O Bastionhost gerencie centralmente usuários de várias source de autenticação de identidade — ram, Active Directory (AD), Lightweight Directory Access Protocol (LDAP) e Identity as a service (idaas) — sem a necessidade de manter um banco de dados de usuários separado para cada source. Este tópico mostra como importar usuários de cada source compatível.
Como funciona
Quando um usuário tenta fazer login, o Bastionhost delega a autenticação para a source de identidade configurada (para usuários do ram, AD, LDAP e idaas). Para usuários locais, o Bastionhost realiza a autenticação diretamente. A source de identidade verifica as credenciais e o Bastionhost concede acesso com base no registro de usuário que possui. Adicione usuários ao Bastionhost importando-os de uma source de identidade (ou criando-os localmente) e, em seguida, atribua as permissões de ativos separadamente.
As quatro source de identidade compatíveis correspondem a quatro caminhos de gerencie de usuários:
|
source de identidade |
Tipo de usuário |
Quando usar |
|
ram (Resource Access Management) |
Usuários ram |
Sua equipe já utiliza o ram para acessar o Alibaba Cloud |
|
Autenticação local |
Usuários locais |
Não há provedor de identidade externo e você precisa de controle total sobre credenciais e MFA |
|
AD ou LDAP |
Usuários AD/LDAP |
Sua organização mantém um service de diretório on-premises |
|
idaas (Identity as a service) |
Usuários idaas |
É necessário agregar usuários de múltiplos provedores (DingTalk, Microsoft Entra id, etc.) |
Importar usuários do ram
Pré-requisitos
Antes de começar, certifique-se de ter:
Uma instância do Bastionhost
Pelo menos um usuário ram no Resource Access Management (ram)
Para ative a autenticação de dois fatores (MFA) para um usuário ram, faça login no console do ram e ative a autenticação multifator. Para mais detalhes, consulte Vincular um dispositivo MFA a uma conta Alibaba Cloud .
Passos
Faça login no console do Bastionhost. Na barra de navegação superior, selecione a região onde o seu bastion host está localizado.
Na lista de bastion hosts, encontre o bastion host de destino e clique em Manage.
No painel de navegação à esquerda, escolha Users > Users.
Na página Users, clique em Import RAM Users.
(Opcional) Se não existir nenhum usuário ram, clique em Create RAM User na caixa de diálogo Import RAM Users e siga as instruções. Para mais detalhes, consulte crie um usuário ram.
Na caixa de diálogo Import RAM Users, clique em Import na coluna Actions ao lado do usuário ram que deseja importar. Para importar vários usuários de uma vez, selecione-os e clique em Import abaixo da lista.
crie usuários locais
Os usuários locais se autenticam diretamente no Bastionhost. Use este caminho quando não houver um provedor de identidade externo ou quando forem necessárias contas que operem de forma independente do seu service de diretório.
crie um único usuário local
Faça login no console do Bastionhost. selecione a região onde o seu bastion host está localizado.
Na lista de bastion hosts, encontre o bastion host de destino e clique em Manage.
No painel de navegação à esquerda, escolha Users > Users.
escolha Create User na lista suspensa Import Other Users.
No painel Create User, defina o Authentication Method como Local Authentication.
-
Configure as credenciais do usuário e as configurações opcionais:
Campo
Descrição
Users must reset the password at next logon.
selecione esta caixa de seleção para forçar a alteração da senha no primeiro login.
Validity Period
defina uma data de expiração. Quando o período terminar, o status do usuário mudará para Expired.
Two-factor Authentication Methods
Consulte Opções de autenticação de dois fatores.
Two-factor Notification Sending Language
selecione Simplified Chinese ou English para substituição para um único usuário, ou use For All Users para herdar o padrão da página System Settings.
clique em Create.
Opções de autenticação de dois fatores
defina os Two-factor Authentication Methods como For All Users ou For Single User.
For All Users: Utiliza a configuração global definida na página System Settings. Para mais detalhes, consulte ative autenticação de dois fatores.
-
For Single User: Aplica um método apenas a este usuário:
Método
Requisito
Disable
Nenhum
Text Message
Número de telefone celular obrigatório
Email
Endereço de e-mail obrigatório
DingTalk
Número de telefone celular obrigatório; consulte Requisitos do DingTalk
OTP App
O usuário deve vincular um token OTP primeiro; consulte Configuração do aplicativo OTP
Para países e regiões onde a autenticação de dois fatores baseada em SMS é compatível, consulte Países e áreas compatíveis . Os números de telefone celular e endereços de e-mail são usados apenas para códigos de verificação e notificações de alerta.
Requisitos do DingTalk
Para usar a autenticação de dois fatores do DingTalk, conclua todos os passos a seguir antes de ative:
Especifique o número de telefone celular do usuário. Para mais detalhes, consulte modifique as informações básicas de um usuário local.
Solicite ao administrador do DingTalk que crie um aplicativo corporativo interno e ative a permissão "obter informações de membros com base em números de telefone celular e nomes".
Obtenha os valores de AppKey, AppSecret e Agentid do aplicativo DingTalk.
Configuração do aplicativo OTP
Para usar a autenticação de dois fatores com aplicativo OTP:
baixe um aplicativo autenticador TOTP padrão (por exemplo, o aplicativo do Alibaba Cloud).
Faça login no portal de O&M do Bastionhost usando um endpoint público. Para detalhes sobre os endpoints, consulte a Página de visão geral.
No painel de navegação à esquerda, clique em Security Settings.
Na aba Enable OTP, clique em Bind OTP App e escaneie o código QR para vincular o token OTP.
Importar vários usuários locais a partir de um arquivo
Use esta opção para crie muitos usuários locais de uma vez usando um arquivo de modelo.
Faça login no console do Bastionhost. selecione a região onde o seu bastion host está localizado.
Na lista de bastion hosts, encontre o bastion host de destino e clique em Manage.
No painel de navegação à esquerda, escolha Users > Users.
escolha Import Users from File na lista suspensa Import Other Users.
clique em Download User Template, extraia o pacote, preencha as informações do usuário no arquivo de modelo e salve-o.
No painel Import Local Users, clique em Upload para fazer o upload do arquivo de modelo preenchido.
Na caixa de diálogo Preview, selecione os usuários a serem importados e clique em Import.
Revise as informações do usuário e clique em Import Local Users. Se você selecione Users must reset the password at next logon., todos os usuários locais importados deverão redefinir suas senhas no próximo login.
(Opcional) Para notificar os usuários sobre o endereço de O&M, especifique o número de telefone celular ou endereço de e-mail deles e selecione Send O&M Addresses to User.
Se vários usuários no arquivo compartilharem o mesmo nome de usuário, apenas a última ocorrência será importada. Se o nome de usuário de um usuário importado corresponder a um usuário existente no Bastionhost, esse usuário será ignorado. clique em Details no painel Import Local Users para visualize os usuários ignorados.
Importar usuários autenticados por AD ou LDAP
Pré-requisitos
Antes de começar, certifique-se de que:
A autenticação AD ou LDAP esteja configurada no Bastionhost. Para instruções de configuração, consulte Configurar autenticação AD ou autenticação LDAP.
Passos
Faça login no console do Bastionhost. selecione a região onde o seu bastion host está localizado.
Na lista de bastion hosts, encontre o bastion host de destino e clique em Manage.
No painel de navegação à esquerda, escolha Users > Users.
escolha Import Other Users > Import AD Users ou Import LDAP Users.
Na caixa de diálogo, clique em Import na coluna Actions ao lado do usuário que deseja importar. Para importar vários usuários de uma vez, selecione-os e clique em Import abaixo da lista.
Importar usuários autenticados por idaas
O idaas permite agregar usuários de vários provedores de identidade externos — como DingTalk e Microsoft Entra id (anteriormente Azure AD) — em uma instância de Employee Identity and Access Management (EIAM) e enviá-los para o Bastionhost. Se o seu provedor de identidade não for compatível nativamente com o idaas, ative o Single Sign-On (SSO) após crie um usuário do idaas. Para provedores de identidade compatíveis, consulte IdPs. Para configuração de aplicativo SSO, consulte Create applications.
Os usuários do idaas não podem fazer login com senha por meio de um cliente. Eles devem usar a autenticação baseada em token de O&M em um cliente ou acessar ativos por meio do portal de O&M. Para mais detalhes, consulte O&M manual.
Pré-requisitos
Antes de começar, certifique-se de que:
A autenticação idaas esteja configurada no Bastionhost. Para instruções de configuração, consulte Gerenciar autenticação idaas.
Passos
Faça login no console do Bastionhost. selecione a região onde o seu bastion host está localizado.
Na lista de bastion hosts, encontre o bastion host de destino e clique em Manage.
No painel de navegação à esquerda, escolha Users > Users.
escolha Import IDaaS User na lista suspensa Import Other Users.
Na caixa de diálogo Import IDaaS User, clique em Import na coluna Actions ao lado do usuário que deseja importar. Para importar vários usuários de uma vez, selecione-os e clique em Import abaixo da lista.
Se nenhum usuário autenticado por idaas aparecer na caixa de diálogo Import IDaaS User , clique em Synchronize .