Tambahkan pengguna ke Bastionhost agar insinyur O&M dapat login dan melakukan operasi pada aset yang diizinkan untuk mereka akses.
Jenis pengguna
Bastionhost mendukung jenis pengguna berikut. Setiap jenis memiliki sumber dan metode impor yang berbeda.
Pengguna yang diautentikasi melalui Identity as a Service (IDaaS) tidak dapat login ke Bastionhost untuk O&M aset menggunakan autentikasi berbasis password pada klien. Untuk menggunakan Bastionhost, pengguna yang diautentikasi melalui IDaaS harus melewati autentikasi berbasis token O&M pada klien atau menggunakan portal O&M. Untuk informasi lebih lanjut, lihat Manual O&M.
| Jenis pengguna | Deskripsi |
|---|---|
| RAM user | Dibuat di Konsol RAM, lalu diimpor ke Bastionhost melalui Import RAM Users. |
| Pengguna lokal | Dibuat langsung di Bastionhost (satu pengguna) atau diimpor secara massal dari file. |
| Pengguna terautentikasi AD | Disinkronkan dari server Active Directory (AD). Memerlukan konfigurasi autentikasi AD terlebih dahulu. Untuk informasi lebih lanjut, lihat Konfigurasi autentikasi AD atau LDAP. |
| Pengguna terautentikasi LDAP | Disinkronkan dari server Lightweight Directory Access Protocol (LDAP). Memerlukan konfigurasi autentikasi LDAP terlebih dahulu. Untuk informasi lebih lanjut, lihat Konfigurasi autentikasi AD atau LDAP. |
| Pengguna terautentikasi IDaaS | Disinkronkan dari Alibaba Cloud Identity as a Service (IDaaS) Enterprise Identity Access Management (EIAM). Memerlukan konfigurasi autentikasi IDaaS terlebih dahulu. Hanya Edisi Enterprise dan SM yang mendukung integrasi IDaaS. Jika instans Anda adalah Edisi Dasar, lakukan upgrade terlebih dahulu. Untuk informasi lebih lanjut, lihat Upgrade tipe instans. |
Kolom daftar pengguna
| Kolom | Deskripsi |
|---|---|
| Username | Nama login pengguna. Sumber dan kemampuan modifikasi bervariasi tergantung jenis pengguna: pengguna RAM menggunakan nama login dari Konsol RAM (dapat diubah melalui RAM); pengguna lokal menggunakan nama yang ditetapkan saat pembuatan (tidak dapat diubah); pengguna terautentikasi AD dan LDAP menggunakan nama yang disinkronkan dari server (ubah di server); pengguna terautentikasi IDaaS menggunakan nama yang disinkronkan dari IDaaS EIAM (tidak dapat diubah). |
| Authentication source | Jenis pengguna. Misalnya, Local Authentication untuk pengguna lokal. |
| Two-factor authentication methods | Metode autentikasi dua faktor (2FA) yang diterapkan saat pengguna login dengan username dan password. Metode termasuk kode verifikasi SMS, email, dan DingTalk. Pengguna RAM menggunakan IDaaS-based Authentication (dikonfigurasi melalui Konsol RAM). Pengguna terautentikasi IDaaS menggunakan IDaaS-based Authentication (dikonfigurasi melalui Konsol IDaaS). |
| OTP App | Apakah pengguna telah mengikat time-based one-time password (TOTP). Tidak berlaku untuk pengguna RAM atau pengguna terautentikasi IDaaS. |
| Status | Status pengguna saat ini. Nilai yang mungkin: Inactive (pengguna belum login dalam periode yang dikonfigurasi), Password Expired (masa berlaku password telah habis), Locked (terlalu banyak percobaan gagal, dikunci manual oleh admin, atau otomatis terkunci karena tidak aktif), Sumber tempat pengguna diimpor telah dihapus (pengguna tidak ditemukan di sumber autentikasi — hanya berlaku untuk pengguna terautentikasi AD, LDAP, dan IDaaS), Update Available (base distinguished name (DN) pada server AD atau LDAP berbeda dari konfigurasi di Bastionhost). |
| Actions | Operasi untuk memberikan izin. Untuk informasi lebih lanjut, lihat Berikan otorisasi kepada pengguna atau kelompok pengguna untuk mengelola aset dan akun aset atau Berikan izin pada kelompok aset. |
Buat pengguna
Anda dapat membuat akun pengguna bagi insinyur O&M untuk login ke Bastionhost.
Impor pengguna RAM
Impor pengguna RAM ke Bastionhost agar insinyur O&M dapat login menggunakan identitas Alibaba Cloud Resource Access Management (RAM) yang sudah ada.
Login ke Konsol Bastionhost dan pilih wilayah tempat instans Anda dideploy.
Pada daftar instans, temukan instans target dan klik Manage.
Di panel navigasi sebelah kiri, pilih Users > Users.
Pada halaman Users, klik Import RAM Users.
(Opsional) Jika belum ada pengguna RAM, klik Create RAM User di dialog Import RAM Users dan ikuti petunjuknya. Untuk informasi lebih lanjut, lihat Buat pengguna RAM.
Di dialog Import RAM Users, klik Import di kolom Actions untuk pengguna yang ingin diimpor. Untuk mengimpor beberapa pengguna sekaligus, pilih pengguna tersebut lalu klik Import di bawah daftar.
Untuk mengaktifkan autentikasi dua faktor bagi pengguna RAM, login ke Konsol RAM dan aktifkan multi-factor authentication (MFA). Untuk informasi lebih lanjut, lihat Ikat perangkat MFA ke Akun Alibaba Cloud.
Buat pengguna lokal
Buat pengguna lokal langsung di Bastionhost ketika Anda membutuhkan akun yang tidak terikat pada sumber autentikasi eksternal. Anda dapat membuat pengguna satu per satu atau mengimpornya secara massal dari file.
Buat satu pengguna lokal
Login ke Konsol Bastionhost dan pilih wilayah tempat instans Anda dideploy.
Pada daftar instans, temukan instans target dan klik Manage.
Di panel navigasi sebelah kiri, pilih Users > Users.
Pilih Import Other Users > Create User.
Di panel Create User, atur Authentication Method menjadi Local Authentication dan konfigurasikan parameter berikut, lalu klik Create.
Bidang wajib diisi
Parameter Deskripsi Username Nama login pengguna. Tidak dapat diubah setelah dibuat. Nomor telepon seluler dan alamat email Hanya digunakan untuk menerima kode verifikasi dan pemberitahuan peringatan. Wajib diisi jika Anda mengaktifkan autentikasi dua faktor berbasis SMS atau email. Pengaturan opsional
Parameter Deskripsi Users must reset the password at next logon. Jika dipilih, pengguna harus menetapkan password baru saat login pertama kali. Validity Period Setelah periode validitas berakhir, status pengguna berubah menjadi Password Expired dan tidak dapat lagi login. Two-factor authentication methods Mengontrol 2FA untuk pengguna ini. Pilih For All Users untuk menerapkan pengaturan global dari System Settings, atau pilih For Single User untuk mengonfigurasi metode tertentu. Lihat tabel di bawah untuk metode yang tersedia. Two-factor notification sending language Bahasa untuk pesan kode verifikasi. Jika For All Users dipilih, bahasa global dari System Settings akan digunakan. Jika For Single User dipilih, pilih Simplified Chinese atau English. Metode autentikasi dua faktor (For Single User)
Metode Deskripsi Disable Autentikasi dua faktor dinonaktifkan untuk pengguna ini. Text Message Mengirim kode verifikasi melalui SMS. Memerlukan nomor telepon seluler pengguna. Untuk negara dan wilayah yang didukung, lihat Negara dan wilayah yang didukung. Email Mengirim kode verifikasi melalui email. Memerlukan alamat email pengguna. DingTalk Mengirim kode verifikasi melalui DingTalk. Memerlukan nomor telepon seluler pengguna. Sebelum menggunakan metode ini, administrator DingTalk harus membuat aplikasi internal perusahaan dengan Permission To Access The API For Obtaining Member Information Based On Mobile Phone Numbers And Names dan menyediakan AppKey, AppSecret, serta AgentId. OTP App Menggunakan autentikator seluler TOTP. Pengguna harus terlebih dahulu mengikat aplikasi OTP dengan login ke portal O&M, membuka Security Settings > Enable OTP, lalu klik Bind OTP App untuk memindai kode QR. Untuk alamat portal O&M, lihat Halaman Ikhtisar. (Opsional) Untuk memberi tahu pengguna tentang alamat O&M, masukkan nomor telepon seluler atau alamat email pengguna dan pilih Send O&M Addresses to User.
Impor beberapa pengguna lokal dari file
Login ke Konsol Bastionhost dan pilih wilayah tempat instans Anda dideploy.
Pada daftar instans, temukan instans target dan klik Manage.
Di panel navigasi sebelah kiri, pilih Users > Users.
Pilih Import Other Users > Import Users from File.
Klik Download User Template, ekstrak paketnya, isi informasi pengguna di file templat, lalu simpan.
Di panel Import Local Users, klik Upload untuk mengunggah templat yang telah diisi.
Di dialog Preview, pilih pengguna yang akan diimpor lalu klik Import.
Di panel Import Local Users, konfirmasi informasi pengguna lalu klik Import Local Users. Jika Anda memilih Users must reset the password at next logon., semua pengguna lokal yang diimpor harus mengganti password saat login berikutnya.
(Opsional) Untuk memberi tahu pengguna tentang alamat O&M, tentukan nomor telepon seluler atau alamat email pengguna lokal dan pilih Send O&M Addresses to User.
Jika beberapa pengguna dalam file memiliki username yang sama, hanya entri terakhir yang diimpor. Jika username yang diimpor sudah ada di Bastionhost, pengguna tersebut dilewati. Klik Details di panel Import Local Users untuk meninjau pengguna yang dilewati.
Impor pengguna terautentikasi AD atau LDAP
Impor pengguna terautentikasi AD atau LDAP setelah Anda mengonfigurasi sumber autentikasi yang sesuai. Untuk informasi lebih lanjut, lihat Konfigurasi autentikasi AD atau LDAP.
Login ke Konsol Bastionhost dan pilih wilayah tempat instans Anda dideploy.
Pada daftar instans, temukan instans target dan klik Manage.
Di panel navigasi sebelah kiri, pilih Users > Users.
Pilih Import Other Users > Import AD Users atau Import LDAP Users.
Di dialog, klik Import di kolom Actions untuk pengguna yang ingin diimpor. Untuk mengimpor beberapa pengguna sekaligus, pilih pengguna tersebut lalu klik Import.
Impor pengguna terautentikasi IDaaS
Impor pengguna terautentikasi IDaaS setelah Anda mengonfigurasi autentikasi IDaaS. Untuk informasi lebih lanjut, lihat Kelola autentikasi IDaaS.
Pengguna yang diautentikasi melalui IDaaS tidak dapat login ke Bastionhost untuk O&M aset menggunakan autentikasi berbasis password pada klien. Untuk menggunakan Bastionhost, pengguna yang diautentikasi melalui IDaaS harus melewati autentikasi berbasis token O&M pada klien atau menggunakan portal O&M. Untuk informasi lebih lanjut, lihat Manual O&M.
Login ke Konsol Bastionhost dan pilih wilayah tempat instans Anda dideploy.
Pada daftar instans, temukan instans target dan klik Manage.
Di panel navigasi sebelah kiri, pilih Users > Users.
Pilih Import Other Users > Import IDaaS User.
Di dialog Import IDaaS User, klik Import di kolom Actions untuk pengguna yang ingin diimpor. Untuk mengimpor beberapa pengguna sekaligus, pilih pengguna tersebut lalu klik Import. Jika tidak ada pengguna yang muncul di dialog, klik Synchronize.
Atur batasan login
Batasi alamat IP dan periode waktu yang dapat digunakan pengguna untuk login ke Bastionhost.
Login ke Konsol Bastionhost dan pilih wilayah tempat instans Anda dideploy.
Pada daftar instans, temukan instans target dan klik Manage.
Di panel navigasi sebelah kiri, pilih Users > Users.
Klik username pengguna yang ingin dikonfigurasi.
Di tab User Logon Restrictions, konfigurasikan batasan alamat IP dan periode waktu, lalu klik Update.
Mode Deskripsi (Whitelist) Only Listed IP Addresses Are Allowed Hanya alamat IP yang Anda tentukan yang dapat digunakan untuk login, dalam periode waktu yang dikonfigurasi. (Blacklist) Listed IP Addresses Are Not Allowed Alamat IP yang Anda tentukan tidak dapat login. Semua alamat IP lain hanya dapat login dalam periode waktu yang dikonfigurasi.
Ubah informasi pengguna lokal
Untuk pengguna RAM, pengguna terautentikasi AD, pengguna terautentikasi LDAP, dan pengguna terautentikasi IDaaS, perbarui informasi pengguna di konsol sumber autentikasi masing-masing, bukan di Bastionhost. Setelah mengubah nomor telepon seluler atau alamat email pengguna di sumber autentikasi, segera perbarui di Bastionhost. Jika informasi kontak tidak mutakhir, pengguna tidak akan menerima kode verifikasi dan tidak dapat login.
Login ke Konsol Bastionhost dan pilih wilayah tempat instans Anda dideploy.
Pada daftar instans, temukan instans target dan klik Manage.
Di panel navigasi sebelah kiri, pilih Users > Users.
Klik username pengguna yang informasinya ingin diubah.
Di tab Basic Info, perbarui informasi lalu klik Update.
Kunci pengguna
Kunci pengguna untuk mencegahnya login ke Bastionhost. Gunakan fitur ini ketika pengguna sementara tidak memerlukan akses atau ketika aktivitas mencurigakan terdeteksi.
Bastionhost secara otomatis mengunci pengguna setelah lima kali percobaan password gagal berturut-turut. Administrator dapat mengonfigurasi Account Lockout Threshold di pengaturan pengguna. Untuk informasi lebih lanjut, lihat Konfigurasi parameter di tab Pengaturan Pengguna.
Penguncian manual berlaku segera. Pengguna yang terkunci tidak dapat login untuk melakukan operasi O&M.
Login ke Konsol Bastionhost dan pilih wilayah tempat instans Anda dideploy.
Pada daftar instans, temukan instans target dan klik Manage.
Di panel navigasi sebelah kiri, pilih Users > Users.
Pilih pengguna yang ingin dikunci lalu pilih Batch > Locked di bawah daftar pengguna. Setelah operasi, sistem menampilkan The user is locked. dan status pengguna berubah dari Normal menjadi Locked. Anda tetap dapat mengubah informasi pengguna yang terkunci dan memperbarui otorisasi asetnya.
Buka kunci pengguna
Buka kunci pengguna untuk memulihkan kemampuannya login ke Bastionhost.
Membuka kunci berlaku segera.
Login ke Konsol Bastionhost dan pilih wilayah tempat instans Anda dideploy.
Pada daftar instans, temukan instans target dan klik Manage.
Di panel navigasi sebelah kiri, pilih Users > Users.
Pilih pengguna yang ingin dibuka kuncinya lalu pilih Batch > Unlock di bawah daftar pengguna. Setelah operasi, sistem menampilkan The user is unlocked. Pengguna dapat login kembali dan melakukan operasi O&M pada aset yang diizinkan.
Tambahkan kunci publik SSH
Konfigurasikan kunci publik SSH agar pengguna dapat masuk ke Bastionhost dari Klien O&M menggunakan kunci privat. Untuk informasi selengkapnya, lihat Lakukan O&M berbasis SSH.
Login ke Konsol Bastionhost dan pilih wilayah tempat instans Anda dideploy.
Pada daftar instans, temukan instans target dan klik Manage.
Di panel navigasi sebelah kiri, pilih Users > Users.
Klik username pengguna yang ingin dikonfigurasi. Di halaman detail pengguna, klik tab User Public Key, lalu klik Add SSH Public Key.
Di panel Add SSH Public Key, masukkan nama dan isi kunci, lalu klik Add SSH Public Key. Kunci publik di-host di Bastionhost dan muncul di daftar kunci publik.
Ekspor pengguna
Ekspor daftar pengguna sebagai file CSV ke mesin lokal Anda.
Login ke Konsol Bastionhost dan pilih wilayah tempat instans Anda dideploy.
Pada daftar instans, temukan instans target dan klik Manage.
Di panel navigasi sebelah kiri, pilih Users > Users.
Di halaman Users, klik Export Users di pojok kanan atas.
Hapus pengguna
Hapus pengguna ketika mereka tidak lagi memerlukan akses O&M melalui Bastionhost.
Login ke Konsol Bastionhost dan pilih wilayah tempat instans Anda dideploy.
Pada daftar instans, temukan instans target dan klik Manage.
Di panel navigasi sebelah kiri, pilih Users > Users.
Di daftar pengguna, pilih pengguna yang akan dihapus lalu klik Delete di bawah daftar.
Konfigurasi penggantian password saat login berikutnya
Aktifkan atau nonaktifkan Users must reset the password at next logon. untuk pengguna lokal setelah dibuat.
Login ke Konsol Bastionhost dan pilih wilayah tempat instans Anda dideploy.
Pada daftar instans, temukan instans target dan klik Manage.
Di panel navigasi sebelah kiri, pilih Users > Users.
Pilih pengguna lokal yang ingin Anda konfigurasi, lalu pilih Batch > Change Configuration of Local Users Must Reset Passwords at Next Logons di bawah daftar pengguna.
Di dialog, pilih Enable atau Disable dari daftar tarik-turun, lalu klik OK.