secrets. Le diagramme ci-dessous illustre le flux de travail d'utilisation des secrets ECS dans Bastionhost pour se connecter à distance aux instances ECS.

1. Un administrateur de secrets crée un secret ECS dans KMS.

2. Un administrateur Bastionhost configure l'importation des secrets ECS depuis KMS vers Bastionhost.

3. Un ingénieur O&M initie une connexion distante à l'instance ECS.

4. Bastionhost appelle les opérations ListSecrets et GetSecretValue pour récupérer la valeur du secret ECS depuis KMS en temps réel.

5. Bastionhost utilise la valeur du secret ECS pour se connecter à l'instance ECS.

Notes d'utilisation

• Seules les éditions Bastionhost Basic Edition et Bastionhost Enterprise Dual-Engine Edition V3.2.40 et ultérieures prennent en charge l'intégration des secrets ECS.

• Si vous supprimez un secret ECS dans KMS, Bastionhost ne peut pas récupérer la valeur du secret et les connexions distantes à l'instance ECS échoueront.

Prérequis

• Vous avez importé les ressources ECS dans Bastionhost. Pour plus d'informations, consultez la section Importer des instances ECS de votre compte.

• Si vous utilisez un utilisateur RAM pour gérer les secrets ECS et Bastionhost, assurez-vous que le compte Alibaba Cloud a accordé à l'utilisateur RAM l'autorisation AliyunKMSSecretAdminAccess (autorisations de gestion des secrets KMS) et l'autorisation AliyunYundunBastionHostFullAccess (autorisations de gestion de Bastionhost). Pour plus d'informations, consultez la section Gérer les autorisations des utilisateurs RAM.

Procédure

1. Créez un secret ECS dans KMS. Pour plus d'informations, consultez la section Étape 1 : Créer un secret ECS.

   1. Connectez-vous à la console Key Management Service. Dans la barre de navigation supérieure, sélectionnez une région. Dans le volet de navigation de gauche, choisissez Resources > Secrets.

   2. Cliquez sur l'onglet ECS Secrets, sélectionnez l'Instance ID, puis cliquez sur Create ECS Secret. Après avoir configuré les paramètres, cliquez sur OK.

      Paramètre	Description
      Secret Name	Nom d'identification personnalisé. Doit être unique au sein de la région actuelle.
      Managed Instance	Sélectionnez une instance ECS sous votre compte Alibaba Cloud.
      Managed User	Saisissez le nom d'utilisateur d'un utilisateur existant sur l'instance ECS, par exemple root (Linux) ou Administrator (Windows).
      Initial Secret Value	La valeur d'identification doit avoir une longueur maximale de 30 720 octets (30 Ko). Mot de passe : Le mot de passe de connexion de l'utilisateur sur l'instance ECS. Paire de clés : La paire de clés SSH utilisée pour se connecter à l'instance ECS. Obtenir une paire de clés SSH Utiliser une paire de clés SSH créée dans ECS Clé privée : Après la création d'une paire de clés SSH dans ECS, la clé privée est automatiquement téléchargée sur votre ordinateur local sous le nom key-pair-name.pem. Clé publique : Pour plus d'informations, consultez la documentation sur l'affichage des clés publiques SSH. Générer une paire de clés SSH localement Générez et enregistrez les clés privée et publique. Par exemple, utilisez la commande ssh-keygen pour générer une paire de clés RSA 3072 bits : ssh-keygen -t RSA -b 3072 -m PEM -f ~/.ssh/sshKey_demo -N "" Les fichiers suivants sont générés : ~/.ssh/sshKey_demo : stocke la clé privée. ~/.ssh/sshKey_demo.pub : stocke la clé publique. Remarque La valeur d'identification doit être correctement configurée. Si la valeur d'identification est incorrecte, le mot de passe ou la paire de clés récupéré depuis KMS ne pourra pas être utilisé pour se connecter à l'instance ECS jusqu'à la première rotation de l'identification.
      CMK	Sélectionnez la clé symétrique utilisée pour chiffrer la valeur d'identification. La clé et l'identification doivent appartenir à la même instance KMS. Important La clé et l'identification doivent appartenir à la même instance KMS, et la clé doit être une clé symétrique. Pour plus d'informations sur les clés symétriques prises en charge par KMS, consultez la section Types et spécifications de clés. Si un utilisateur RAM ou un rôle RAM est utilisé, il doit disposer des autorisations nécessaires pour exécuter l'opération GenerateDataKey à l'aide de la clé maître de chiffrement.
      Tags	Ajoutez des tags à l'identification pour la classification. Chaque tag se compose d'une paire clé-valeur. Remarque Format d'une clé de tag et d'une valeur de tag : Une clé de tag ou une valeur de tag peut comporter jusqu'à 128 caractères et contenir des lettres, des chiffres, des barres obliques (/), des barres obliques inverses (\), des traits de soulignement (_), des traits d'union (-), des points (.), des signes plus (+), des signes égal (=), des deux-points (:), des arobases (@) et des espaces. Une clé de tag ne peut pas commencer par aliyun ou acs:. Chaque identification prend en charge jusqu'à 20 paires clé-valeur de tags.
      Automatic Rotation	Indiquez si vous souhaitez activer la rotation automatique. Lorsqu'elle est activée, KMS met régulièrement à jour la valeur d'identification afin de réduire le risque de fuite d'identifications.
      Rotation Period	Définissez ce paramètre uniquement lorsque la rotation automatique est activée. Valeurs valides : de 1 heure à 365 jours. Spécifie l'intervalle de rotation. KMS met régulièrement à jour la valeur d'identification en fonction de ce paramètre.
      Description	Description facultative de l'identification à des fins d'identification et de gestion.
      Advanced Settings > Policy Settings	Définissez la politique d'accès pour l'identification afin de contrôler quels utilisateurs ou rôles RAM peuvent la lire ou la modifier. Vous pouvez sélectionner la politique par défaut dans un premier temps et la modifier ultérieurement selon vos besoins.

      Remarque

      Lorsque vous créez le secret, le système crée automatiquement le rôle lié au service AliyunServiceRoleForKMSSecretsManagerForECS et lui attache la stratégie AliyunServiceRolePolicyForKMSSecretsManagerForECS. KMS utilise ce rôle pour gérer les secrets ECS et effectuer la rotation des mots de passe et des paires de clés publique/privée. Vous pouvez vous connecter à la console RAM pour afficher les détails du rôle lié au service et de la stratégie. Pour plus d'informations, consultez les sections Afficher un rôle RAM et Afficher les détails de la stratégie.

2. Importez le secret ECS dans Bastionhost.

   Après l'importation, lorsque vous vous connectez à distance à l'instance ECS depuis Bastionhost, Bastionhost récupère automatiquement la valeur du secret depuis KMS pour la connexion.

   1. Connectez-vous au système Bastionhost. Pour plus d'informations, consultez la section Se connecter au système.

   2. Dans le volet de navigation de gauche, choisissez Assets > Hosts.

   3. Sur la page Hosts, recherchez l'hôte cible et cliquez sur Import KMS Secret dans la colonne Actions.

   4. Dans la boîte de dialogue Import KMS Secret, sélectionnez les secrets à importer et cliquez sur Import.

      Une fois les secrets importés, vous pouvez cliquer sur le nom de l'hôte sur la page Hosts. Sous l'onglet Host Account, vous pouvez afficher et gérer les secrets KMS importés.

Étapes suivantes

1. Autorisez les utilisateurs Bastionhost à gérer l'instance ECS. Pour plus d'informations, consultez la section Autoriser des ressources et des comptes de ressources pour un utilisateur.

2. Utilisez Bastionhost pour effectuer des opérations O&M sur l'instance ECS. Pour plus d'informations, consultez la section Présentation des opérations O&M.