Bastionhost kullanıcıları, operasyon ve bakım mühendislerinin yetkili konak ve veritabanı kaynaklarına erişmek için oturum açarken kullandığı hesaplardır. Yöneticiler bu hesapları Bastionhost yönetim sayfasında oluşturur ve yönetir.
Kullanıcı türleri
Kimlik kaynağınıza uygun kullanıcı türünü seçin. Operasyon ve bakım mühendisleri; içe aktarılan Alibaba Cloud Resource Access Management (RAM) kullanıcıları, Bastionhost yerel kullanıcıları veya içe aktarılan AD, LDAP ya da IDaaS kimlik doğrulama kullanıcıları olabilir.
|
|
|
|
|
RAM konsolunda bir Alibaba Cloud RAM kullanıcısı oluşturduktan sonra, Bastionhost yönetim sayfasında tek tıklamayla içe aktarın. |
|
|
Bastionhost yerel kullanıcılarını tek tek oluşturun veya bir dosyadan toplu olarak içe aktarın. |
|
|
AD veya LDAP kimlik doğrulamasını yapılandırın, ardından bu kullanıcıları Bastionhost'a eşitleyin. |
|
|
IDaaS kimlik doğrulamasını yapılandırın, ardından bu kullanıcıları Bastionhost'a eşitleyin. |
Kullanıcı listesi
Kullanıcıları oluşturduktan sonra kullanıcı listesinde aşağıdaki öğeler görüntülenir.
|
|
|
|
|
Bastionhost'ta oturum açmak için kullanılan hesap adıdır. Kaynağı ve değiştirilebilir olup olmadığı kullanıcı türüne bağlıdır. |
|
|
Kullanıcı türüdür. Örneğin, yerel bir kullanıcı Local Authentication olarak görüntülenir. |
|
|
Parola kontrolünden sonra gerekli olan ikincil kimlik doğrulamasıdır. Kullanılabilir yöntemler kullanıcı türüne bağlıdır. |
|
|
Kullanıcının Kullanıcıları oluşturun bölümünde açıklandığı gibi ayarlanmış olup olmadığını gösterir. RAM veya IDaaS kullanıcıları için geçerli değildir. |
|
|
Kullanıcının mevcut durumudur. |
|
|
Kullanıcı için yetkilendirme işlemlerini içerir. Daha fazla bilgi için bkz. Kullanıcıları varlıkları ve varlık hesaplarını yönetecek şekilde yetkilendirin veya Kullanıcıları varlık gruplarını yönetecek şekilde yetkilendirin. |
Oturum açma adı
Bir kullanıcının oturum açma adı kimlik doğrulama kaynağından gelir:
RAM user: RAM kullanıcısı oluşturulup eşitlendiğinde belirlenen oturum açma adıdır. RAM konsolunda kullanıcı adını değiştirdiyseniz System Settings > User Settings bölümüne gidin ve User Sync Settings öğesini yapılandırın.
Local user: Yöneticinin oluşturma sırasında belirlediği kullanıcı adıdır. Değiştirilemez. Parola karmaşıklığı, kullanıcı parola güvenliği ayarlarına uyar.
AD/LDAP user: AD veya LDAP sunucusundan eşitlenen kullanıcı adıdır. Bu adı ilgili sunucuda değiştirin.
-
IDaaS user: Alibaba Cloud IDaaS EIAM'den eşitlenen hesaptır. Değiştirilemez.
Kullanıcı ve parola güvenlik ayarları için bkz. Kullanıcı yapılandırması.
İki faktörlü kimlik doğrulama yöntemleri
Parola kimlik doğrulamasından sonra kullanıcı, metin mesajı, e-posta veya DingTalk üzerinden gönderilen dinamik bir doğrulama kodu da girmelidir. Bu ikincil kontrol güvenlik risklerini azaltır. Yöntemi kullanıcının kimlik doğrulama kaynağında yapılandırın:
RAM user: RAM-based Authentication. Bir RAM kullanıcısı için iki faktörlü kimlik doğrulama yöntemini yapılandırmak üzere RAM konsoluna giriş yapın. Daha fazla bilgi için bkz. Bind an MFA device for a RAM user.
IDaaS user: IDaaS-based Authentication. Bir IDaaS kullanıcısı için iki faktörlü kimlik doğrulama yöntemini yapılandırmak üzere Alibaba Cloud IDaaS konsoluna giriş yapın. Daha fazla bilgi için bkz. Two-factor authentication.
-
Local user veya AD/LDAP user:
Genel ayarlar için bkz. İki faktörlü kimlik doğrulamayı etkinleştirin.
Tek bir kullanıcıya yönelik ayarlar için bkz. Kullanıcıları oluşturun.
Kullanıcı durumu
Status sütunu aşağıdaki durumlardan birini gösterir:
Inactive: Belirtilen süre içinde oturum açmayan bir kullanıcı Inactive olarak işaretlenir.
Password Expired: Parola geçerlilik süresi dolduğunda kullanıcı Password Expired olarak işaretlenir.
-
Locked:
İzin verilen ardışık hatalı parola deneme sayısını aşan veya bir yönetici tarafından manuel olarak kilitlenen kullanıcı Locked olarak işaretlenir.
System Settings bölümünde Automatically Lock Inactive User Accounts özelliğini etkinleştirdiğinizde, Bastionhost uzun süredir etkin olmayan kullanıcıları otomatik olarak kilitler ve bunları Locked olarak işaretler.
Remote Deleted: Kullanıcının kaynak kimliğine göre ilgili kimlik doğrulama kaynağında kullanıcı bulunamazsa, kullanıcı Remote Deleted olarak işaretlenir.
-
Remote DN Changed: AD veya LDAP sunucusundaki kullanıcının BaseDN'si Bastionhost'taki yapılandırmayla eşleşmiyorsa, kullanıcı Remote DN Changed olarak işaretlenir.
Kullanıcı durumu ayarları için bkz. Kullanıcı yapılandırması.
Kullanıcıları oluşturun
Operasyon ve bakım mühendislerinizin Bastionhost'ta oturum açmak için kullanacağı hesapları oluşturun. Aşağıdaki her sekme bir kullanıcı türünü kapsar.
RAM kullanıcılarını içe aktarın
Bastionhost konsoluna giriş yapın. Üst gezinme çubuğunda Bastionhost örneğinizin bulunduğu bölgeyi seçin.
Bastionhost örnekleri listesinde hedef örneği bulun ve Manage öğesini tıklayın.
Soldaki gezinme bölmesinde yolunu izleyin.
Users sayfasında Import RAM Users öğesini tıklayın.
-
Import RAM Users sayfasında içe aktarmak istediğiniz RAM kullanıcısını bulun ve Actions sütunundaki Import seçeneğini tıklayın. Birden çok kullanıcıyı aynı anda içe aktarmak için kullanıcıları seçin ve Import öğesini tıklayın.
NotBir RAM kullanıcısı için iki faktörlü kimlik doğrulamayı yapılandırmak üzere RAM konsoluna giriş yapın ve RAM kullanıcısı için çok faktörlü kimlik doğrulamayı (MFA) yapılandırın. Daha fazla bilgi için bkz. Bir Alibaba Cloud hesabına MFA cihazı bağlayın.
Yerel kullanıcıları oluşturun
Users sayfasında tek bir yerel kullanıcı oluşturun veya birden çok yerel kullanıcıyı bir dosyadan içe aktarın.
Tek bir yerel kullanıcı oluşturmak için
Bastionhost konsoluna giriş yapın. Üst gezinme çubuğunda Bastionhost örneğinizin bulunduğu bölgeyi seçin.
Bastionhost örnekleri listesinde hedef örneği bulun ve Manage öğesini tıklayın.
Soldaki gezinme bölmesinde yolunu izleyin.
-
Create User panelinde kullanıcı bilgilerini yapılandırın ve Create öğesini tıklayın.
Authentication Method değerini Local Authentication olarak ayarlayın. Temel bilgilerin dışında, bu sekmenin geri kalanı isteğe bağlı ayarları kapsar.
İsteğe bağlı: Operasyon ve bakım adres bilgisini kullanıcıya bildirmek için yerel kullanıcıya bir cep telefonu numarası veya e-posta adresi atayın, ardından Send O&M Addresses to User seçeneğini işaretleyin.
Bir dosyadan birden çok yerel kullanıcıyı içe aktarmak için
Users sayfasında Import Other Users listesinde Import Users from File seçeneğini belirleyin.
Şablonu indirmek için Download User Template öğesini tıklayın, kullanıcı bilgilerini doldurun ve dosyayı kaydedin.
Import Local Users panelinde kullanıcı şablonu dosyasını yüklemek için Upload öğesini tıklayın.
Preview iletişim kutusunda içe aktarılacak kullanıcıları seçin ve Import öğesini tıklayın.
-
Import Local Users panelinde kullanıcı bilgilerini onaylayın ve Import Local Users öğesini tıklayın.
Users must reset the password at next logon. seçeneğini işaretlerseniz, içe aktarılan tüm kullanıcıların sonraki oturum açışlarında parolalarını sıfırlaması gerekir.
NotKullanıcı adı dosyadaki başka bir girdiyle veya mevcut bir sistem kullanıcısıyla çakışan kullanıcılar atlanır. İçe aktarılmayan kullanıcıları görüntülemek için Import Local Users panelinde Details öğesini tıklayın.
Yerel kullanıcı için isteğe bağlı ayarlar
Users must reset the password at next logon. seçeneğini etkinleştirin: Yerel kullanıcının sonraki oturum açışında parolasını değiştirmesi gerekir. Bu ayar yalnızca yerel kullanıcılar için geçerlidir; mevcut bir kullanıcı için yönetici bu ayarı kullanıcı listesinden değiştirebilir.
Validity Period değerini ayarlayın: Ayarlandıktan sonra, belirtilen süreyi aşan bir kullanıcı için Status sütununda Expired durumu görüntülenir ve kullanıcı operasyon ve bakım işlemleri için oturum açamaz.
Two-factor Authentication Methods öğesini yapılandırın: Genel iki faktörlü yöntemi veya yalnızca bu kullanıcıya uygulanan bir yöntemi kullanın.
Two-factor Notification Sending Language öğesini yapılandırın: Genel bildirim dilini veya yalnızca bu kullanıcıya uygulanan bir dili kullanın.
İki faktörlü kimlik doğrulama yöntemleri
İki faktörlü kimlik doğrulama etkinleştirildiğinde, kullanıcı oturum açarken metin mesajı veya e-posta yoluyla bir doğrulama kodu alır; bu nedenle belirttiğiniz numara ve adresin doğru olduğundan emin olun. Metin mesajları için desteklenen ülkeler ve bölgeler hakkında bilgi edinmek için bkz. Metin mesajıyla iki faktörlü kimlik doğrulamayı destekleyen ülkeler ve bölgeler.
Cep telefonu numarası ve e-posta adresi yalnızca doğrulama kodları ve uyarı bildirimleri için kullanılır, başka bir amaçla kullanılmaz.
Two-factor Authentication Methods iki türü destekler:
For All Users seçeneğini belirleyerek System Settings bölümünde yapılandırdığınız genel iki faktörlü kimlik doğrulama yöntemini uygulayın. Daha fazla bilgi için bkz. İki faktörlü kimlik doğrulamayı etkinleştirin.
-
Yalnızca bu kullanıcı için bir iki faktörlü yöntem ayarlamak amacıyla For Single User seçeneğini belirleyin.
For Single User seçeneğini belirlerseniz aşağıdaki yöntemlerden birini seçin:
Disable: İki faktörlü kimlik doğrulama etkinleştirilmez.
Text Message: Kullanıcının cep telefonu numarasına (belirtmeniz gerekir) metin mesajı yoluyla ikincil kimlik doğrulama yapılır.
Email: Kullanıcının e-posta adresine (belirtmeniz gerekir) e-posta yoluyla ikincil kimlik doğrulama yapılır.
-
DingTalk: Kullanıcının DingTalk hesabı üzerinden ikincil kimlik doğrulama yapılır; bu işlem bir cep telefonu numarası gerektirir.
NotDingTalk kimlik doğrulaması aşağıdaki gereksinimleri karşılamalıdır:
Operasyon ve bakım için kullanılan kullanıcı hesabıyla ilişkili bir cep telefonu numarası bulunmalıdır. Bir kullanıcı için cep telefonu numarası ekleme hakkında daha fazla bilgi için bkz. Modify the basic information of a local user.
DingTalk yöneticisi dahili bir kurumsal uygulama oluşturmuş ve uygulamaya API Access Permission To Get Member Information By Phone Number And Name iznini vermiştir.
Dahili kurumsal uygulamanın AppKey, AppSecret ve AgentId değerlerini almış olmanız gerekir.
-
OTP App: Kullanıcının mobil OTP belirteciyle kimlik doğrulama yapılır; kullanıcının öncelikle belirteci bağlaması gerekir.
NotÖnce Alibaba Cloud uygulaması gibi standart bir TOTP uygulaması indirin. Ardından genel uç nokta üzerinden Bastionhost operasyon ve bakım portalına giriş yapın, sol gezinme bölmesinde Security Settings öğesini tıklayın, Enable OTP sekmesine tıklayın, Bind OTP App seçeneğini belirleyin ve QR kodunu tarayarak belirteci bağlayın. Operasyon ve bakım adresini bulmak için bkz. Bastionhost konsoluna genel bakış.
İki faktörlü bildirim gönderim dili
Two-factor Notification Sending Language ayarını aşağıdaki yollardan biriyle yapılandırın:
For All Users seçeneğini belirleyerek bildirimleri System Settings bölümünde yapılandırdığınız dilde gönderin. Daha fazla bilgi için bkz. İki faktörlü kimlik doğrulamayı etkinleştirin.
İki faktörlü kimlik doğrulama bildirimlerini Simplified Chinese veya English dilinde göndermek için For Single User seçeneğini belirleyin.
AD/LDAP kullanıcılarını içe aktarın
Kullanıcıları içe aktarmadan önce AD veya LDAP kimlik doğrulamasını yapılandırın. Daha fazla bilgi için bkz. AD veya LDAP kimlik doğrulamasını yapılandırın.
Bastionhost konsoluna giriş yapın. Üst gezinme çubuğunda Bastionhost örneğinizin bulunduğu bölgeyi seçin.
Bastionhost örnekleri listesinde hedef örneği bulun ve Manage öğesini tıklayın.
Soldaki gezinme bölmesinde yolunu izleyin.
-
Import AD Users veya Import LDAP Users sayfasında içe aktarmak istediğiniz kullanıcıyı bulun ve Actions sütunundaki Import seçeneğini tıklayın.
Birden çok kullanıcıyı seçerek toplu olarak içe aktarabilirsiniz.
IDaaS kullanıcılarını içe aktarın
Kullanıcıları içe aktarmadan önce IDaaS kimlik doğrulamasını yapılandırın. Daha fazla bilgi için bkz. Manage IDaaS authentication.
Bastionhost konsoluna giriş yapın. Üst gezinme çubuğunda Bastionhost örneğinizin bulunduğu bölgeyi seçin.
Bastionhost örnekleri listesinde hedef örneği bulun ve Manage öğesini tıklayın.
Soldaki gezinme bölmesinde yolunu izleyin.
Import Other Users > Import IDaaS User seçeneğini belirleyin.
-
Import IDaaS User sayfasında içe aktarmak istediğiniz kullanıcıyı bulun ve Actions sütunundaki Import seçeneğini tıklayın.
Birden çok kullanıcıyı seçerek toplu olarak içe aktarabilirsiniz. Hiçbir IDaaS kullanıcısı görünmüyorsa Synchronize öğesini tıklayın.
Yerel kullanıcı bilgilerini değiştirin
AD/LDAP, RAM ve IDaaS kullanıcıları için temel bilgileri kimlik doğrulama kaynağında değiştirin.
Yerel bir kullanıcının cep telefonu numarası veya e-posta adresi değiştiğinde konsoldaki bilgileri hemen güncelleyin. Aksi takdirde doğrulama kodları eski numaraya gider ve kullanıcı operasyon ve bakım işlemleri için oturum açamaz.
Bastionhost konsoluna giriş yapın. Üst gezinme çubuğunda Bastionhost örneğinizin bulunduğu bölgeyi seçin.
Bastionhost örnekleri listesinde hedef örneği bulun ve Manage öğesini tıklayın.
Soldaki gezinme bölmesinde yolunu izleyin.
Kullanıcının Basic Info sekmesinde kullanıcı bilgilerini değiştirin ve ardından Update öğesini tıklayın.
Sonraki oturum açışta parola sıfırlama ayarını değiştirin
Yerel bir kullanıcı oluştururken Users must reset the password at next logon. seçeneğini etkinleştirin. Bu ayarı değiştirmek için kullanıcı listesinin altındaki toplu işlem menüsünü kullanın.
Bastionhost konsoluna giriş yapın. Üst gezinme çubuğunda Bastionhost örneğinizin bulunduğu bölgeyi seçin.
Bastionhost örnekleri listesinde hedef örneği bulun ve Manage öğesini tıklayın.
Soldaki gezinme bölmesinde yolunu izleyin.
Kullanıcı listesinde değiştirmek istediğiniz kullanıcıyı seçin. Listenin altında Batch > Change Configuration of Local Users Must Reset Passwords at Next Logons seçeneğini belirleyin.
Görüntülenen iletişim kutusunda Enable veya Disable seçeneğini belirleyin ve ardından OK öğesini tıklayın.
Kullanıcı genel anahtarlarını yönetin
Bir kullanıcının genel anahtarını Bastionhost'ta barındırın; böylece operasyon ve bakım mühendisi eşleşen özel anahtarla bir operasyon ve bakım istemcisinden oturum açabilir. Operasyon ve bakım süreci hakkında ayrıntılı bilgi için bkz. SSH tabanlı operasyon ve bakım gerçekleştirin.
Bastionhost konsoluna giriş yapın. Üst gezinme çubuğunda Bastionhost örneğinizin bulunduğu bölgeyi seçin.
Bastionhost örnekleri listesinde hedef örneği bulun ve Manage öğesini tıklayın.
Soldaki gezinme bölmesinde yolunu izleyin.
-
Add SSH Public Key panelinde genel anahtarın adını ve içeriğini belirtin ve Add SSH Public Key öğesini tıklayın.
Kullanıcı genel anahtarı listesi barındırılan anahtarları gösterir; bu anahtarları dışa da aktarabilirsiniz.
Kullanıcı oturum açma kısıtlamaları
Kullanıcıların Bastionhost'ta oturum açabileceği kaynak IP adreslerini ve zaman aralıklarını kısıtlayın.
Bastionhost konsoluna giriş yapın. Üst gezinme çubuğunda Bastionhost örneğinizin bulunduğu bölgeyi seçin.
Bastionhost örnekleri listesinde hedef örneği bulun ve Manage öğesini tıklayın.
Soldaki gezinme bölmesinde yolunu izleyin.
Kullanıcı listesinde kısıtlamak istediğiniz kullanıcının kullanıcı adını tıklayın.
-
User Logon Restrictions sekmesinde kaynak IP adresi ve zaman aralığı kısıtlamalarını ayarlayın ve ardından Update öğesini tıklayın.
Aşağıdaki IP adresi kısıtlama modları kullanılabilir:
(Whitelist) Only Listed IP Addresses Are Allowed: Yalnızca izin listesindeki kaynak IP adresleri, belirtilen zaman aralıklarında Bastionhost'ta oturum açabilir.
(Blacklist) Listed IP Addresses Are Not Allowed: Engelleme listesindeki kaynak IP adresleri asla Bastionhost'ta oturum açamaz; diğer tüm adresler yalnızca belirtilen zaman aralıklarında oturum açabilir.
Bir kullanıcıyı kilitleyin veya kilidini açın
Bir kullanıcının bir süre Bastionhost'a ihtiyacı olmadığında yönetici hesabı manuel olarak kilitleyebilir veya otomatik kilitleme için tetikleyici koşullar ayarlayabilir; kullanıcı geri döndüğünde ise kilidi açabilir.
Bir kullanıcıyı otomatik olarak kilitleyin
Bastionhost, aşağıdaki koşullardan herhangi biri gerçekleştiğinde bir kullanıcıyı otomatik olarak kilitler. Her iki ayarı da System Settings sayfasında yapılandırın.
Hatalı parola denemeleri: Varsayılan olarak Bastionhost, ardışık beş hatalı parola denemesinden sonra bir kullanıcıyı kilitler. Eşiği değiştirmek için Account Lockout Threshold değerini ayarlayın.
-
Etkin olmama durumu: Bir yönetici Inactive User Account özelliğini etkinleştirdikten sonra Bastionhost, etkin olmayan olarak işaretlenen tüm kullanıcıları kilitler.
Daha fazla bilgi için bkz. Kullanıcı yapılandırması.
Bir kullanıcıyı manuel olarak kilitleyin veya kilidini açın
Manuel kilitleme ve kilit açma işlemleri anında etkili olur. Kilitli bir kullanıcı sunucularda oturum açamaz; bu nedenle dikkatli ilerleyin.
Bastionhost konsoluna giriş yapın. Üst gezinme çubuğunda Bastionhost örneğinizin bulunduğu bölgeyi seçin.
Bastionhost örnekleri listesinde hedef örneği bulun ve Manage öğesini tıklayın.
Soldaki gezinme bölmesinde yolunu izleyin.
Kullanıcıları dışa aktarın
Kullanıcı listesini yerel bir CSV dosyasına dışa aktarın.
Bastionhost konsoluna giriş yapın. Üst gezinme çubuğunda Bastionhost örneğinizin bulunduğu bölgeyi seçin.
Bastionhost örnekleri listesinde hedef örneği bulun ve Manage öğesini tıklayın.
Soldaki gezinme bölmesinde yolunu izleyin.
Users sayfasında kullanıcı listesinin sağ üst köşesindeki Export Users öğesini tıklayın.
Bir kullanıcıyı silin
Bir operasyon ve bakım mühendisi artık Bastionhost'a ihtiyaç duymadığında güvenlik risklerini azaltmak için kullanıcıyı silin.
Bastionhost konsoluna giriş yapın. Üst gezinme çubuğunda Bastionhost örneğinizin bulunduğu bölgeyi seçin.
Bastionhost örnekleri listesinde hedef örneği bulun ve Manage öğesini tıklayın.
Soldaki gezinme bölmesinde yolunu izleyin.
Kaynak bir hesabı silmek, karşılık gelen Bastionhost kullanıcısını silmez. Bir RAM kullanıcısını veya bir AD, LDAP ya da IDaaS hesabını sildiğinizde, o hesaptan içe aktarılan Bastionhost kullanıcısı kalır. Kullanıcının Status durumu normal olabilir ve kullanıcının başlattığı operasyon ve bakım oturumları hala geçerli olabilir. Bu nedenle kullanıcı Bastionhost'ta hala oturum açabilir.
Kullanıcıyı tamamen devre dışı bırakmak için Bastionhost konsoluna giriş yapın ve Users sayfasında kullanıcıyı silin. Alternatif olarak, kullanıcının Status durumu Remote Deleted olarak değişene kadar bekleyin ve ardından kullanıcıyı manuel olarak silin.