Pengguna Bastionhost adalah akun yang digunakan oleh insinyur O&M untuk login dan mengakses aset host serta database yang telah diizinkan. Administrator membuat dan memeliharanya pada halaman manajemen Bastionhost.
Jenis pengguna
Pilih jenis pengguna yang sesuai dengan sumber identitas Anda. Insinyur O&M dapat berasal dari pengguna Alibaba Cloud Resource Access Management (RAM) yang diimpor, pengguna lokal Bastionhost, atau pengguna autentikasi AD, LDAP, atau IDaaS yang diimpor.
Jenis pengguna | Deskripsi |
RAM user | Setelah Anda membuat pengguna RAM Alibaba Cloud di RAM console, impor pengguna tersebut ke halaman manajemen Bastionhost dengan satu klik. |
Bastionhost local user | Buat pengguna lokal Bastionhost satu per satu, atau impor secara batch dari file. |
AD/LDAP user | Konfigurasikan autentikasi AD atau LDAP, lalu sinkronkan pengguna tersebut ke Bastionhost. |
IDaaS user | Konfigurasikan autentikasi IDaaS, lalu sinkronkan pengguna tersebut ke Bastionhost. |
Daftar pengguna
Setelah Anda membuat pengguna, daftar pengguna akan menampilkan item berikut.
Item | Deskripsi |
Logon Name | Nama akun yang digunakan untuk login ke Bastionhost. Sumbernya dan apakah dapat diubah tergantung pada jenis pengguna. |
Authentication Source | Jenis pengguna. Misalnya, pengguna lokal ditampilkan sebagai Local Authentication. |
Two-factor Authentication Methods | Otentikasi sekunder yang diperlukan setelah pemeriksaan password. Metode yang tersedia tergantung pada jenis pengguna. |
OTP App | Apakah pengguna telah Create users. Tidak berlaku untuk pengguna RAM atau IDaaS. |
Status | Status saat ini dari pengguna. |
Actions | Operasi otorisasi untuk pengguna. Untuk informasi selengkapnya, lihat Memberi otorisasi kepada pengguna untuk mengelola aset dan akun aset atau Memberi otorisasi kepada pengguna untuk mengelola kelompok aset. |
Logon name
Nama login pengguna berasal dari sumber autentikasinya:
RAM user: nama login yang ditetapkan saat pengguna RAM dibuat dan disinkronkan. Jika Anda mengubah username di RAM console, buka System Settings > User Settings dan konfigurasikan User Sync Settings.
Local user: username yang ditetapkan administrator saat pembuatan. Tidak dapat diubah. Kompleksitas password mengikuti pengaturan keamanan password pengguna.
AD/LDAP user: username yang disinkronkan dari server AD atau LDAP. Ubah di server tersebut.
IDaaS user: akun yang disinkronkan dari Alibaba Cloud IDaaS EIAM. Tidak dapat diubah.
Untuk pengaturan keamanan pengguna dan password, lihat User configuration.
Metode otentikasi dua faktor
Setelah autentikasi password, pengguna juga harus memasukkan kode verifikasi dinamis yang dikirim melalui pesan teks, email, atau DingTalk. Pemeriksaan sekunder ini mengurangi risiko keamanan. Konfigurasikan metode tersebut pada sumber autentikasi pengguna:
RAM user: RAM-based Authentication. Untuk mengonfigurasi metode otentikasi dua faktor untuk pengguna RAM, login ke RAM console. Untuk informasi lebih lanjut, lihat Bind an MFA device for a RAM user.
IDaaS user: IDaaS-based Authentication. Untuk mengonfigurasi metode otentikasi dua faktor untuk pengguna IDaaS, login ke Alibaba Cloud IDaaS console. Untuk informasi lebih lanjut, lihat Two-factor authentication.
Local user atau AD/LDAP user:
Untuk pengaturan global, lihat Enable two-factor authentication.
Untuk pengaturan pengguna individual, lihat Create users.
Status pengguna
Kolom Status menampilkan salah satu status berikut:
Inactive: pengguna yang tidak login dalam periode tertentu ditandai sebagai Inactive.
Password Expired: setelah periode validitas password berakhir, pengguna ditandai sebagai Password Expired.
Locked:
Pengguna yang melebihi jumlah maksimum percobaan password salah berturut-turut, atau yang dikunci secara manual oleh administrator, ditandai sebagai Locked.
Di System Settings, setelah Anda mengaktifkan Automatically Lock Inactive User Accounts, Bastionhost secara otomatis mengunci pengguna yang lama tidak aktif dan menandainya sebagai Locked.
Remote Deleted: jika pengguna tidak ditemukan di sumber autentikasi yang sesuai berdasarkan ID sumber pengguna, pengguna tersebut ditandai sebagai Remote Deleted.
Remote DN Changed: jika BaseDN pengguna di server AD atau LDAP tidak sesuai dengan konfigurasi di Bastionhost, pengguna tersebut ditandai sebagai Remote DN Changed.
Untuk pengaturan status pengguna, lihat User configuration.
Buat pengguna
Buat akun yang digunakan oleh insinyur O&M Anda untuk login ke Bastionhost. Setiap tab di bawah mencakup satu jenis pengguna.
Impor pengguna RAM
Login ke Bastionhost console. Di bilah navigasi atas, pilih wilayah tempat instans Bastionhost Anda berada.
Di daftar instans Bastionhost, temukan instans target dan klik Manage.
Di panel navigasi kiri, pilih .
Di halaman Users, klik Import RAM Users.
Di halaman Import RAM Users, temukan pengguna RAM yang ingin Anda impor, lalu klik Import di kolom Actions. Untuk mengimpor beberapa sekaligus, pilih pengguna tersebut lalu klik Import.
CatatanUntuk mengonfigurasi otentikasi dua faktor untuk pengguna RAM, login ke RAM console dan konfigurasikan multi-factor authentication (MFA) untuk pengguna RAM tersebut. Untuk informasi lebih lanjut, lihat Bind an MFA device to an Alibaba Cloud account.
Buat pengguna lokal
Di halaman Users, buat satu pengguna lokal, atau impor beberapa pengguna lokal dari file.
Untuk membuat satu pengguna lokal
Login ke Bastionhost console. Di bilah navigasi atas, pilih wilayah tempat instans Bastionhost Anda berada.
Di daftar instans Bastionhost, temukan instans target dan klik Manage.
Di panel navigasi kiri, pilih .
Di panel Create User, konfigurasikan informasi pengguna lalu klik Create.
Atur Authentication Method menjadi Local Authentication. Selain informasi dasar, bagian lain di tab ini mencakup pengaturan opsional.
Opsional: Untuk memberi tahu pengguna tentang alamat O&M, berikan nomor telepon seluler atau alamat email kepada pengguna lokal tersebut, lalu pilih Send O&M Addresses to User.
Untuk mengimpor beberapa pengguna lokal dari file
Di halaman Users, di daftar Import Other Users, pilih Import Users from File.
Klik Download User Template untuk mengunduh templat, isi informasi pengguna, lalu simpan file tersebut.
Di panel Import Local Users, klik Upload untuk mengunggah file templat pengguna.
Di kotak dialog Preview, pilih pengguna yang akan diimpor lalu klik Import.
Di panel Import Local Users, konfirmasi informasi pengguna lalu klik Import Local Users.
Jika Anda memilih Users must reset the password at next logon., semua pengguna yang diimpor harus mengganti password mereka saat login berikutnya.
CatatanPengguna yang usernamenya duplikat dengan entri lain di file atau pengguna sistem yang sudah ada akan dilewati. Di panel Import Local Users, klik Details untuk melihat pengguna yang tidak diimpor.
Pengaturan opsional untuk pengguna lokal
Aktifkan Users must reset the password at next logon.: pengguna lokal harus mengganti password saat login berikutnya. Ini hanya berlaku untuk pengguna lokal; untuk pengguna yang sudah ada, administrator dapat mengaktifkan/menonaktifkannya dari daftar pengguna.
Atur Validity Period: setelah diatur, kolom Status akan menampilkan Expired untuk pengguna yang melewati periode tersebut, dan pengguna tidak dapat login untuk melakukan operasi O&M.
Konfigurasikan Two-factor Authentication Methods: gunakan metode dua faktor global atau metode yang hanya berlaku untuk pengguna ini.
Konfigurasikan Two-factor Notification Sending Language: gunakan bahasa notifikasi global atau bahasa yang hanya berlaku untuk pengguna ini.
Metode otentikasi dua faktor
Dengan otentikasi dua faktor diaktifkan, pengguna menerima kode verifikasi melalui pesan teks atau email saat login, jadi pastikan nomor dan alamat yang Anda masukkan benar. Untuk negara dan wilayah yang mendukung pesan teks, lihat Countries and regions that support two-factor authentication by text message.
Nomor telepon seluler dan alamat email hanya digunakan untuk kode verifikasi dan pemberitahuan peringatan, dan tidak untuk tujuan lain.
Two-factor Authentication Methods mendukung dua jenis:
Pilih For All Users untuk menerapkan metode otentikasi dua faktor global, yang Anda konfigurasikan di System Settings. Untuk informasi lebih lanjut, lihat Enable two-factor authentication.
Pilih For Single User untuk mengatur metode dua faktor hanya untuk pengguna ini.
Jika Anda memilih For Single User, pilih salah satu metode berikut:
Disable: otentikasi dua faktor tidak diaktifkan.
Text Message: otentikasi sekunder melalui pesan teks ke nomor telepon seluler pengguna, yang harus Anda tentukan.
Email: otentikasi sekunder melalui email ke alamat email pengguna, yang harus Anda tentukan.
DingTalk: otentikasi sekunder melalui DingTalk pengguna, yang memerlukan nomor telepon seluler.
CatatanOtentikasi DingTalk memiliki persyaratan berikut:
Nomor telepon seluler dikaitkan dengan akun pengguna yang digunakan untuk O&M. Untuk informasi lebih lanjut tentang cara menambahkan nomor telepon seluler untuk pengguna, lihat Modify the basic information of a local user.
Administrator DingTalk telah membuat aplikasi perusahaan internal dan memberikan izin API Access Permission To Get Member Information By Phone Number And Name.
Anda telah memperoleh AppKey, AppSecret, dan AgentId dari aplikasi perusahaan internal tersebut.
OTP App: autentikasi menggunakan token OTP dari aplikasi seluler pengguna, yang harus di-bind terlebih dahulu.
CatatanPertama, unduh aplikasi TOTP standar, seperti Alibaba Cloud. Kemudian, masuk ke portal O&M Bastionhost melalui titik akhir publik. Di panel navigasi kiri, klik Security Settings, pilih tab Enable OTP, lalu klik Bind OTP App dan pindai kode QR untuk mengikat token. Untuk mengetahui alamat O&M, lihat Bastionhost console overview.
Bahasa pengiriman notifikasi dua faktor
Konfigurasikan Two-factor Notification Sending Language dengan salah satu cara berikut:
Pilih For All Users untuk mengirim notifikasi dalam bahasa yang Anda konfigurasikan di System Settings. Untuk informasi lebih lanjut, lihat Enable two-factor authentication.
Pilih For Single User untuk mengirim notifikasi otentikasi dua faktor dalam Simplified Chinese atau English.
Impor pengguna AD/LDAP
Konfigurasikan autentikasi AD atau LDAP sebelum mengimpor pengguna. Untuk informasi lebih lanjut, lihat Configure AD or LDAP authentication.
Login ke Bastionhost console. Di bilah navigasi atas, pilih wilayah tempat instans Bastionhost Anda berada.
Di daftar instans Bastionhost, temukan instans target dan klik Manage.
Di panel navigasi kiri, pilih .
Di halaman Import AD Users atau Import LDAP Users, temukan pengguna yang akan diimpor, lalu klik Import di kolom Actions.
Pilih beberapa pengguna untuk mengimpornya secara batch.
Impor pengguna IDaaS
Konfigurasikan autentikasi IDaaS sebelum mengimpor pengguna. Untuk informasi lebih lanjut, lihat Manage IDaaS authentication.
Login ke Bastionhost console. Di bilah navigasi atas, pilih wilayah tempat instans Bastionhost Anda berada.
Di daftar instans Bastionhost, temukan instans target dan klik Manage.
Di panel navigasi kiri, pilih .
Pilih Import Other Users > Import IDaaS User.
Di halaman Import IDaaS User, temukan pengguna yang akan diimpor, lalu klik Import di kolom Actions.
Pilih beberapa pengguna untuk mengimpornya secara batch. Jika tidak ada pengguna IDaaS yang muncul, klik Synchronize.
Ubah informasi pengguna lokal
Untuk pengguna AD/LDAP, RAM, dan IDaaS, ubah informasi dasar di sumber autentikasi.
Perbarui nomor telepon seluler atau alamat email pengguna lokal di konsol segera setelah berubah. Jika tidak, kode verifikasi akan dikirim ke nomor lama, dan pengguna tidak dapat login untuk melakukan operasi O&M.
Login ke Bastionhost console. Di bilah navigasi atas, pilih wilayah tempat instans Bastionhost Anda berada.
Di daftar instans Bastionhost, temukan instans target dan klik Manage.
Di panel navigasi kiri, pilih .
Di tab Basic Info pengguna, ubah informasi pengguna, lalu klik Update.
Ubah pengaturan reset password saat login berikutnya
Saat membuat pengguna lokal, aktifkan Users must reset the password at next logon. Untuk mengubah pengaturan ini, gunakan menu batch di bawah daftar pengguna.
Login ke Bastionhost console. Di bilah navigasi atas, pilih wilayah tempat instans Bastionhost Anda berada.
Di daftar instans Bastionhost, temukan instans target dan klik Manage.
Di panel navigasi kiri, pilih .
Di daftar pengguna, pilih pengguna yang akan diubah. Di bawah daftar, pilih Batch > Change Configuration of Local Users Must Reset Passwords at Next Logons.
Di kotak dialog yang muncul, pilih Enable atau Disable, lalu klik OK.
Kelola kunci publik pengguna
Simpan kunci publik pengguna di Bastionhost agar insinyur O&M dapat login dari klien O&M dengan kunci privat yang sesuai. Untuk detail proses O&M, lihat Perform SSH-based O&M.
Login ke Bastionhost console. Di bilah navigasi atas, pilih wilayah tempat instans Bastionhost Anda berada.
Di daftar instans Bastionhost, temukan instans target dan klik Manage.
Di panel navigasi kiri, pilih .
Di panel Add SSH Public Key, tentukan nama dan konten kunci publik, lalu klik Add SSH Public Key.
Daftar kunci publik pengguna menampilkan kunci yang di-host, yang juga dapat Anda ekspor.
Pembatasan login pengguna
Batasi alamat IP sumber dan periode waktu dari mana pengguna dapat login ke Bastionhost.
Login ke Bastionhost console. Di bilah navigasi atas, pilih wilayah tempat instans Bastionhost Anda berada.
Di daftar instans Bastionhost, temukan instans target dan klik Manage.
Di panel navigasi kiri, pilih .
Di daftar pengguna, klik username pengguna yang akan dibatasi.
Di tab User Logon Restrictions, atur pembatasan alamat IP sumber dan periode waktu, lalu klik Update.
Mode pembatasan alamat IP berikut tersedia:
(Whitelist) Only Listed IP Addresses Are Allowed: hanya alamat IP sumber yang ada di daftar putih yang dapat login ke Bastionhost, dan hanya dalam periode waktu yang ditentukan.
(Blacklist) Listed IP Addresses Are Not Allowed: alamat IP sumber yang ada di blacklist tidak dapat login ke Bastionhost; yang lainnya dapat login hanya dalam periode waktu yang ditentukan.
Kunci atau buka kunci pengguna
Saat pengguna tidak membutuhkan Bastionhost untuk sementara waktu, administrator dapat mengunci akun secara manual atau mengatur kondisi pemicu untuk menguncinya secara otomatis, lalu membukanya kembali saat pengguna kembali.
Kunci pengguna secara otomatis
Bastionhost mengunci pengguna secara otomatis ketika salah satu kondisi berikut terpenuhi. Konfigurasikan keduanya di halaman System Settings.
Percobaan password salah: secara default, Bastionhost mengunci pengguna setelah lima kali percobaan password salah berturut-turut. Atur Account Lockout Threshold untuk mengubah ambang batas tersebut.
Ketidakaktifan: setelah administrator mengaktifkan Inactive User Account, Bastionhost mengunci pengguna yang ditandai sebagai tidak aktif.
Untuk informasi lebih lanjut, lihat User configuration.
Kunci atau buka kunci pengguna secara manual
Penguncian dan pembukaan kunci manual berlaku segera. Pengguna yang dikunci tidak dapat login ke server, jadi lakukan dengan hati-hati.
Login ke Bastionhost console. Di bilah navigasi atas, pilih wilayah tempat instans Bastionhost Anda berada.
Di daftar instans Bastionhost, temukan instans target dan klik Manage.
Di panel navigasi kiri, pilih .
Ekspor pengguna
Ekspor daftar pengguna ke file CSV lokal.
Login ke Bastionhost console. Di bilah navigasi atas, pilih wilayah tempat instans Bastionhost Anda berada.
Di daftar instans Bastionhost, temukan instans target dan klik Manage.
Di panel navigasi kiri, pilih .
Di halaman Users, klik Export Users di pojok kanan atas daftar pengguna.
Hapus pengguna
Saat insinyur O&M tidak lagi membutuhkan Bastionhost, hapus pengguna tersebut untuk mengurangi risiko keamanan.
Login ke Bastionhost console. Di bilah navigasi atas, pilih wilayah tempat instans Bastionhost Anda berada.
Di daftar instans Bastionhost, temukan instans target dan klik Manage.
Di panel navigasi kiri, pilih .
Menghapus akun sumber tidak menghapus pengguna Bastionhost yang sesuai. Jika Anda menghapus pengguna RAM atau akun AD, LDAP, atau IDaaS, pengguna Bastionhost yang diimpor dari akun tersebut tetap ada. Status pengguna tersebut mungkin tetap normal, dan sesi O&M yang dibuat pengguna tersebut mungkin masih valid. Oleh karena itu, pengguna tersebut masih dapat login ke Bastionhost.
Untuk menonaktifkan pengguna sepenuhnya, login ke Bastionhost console, lalu hapus pengguna di halaman Users. Atau, tunggu hingga Status pengguna berubah menjadi Remote Deleted, lalu hapus pengguna tersebut secara manual.