Key Management Service:Integrar segredos do ECS no Bastionhost

Visão geral do recurso

Salve senhas de contas do ECS ou pares de chaves SSH como segredos do ECS no KMS. No lado do Bastionhost, basta importar os segredos do ECS. Não é necessário inserir manualmente as senhas das contas do ECS ou os pares de chaves SSH. Quando o Bastionhost se conecta a uma instância ECS, ele recupera o valor do segredo do KMS em tempo real para autenticação.

O KMS oferece suporte à rotação periódica automática de segredos do ECS. Como o Bastionhost recupera o valor do segredo da versão ACSCurrent do KMS em tempo real, a rotação não afeta as conexões remotas do Bastionhost para as instâncias ECS. Para obter mais informações sobre versões de segredos, consulte Secret versions. O fluxograma a seguir mostra o fluxo de trabalho para usar segredos do ECS no Bastionhost e se conectar remotamente a instâncias ECS.

1. Um administrador de segredos cria um segredo do ECS no KMS.

2. Um administrador do Bastionhost configura a importação de segredos do ECS do KMS para o Bastionhost.

3. Um engenheiro de O&M inicia uma conexão remota com a instância ECS.

4. O Bastionhost chama as operações ListSecrets e GetSecretValue para recuperar o valor do segredo do ECS do KMS em tempo real.

5. O Bastionhost usa o valor do segredo do ECS para fazer login na instância ECS.

Observações de uso

• A integração de segredos do ECS é suportada apenas pelo Bastionhost Basic Edition e pelo Bastionhost Enterprise Dual-Engine Edition V3.2.40 ou posterior.

• Caso você exclua um segredo do ECS no KMS, o Bastionhost não conseguirá recuperar o valor do segredo e as conexões remotas com a instância ECS falharão.

Pré-requisitos

• Os ativos do ECS foram importados para o Bastionhost. Para obter mais informações, consulte Import ECS instances of your account.

• Se você utilizar um usuário RAM para gerenciar segredos do ECS e o Bastionhost, verifique se a conta Alibaba Cloud concedeu a permissão AliyunKMSSecretAdminAccess (permissões para gerenciar segredos do KMS) e a permissão AliyunYundunBastionHostFullAccess (permissões para gerenciar o Bastionhost) ao usuário RAM. Para obter mais informações, consulte Manage RAM user permissions.

Procedimento

1. Crie um segredo do ECS no KMS. Para obter mais informações, consulte Step 1: Create an ECS secret.

   1. Faça login no Key Management Service console. Na barra de navegação superior, selecione uma região. No painel de navegação à esquerda, escolha Resources > Secrets.

   2. Clique em aba ECS Secrets, selecione o Instance ID e clique em Create ECS Secret. Após configurar os parâmetros, clique em OK.

      Parâmetro	Descrição
      Secret Name	Nome personalizado da credencial. Deve ser exclusivo na região atual.
      Managed Instance	Selecione uma instância ECS em sua conta Alibaba Cloud.
      Managed User	Insira o nome de um usuário existente na instância ECS, como root (Linux) ou Administrator (Windows).
      Initial Secret Value	O valor da credencial deve ter até 30.720 bytes (30 KB) de comprimento. Senha: A senha de login do usuário na instância ECS. Par de chaves: O par de chaves SSH usado para fazer login na instância ECS. Obter um par de chaves SSH Usar um par de chaves SSH criado no ECS Chave privada: Após criar um par de chaves SSH no ECS, a chave privada é baixada automaticamente para o seu computador local como key-pair-name.pem. Chave pública: Para obter mais informações, consulte a documentação sobre visualização de chaves públicas SSH. Gerar um par de chaves SSH localmente Gere e salve as chaves privada e pública. Por exemplo, use o comando ssh-keygen para gerar um par de chaves RSA de 3072 bits: ssh-keygen -t RSA -b 3072 -m PEM -f ~/.ssh/sshKey_demo -N "" Os seguintes arquivos são gerados: ~/.ssh/sshKey_demo: armazena a chave privada. ~/.ssh/sshKey_demo.pub: armazena a chave pública. Nota O valor da credencial deve ser configurado corretamente. Se o valor estiver incorreto, a senha ou o par de chaves recuperado do KMS não poderá ser usado para fazer login na instância ECS até que a credencial seja rotacionada pela primeira vez.
      CMK	Selecione a chave simétrica usada para criptografar o valor da credencial. A chave e a credencial devem pertencer à mesma instância do KMS. Importante A chave e a credencial devem pertencer à mesma instância do KMS, e a chave deve ser simétrica. Para obter mais informações sobre as chaves simétricas suportadas pelo KMS, consulte Key types and specifications. Se um usuário RAM ou função RAM for utilizado, ele deve ter permissões para executar a operação GenerateDataKey usando a chave mestra de criptografia.
      Tags	Adicione tags à credencial para classificação. Cada tag consiste em um par chave-valor. Nota Formato de uma chave de tag e um valor de tag: Uma chave ou valor de tag pode ter até 128 caracteres e conter letras, dígitos, barras (/), barras invertidas (\), sublinhados (_), hifens (-), pontos (.), sinais de mais (+), sinais de igual (=), dois pontos (:), arrobas (@) e espaços. Uma chave de tag não pode começar com aliyun ou acs:. Cada credencial suporta até 20 pares chave-valor de tag.
      Automatic Rotation	Selecione se deseja ativar a rotação automática. Quando ativado, o KMS atualiza periodicamente o valor da credencial para reduzir o risco de vazamentos.
      Rotation Period	Defina este parâmetro apenas quando a rotação automática estiver ativada. Valores válidos: de 1 hora a 365 dias. Especifica o intervalo de rotação. O KMS atualiza periodicamente o valor da credencial com base nesta configuração.
      Description	Uma descrição opcional da credencial para identificação e gerenciamento.
      Advanced Settings > Policy Settings	Defina a política de acesso para a credencial a fim de controlar quais usuários ou funções RAM podem lê-la ou modificá-la. Você pode selecionar a política padrão primeiro e modificá-la posteriormente conforme necessário.

      Nota

      Ao criar o segredo, o sistema cria automaticamente a função vinculada ao service AliyunServiceRoleForKMSSecretsManagerForECS e anexa a política AliyunServiceRolePolicyForKMSSecretsManagerForECS. O KMS usa essa função para gerenciar segredos do ECS e realizar a rotação de senhas e pares de chaves públicas/privadas. Faça login no console RAM para visualizar os detalhes da função vinculada ao service e da política. Para obter mais informações, consulte View a RAM role e View policy details.

2. Importe o segredo do ECS para o Bastionhost.

   Após a importação, quando você se conectar remotamente à instância ECS a partir do Bastionhost, o Bastionhost recuperará automaticamente o valor do segredo do KMS para login.

   1. Faça login no sistema Bastionhost. Para obter mais informações, consulte Log on to the system.

   2. No painel de navegação à esquerda, escolha Assets > Hosts.

   3. Na página Hosts, localize o host de destino e clique em Import KMS Secret na coluna Actions.

   4. Na caixa de diálogo Import KMS Secret, selecione os segredos a serem importados e clique em Import.

      Após a importação dos segredos, clique em nome do host na página Hosts. Na aba Host Account, visualize e gerencie os segredos do KMS importados.

Próximos passos

1. Autorize os usuários do Bastionhost a gerenciar a instância ECS. Para obter mais informações, consulte Authorize assets and asset accounts for a user.

2. Use o Bastionhost para executar O&M na instância ECS. Para obter mais informações, consulte O&M overview.