Cara melakukan O&M database menggunakan Bastionhost - Bastionhost

Database merupakan aset kritis, dan mengamankan operasi serta pemeliharaannya (O&M) adalah prioritas utama. Edisi Perusahaan dan Edisi SM Bastionhost mendukung O&M dan audit untuk ApsaraDB for RDS (MySQL, SQL Server, dan PostgreSQL), PolarDB (MySQL, PostgreSQL, dan PostgreSQL dengan kompatibilitas Oracle), serta database yang dikelola sendiri (MySQL, SQL Server, PostgreSQL, dan Oracle). Topik ini menggunakan contoh spesifik untuk menunjukkan cara menggunakan Bastionhost dalam O&M database.

Latar Belakang

Selain server Windows dan Linux, perusahaan mengelola sejumlah besar aset database. Sebagai aset bisnis inti, database berisi informasi sensitif. Mengamankan O&M database dan mencegah akses tidak sah atau aktivitas yang tidak sesuai merupakan kekhawatiran utama bagi setiap perusahaan.

Lingkungan database sangat beragam, mencakup database cloud-native seperti ApsaraDB for RDS, database yang dikelola sendiri, serta berbagai mesin database seperti MySQL, SQL Server, PostgreSQL, dan Oracle. Di perusahaan besar, database ini sering tersebar di lingkungan kompleks yang mencakup beberapa akun, VPC, pusat data lokal (on-premises IDC), atau cloud heterogen. Bastionhost menyatukan O&M dan kontrol untuk skenario hibrida ini, sehingga menyederhanakan manajemen bagi tim keamanan.

Alibaba Cloud Bastionhost Edisi Perusahaan dan Edisi SM mendukung manajemen terpusat untuk server Windows, server Linux, dan database. Fitur ini memungkinkan Anda menentukan izin secara granular dan melakukan audit pasca-kejadian untuk berbagai jenis database, sehingga memaksimalkan keamanan O&M database Anda. Bastionhost juga menyediakan akses terpadu ke aset di lingkungan hibrida—seperti pengaturan multi-akun, pusat data lokal, dan cloud heterogen—sehingga tim keamanan dapat mengelola semua sumber daya dari satu platform.

Bastionhost Edisi Perusahaan dan Edisi SM menggunakan arsitektur dual-engine aktif-aktif yang andal. Desain ini menjamin ketersediaan tinggi dan stabilitas untuk O&M database yang menuntut. Untuk informasi lebih lanjut, lihat Perbandingan fitur antar berbagai edisi Bastionhost.

Alur kerja O&M

Saat menggunakan Bastionhost untuk O&M database, administrator terlebih dahulu mengelola aset dan memberikan izin kepada insinyur O&M. Insinyur O&M kemudian membuat saluran data SSH ke Bastionhost menggunakan client atau portal O&M. Terakhir, mereka login ke aset database melalui Bastionhost untuk melakukan O&M.

Metode dan prosedur

Operasi dan Pemeliharaan Klien

Sebelum memulai

Anda telah membuat database dan pengguna di Bastionhost, serta memberi otorisasi kepada pengguna tersebut untuk mengakses aset dan akun asetnya. Untuk informasi selengkapnya, lihat Buat database, Kelola pengguna, dan Otorisasi aset dan akun aset.

Contoh berikut menggunakan database MySQL dan pengguna lokal.
Anda telah menginstal klien database yang mendukung saluran data SSH di mesin lokal Anda. Untuk rekomendasi alat klien dan versi, lihat Rekomendasi alat klien dan versi untuk koneksi jarak jauh.

Panduan ini menggunakan Navicat Premium pada Windows dan command line pada Linux sebagai contoh.

Langkah 1: Dapatkan alamat O&M dan token

Login ke portal O&M. Untuk informasi selengkapnya, lihat Login ke portal O&M.
Di panel navigasi kiri, klik Databases.
Di halaman Databases, temukan database target. Pada kolom Remote Connection, atur View O&M Token menjadi Logon Method, lalu klik Log On.
Di kotak dialog O&M Token, klik Apply for O&M Token. Anda hanya perlu mengajukan token saat login pertama kali.

Setelah token diberikan, kotak dialog akan menampilkan dua bagian: Client Database General Information (termasuk alamat database, nama akun, dan port) dan Client SSH Tunnel Configuration (termasuk token O&M, alamat O&M publik dan privat, port O&M Bastionhost seperti SSH: 60022 dan RDP: 63389, serta waktu kedaluwarsa token). Salin token O&M dan tempelkan ke bidang password client Anda. Untuk memperpanjang periode validitas, klik Update Token atau Renew Token.

Catatan

Saat memperoleh token O&M dari portal O&M, jika akun database saat ini tidak dikelola oleh Bastionhost, Anda harus terlebih dahulu mengonfigurasi informasi dasar akun database di kotak dialog O&M Token. Untuk informasi lebih lanjut tentang cara membuat akun database, lihat Manajemen database.
Token O&M harus digunakan dalam periode validitasnya. Administrator dapat mengatur periode validitas di konsol Bastionhost. Jika persetujuan O&M diaktifkan, periode validitas yang ditetapkan administrator selama proses persetujuan akan digunakan.
Jika administrator mengizinkan pengguna O&M untuk memperpanjang token mereka sendiri, pengguna dapat memperpanjang token sebelum kedaluwarsa. Setelah token kedaluwarsa, pengguna harus meminta token baru. Jika persetujuan O&M diaktifkan, pengguna tidak dapat memperpanjang token. Setelah pengaturan token diubah, Anda harus meminta token baru atau memperbarui token yang ada agar pengaturan baru berlaku.
Jika token masih berlaku tetapi koneksi O&M gagal, jumlah koneksi O&M bersamaan mungkin telah mencapai batas maksimum. Dalam hal ini, hubungi administrator untuk meningkatkan tipe instans Bastionhost Anda atau melepaskan koneksi yang tidak aktif. Alasan lain yang mungkin adalah administrator telah memblokir permintaan O&M dari alamat IP sumber Anda atau selama periode waktu tertentu. Dalam kasus ini, hubungi administrator untuk menghapus pembatasan tersebut.
Log audit mencatat pengguna yang meminta token, bukan username atau akun aset yang dimasukkan di client.

Langkah 2: Buat saluran data SSH

Bagian berikut menjelaskan cara melakukan O&M database menggunakan alat Navicat Premium dan terminal command-line.

Navicat Premium

Buka Navicat Premium dan buat koneksi MySQL baru.

Di tab SSH, pilih SSH tunnel, lalu konfigurasikan parameter untuk login ke host bastion (parameter konfigurasi saluran data SSH client yang diperoleh di Langkah 1).

Parameter	Deskripsi
Host	Alamat O&M publik atau privat instans Bastionhost, dari bagian Parameters Required for Client-based O&M over SSH Tunnel di Langkah 1.
Port	Port O&M SSH Bastionhost. Nilai default-nya adalah 60022.
User Name	Username yang Anda gunakan untuk login ke Bastionhost.
Password	Token O&M database. Gunakan token O&M dari bagian Parameters Required for Client-based O&M over SSH Tunnel di Langkah 1.

Di tab General, konfigurasikan informasi koneksi database.

Atur Port ke 3306 dan tentukan Connection Name kustom, misalnya mysqltest.

Parameter	Deskripsi
Host	Alamat koneksi database.
User Name	Username login untuk akun database.
Password	Jika administrator telah menyimpan password akun database di Bastionhost, Anda dapat mengosongkan bidang password. Jika administrator belum menyimpan password akun database, masukkan kata sandi logon untuk akun database tersebut. Catatan Kami merekomendasikan agar Anda save the password. Jika Anda tidak menyimpan password, alat O&M database mungkin meminta Anda memasukkan password. Dalam kasus ini, Anda dapat memasukkan token O&M.

Di Navicat Premium, klik ganda koneksi database yang baru dibuat. Setelah koneksi berhasil, Anda dapat mulai mengelola database.

Command line

Buka alat command-line dan jalankan perintah berikut:

Format perintah:

ssh -N -L <localport>:<databaseAddress>:<databasePort> <bastionusername>@<bastionAddress> -p <bastionPort>

Parameter:

Parameter	Deskripsi
localport	Port lokal kustom untuk saluran data. Pastikan port tersebut tidak bentrok dengan port listening yang sudah ada di mesin Anda.
databaseAddress	Alamat aset database.
databasePort	Port aset database.
bastionusername	Username Bastionhost Anda.
bastionAddress	Alamat O&M Bastionhost.
bastionPort	Port O&M SSH Bastionhost. Nilai default-nya adalah 60022.

Contoh: ssh -N -L 33061:rm-******m020h.mysql.rds.aliyuncs.com:3306 bastuser@******-public.bastionhost.aliyuncs.com -p 60022

Saat diminta memasukkan password, masukkan token O&M database lalu tekan Enter. Terminal akan menunggu koneksi.

[root@xxx ~]# ssh -N -L 33061:rm-xxx0h.mysql.rds.aliyuncs.com:3306 doc01@uxxx-public.bastionhost.aliyuncs.com -p 60022
The authenticity of host '[uxxx-public.bastionhost.aliyuncs.com]:60022 ([xxx.7.15]:60022)' can't be established.
RSA key fingerprint is SHA256:xxx.
RSA key fingerprint is MD5:9x:xx:xx:xx:b0:56:0b:bb:58:e6:46:ec.
Are you sure you want to continue connecting (yes/no)? yes
Warning: Permanently added '[uxxx.bastionhost.aliyuncs.com]:60022,[xxx.15]:60022' (RSA) to the list of known hosts.
doc01@uxxx-public.bastionhost.aliyuncs.com's password:

Buka terminal lain dan pastikan port lokal kustom sedang dalam status listening. Output LISTEN menunjukkan bahwa port tersebut sedang listening.

[root@iZtxxx:jwtg98zqZ ~]# ss -an | grep 33061
tcp    LISTEN   0    128      127.0.0.1:33061          *:*
tcp    LISTEN   0    128      [::1]:33061              [::]:*

Jalankan perintah berikut. Setelah koneksi berhasil, Anda dapat mulai melakukan O&M.

[root@iZ_xxx jwtg98zqZ lib]# mysql -h 127.0.0.1  -u roxxx -P 33061
Welcome to the MariaDB monitor.  Commands end with ; or \g.
Your MySQL connection id is 3151064
Server version: 8.0.13 Source distribution
Copyright (c) 2000, 2018, Oracle, MariaDB Corporation Ab and others.
Type 'help;' or '\h' for help. Type '\c' to clear the current input statement.
MySQL [(none)]>

Format perintah

mysql -h 127.0.0.1 -u <accountname> -P <localport>

Parameter
- accountname adalah username login database.
- localport adalah port listening lokal kustom yang Anda tentukan saat menghubungkan ke Bastionhost.

O&M Web

Bastionhost memungkinkan Anda melakukan O&M database melalui portal O&M atau konsol web. Prosedur berikut menggunakan portal O&M sebagai contoh.

Sebelum memulai

Anda telah membuat database dan pengguna di Bastionhost, serta memberi otorisasi kepada pengguna tersebut untuk mengakses aset dan akun asetnya. Untuk informasi selengkapnya, lihat Buat database, Kelola pengguna, dan Otorisasi aset dan akun aset.

Contoh berikut menggunakan database MySQL dan pengguna lokal.

Prosedur

Login ke portal O&M Bastionhost. Untuk informasi selengkapnya, lihat Login ke portal O&M.
Di panel navigasi kiri, klik Databases.
Temukan database target. Di kolom Remote Connection, pilih Web Remote Connection sebagai metode login, lalu klik Log On.

Di kotak dialog login yang muncul, pilih root untuk Database Account. Anda juga dapat memilih kotak centang Set as default method.

O&M SSO

Insinyur O&M dapat menggunakan peluncur single sign-on dari halaman web untuk secara otomatis memanggil client lokal dan membuat sesi. Hal ini menghilangkan kebutuhan untuk mengonfigurasi client secara terpisah. Panduan ini menggunakan portal O&M Bastionhost untuk menunjukkan cara menggunakan SSO untuk O&M database MySQL.

Sebelum memulai

Anda telah membuat database dan pengguna di Bastionhost, serta memberi otorisasi kepada pengguna tersebut untuk mengakses aset dan akun asetnya. Untuk informasi selengkapnya, lihat Buat database, Kelola pengguna, dan Otorisasi aset dan akun aset.

Contoh berikut menggunakan database MySQL dan pengguna lokal.
Anda telah menginstal client yang didukung oleh peluncur single sign-on di mesin lokal Anda. Untuk daftar client yang didukung, lihat Client yang didukung oleh peluncur single sign-on.

Prosedur berikut menggunakan DBeaver 23 pada Windows sebagai contoh.

Langkah 1: Dapatkan alamat portal

Login ke konsol Bastionhost. Di bilah navigasi atas, pilih wilayah tempat instans Bastionhost Anda berada.
Di daftar instans Bastionhost, temukan instans target lalu klik Manage.
Di panel navigasi kiri, klik Overview untuk mendapatkan alamat portal O&M.

Di panel Bastionhost Instance Information di sebelah kanan, Anda dapat menemukan Public O&M Portal Address dan Private O&M Portal Address.

Langkah 2: Instal peluncur single sign-on

Masukkan alamat portal O&M di browser Anda.
Di halaman login Alibaba Cloud Bastionhost, masukkan username dan password Bastionhost Anda, lalu klik Log On.
Di halaman portal O&M, klik Download Bastionhost Assistant.

Contoh ini menggunakan peluncur single sign-on untuk Windows.
Setelah unduhan selesai, instal peluncur tersebut. Anda tidak perlu membukanya setelah instalasi.

Langkah 3: Konfigurasi terminal O&M

Di panel navigasi kiri portal O&M, klik Device Settings.
Di tab MySQL, pilih client DBeaver lalu klik Save.
Di kotak dialog usmsso.exe yang muncul, klik Open dan ikuti petunjuk di layar untuk mengonfigurasi client database.

Langkah 4: Hubungkan ke database

Di panel navigasi kiri portal O&M, klik Databases.
Temukan database target. Di kolom Remote Connection, pilih Local Client Logon dari daftar drop-down, lalu klik Log On.

Audit O&M database

Setelah insinyur O&M mengakses aset database melalui Bastionhost, semua aktivitas O&M diaudit. Untuk memungkinkan pelacakan pasca-kejadian, Bastionhost menyediakan fitur seperti audit sesi, pemantauan waktu nyata, dan log operasi.

Login ke konsol Bastionhost. Di bilah navigasi atas, pilih wilayah tempat instans Bastionhost Anda berada.
Di daftar instans Bastionhost, temukan instans target lalu klik Manage.
Di panel navigasi kiri, pilih O&M Audit > Session Audit.
Di halaman Session Audit, lihat catatan sesi.