運用保守エンジニアが Bastionhost にログインし、アクセスを許可されたアセットに対して操作を実行できるように、ユーザーを追加します。
ユーザータイプ
Bastionhost は次のユーザータイプをサポートしています。各タイプは異なるソースとインポート方式を持っています。
Identity as a Service (IDaaS) 認証ユーザーは、クライアント上でパスワードベースの認証を使用して、アセットの運用保守のために Bastionhost にログインすることはできません。Bastionhost を使用するには、IDaaS 認証ユーザーはクライアント上で運用保守トークンベースの認証を通過するか、運用保守ポータルを使用する必要があります。詳細については、「運用保守マニュアル」をご参照ください。
| ユーザータイプ | 説明 |
|---|---|
| RAM ユーザー | RAM コンソールで作成され、[RAM ユーザーのインポート] を介して Bastionhost にインポートされます。 |
| ローカルユーザー | Bastionhost で直接作成される (単一ユーザー) か、ファイルから一括でインポートされます。 |
| AD 認証ユーザー | Active Directory (AD) サーバーから同期されます。最初に AD 認証を構成する必要があります。詳細については、「AD 認証または LDAP 認証の構成」をご参照ください。 |
| LDAP 認証ユーザー | Lightweight Directory Access Protocol (LDAP) サーバーから同期されます。最初に LDAP 認証を構成する必要があります。詳細については、「AD 認証または LDAP 認証の構成」をご参照ください。 |
| IDaaS 認証ユーザー | Alibaba Cloud Identity as a Service (IDaaS) Enterprise Identity Access Management (EIAM) から同期されます。最初に IDaaS 認証を構成する必要があります。Enterprise Edition および SM Edition のみが IDaaS 統合をサポートしています。ご利用のインスタンスが Basic Edition の場合は、続行する前にスペックアップしてください。詳細については、「インスタンスタイプのスペックアップ」をご参照ください。 |
ユーザーリストの列
| 列 | 説明 |
|---|---|
| ユーザー名 | ユーザーのログイン名です。ソースおよび変更可能性はユーザー種別によって異なります。RAM ユーザーは RAM コンソールで設定されたログイン名を使用します（RAM 経由で変更可能）。ローカルユーザーは作成時に設定された名前を使用します（変更不可）。AD および LDAP 認証ユーザーはサーバーから同期された名前を使用します（サーバー側で変更）。IDaaS 認証ユーザーは IDaaS EIAM から同期された名前を使用します（変更不可）。 |
| 認証ソース | ユーザー種別です。たとえば、ローカルユーザーの場合は ローカル認証 です。 |
| 二要素認証方式 | ユーザーがユーザー名とパスワードでログインする際に適用される二要素認証 (2FA) 方式です。方式には SMS、メール、DingTalk の検証コードが含まれます。RAM ユーザーは RAM ベースの認証 を使用します（RAM コンソールで設定）。IDaaS 認証ユーザーは IDaaS ベースの認証 を使用します（IDaaS コンソールで設定）。 |
| OTP アプリ | ユーザーに時間ベースのワンタイムパスワード (TOTP) が紐付けられているかどうかを示します。RAM ユーザーおよび IDaaS 認証ユーザーには適用されません。 |
| ステータス | 現在のユーザーのステータスです。取り得る値は以下のとおりです。非アクティブ（設定された期間内にログインしていない）、パスワードの有効期限切れ（パスワードの有効期間が終了）、ロック済み（ログイン失敗回数が上限に達した、管理者により手動でロックされた、または非アクティブにより自動ロックされた）、ユーザーのインポート元が削除された（認証ソースに該当ユーザーが存在しない — AD、LDAP、および IDaaS 認証ユーザーにのみ適用）、更新あり（AD または LDAP サーバー上のベース識別名 (DN) が Bastionhost 上の構成と異なる）。 |
| 操作 | 権限付与のための操作です。詳細については、「ユーザーまたはユーザーグループにアセットおよびアセットアカウントの管理権限を付与する」または「アセットグループに対する権限を付与する」をご参照ください。 |
ユーザーの作成
運用保守エンジニアが Bastionhost にログインするためのユーザーアカウントを作成できます。
RAM ユーザーのインポート
運用保守エンジニアが既存の Alibaba Cloud Resource Access Management (RAM) ID を使用してログインできるように、RAM ユーザーを Bastionhost にインポートします。
Bastionhost コンソールにログインし、インスタンスがデプロイされているリージョンを選択します。
インスタンスリストで、ターゲットインスタンスを探し、[管理] をクリックします。
左側のナビゲーションウィンドウで、[ユーザー] ＞ [ユーザー] を選択します。
[ユーザー] ページで、[RAM ユーザーのインポート] をクリックします。
(オプション) まだ RAM ユーザーが存在しない場合は、[Create RAM User] を [Import RAM Users] ダイアログボックスでクリックし、指示に従って操作します。詳細については、「RAM ユーザーの作成」をご参照ください。
「RAM ユーザーのインポート」ダイアログボックスで、インポートするユーザーの「操作」列にある「インポート」をクリックします。複数のユーザーを一度にインポートするには、ユーザーを選択して、リスト下部の「インポート」をクリックします。
RAM ユーザーの二要素認証を有効にするには、RAM コンソールにログインし、多要素認証 (MFA) を有効にします。詳細については、「Alibaba Cloud アカウントへの MFA デバイスのバインド」をご参照ください。
ローカルユーザーの作成
外部認証ソースに紐付けられていないアカウントが必要な場合は、Bastionhost で直接ローカルユーザーを作成します。ユーザーは 1 つずつ作成することも、ファイルから一括でインポートすることもできます。
単一のローカルユーザーの作成
Bastionhost コンソールにログインし、インスタンスがデプロイされているリージョンを選択します。
インスタンスリストで、ターゲットインスタンスを見つけ、[管理] をクリックします。
左側のナビゲーションウィンドウで、[ユーザー] ＞ [ユーザー] を選択します。
[他のユーザーをインポート] ＞ [ユーザーを作成] を選択します。
「ユーザーの作成」パネルで、「認証方法」を「ローカル認証」に設定し、以下のパラメーターを設定してから、「作成」をクリックします。
必須フィールド
パラメーター 説明 ユーザー名 ユーザーのログイン名です。作成後に変更することはできません。 携帯電話番号とメールアドレス 認証コードとアラート通知の受信にのみ使用されます。SMS またはメールの二要素認証を有効にする場合に必須です。 オプション設定
パラメーター 説明 [次回ログイン時にパスワードのリセットを要求] 選択した場合、ユーザーは初回ログイン時に新しいパスワードを設定する必要があります。 [有効期間] 有効期間が経過すると、ユーザーステータスは [パスワードの有効期限切れ] に変わり、ログインできなくなります。 [2 要素認証方式] このユーザーの 2FA を設定します。[すべてのユーザー] を選択すると、[システム設定] のグローバル設定が適用されます。特定の方式を設定するには、[単一ユーザー] を選択します。利用可能な方式は、以下の表をご参照ください。 [2 要素認証の通知送信言語] 認証コードメッセージの言語を指定します。[すべてのユーザー] を選択した場合は、[システム設定] のグローバル言語が使用されます。[単一ユーザー] を選択した場合は、[簡体字中国語] または [英語] から選択します。 二要素認証方式 (単一ユーザー向け)
メソッド 説明 [無効化] このユーザーの二要素認証は無効化されています。 テキストメッセージ SMS 経由で認証コードを送信します。 ユーザーの携帯電話番号が必要です。 サポートされている国とリージョンについては、「サポートされている国とリージョン」をご参照ください。 メール メール経由で認証コードを送信します。 ユーザーのメールアドレスが必要です。 DingTalk DingTalk 経由で認証コードを送信します。 ユーザーの携帯電話番号が必要です。 このメソッドを使用する前に、DingTalk の管理者は「携帯電話番号と名前に基づいてメンバー情報を取得するための API アクセス許可」を持つ内部エンタープライズアプリケーションを作成し、AppKey、AppSecret、および AgentId を提供する必要があります。 [OTP アプリ] TOTP モバイル認証アプリを使用します。 ユーザーは、まず O&M ポータルにログインし、[セキュリティ設定] > [OTP の有効化] に移動し、[OTP アプリのバインド] をクリックして QR コードをスキャンすることで、OTP アプリをバインドする必要があります。 O&M ポータルのアドレスについては、「概要ページ」をご参照ください。 (任意) ユーザーに O&M アドレスを通知するには、ユーザーの携帯電話番号またはメールアドレスを入力し、[O&M アドレスをユーザーに送信] を選択します。
ファイルから複数のローカルユーザーを一括インポート
Bastionhost コンソールにログインし、インスタンスがデプロイされているリージョンを選択します。
インスタンス一覧で、ターゲットインスタンスを見つけ、[管理] をクリックします。
左側のナビゲーションウィンドウで、[ユーザー] > [ユーザー] を選択します。
[他のユーザーをインポート] > [ファイルからユーザーをインポート] を選択します。
[ユーザー テンプレートのダウンロード] をクリックし、パッケージを解凍して、テンプレート ファイルにユーザー情報を入力し、保存します。
[ローカルユーザーのインポート] パネルで、[アップロード] をクリックして、入力済みのテンプレートをアップロードします。
「[プレビュー]」ダイアログボックスで、インポートするユーザーを選択し、「[インポート]」をクリックします。
「ローカルユーザーのインポート」パネルで、ユーザー情報を確認し、「ローカルユーザーのインポート」をクリックします。[次回ログイン時にパスワードをリセットする必要があります。] を選択した場合、インポートされたすべてのローカルユーザーは、次回ログイン時にパスワードをリセットする必要があります。
（オプション）ユーザーに O&M アドレスを通知するには、ローカルユーザーの携帯電話番号またはメールアドレスを指定し、[ユーザーに O&M アドレスを送信] を選択します。
ファイル内に同じユーザー名のユーザーが複数存在する場合、最後のエントリのみがインポートされます。インポートされたユーザー名が Bastionhost に既に存在する場合、そのユーザーはスキップされます。スキップされたユーザーを確認するには、[ローカルユーザーのインポート] パネルの [詳細] をクリックします。
AD 認証ユーザーまたは LDAP 認証ユーザーのインポート
対応する認証ソースを構成した後、AD 認証ユーザーまたは LDAP 認証ユーザーをインポートします。詳細については、「AD 認証または LDAP 認証の構成」をご参照ください。
Bastionhost コンソールにログインし、インスタンスがデプロイされているリージョンを選択します。
インスタンスリストで、ターゲットインスタンスを見つけ、[管理] をクリックします。
左側のナビゲーションウィンドウで、[ユーザー] > [ユーザー] を選択します。
[他のユーザーのインポート] > [AD ユーザーのインポート] または [LDAP ユーザーのインポート] を選択します。
ダイアログボックスで、インポートするユーザーの[インポート]を[操作]列からクリックします。複数のユーザーを一度にインポートするには、それらを選択して[インポート]をクリックします。
IDaaS 認証ユーザーのインポート
IDaaS 認証を構成した後、IDaaS 認証ユーザーをインポートします。詳細については、「IDaaS 認証の管理」をご参照ください。
IDaaS 認証ユーザーは、クライアント上でパスワードベースの認証を使用して、アセットの運用保守のために Bastionhost にログインすることはできません。Bastionhost を使用するには、IDaaS 認証ユーザーはクライアント上で運用保守トークンベースの認証を通過するか、運用保守ポータルを使用する必要があります。詳細については、「運用保守マニュアル」をご参照ください。
Bastionhost コンソールにログインし、インスタンスがデプロイされているリージョンを選択します。
インスタンスリストで、ターゲットインスタンスを探し、[管理] をクリックします。
左側のナビゲーションウィンドウで、[ユーザー] ＞ [ユーザー] を選択します。
[他のユーザーのインポート] > [IDaaS ユーザーのインポート] を選択します。
「IDaaS ユーザーのインポート」ダイアログボックスで、インポートするユーザーの[操作]列にある[インポート]をクリックします。複数のユーザーを一度にインポートするには、それらを選択して[インポート]をクリックします。ダイアログボックスにユーザーが表示されない場合は、[同期]をクリックします。
ログイン制限の設定
ユーザーが Bastionhost にログインするために使用できる IP アドレスと期間を制限します。
Bastionhost コンソールにログインし、ご利用のインスタンスがデプロイされているリージョンを選択します。
インスタンスリストでターゲットインスタンスを見つけ、[管理] をクリックします。
左側のナビゲーションウィンドウで、[ユーザー] > [ユーザー] を選択します。
設定するユーザーのユーザー名をクリックします。
[ユーザーログイン制限] タブで、IP アドレスと期間の制限を設定し、[更新] をクリックします。
モード 説明 [(ホワイトリスト) 許可された IP アドレスのみ] 設定された期間内に、指定した IP アドレスからのみログインできます。 (ブラックリスト) 登録済みのIPアドレスは許可されません 指定した IP アドレスからはログインできません。 それ以外のすべての IP アドレスは、設定された期間内にのみログインできます。
ローカルユーザー情報の変更
RAM ユーザー、AD 認証ユーザー、LDAP 認証ユーザー、IDaaS 認証ユーザーの情報は、Bastionhost ではなく、それぞれの認証ソースのコンソールで更新してください。認証ソースでユーザーの携帯電話番号やメールアドレスを変更した後は、直ちに Bastionhost でも情報を更新してください。連絡先情報が古い場合、ユーザーは認証コードを受け取れず、ログインできなくなります。
Bastionhost コンソールにログインし、インスタンスがデプロイされているリージョンを選択します。
インスタンスリストでターゲットインスタンスを見つけ、[管理] をクリックします。
左側のナビゲーションウィンドウで、[ユーザー] > [ユーザー] を選択します。
情報を変更したいユーザーのユーザー名をクリックします。
[基本情報] タブで情報を更新し、[更新] をクリックします。
ユーザーのロック
ユーザーをロックすると、そのユーザーは Bastionhost にログインできなくなります。この操作は、ユーザーが一時的にアクセスする必要がなくなった場合や、異常なアクティビティが検出された場合に使用します。
Bastionhost は、連続して5回の無効なパスワード入力試行後にユーザーを自動的にロックします。管理者は、ユーザー設定で [アカウントロックアウトしきい値] を設定できます。詳細については、「ユーザー設定タブでパラメーターを設定する」をご参照ください。
手動ロックは即時に有効になります。ロックされたユーザーはログインして運用保守操作を実行することはできません。
Bastionhost コンソールにログインし、ご利用のインスタンスがデプロイされているリージョンを選択します。
インスタンスリストで、ターゲットインスタンスを見つけて [管理] をクリックします。
左側のナビゲーションウィンドウで、[ユーザー] > [ユーザー] を選択します。
ロックするユーザーを選択し、ユーザーリストの下にある [一括操作] > [ロック済み] を選択します。操作後、システムに ユーザーはロックされています。 と表示され、ユーザーステータスが [通常] から [ロック済み] に変わります。ロックされたユーザーの情報変更やアセットの権限付与の更新は引き続き可能です。
ユーザーのロック解除
Bastionhost へのログイン機能を復元するために、ユーザーのロックを解除します。
ロック解除は即時で有効になります。
Bastionhost コンソール にログインし、ご利用のインスタンスがデプロイされているリージョンを選択します。
インスタンス一覧から対象のターゲットインスタンスを見つけ、管理 をクリックします。
左側のナビゲーションウィンドウで、ユーザー > ユーザー を選択します。
ロック解除するユーザーを選択し、ユーザー一覧下部の 一括操作 > ロック解除 を選択します。操作完了後、システムから「ユーザーのロックが解除されました。」というメッセージが表示されます。その後、当該ユーザーは再度ログイン可能となり、許可された資産に対して運用・保守（O&M）操作を実行できます。
SSH 公開鍵の追加
ユーザーが O&M クライアントから秘密鍵を使用して Bastionhost にログインできるよう、SSH 公開鍵を設定します。詳細については、「SSH を使用した O&M の実行」をご参照ください。
Bastionhost コンソール にログインし、ご利用のインスタンスがデプロイされているリージョンを選択します。
インスタンス一覧より対象のターゲットインスタンスを見つけ、[管理] をクリックします。
左側ナビゲーションウィンドウで、[ユーザー] > [ユーザー] を選択します。
設定対象のユーザーのユーザー名をクリックします。ユーザー詳細ページで、[ユーザー公開鍵] タブをクリックし、[SSH 公開鍵の追加] をクリックします。
[SSH 公開鍵の追加] パネルで、鍵名と鍵内容を入力し、[SSH 公開鍵の追加] をクリックします。登録された公開鍵は Bastionhost 上にホストされ、公開鍵一覧に表示されます。
ユーザーのエクスポート
ユーザー一覧を CSV ファイルとしてローカルマシンにエクスポートします。
Bastionhost コンソール にログインし、ご利用のインスタンスがデプロイされているリージョンを選択します。
インスタンス一覧からターゲットインスタンスを見つけ、管理 をクリックします。
左側のナビゲーションウィンドウで、ユーザー > ユーザー を選択します。
ユーザー ページの右上隅にある ユーザーのエクスポート をクリックします。
ユーザーの削除
Bastionhost を介した運用保守アクセスが不要になったユーザーを削除します。
Bastionhost コンソール にログインし、ご利用のインスタンスがデプロイされているリージョンを選択します。
インスタンスリストで、ターゲットインスタンスを見つけ、[Manage] をクリックします。
左側のナビゲーションウィンドウで、[Users] > [Users] を選択します。
ユーザーリストで、削除するユーザーを選択し、リストの下部にある [Delete] をクリックします。
次回ログイン時のパスワードリセット設定
ローカルユーザー作成後、ユーザーは次回ログイン時にパスワードをリセットする必要があります。を有効または無効にします。
Bastionhost コンソールにログインし、ご利用のインスタンスがデプロイされているリージョンを選択します。
インスタンスリストでターゲットインスタンスを見つけ、[管理] をクリックします。
左側のナビゲーションウィンドウで、ユーザー ＞ ユーザー を選択します。
設定するローカルユーザーを選択し、ユーザー一覧の下にある [一括] > [次回ログオン時にパスワードをリセットする必要があるローカルユーザーの設定を変更] を選択します。
ダイアログボックスで、ドロップダウンリストから[有効]または[無効]を選択して、[OK]をクリックします。