Todos os produtos
Search

Este produto

    Bastionhost:Manage users

    Central de documentação

    Bastionhost:Manage users

    Última atualização: Oct 31, 2026

    Depois que o administrador cria usuários do Bastionhost na página de gerenciamento, os engenheiros de O&M podem usar essas contas para fazer logon no Bastionhost e acessar os ativos de host ou de banco de dados autorizados.

    Tipos de usuário

    O Bastionhost permite importar usuários do RAM do Alibaba Cloud, criar usuários locais do Bastionhost ou importar usuários de autenticação AD, LDAP ou IDaaS para atuar como engenheiros de O&M do Bastionhost.

    Importante

    Usuários do IDaaS ainda não podem usar a autenticação por senha para fazer logon no Bastionhost com ferramentas de cliente para o O&M de ativos. Use ferramentas de cliente para O&M com autenticação por token de O&M ou o portal de O&M. Para mais informações, consulte O&M Guide.

    Tipo de usuário

    Descrição

    Usuário do RAM

    Após criar um usuário do RAM do Alibaba Cloud no console do RAM, importe usuários do RAM na página de gerenciamento do Bastionhost com um único clique.

    Usuário local do Bastionhost

    Crie usuários locais do Bastionhost individualmente ou importe-os em lotes a partir de um arquivo.

    Usuário AD/LDAP

    Configure a autenticação AD ou LDAP no Bastionhost e sincronize usuários do AD ou LDAP com o Bastionhost.

    Nota

    Antes de importar usuários do AD ou LDAP, certifique-se de que a autenticação AD ou LDAP esteja configurada. Para mais informações, consulte Configure AD or LDAP authentication.

    Usuário do IDaaS

    Configure a autenticação do IDaaS no Bastionhost e sincronize usuários do IDaaS com o Bastionhost. Apenas o Bastionhost Enterprise Edition e o SM Edition suportam usuários do IDaaS. Se a sua instância do Bastionhost for uma instância Basic Edition, atualize-a para uma edição compatível. Para mais informações, consulte Upgrade instance specifications.

    Nota

    Antes de importar usuários do IDaaS, certifique-se de que a autenticação do IDaaS esteja configurada. Para mais informações, consulte Manage IDaaS authentication.

    Lista de usuários

    Após criar os usuários, use a tabela a seguir para entender o significado de cada item na lista de usuários.

    Item

    Descrição

    Logon Name

    O nome da conta que o usuário utiliza para fazer logon no Bastionhost.

    • Usuário do RAM: o nome de logon definido quando o usuário do RAM foi criado e sincronizado. Se você alterou o nome de usuário no console do RAM, acesse System Settings > User Settings e configure User Sync Settings. Para mais informações, consulte User settings.

    • Usuário local: o nome de usuário definido pelo administrador durante a criação do usuário. Não pode ser alterado. A complexidade da senha segue as configurações de segurança de senha do usuário. Para mais informações, consulte User settings.

    • Usuário AD/LDAP: o nome de usuário sincronizado a partir do servidor AD ou LDAP. Para alterar o nome de usuário, acesse o servidor AD ou LDAP correspondente.

    • Usuário do IDaaS: a conta sincronizada a partir do Alibaba Cloud IDaaS EIAM. Não pode ser alterada.

    Authentication Source

    O tipo de usuário. Por exemplo, um usuário local é exibido como Local Authentication.

    Two-factor Authentication Methods

    Após a aprovação do usuário na autenticação por senha ao fazer logon no Bastionhost, o sistema envia um código de verificação dinâmico por mensagem de texto, e-mail ou notificação de trabalho do DingTalk para a autenticação secundária. Isso reduz os riscos de segurança.

    OTP App

    Indica se o usuário atual vinculou um token TOTP móvel. Para obter informações sobre como vincular um, consulte Create users.

    Nota

    Este item não se aplica a usuários do RAM ou do IDaaS.

    Status

    O status atual do usuário. Para obter informações sobre as configurações de status do usuário, consulte User settings.

    • Inactive: quando o usuário não faz logon por um período superior ao especificado, o status do usuário passa a ser Inactive.

    • Password Expired: após o vencimento do período de validade da senha especificado, o status do usuário passa a ser Password Expired.

    • Locked:

      • Quando um usuário faz logon no Bastionhost, se o número de inserções consecutivas de senha incorreta exceder o valor especificado ou se o administrador bloquear o usuário manualmente, o status do usuário passa a ser Locked.

      • Em System Settings, após ativar Automatically Lock Inactive User Accounts, o sistema bloqueia automaticamente os usuários que não fizeram logon por muito tempo, e o status do usuário passa a ser Locked.

    • Remote Deleted: quando o sistema não encontra o usuário na fonte de autenticação correspondente pelo ID de origem, o status do usuário passa a ser Remote Deleted.

    • Remote DN Changed: quando o BaseDN do usuário no servidor AD/LDAP é inconsistente com o BaseDN configurado no Bastionhost, o status do usuário passa a ser Remote DN Changed.

    Actions

    As operações de autorização que o administrador executa para o usuário de destino. Para mais informações, consulte Authorize users or user groups to manage assets and asset accounts ou Grant permissions on asset groups.

    Criar usuários

    Crie contas de usuário para que os engenheiros de O&M façam logon no Bastionhost de acordo com os requisitos do seu negócio.

    Importar usuários do RAM

    1. Faça logon no console do Bastionhost. Na barra de navegação superior, selecione a região onde a sua instância do Bastionhost está localizada.

    2. Na lista de instâncias do Bastionhost, encontre a instância de destino e clique em Manage.

    3. No painel de navegação à esquerda, escolha Users > Users.

    4. Na página Users, clique em Import RAM Users.

    5. Opcional: Se você não criou um usuário do RAM, acesse a página Import RAM Users e clique em Create RAM User para criar um usuário do RAM seguindo as instruções na tela.

      Para obter informações sobre como criar um usuário do RAM, consulte Create a RAM user.

    6. Na página Import RAM Users, encontre o usuário do RAM de destino e, na coluna Actions, clique em Import para importar um único usuário do RAM. Alternativamente, selecione vários usuários do RAM e clique em Import para importá-los em lotes.

      Nota

      Para configurar a autenticação de dois fatores para um usuário do RAM, faça logon no console do RAM e configure a autenticação multifator (MFA) para o usuário do RAM. Para mais informações, consulte Bind an MFA device to an Alibaba Cloud account.

    Criar usuários locais

    1. Faça logon no console do Bastionhost. Na barra de navegação superior, selecione a região onde a sua instância do Bastionhost está localizada.

    2. Na lista de instâncias do Bastionhost, encontre a instância de destino e clique em Manage.

    3. No painel de navegação à esquerda, escolha Users > Users.

    4. Na página Users, crie um único usuário ou importe vários usuários a partir de um arquivo consultando a tabela a seguir.

      Cenário

      Procedimento

      Criar um único usuário local

      1. Escolha Import Other Users > Create User

      2. No painel Create User, configure as informações do usuário e clique em Create.

        Para configurar as informações do usuário, defina Authentication Method como Local Authentication. Além das informações básicas, você pode executar as seguintes operações.

        • Ative Users must reset the password at next logon.: após selecionar esta opção, o sistema força os usuários locais a alterar suas senhas no próximo logon. Este recurso está disponível apenas para usuários locais.

        • Defina o Validity Period: após a definição de um período de validade, a coluna Status na lista de usuários exibe o status de um usuário fora do período de validade como Expired, e o usuário não pode fazer logon no Bastionhost para realizar O&M.

        • Configure os Two-factor Authentication Methods: após a ativação deste recurso, o usuário aprovado na autenticação por senha ao fazer logon no Bastionhost deve concluir a autenticação secundária usando um código de verificação dinâmico enviado por mensagem de texto, e-mail ou notificação de trabalho do DingTalk. Isso reduz os riscos de segurança.

          Nota

          • Após a ativação da autenticação de dois fatores, os usuários devem usar um número de telefone celular ou um endereço de e-mail para receber códigos de verificação ao fazer logon. Certifique-se de que o número de telefone celular ou o endereço de e-mail inserido esteja correto. Para obter informações sobre os países e regiões que suportam a autenticação de dois fatores por mensagem de texto no Bastionhost, consulte Countries and regions that support two-factor authentication by text message.

          • O número de telefone celular e o endereço de e-mail inseridos são usados apenas para receber códigos de verificação ou mensagens de alerta e não são usados para outras finalidades.

          Two-factor Authentication Methods suporta os dois tipos a seguir:

          • Selecione For All Users: o usuário atual usa o método global de autenticação de dois fatores, ou seja, o método que você configura em System Settings. Para mais informações, consulte Enable two-factor authentication.

          • Selecione For Single User: especifique separadamente um método de autenticação de dois fatores para o usuário atual. O Bastionhost suporta os seguintes métodos de autenticação de dois fatores:

            • Disable: a autenticação de dois fatores está desativada.

            • Text Message: as mensagens de texto do usuário atual são usadas para autenticação secundária. Neste caso, especifique um número de telefone celular para o usuário.

            • Email: o endereço de e-mail do usuário atual é usado para autenticação secundária. Neste caso, especifique um endereço de e-mail para o usuário.

            • DingTalk: a conta do DingTalk do usuário atual é usada para autenticação secundária. Neste caso, especifique um número de telefone celular para o usuário.

              Nota

              Para ativar a autenticação do DingTalk, certifique-se de que os seguintes requisitos sejam atendidos:

              • Um número de telefone celular está associado à conta de usuário usada para O&M. Para mais informações sobre como adicionar um número de telefone celular para um usuário, consulte Modify the basic information of a local user.

              • O administrador do DingTalk criou um aplicativo empresarial interno e concedeu a ele a API Access Permission To Get Member Information By Phone Number And Name.

              • Você obteve o AppKey, AppSecret e AgentId do aplicativo empresarial interno.

            • OTP App: o token OTP móvel do usuário atual é usado para autenticação. O usuário deve primeiro vincular um token OTP móvel.

              Nota

              Para usar este método de autenticação, baixe um software de autenticação TOTP padrão, como o aplicativo do Alibaba Cloud. Em seguida, faça logon no portal de O&M do Bastionhost usando o endpoint público. No painel de navegação à esquerda, clique em Security Settings, clique na guia Enable OTP, clique em Bind OTP App e escaneie o código QR para vincular a autenticação por token OTP. Para obter informações sobre como obter o endereço de O&M do Bastionhost, consulte Bastionhost console overview.

          • Configure o Two-factor Notification Sending Language:

            • Selecione For All Users: o usuário atual usa o idioma de envio de notificação de dois fatores configurado em System Settings. Para mais informações, consulte Enable two-factor authentication.

            • Selecione For Single User: selecione Simplified Chinese ou English como o idioma de envio das notificações de dois fatores.

      Importar usuários de um arquivo em lotes

      1. Na lista Import Other Users, selecione Import Users from File.

      2. Clique em Download User Template para baixar o arquivo de modelo de usuário para a sua máquina local, insira as informações do usuário no arquivo de modelo de usuário e salve-o.

      3. No painel Import Local Users, clique em Upload para fazer upload do arquivo de modelo de usuário.

      4. Na caixa de diálogo Preview, selecione os usuários que deseja importar e clique em Import.

      5. No painel Import Local Users, confirme as informações do usuário e clique em Import Local Users.

        Se você selecionar Users must reset the password at next logon., todos os usuários importados deverão redefinir suas senhas no próximo logon.

      Nota

      Se um usuário a ser importado tiver o mesmo nome de usuário que outro usuário no arquivo ou um usuário existente no sistema, o usuário não será importado. No painel Import Local Users, clique em Details e visualize os usuários que não foram importados.

    5. Opcional: Para permitir que o Bastionhost envie endereços de O&M aos usuários por mensagem, especifique um número de telefone celular ou um endereço de e-mail (pelo menos um deles) para o usuário local e, em seguida, selecione Send O&M Addresses to User.

    Importar usuários AD/LDAP

    Antes de importar usuários do AD ou LDAP, certifique-se de que a autenticação AD ou LDAP esteja configurada. Para mais informações, consulte Configure AD or LDAP authentication.

    1. Faça logon no console do Bastionhost. Na barra de navegação superior, selecione a região onde a sua instância do Bastionhost está localizada.

    2. Na lista de instâncias do Bastionhost, encontre a instância de destino e clique em Manage.

    3. No painel de navegação à esquerda, escolha Users > Users.

    4. Escolha Import Other Users>Import AD Users ou Import LDAP Users.

    5. Na página Import AD Users ou Import LDAP Users, encontre o usuário de destino e, na coluna Actions, clique em Import.

      Você pode selecionar vários usuários para importá-los em lotes.

    Importar usuários do IDaaS

    Antes de importar usuários do IDaaS, certifique-se de que a autenticação do IDaaS esteja configurada. Para mais informações, consulte Manage IDaaS authentication.

    Importante

    Usuários do IDaaS não podem usar a autenticação por senha para fazer logon no Bastionhost com ferramentas de cliente para o O&M de ativos. Use ferramentas de cliente para O&M com autenticação por token de O&M ou o portal de O&M. Para mais informações, consulte O&M Guide.

    1. Faça logon no console do Bastionhost. Na barra de navegação superior, selecione a região onde a sua instância do Bastionhost está localizada.

    2. Na lista de instâncias do Bastionhost, encontre a instância de destino e clique em Manage.

    3. No painel de navegação à esquerda, escolha Users > Users.

    4. Escolha Import Other Users>Import IDaaS User.

    5. Na página Import IDaaS User, encontre o usuário de destino e, na coluna Actions, clique em Import.

      Você pode selecionar vários usuários para importá-los em lotes. Se nenhum usuário do IDaaS for exibido, clique em Synchronize.

    Restrições de logon do usuário

    Restrinja os endereços IP de origem e os períodos em que os usuários podem fazer logon no Bastionhost com base nos cenários do seu negócio.

    1. Faça logon no console do Bastionhost. Na barra de navegação superior, selecione a região onde a sua instância do Bastionhost está localizada.

    2. Na lista de instâncias do Bastionhost, encontre a instância de destino e clique em Manage.

    3. No painel de navegação à esquerda, escolha Users > Users.

    4. Na lista de usuários, clique no nome do usuário cujo logon você deseja restringir.

    5. Na guia User Logon Restrictions, configure os endereços IP de origem e os períodos em que o usuário pode fazer logon no Bastionhost e, em seguida, clique em Update.

      • (Whitelist) Only Listed IP Addresses Are Allowed: apenas os endereços IP de origem na lista de permissões podem fazer logon no Bastionhost durante os períodos de tempo especificados.

      • (Blacklist) Listed IP Addresses Are Not Allowed: os endereços IP de origem na lista de bloqueios não podem fazer logon no Bastionhost em nenhum período, e os endereços IP de origem fora da lista de bloqueios podem fazer logon no Bastionhost apenas durante os períodos especificados.

    Exportar usuários

    Após exportar os usuários, você pode visualizar a lista de usuários em um arquivo CSV local.

    1. Faça logon no console do Bastionhost. Na barra de navegação superior, selecione a região onde a sua instância do Bastionhost está localizada.

    2. Na lista de instâncias do Bastionhost, encontre a instância de destino e clique em Manage.

    3. No painel de navegação à esquerda, escolha Users > Users.

    4. Na página Users, no canto superior direito da lista de hosts, clique em Export Users.

    Modificar as informações básicas de um usuário local

    Nota

    Para modificar as informações básicas de um usuário de autenticação AD/LDAP, um usuário do RAM ou um usuário de autenticação do IDaaS, acesse a fonte de autenticação correspondente.

    Quando o número de telefone celular, o endereço de e-mail ou outras informações de um usuário mudam, atualize-as prontamente no console. Caso contrário, o usuário pode não receber as informações de verificação a tempo e falhar ao fazer logon no console. Por exemplo, se um usuário alterar o número de telefone celular e o novo número não for atualizado no Bastionhost, o sistema enviará o código de verificação para o número antigo quando o usuário fizer logon no Bastionhost. Como resultado, o usuário não receberá o código de verificação e não poderá fazer logon no Bastionhost para O&M.

    1. Faça logon no console do Bastionhost. Na barra de navegação superior, selecione a região onde a sua instância do Bastionhost está localizada.

    2. Na lista de instâncias do Bastionhost, encontre a instância de destino e clique em Manage.

    3. No painel de navegação à esquerda, escolha Users > Users.

    4. Encontre o usuário cujas informações você deseja modificar e clique no nome de usuário de destino.

    5. Na guia Basic Info do usuário, modifique as informações do usuário e, em seguida, clique em Update.

    Bloquear ou desbloquear um usuário

    Se um usuário não precisar usar o Bastionhost para O&M por um período, o administrador poderá bloqueá-lo manualmente ou configurar condições de gatilho para bloqueio automático. Se um usuário bloqueado precisar realizar O&M novamente, o administrador poderá desbloqueá-lo.

    Bloquear um usuário automaticamente

    O Bastionhost fornece o bloqueio automático de usuários por padrão. Quando um usuário insere uma senha incorreta mais de cinco vezes consecutivas, o Bastionhost o bloqueia automaticamente. O administrador pode definir manualmente o Account Lockout Threshold. Para mais informações, consulte User settings.

    Bloquear ou desbloquear um usuário manualmente

    Importante

    Uma operação de bloqueio ou desbloqueio manual entra em vigor imediatamente. Após o bloqueio, o usuário não pode fazer logon no servidor para O&M. Prossiga com cuidado.

    1. Faça logon no console do Bastionhost. Na barra de navegação superior, selecione a região onde a sua instância do Bastionhost está localizada.

    2. Na lista de instâncias do Bastionhost, encontre a instância de destino e clique em Manage.

    3. No painel de navegação à esquerda, escolha Users > Users.

    4. Na página Users, selecione os usuários que deseja bloquear ou desbloquear. Na parte inferior da lista de usuários, escolha Batch > Locked ou Batch > Unlock.

      • Locked: após o bloqueio do usuário, o sistema exibe a mensagem The user is locked.. O Status do usuário bloqueado muda de Normal para Locked. Após o bloqueio, o administrador ainda pode modificar as informações básicas do usuário e autorizar hosts e grupos de ativos para ele.

      • Unlock: após o desbloqueio do usuário, o sistema exibe a mensagem The user is unlocked.. O usuário pode então fazer logon no Bastionhost normalmente e realizar O&M nos hosts autorizados.

    Gerenciar a chave pública de um usuário

    Para que o Bastionhost gerencie a chave pública de um usuário, configure a chave pública e entregue-a ao Bastionhost. Os engenheiros de O&M podem então usar a chave privada para fazer logon no Bastionhost por meio do cliente de O&M. Para obter informações sobre o procedimento de O&M, consulte SSH operations.

    1. Faça logon no console do Bastionhost. Na barra de navegação superior, selecione a região onde a sua instância do Bastionhost está localizada.

    2. Na lista de instâncias do Bastionhost, encontre a instância de destino e clique em Manage.

    3. No painel de navegação à esquerda, escolha Users > Users.

    4. Na lista de usuários, clique no nome de usuário do usuário para o qual você deseja configurar uma chave pública. Na página de detalhes do usuário, clique na guia User Public Key e, em seguida, clique em Add SSH Public Key.

    5. No painel Add SSH Public Key, configure o nome da chave pública e o conteúdo da chave pública e, em seguida, clique em Add SSH Public Key.

      Após concluir a configuração, visualize e exporte as chaves públicas gerenciadas do usuário na lista de chaves públicas.

    Excluir um usuário

    Se um engenheiro de O&M não precisar mais usar o Bastionhost para realizar O&M em hosts, exclua o usuário para reduzir os riscos de segurança.

    1. Faça logon no console do Bastionhost. Na barra de navegação superior, selecione a região onde a sua instância do Bastionhost está localizada.

    2. Na lista de instâncias do Bastionhost, encontre a instância de destino e clique em Manage.

    3. No painel de navegação à esquerda, escolha Users > Users.

    4. Na lista de usuários, selecione o usuário que deseja excluir. Na parte inferior da lista, clique em Delete.

    Nota

    • Após a exclusão de uma conta de origem em uma fonte de autenticação como RAM, AD, LDAP ou IDaaS, o sistema não exclui o usuário correspondente no Bastionhost automaticamente. Por exemplo, após a exclusão de uma conta do RAM, o usuário do RAM importado anteriormente para o Bastionhost permanece na lista de usuários. O mesmo se aplica às contas excluídas das fontes de autenticação AD, LDAP ou IDaaS. Nesse caso, o Status do usuário ainda pode ser exibido como normal, e as sessões de O&M estabelecidas podem permanecer válidas. O usuário ainda pode conseguir fazer logon no Bastionhost para O&M, o que representa um risco de segurança.

    • Para desativar completamente o usuário, acesse a página Personnel > Users no console do Bastionhost e exclua-o manualmente seguindo as etapas anteriores nesta seção. Alternativamente, aguarde até que o Bastionhost não encontre o usuário na fonte de autenticação correspondente pelo ID de origem e o Status mude para Remote Deleted e, em seguida, exclua o usuário manualmente para concluir a limpeza.

    Modificar a configuração de redefinição de senha no próximo logon para usuários locais

    Ao criar um usuário local, você pode esquecer de ativar Users must reset the password at next logon., ou o recurso já pode estar ativado e você precisa desativá-lo. Em ambos os casos, siga estas etapas para modificar a configuração.

    1. Faça logon no console do Bastionhost. Na barra de navegação superior, selecione a região onde a sua instância do Bastionhost está localizada.

    2. Na lista de instâncias do Bastionhost, encontre a instância de destino e clique em Manage.

    3. No painel de navegação à esquerda, escolha Users > Users.

    4. Na lista de usuários, selecione o usuário de destino. Na parte inferior da lista, escolha Batch > Change Configuration of Local Users Must Reset Passwords at Next Logons.

    5. Na lista suspensa da caixa de diálogo exibida, selecione Enable ou Disable conforme necessário e, em seguida, clique em OK.