Bastionhost, RAM, Active Directory (AD), Lightweight Directory Access Protocol (LDAP) ve Identity as a Service (IDaaS) gibi birden fazla kimlik doğrulama kaynağından gelen kullanıcıları merkezi olarak yönetmenize olanak tanır. Bu sayede her bir kaynak için ayrı bir kullanıcı veritabanı tutmanıza gerek kalmaz. Bu konu, desteklenen her bir kaynaktan kullanıcıların nasıl içe aktarılacağını gösterir.
Çalışma prensibi
Bir kullanıcı oturum açmaya çalıştığında Bastionhost, kimlik doğrulama işlemini yapılandırılmış kimlik kaynağına (RAM, AD, LDAP ve IDaaS kullanıcıları için) devreder. Yerel kullanıcılar için ise kimlik doğrulama doğrudan Bastionhost tarafından gerçekleştirilir. Kimlik kaynağı kimlik bilgilerini doğrular ve Bastionhost, elindeki kullanıcı kaydına göre erişim izni verir. Kullanıcıları bir kimlik kaynağından içe aktararak (veya yerel olarak oluşturarak) Bastionhost'a eklersiniz, ardından varlık izinlerini ayrı olarak atarsınız.
Dört desteklenen kimlik kaynağı, dört farklı kullanıcı yönetimi yoluna karşılık gelir:
| Kimlik kaynağı | Kullanıcı türü | Ne zaman kullanılır |
|---|---|---|
| RAM (Resource Access Management) | RAM kullanıcıları | Ekibiniz Alibaba Cloud erişimi için zaten RAM kullanıyorsa |
| Yerel kimlik doğrulama | Yerel kullanıcılar | Harici bir kimlik sağlayıcınız yoksa; kimlik bilgileri ve MFA üzerinde tam kontrol istiyorsanız |
| AD veya LDAP | AD/LDAP kullanıcıları | Kuruluşunuz şirket içi bir dizin hizmeti çalıştırıyorsa |
| IDaaS (Identity as a Service) | IDaaS kullanıcıları | Birden fazla sağlayıcıdan (DingTalk, Microsoft Entra ID vb.) gelen kullanıcıları tek bir noktada toplamak istiyorsanız |
RAM kullanıcılarını içe aktarma
Ön koşullar
Başlamadan önce şunlara sahip olduğunuzdan emin olun:
Bir Bastionhost örneği
Resource Access Management (RAM) içinde en az bir RAM kullanıcısı
Bir RAM kullanıcısı için iki faktörlü kimlik doğrulamayı (MFA) etkinleştirmek için RAM konsolu üzerinde oturum açın ve çok faktörlü kimlik doğrulamayı etkinleştirin. Ayrıntılar için bkz. Bir Alibaba Cloud hesabına MFA cihazı bağlama .
Adımlar
Bastionhost konsolunda oturum açın. Üst gezinme çubuğunda bastion host'unuzun bulunduğu bölgeyi seçin.
Bastion host listesinde hedef bastion host'u bulun ve Manage öğesine tıklayın.
Sol gezinme bölmesinde Users > Users seçeneklerini belirleyin.
Users sayfasında Import RAM Users öğesine tıklayın.
(İsteğe bağlı) Hiçbir RAM kullanıcısı yoksa Import RAM Users iletişim kutusunda Create RAM User seçeneğine tıklayın ve istemleri takip edin. Ayrıntılar için bkz. RAM kullanıcısı oluşturma.
Import RAM Users iletişim kutusunda, içe aktarmak istediğiniz RAM kullanıcısının yanındaki Actions sütununda Import öğesine tıklayın. Birden fazla kullanıcıyı aynı anda içe aktarmak için kullanıcıları seçin ve listenin altındaki Import öğesine tıklayın.
Yerel kullanıcılar oluşturma
Yerel kullanıcılar kimlik doğrulamasını doğrudan Bastionhost üzerinden gerçekleştirir. Harici bir kimlik sağlayıcınız olmadığında veya dizin hizmetinizden bağımsız çalışan hesaplara ihtiyaç duyduğunuzda bu yöntemi kullanın.
Tek bir yerel kullanıcı oluşturma
Bastionhost konsolunda oturum açın. Bastion host'unuzun bulunduğu bölgeyi seçin.
Bastion host listesinde hedef bastion host'u bulun ve Manage öğesine tıklayın.
Sol gezinme bölmesinde Users > Users seçeneklerini belirleyin.
Import Other Users açılan listesinden Create User seçeneğini belirleyin.
Create User panelinde Authentication Method değerini Local Authentication olarak ayarlayın.
-
Kullanıcının kimlik bilgilerini ve isteğe bağlı ayarlarını yapılandırın:
Alan Açıklama Users must reset the password at next logon. İlk oturum açışta parola değişikliğini zorlamak için bu onay kutusunu seçin. Validity Period Bir sona erme tarihi belirleyin. Süre dolduğunda kullanıcının Status durumu Expired olarak değişir. Two-factor Authentication Methods Bkz. İki faktörlü kimlik doğrulama seçenekleri. Two-factor Notification Sending Language Tek kullanıcı geçersiz kılmaları için Simplified Chinese veya English dilini seçin ya da varsayılan değeri System Settings sayfasından miras almak için For All Users seçeneğini kullanın. Create öğesine tıklayın.
İki faktörlü kimlik doğrulama seçenekleri
Two-factor Authentication Methods değerini For All Users veya For Single User olarak ayarlayın.
For All Users: System Settings sayfasında yapılandırılan genel ayarı kullanır. Ayrıntılar için bkz. İki faktörlü kimlik doğrulamayı etkinleştirme.
-
For Single User: Yalnızca bu kullanıcı için bir yöntem uygular:
Yöntem Gereksinim Disable Yok Text Message Cep telefonu numarası gereklidir Email E-posta adresi gereklidir DingTalk Cep telefonu numarası gereklidir; bkz. DingTalk gereksinimleri OTP App Kullanıcının öncelikle bir OTP belirteci bağlaması gerekir; bkz. OTP uygulaması kurulumu
SMS tabanlı iki faktörlü kimlik doğrulamanın desteklendiği ülkeler ve bölgeler için bkz. Desteklenen ülkeler ve bölgeler . Cep telefonu numaraları ve e-posta adresleri yalnızca doğrulama kodları ve uyarı bildirimleri için kullanılır.
DingTalk gereksinimleri
DingTalk iki faktörlü kimlik doğrulamasını kullanmak için bunu etkinleştirmeden önce aşağıdakilerin tamamını tamamlayın:
Kullanıcının cep telefonu numarasını belirtin. Ayrıntılar için bkz. Yerel bir kullanıcının temel bilgilerini değiştirme.
DingTalk yöneticisinin dahili bir kurumsal uygulama oluşturmasını ve "cep telefonu numaralarına ve adlara göre üye bilgilerini alma" iznini etkinleştirmesini sağlayın.
DingTalk uygulamasından AppKey, AppSecret ve AgentId değerlerini alın.
OTP uygulaması kurulumu
OTP uygulaması iki faktörlü kimlik doğrulamasını kullanmak için:
Standart bir TOTP kimlik doğrulayıcı uygulaması indirin (örneğin, Alibaba Cloud uygulaması).
Genel bir uç nokta kullanarak Bastionhost O&M portalında oturum açın. Uç nokta ayrıntıları için bkz. Overview sayfası.
Sol gezinme bölmesinde Security Settings öğesine tıklayın.
Enable OTP sekmesinde Bind OTP App öğesine tıklayın ve OTP belirtecini bağlamak için QR kodunu tarayın.
Dosyadan birden fazla yerel kullanıcıyı içe aktarma
Bir şablon dosyası kullanarak aynı anda birçok yerel kullanıcı oluşturmak için bu seçeneği kullanın.
Bastionhost konsolunda oturum açın. Bastion host'unuzun bulunduğu bölgeyi seçin.
Bastion host listesinde hedef bastion host'u bulun ve Manage öğesine tıklayın.
Sol gezinme bölmesinde Users > Users seçeneklerini belirleyin.
Import Other Users açılan listesinden Import Users from File seçeneğini belirleyin.
Download User Template öğesine tıklayın, paketi çıkarın, şablon dosyasındaki kullanıcı bilgilerini doldurun ve kaydedin.
Import Local Users panelinde tamamlanan şablon dosyasını yüklemek için Upload öğesine tıklayın.
Preview iletişim kutusunda içe aktarılacak kullanıcıları seçin ve Import öğesine tıklayın.
Kullanıcı bilgilerini gözden geçirin ve Import Local Users öğesine tıklayın. Users must reset the password at next logon. seçeneğini belirlerseniz, içe aktarılan tüm yerel kullanıcıların sonraki oturum açışlarında parolalarını sıfırlaması gerekir.
(İsteğe bağlı) Kullanıcılara O&M adresini bildirmek için cep telefonu numarasını veya e-posta adresini belirtin ve Send O&M Addresses to User seçeneğini belirleyin.
Dosyadaki birden fazla kullanıcı aynı kullanıcı adına sahipse yalnızca son oluşan kayıt içe aktarılır. İçe aktarılan bir kullanıcının kullanıcı adı Bastionhost'taki mevcut bir kullanıcıyla eşleşirse o kullanıcı atlanır. Atlanan kullanıcıları görüntülemek için Import Local Users panelindeki Details seçeneğine tıklayın.
AD veya LDAP ile kimlik doğrulanan kullanıcıları içe aktarma
Ön koşullar
Başlamadan önce şunlardan emin olun:
Bastionhost'ta AD veya LDAP kimlik doğrulaması yapılandırılmıştır. Kurulum talimatları için bkz. AD kimlik doğrulamasını veya LDAP kimlik doğrulamasını yapılandırma.
Adımlar
Bastionhost konsolunda oturum açın. Bastion host'unuzun bulunduğu bölgeyi seçin.
Bastion host listesinde hedef bastion host'u bulun ve Manage öğesine tıklayın.
Sol gezinme bölmesinde Users > Users seçeneklerini belirleyin.
Import Other Users > Import AD Users veya Import LDAP Users seçeneklerini belirleyin.
İletişim kutusunda, içe aktarmak istediğiniz kullanıcının yanındaki Actions sütununda Import öğesine tıklayın. Birden fazla kullanıcıyı aynı anda içe aktarmak için kullanıcıları seçin ve listenin altındaki Import öğesine tıklayın.
IDaaS ile kimlik doğrulanan kullanıcıları içe aktarma
IDaaS, DingTalk ve Microsoft Entra ID (eski adıyla Azure AD) gibi harici kimlik sağlayıcılarından gelen kullanıcıları bir Employee Identity and Access Management (EIAM) örneğinde toplamanıza ve bunları Bastionhost'a iletmenize olanak tanır. Kimlik sağlayıcınız IDaaS tarafından yerel olarak desteklenmiyorsa bir IDaaS kullanıcısı oluşturduktan sonra Tek Oturum Açma (SSO) özelliğini etkinleştirin. Desteklenen kimlik sağlayıcıları için bkz. Kimlik Sağlayıcılar. SSO uygulama kurulumu için bkz. Uygulama oluşturma.
IDaaS kullanıcıları bir istemci aracılığıyla parola ile oturum açamaz. Bir istemcide O&M belirteci tabanlı kimlik doğrulama kullanmaları veya varlıklara O&M portalı üzerinden erişmeleri gerekir. Ayrıntılar için bkz. O&M kılavuzu.
Ön koşullar
Başlamadan önce şunlardan emin olun:
Bastionhost'ta IDaaS kimlik doğrulaması yapılandırılmıştır. Kurulum talimatları için bkz. IDaaS kimlik doğrulamasını yönetme.
Adımlar
Bastionhost konsolunda oturum açın. Bastion host'unuzun bulunduğu bölgeyi seçin.
Bastion host listesinde hedef bastion host'u bulun ve Manage öğesine tıklayın.
Sol gezinme bölmesinde Users > Users seçeneklerini belirleyin.
Import Other Users açılan listesinden Import IDaaS User seçeneğini belirleyin.
Import IDaaS User iletişim kutusunda, içe aktarmak istediğiniz kullanıcının yanındaki Actions sütununda Import öğesine tıklayın. Birden fazla kullanıcıyı aynı anda içe aktarmak için kullanıcıları seçin ve listenin altındaki Import öğesine tıklayın.
Import IDaaS User iletişim kutusunda IDaaS ile kimlik doğrulanan kullanıcı görünmüyorsa Synchronize öğesine tıklayın.