Configure user logon, user lockout, and user status - Bastionhost: Central de Documentação do Alibaba Cloud

Para garantir a segurança do sistema, o Bastionhost oferece recursos para configurar métodos de logon, bloqueio e status de usuários. Você pode permitir apenas autenticação por chave quando usuários fizerem logon no Bastionhost via Secure Shell (SSH) e definir políticas de bloqueio por senha para evitar ataques de força bruta. Também é possível configurar o status do usuário para gerenciar a validade das senhas e marcar contas inativas por longo período.

Faça logon no console do Bastionhost. Na barra de navegação superior, selecione a região onde sua instância do Bastionhost está localizada.
Na lista de instâncias do Bastionhost, localize a instância desejada e clique em Manage.
No painel de navegação à esquerda, escolha System Settings > User Settings.

Clique na aba Login Security Settings e conclua as configurações a seguir.

Parâmetro			Descrição
User Logon Settings		Disable Password-based SSH Logon	Ao ativar este recurso, o logon por senha no Bastionhost fica proibido durante operações de O&M pelo protocolo SSH ou por túnel SSH. Apenas a autenticação por chave ou por token de O&M será permitida.
		Disable SSH Public Key Authentication	Quando este recurso estiver ativado, a autenticação por chave é desabilitada ao usar ferramentas de O&M baseadas em SSH para fazer logon em hosts de O&M no Bastionhost ou realizar O&M de banco de dados via túnel SSH. Somente o logon por senha ou a autenticação por token de O&M serão permitidos.
		Disable CAPTCHA for Private O&M Portal	Com esta opção ativada, a verificação por CAPTCHA deixa de ser necessária ao fazer logon no portal de O&M por meio de um endpoint privado. Como a validação por CAPTCHA exige acesso à Internet, ative este recurso caso o cliente não tenha conectividade externa, evitando assim falhas de logon na rede privada.
Logon Lock Settings	Account Lockout Policy	Account Lockout Threshold	Número máximo de senhas incorretas consecutivas permitidas durante o logon. Se as falhas excederem esse limite, a conta do usuário será bloqueada. Valores válidos: 0 a 999. Valor padrão: 5. Defina este parâmetro como 0 para desativar o bloqueio de contas.
		Account Lockout Duration	Tempo durante o qual um usuário bloqueado não consegue fazer logon. Unidade: minutos. Valores válidos: 0 a 10080. Valor padrão: 30. Ao definir este parâmetro como 0, o usuário permanece bloqueado até que um administrador remova o bloqueio manualmente.
		Reset Account Lockout Counter After	Período após o qual a contagem de tentativas de senha incorreta é reiniciada, desde que não tenha atingido o Account Lockout Threshold especificado. Unidade: minutos. Nota Por exemplo, suponha que o Account Lockout Threshold esteja definido como 5 e o Reset Account Lockout Counter After como 5. Se a quarta tentativa de logon com senha incorreta falhar às 14:00:00 e não houver novas falhas até às 14:05:00, a contagem de tentativas incorretas será zerada após as 14:05:00 do mesmo dia. Valores válidos: 0 a 10080. Valor padrão: 5.
	IP Lockout	Account Lockout Threshold	Se o número de falhas de logon originadas do mesmo endereço IP atingir o limite especificado, o IP será bloqueado automaticamente. Valor padrão: 30. Defina como 0 para desativar o bloqueio de IPs. Os endereços IP não são desbloqueados automaticamente; é necessário desbloqueá-los manualmente.
		Reset Account Lockout Counter After	Valores válidos: 1 a 10080. Período necessário para redefinir o contador de tentativas de logon falhas para 0 após uma falha. Valor padrão: 5.
		Locked IPs	Os endereços IP bloqueados aparecem nesta tabela. Um IP só poderá acessar o Bastionhost normalmente após ser desbloqueado manualmente.
User Password Security Settings	Password Length		Comprimento total exigido para as senhas dos usuários. Valores válidos: 8 a 64.
	Password Complexity		Permite configurar a quantidade mínima de caracteres de cada tipo que a senha deve conter, como dígitos, letras minúsculas, letras maiúsculas e caracteres especiais.
	Password History	Password history check	Ao redefinir uma senha, o usuário não pode reutilizar senhas anteriores. Valores válidos: 0 a 30. Valor padrão: 5. O valor 0 indica que não há limite imposto.
	Password History	Password cannot contain username.	Se esta caixa de seleção estiver marcada, a senha não poderá conter o nome de logon do usuário.
	Password Validity Period		Período de validade da senha do usuário. Após o vencimento, o usuário precisará redefinir a senha. Esta configuração aplica-se apenas a usuários locais. Valores válidos: 0 a 365. Valor padrão: 0. Unidade: dias. Defina este parâmetro como 0 para que as senhas nunca expirem.
	Weak Password Policy		Warn Only: Se a senha definida pelo usuário for identificada como comum na Internet, apenas um aviso é exibido na tela, mas a definição da senha ainda é permitida. Block: Caso a senha seja detectada como frequentemente usada na Internet, o sistema impede que o usuário a defina.

Clique na aba Status Sync Settings e conclua as configurações abaixo.

Parâmetro			Descrição
User Status Settings		Mark Inactive User Accounts	Se um usuário ficar sem fazer logon por um período superior ao especificado, seu status será marcado como inativo por longo tempo. Unidade: dias. Valores válidos: 0 a 365. Valor padrão: 0. Ao definir este parâmetro como 0, o status do usuário não será marcado.
		Automatically Lock Inactive User Accounts	Ao ativar este recurso, o sistema bloqueia automaticamente os usuários cujo status indica inatividade prolongada. Esses usuários só poderão usar suas contas normalmente após um administrador desbloqueá-las. É possível configurar a frequência com que o sistema verifica e bloqueia usuários inativos. O acesso às contas só é restaurado mediante desbloqueio manual por um administrador. Valor padrão: 10 minutos. Valores válidos: 10 a 1440 minutos (1 a 24 horas).
		Automatic Synchronization of Status and Information About AD- and LDAP-authenticated Users	Intervalo para sincronização automática das configurações e do status dos usuários provenientes de fontes Active Directory (AD) ou Lightweight Directory Access Protocol (LDAP) importadas para o Bastionhost. Valores válidos: 15 a 14400 minutos (1 a 24 horas). Valor padrão: 4 horas.
User Sync Settings	Sync RAM User Username Changes		Ao marcar esta opção, qualquer alteração no nome de logon de um usuário do Resource Access Management (RAM) será refletida automaticamente no Bastionhost. Nota Os nomes de logon em logs de auditoria já gerados não são alterados. Os nomes originais continuam sendo exibidos e devem ser usados para consultar esses logs. O intervalo de sincronização segue a configuração de sincronização automática de status do usuário. Valor padrão: 4 horas.