Bu Kılavuz Hakkında

Bu kılavuz, Keycyte PAM’ın Yönetici Paneli üzerinden nasıl yapılandırılacağını ve işletileceğini açıklar: kullanıcıların bağlandığı sistemlerin eklenmesi, ayrıcalıklı kimlik bilgilerinin saklanması ve otomatik olarak değiştirilmesi, kimin neye erişebileceğinin tanımlanması ve ayrıcalıklı oturumların izlenip denetlenmesi.

Kılavuz Keycyte PAM 3.2 için geçerlidir.

Hedef Kitle

Bu doküman, Keycyte PAM’ı yapılandıran ve işleten sistem yöneticileri ile güvenlik sorumluları için hazırlanmıştır. Keycyte PAM’ın koruduğu sistemleri (Windows, Linux, ağ cihazları ve veritabanları) ve dizin servislerinizi biliyor olmanız beklenir.

Kılavuzun Düzeni

Doküman Kuralları

Arayüz öğeleri, Yönetici Panelinde göründükleri biçimde kalın yazılır. Menü yolu Roller > Sunucu Rolleri biçiminde gösterilir. Alan değerleri, komutlar ve dosya adları kod biçiminde gösterilir.

Başlarken

Yönetici Paneli, Keycyte PAM’i yapılandırdığınız web konsoludur. Kullanıcılar sistemlere ayrı bir web konsolundan, İstemci Panelinden bağlanır; Yönetici Paneli yalnızca yöneticiler içindir.

Bu bölüm aşağıdaki konuları içerir:

Yönetici Panelini Kullanma

Keycyte PAM’ı, tarayıcıda açtığınız bir web konsolu olan Yönetici Panelinden yönetirsiniz. Bu konu, panele nasıl giriş yapılacağını ve panelin düzenini açıklar.

Giriş Yapma

Başlamadan önce aşağıdakileri sağlayın:

• Hesabınızın MASTER ya da ADMIN rolü olmalıdır. Ayrıntılar için bkz. Yönetici Türleri.
• Hesabınızın ADMIN rolü varsa, bir MASTER hesabınıza en az bir yetki profili atamış olmalıdır. Herhangi bir modüle erişim veren bir profili olmayan ADMIN hesabı giriş yapabilir, ancak yalnızca Yetkiniz yok iletisini görür.

Yönetici Paneline giriş yapmak için:

1. Tarayıcıda Keycyte PAM adresini açın, örneğin https://pam.example.com. Giriş sayfası açılır.

2. Kullanıcı Adı ve Parola alanlarını doldurun.

   Domain hesabı için kullanıcı adını dizin servisinizin kabul ettiği biçimde girin, örneğin jsmith ya da jsmith@example.com.

3. Giriş sayfasında kullanım koşulları onay kutusu görünüyorsa koşulları okuyun ve onay kutusunu seçin. Onay kutusu, Ayarlar > Genel bölümünde kullanıcı sözleşmesi etkinleştirildiğinde görünür.

4. Giriş Yap düğmesine tıklayın.

5. Keycyte PAM’ın istediği ek adımı tamamlayın:

   Adım	Açıklama
   MFA Kodu	Hesabınız çok faktörlü kimlik doğrulama kullanıyor. Doğrulayıcı uygulamanızdaki kodu ya da size e-posta veya SMS ile gönderilen kodu girin.
   QR kod	Hesabınız için çok faktörlü kimlik doğrulama etkinleştirilmiş, ancak henüz kurulmamış. QR kodu bir doğrulayıcı uygulamayla taratın ya da kodun altında gösterilen gizli anahtarı girin, ardından 6 haneli kodu MFA Kodu alanına girin.
   Yeni Parola, Parola Tekrar	Parolanızı değiştirmeniz gerekiyor. Yeni parola en az 8 karakter uzunluğunda olmalı ve bir büyük harf, bir küçük harf ve bir rakam içermelidir.
   Uygulama Seçin	Hesabınızın hem bir yönetici rolü hem de USER rolü var. Yönetici Paneli seçeneğine tıklayın.

Yönetici Paneli https://pam.example.com/admin/ adresinde açılır ve Sistem Monitör sayfasını ya da yetkilerinizin izin verdiği ilk sayfayı gösterir.

Microsoft Entra ID ile giriş yapılandırılmışsa, giriş sayfasında Microsoft ile Giriş düğmesi de görünür. Ayrıntılar için bkz. Kimlik Doğrulama Ayarları.

Oturumu kapatmak için üst çubuğun sağ ucundaki oturum kapatma simgesine tıklayın. Oturumu kapattığınızda oturumunuz yalnızca tarayıcıda değil, sunucuda da sonlandırılır.

Yönetici Panelinin Düzeni

Yönetici Paneli aşağıdaki alanlardan oluşur:

Kenar çubuğu menüsü aşağıdaki öğeleri içerir:

Ortak Tablo İşlemleri

Nesneleri listeleyen sayfaların çoğu aynı şekilde çalışır:

• Araç çubuğundaki Ara kutusu, siz yazdıkça yüklenmiş satırları filtreler.
• Gelişmiş Filtre (filtre simgesi), alan düzeyinde filtreler içeren bir iletişim kutusu açar. Filtreleri Temizle (üstü çizili filtre simgesi) bu filtreleri kaldırır.
• Excel’e Aktar (Excel simgesi), geçerli arama ve filtreyle eşleşen satırları indirir.
• Bir sütuna göre sıralamak için sütun başlığına tıklayın.
• Seçili satırlara ait toplu işlemleri, örneğin Seçilenleri Sil işlemini göstermek için satırların başındaki onay kutularını seçin.

Komut Paleti

Komut paleti, bir sayfanın adının bir bölümünü yazarak o sayfaya geçmenizi sağlar.

Komut paletinden bir sayfa açmak için:

1. Ctrl+K tuşlarına (macOS’te ⌘K) basın ya da üst çubuktaki Sayfa, ayar veya rapor ara… kutusuna tıklayın.
2. Sayfa adının ya da grubun bir veya birkaç kelimesini yazın, örneğin oturum geçmişi.
3. Ok tuşlarıyla bir sonuç seçip Enter tuşuna basın ya da sonuca tıklayın.

Paleti bir sayfa açmadan kapatmak için Esc tuşuna basın.

Palet yalnızca yetkilerinizin izin verdiği sayfaları sunar. Menünün ana sayfalarını ve şu ayar sayfalarını listeler: Genel, Bağlantı, Web TLS Sertifikası, Doğrulama, Yetki Profilleri, Raporlama, Bildirim, Syslog Ayarları ve Lisans. Diğer ayar sayfalarına Ayarlar menüsünden ulaşılır.

Bildirim Zili

Üst çubuktaki zil, karar bekleyen erişim taleplerini gösterir. Zilin üzerindeki kırmızı rozet, bekleyen talep sayısını gösterir. Liste 60 saniyede bir ve listeyi her açtığınızda yenilenir.

Zil yalnızca Kaynak Kuralları için Düzenle yetkisi olan yöneticilere gösterilir. Sahibi olduğunuz sunuculara ve hesaplara ait talepleri görürsünüz.

Bir erişim talebini zilden onaylamak ya da reddetmek için:

1. Zile tıklayın. Bildirimler paneli açılır ve talepleri Erişim İzin Talepleri başlığı altında listeler.

   Her talepte, talebin bir Sunucu için mi yoksa bir Hesap için mi olduğu, talep eden kullanıcı, talep edilen Başlangıç Tarihi ve Bitiş Tarihi, talep zamanı ve kullanıcının girdiği Sebep gösterilir.

2. Onayla ya da Reddet düğmesine tıklayın.

Ayrıntılar için bkz. Erişim Talepleri.

Renk Teması ve Dil

Koyu ve açık tema arasında geçiş yapmak için üst çubuktaki güneş ya da ay simgesine tıklayın. Tema kullanıcı profilinize kaydedilir ve bir sonraki girişinizde de uygulanır. Yeni hesaplar koyu temayı kullanır.

Arayüz dili (İngilizce ya da Türkçe) da kullanıcı başına kaydedilir. Dili İstemci Paneli ayarlarından değiştirebilirsiniz; bir MASTER, dili Ayarlar > Genel bölümünden de değiştirebilir.

Yönetici Türleri

Keycyte PAM’da iki tür yönetici hesabı vardır: MASTER ve ADMIN. Bir kullanıcı hesabı, MASTER ya da ADMIN rolüne sahip olduğunda yönetici hesabı olur. Roller Kullanıcılar sayfasında atanır; ayrıntılar için bkz. Kullanıcı Türleri ve Rolleri.

MASTER ve ADMIN

Bir hesabın hem bir yönetici rolü hem de USER rolü varsa, kullanıcı giriş yaptıktan sonra Yönetici Paneli ile İstemci Paneli arasında seçim yapar.

Yalnızca MASTER’a Açık Alanlar

Aşağıdaki alanlar yalnızca MASTER hesaplarına açıktır. Yetki profilleri bu alanlara erişim veremez.

• Keşif
• Erişim Kontrol > Komut Filtreleri
• Yetki Profilleri, Geri Dönüşüm Kutusu, Etiketler ve Lisans dahil olmak üzere Ayarlar altındaki her şey

Yetki Profilleri

Yetki profili, adlandırılmış bir yetki kümesidir. Bir profil, Yönetici Panelinin her modülü için dört işaret tutar: Görüntüle, Ekle, Düzenle ve Sil. MASTER hesapları hiçbir zaman profillerle kısıtlanmaz.

Her ADMIN hesabının en az bir yetki profili olmalıdır. Bir ADMIN’in birden fazla profili olduğunda yetkiler birleştirilir: profillerden herhangi biri bir işleme izin veriyorsa o işleme izin verilir.

Bir modülün Ekle, Düzenle ya da Sil yetkisi, o modülün Görüntüle yetkisini de kapsar.

Aşağıdaki modüller için yetki verilebilir. Yalnızca görüntüleme olarak işaretlenen modüllerde yalnızca Görüntüle işareti bulunur.

Ayarlar sayfasının kendisi için bkz. Yetki Profilleri.

Keycyte PAM, her modülde her yetkiyi veren Full Admin adlı bir sistem profili oluşturur. Bu profil, profiller ilk kez kullanıma sunulduğunda mevcut ADMIN hesaplarına atanır. Sistem profilleri düzenlenemez ve silinemez.

Yetki Profili Oluşturma

Bir yetki profili oluşturmak için:

1. Ayarlar > Yetki Profilleri öğesini seçin.

2. Ekle düğmesine tıklayın.

3. Bir Ad ve isteğe bağlı olarak bir Açıklama girin.

4. Modül matrisinde yetkileri ayarlayın. Her modül için her işlemin onay kutusunu seçin ya da temizleyin. Hazır ayar düğmelerini de kullanabilirsiniz:

   Düğme	Sonuç
   Salt okunur	Her modülde yalnızca Görüntüle yetkisi verir.
   Tam erişim	Her modülde kullanılabilen tüm işlemleri verir.
   Temizle	Tüm yetkileri kaldırır.

5. Kaydet düğmesine tıklayın.

Profil listede görünür. Modüller sütunu, her işlemi kaç modülün verdiğini özetler; Atanmış Kullanıcılar ise profile sahip kullanıcı sayısını gösterir.

Profili bir ADMIN hesabına atamak için kullanıcıyı Kullanıcılar sayfasında açın ve Yetki Profilleri alanında profili seçin. Ayrıntılar için bkz. Kullanıcı Ekleme.

Yetki Profilini Silme

Kullanıcılara atanmış bir profil silinemez. Önce profili bu kullanıcılardan kaldırın, ardından Ayarlar > Yetki Profilleri sayfasında silin.

Sistem Monitör

Sistem Monitör, giriş yaptıktan sonra açılan ilk sayfadır. Yönettiğiniz nesnelere, güncel oturum aktivitesine ve saklanan parolaların sağlığına genel bir bakış sunar.

Sayfayı açmak için menüde Sistem Monitör öğesine tıklayın. Bir ADMIN için Sistem Monitör üzerinde Görüntüle yetkisi gerekir. ADMIN için sayılar, grafikler ve oturum listeleri yalnızca ADMIN’in sahibi olduğu nesneleri kapsar; Aktif Kullanıcılar, Kaynaklar ve Sistem Bilgisi filtrelenmez.

Sistem Monitör Bileşenleri

Sunucular

Sunucu, kullanıcıların Keycyte PAM üzerinden bağlandığı bir sistemi temsil eden kayıttır: bir Windows ya da Linux ana bilgisayarı, bir ağ cihazı, yayımlanmış bir uygulama, bir web uygulaması, bir veritabanı ya da bir Kubernetes pod’u. Her sunucunun tek bir bağlantı protokolü vardır.

Bir sunucunun tek başına tanımlı olması kimsenin bağlanmasına izin vermez. Bir kullanıcının bağlanabilmesi için şunlar gerekir:

1. Sunucuyu içeren ve kullanıcıyı yetkilendiren bir sunucu rolü. Bkz. Sunucu Rolleri.
2. Sunucuya bağlı bir parola kasası hesabı ve bu hesabı içeren, kullanıcıyı yetkilendiren bir parola rolü. Bkz. Hesap Ekleme ve Parola Rolleri.

Sunucu listesini açmak için menüde Sunucular öğesini seçin. Bir ADMIN yalnızca sahibi olduğu sunucuları görür.

Bu bölüm aşağıdaki konuları içerir:

Sunucu Ekleme

Kullanıcıların Keycyte PAM üzerinden erişmesi gereken her sistem için bir sunucu ekleyin. Keşif şablonlarıyla toplu olarak da sunucu oluşturabilirsiniz; bkz. Keşif.

Başlamadan önce:

• Sunucular için Ekle yetkisine sahip olmanız gerekir (MASTER’da varsayılan olarak bulunur).
• 3rd Parti ve WEBAPP sunucuları için bir MASTER’ın önce Ayarlar > Bağlantı bölümünde ara sunucuyu ve uygulama ya da web uygulaması script’ini tanımlaması gerekir. Bu alanların listeleri yalnızca MASTER kullanıcılar için doldurulur.
• Sunucuyu oluştururken rollere atamak istiyorsanız önce sunucu rollerini oluşturun. Sunucuyu rollere daha sonra da ekleyebilirsiniz.

Bir sunucu eklemek için:

1. Menüde Sunucular öğesini seçin.

2. Araç çubuğunda Ekle düğmesine tıklayın. Sunucu Detayı paneli açılır.

3. Protokol alanında bağlantı protokolünü seçin. Port, protokolün varsayılan portuna ayarlanır. Protokol listesi için bkz. Bağlantı Protokolleri.

4. Ortak alanları doldurun:

   Alan	Açıklama
   Protokol	Bağlantı protokolü. Varsayılan: RDP.
   Ad	Sunucunun İstemci Panelinde kullanıcılara gösterilen görünen adı. Zorunludur.
   Adres	Hedefin ana bilgisayar adı ya da IP adresi, örneğin 10.0.0.10 ya da srv01.example.com. Zorunludur.
   Port	Hedef servisin TCP portu. Protokole göre doldurulur; servis başka bir portu dinliyorsa değiştirin.
   Yönetici	Keycyte PAM’ın bu sunucudaki hesapları yönetmek için kullandığı ayrıcalıklı bir parola kasası hesabı: yerel Windows hesaplarının parolalarının değiştirilmesi, parola politikasının bağlantı öncesinde ve sonrasında çalışan işlemleri ve Detaylar görünümü. Boş bırakırsanız Keycyte PAM, uygun olduğu durumlarda yapılandırılmış bir LDAP dizininin servis hesabını kullanır.
   Etiketler	Gruplama ve filtreleme için açıklayıcı etiketler. Etiketler erişim yetkisi vermez.
   Roller	Sunucunun eklendiği sunucu rolleri.
   Açıklama	Serbest metin not.
   Pano	Kopyalanan metindeki satır sonlarının nasıl dönüştürüleceği: preserve (değişiklik yok), unix ya da windows.
   Süre (min)	Bir oturumun dakika cinsinden azami süresi, 0 ile 1440 arasında. Süre dolduğunda oturum kapatılır. 0 sınır olmadığı anlamına gelir. Bir rol zamanlaması oturumu daha erken sonlandırabilir.
   Komut	Oturum başladığında çalıştırılacak komut. SSH ve KUBERNETES sunucularında kullanılır. SSH için komuttaki <USERNAME> ve <PASSWORD>, kullanılan hesabın kimlik bilgileriyle değiştirilir.
   TACACS+ Paylaşılan Sır	Sunucuyu Keycyte TACACS+ sunucusu için bir TACACS+ cihazı olarak kaydeder. Sır kaydedildikten sonra bir daha gösterilmez; düzenleme sırasında mevcut sırrı korumak için alanı boş bırakın.

5. Seçilen protokolün eklediği alanları doldurun. Ayrıntılar için bkz. Bağlantı Ayarları.

6. Kaydet düğmesine tıklayın.

Sunucu listede görünür. ADMIN iseniz ve sahip seçmediyseniz, sunucunun sahibi olarak siz kaydedilirsiniz.

Sonraki Adımlar

• Parola kasası hesaplarını sunucuya bağlayın. Bkz. Hesap Ekleme.
• Bir sunucu rolünün sunucuyu içerdiğinden ve sunucuya ihtiyaç duyan kullanıcıları yetkilendirdiğinden emin olun. Bkz. Sunucu Rolleri.

Bağlantı Protokolleri

Her sunucunun tam olarak bir bağlantı protokolü vardır. Protokol; Keycyte PAM’ın hedefe nasıl bağlanacağını, varsayılan olarak hangi portun kullanılacağını ve sunucunun hangi ek ayarlara sahip olacağını belirler.

RDP

Bir Windows ana bilgisayarına Remote Desktop Protocol üzerinden bağlanır. Windows ya da Windows Domain türündeki parola kasası hesaplarını kullanın. Domain hesabında, hesabın domain’i hedefe gönderilir.

En fazla bağlantı seçeneği RDP sunucularındadır: güvenlik modu, klavye düzeni, renk derinliği ve görüntü özellikleri. Sunucu listesindeki Detaylar düğmesi, bir RDP sunucusunun yerel kullanıcılarını ve Windows servislerini gösterir.

SSH

Bir ana bilgisayara SSH üzerinden bağlanır ve bir terminal açar. Linux hesaplarını kullanın. Bir hesap, parolayla ya da özel anahtar ve passphrase ile kimlik doğrulayabilir. Bir Linux hesabı, oturum açtıktan sonra otomatik olarak bir root hesabına geçebilir (Su/Sudo); ayrıntılar için bkz. Hesap Ekleme.

Komut, etkileşimli bir kabuk yerine verilen komutu çalıştırır.

VNC

Bir VNC sunucusuna bağlanır ve masaüstünü gösterir. Seçilen hesabın parolası VNC parolası olarak kullanılır. Protokole özgü tek seçenek İmleç’tir.

Telnet

Bir Telnet terminali açar. Telnet’te standart bir oturum açma alışverişi bulunmadığından, Keycyte PAM oturum açma istemlerini düzenli ifadelerle algılar: Kullanıcı Adı Düzeni ve Parola Düzeni alanlarını hedefin istemleriyle eşleşen kalıplara ayarlayın; istemler göründüğünde Keycyte PAM hesabın kullanıcı adını ve parolasını yazar.

RemoteApp (APP)

Bir Windows ana bilgisayarına RDP üzerinden bağlanır ve masaüstünün tamamı yerine yayımlanmış tek bir uygulamayı gösterir. Uygulama Adı alanını ana bilgisayarda yayımlanmış RemoteApp program adına ayarlayın; Çalışma Dizini ve Uygulama Argümanları alanlarını da ayarlayabilirsiniz. RDP görüntü seçenekleri burada da geçerlidir. Sunucu listesindeki Detaylar düğmesi RemoteApp sunucularında da kullanılabilir.

Web Uygulaması (WEBAPP)

Bir web uygulamasını ara sunucuda çalışan bir tarayıcıda açar ve oturum açma formunu hesabın kimlik bilgileriyle doldurur.

Bir WEBAPP sunucusu için şunlar gerekir:

• Ara Sunucu: tarayıcıyı çalıştıran ana bilgisayar. Windows ara sunucusuna RDP üzerinden bağlanılır ve tarayıcı RemoteApp olarak başlatılır; Linux ara sunucusuna VNC üzerinden bağlanılır.
• Script: oturum açma işlemini yürüten web uygulaması script’i.
• Kullanıcı Id ve Parola Id: oturum açma formundaki kullanıcı adı ve parola alanlarının tanımlayıcıları.

Ara sunucular ve web uygulaması script’leri bir MASTER tarafından Ayarlar > Bağlantı bölümünde tanımlanır. Bkz. Bağlantı Ayarlarını Yapılandırma.

Üçüncü Taraf Uygulama (3rd)

Bir ara sunucuda, RDP RemoteApp üzerinden bir masaüstü uygulaması başlatır; örneğin bir veritabanı konsolu ya da bir üretici yönetim aracı. Ara Sunucu ve 3rd Parti uygulamasını seçin. Her ikisi de bir MASTER tarafından Ayarlar > Bağlantı bölümünde tanımlanır.

Bir sunucuda kayıtlı uygulama artık mevcut değilse sunucu bağlanamaz ve düzenleme panelinde bir uyarı gösterilir; uygulamayı yeniden seçin.

MySQL, MSSQL ve PostgreSQL

Seçilen hesabın kimlik bilgileriyle ve Veritabanı alanındaki veritabanıyla, veritabanının komut satırı istemcisini çalıştıran bir terminal oturumu açar:

Eşleşen türdeki parola kasası hesaplarını kullanın (MySQL, MSSQL ya da PostgreSQL).

Kubernetes

Kubernetes API üzerinden bir Kubernetes pod’unun container’ında terminal açar. Namespace, Pod ve pod’da birden fazla container varsa Container alanlarını ayarlayın. Komut, container içinde çalıştırılacak komutu belirler.

API sunucusu TLS kullanıyorsa Use SSL seçeneğini seçin ve Client Certificate, Client Key ile CA Certificate değerlerini PEM biçiminde yapıştırın. Ignore Certificate, API sunucusu sertifikasının doğrulanmasını atlar.

Bağlantı Ayarları

Sunucu Detayı paneli, seçilen Protokol’e bağlı olarak ek alanlar gösterir. Bu konu söz konusu alanları listeler. Tüm protokollerde bulunan alanlar için bkz. Sunucu Ekleme.

Aşağıdaki tablo, hangi alan gruplarının hangi protokolde göründüğünü gösterir:

RDP Seçenekleri

Aşağıdaki onay kutuları RDP, APP ve 3rd sunucularında özellikleri etkinleştirir. Varsayılan olarak hiçbiri seçili değildir.

RemoteApp (APP) Seçenekleri

APP sunucuları Klavye, Ekran Boyutlandırma ve RDP onay kutusu alanlarını ve aşağıdaki alanları kullanır:

Üçüncü Taraf Uygulama (3rd) Seçenekleri

3rd sunucuları Klavye, Ekran Boyutlandırma ve RDP onay kutusu alanlarını ve aşağıdaki alanları kullanır:

Web Uygulaması (WEBAPP) Seçenekleri

VNC Seçenekleri

Telnet Seçenekleri

Veritabanı Seçenekleri

Kubernetes Seçenekleri

Kubernetes sunucularında Komut, container içinde çalıştırılacak komutu belirler.

Sunucuları Yönetme

Sunucular sayfası, yönetebileceğiniz sunucuları listeler. MASTER tüm sunucuları görür; ADMIN yalnızca sahibi olduğu sunucuları görür.

Sunucu Listesi

Sunucuyu Düzenleme

Bir sunucuyu düzenlemek için:

1. Sunucu listesinde, sunucunun satırındaki Düzenle (kalem simgesi) düğmesine tıklayın.
2. Sunucu Detayı panelindeki alanları değiştirin. Alanlar için bkz. Sunucu Ekleme ve Bağlantı Ayarları.
3. Kaydet düğmesine tıklayın.

Sunucular için Düzenle yetkisine sahip olmanız gerekir.

Sunucuyu Klonlama

Klonlama, mevcut bir sunucuyla aynı ayarlara, rollere ve bağlantı seçeneklerine sahip yeni bir sunucu oluşturur. Birbirine benzeyen çok sayıda sunucu eklemek için kullanın.

Bir sunucuyu klonlamak için:

1. Sunucunun satırındaki Klonla düğmesine tıklayın. Sunucu Detayı paneli, ayarların bir kopyasıyla açılır. Ada (Copy) soneki eklenir.
2. En azından Ad ve Adres alanlarını değiştirin.
3. Kaydet düğmesine tıklayın.

Sunucular için Ekle yetkisine sahip olmanız gerekir. Etiketler kopyalanmaz.

Sunucu Detaylarını Görüntüleme

RDP ve APP sunucularında Detaylar (monitör simgesi), ana bilgisayarın Yerel Kullanıcılar ve Servis Kullanıcıları (Windows servisleri) listesini gösteren bir sayfa açar. Bir servisin oturum açma hesabını görebilir, servisi başlatabilir ya da durdurabilirsiniz; başlatma ve durdurma için Sunucular üzerinde Düzenle yetkisi gerekir.

Keycyte PAM bu bilgileri, sunucunun Yönetici alanındaki hesapla parola yöneticisi servisi üzerinden okur. Servise ulaşılamıyorsa sayfada Parola yönetim servisi çalışmıyor iletisi gösterilir. Diğer protokollerde Detaylar, Bu protokol için detay görünümü desteklenmiyor iletisini gösterir.

Sunucu Sahiplerini Değiştirme

Sahipler, bir sunucuyu yöneten ADMIN ve MASTER hesaplarıdır. ADMIN yalnızca sahibi olduğu sunucuları görür ve yönetir. Bir sunucunun sahipleri, o sunucuya ait erişim taleplerini ve bağlantı bildirimlerini de alır.

Tek bir sunucunun sahiplerini değiştirmek için:

1. Sunucunun satırındaki Sunucu Yöneticileri (kullanıcılar simgesi) düğmesine tıklayın. Yönetici Değiştir iletişim kutusu yönetici hesaplarını listeler.
2. Sunucunun sahibi olması gereken hesapların onay kutularını seçin, diğerlerini temizleyin.
3. Kaydet düğmesine tıklayın.

Birden fazla sunucuya aynı sahipleri atamak için listede sunucuları seçin, araç çubuğunda Sunucu Yöneticileri düğmesine tıklayın, sahipleri seçin ve Kaydet düğmesine tıklayın.

ADMIN bu iletişim kutusunda yalnızca kendi yönettiği yönetici hesaplarını görür.

Birden Fazla Sunucunun Portunu Değiştirme

Birden fazla sunucuya aynı portu atamak için:

1. Listede sunucuları seçin.
2. Araç çubuğunda Seçili sunucuların portunu değiştir (kalem simgesi) düğmesine tıklayın.
3. 1 ile 65535 arasında bir sayı olarak yeni Port değerini girin.
4. Uygula düğmesine tıklayın.

Bir ileti, kaç sunucunun güncellendiğini gösterir. Değiştirme izniniz olmayan sunucular forbidden olarak sayılır ve değiştirilmez.

Sunucuları Etiketleme

Etiketler, sunucuları gruplamanıza ve filtrelemenize yardımcı olan açıklayıcı etiketlerdir. Hiçbir şeye erişim yetkisi vermezler; erişim rollerle yönetilir.

Bir sunucuyu etiketlemek için sunucuyu Düzenle ile açın, Etiketler alanında bir veya daha fazla etiket seçin ve Kaydet düğmesine tıklayın. Etiketler bir MASTER tarafından Ayarlar > Etiketler bölümünde oluşturulur ve birleştirilir.

Sunucuları Silme

Bir sunucuyu silmek için satırındaki Sil (çöp kutusu simgesi) düğmesine tıklayın ve onaylayın. Birden fazla sunucuyu silmek için sunucuları seçin ve araç çubuğunda Seçilenleri Sil düğmesine tıklayın.

Sunucular için Sil yetkisine sahip olmanız gerekir.

Sunucuları Arama ve Filtreleme

Araç çubuğundaki Ara kutusu, siz yazdıkça listeyi ada, adrese, protokole ve açıklamaya göre filtreler.

Daha fazla alana göre filtrelemek için:

1. Araç çubuğunda Gelişmiş Filtre (filtre simgesi) düğmesine tıklayın.

2. Bir veya daha fazla alanı doldurun:

   Alan	Açıklama
   Protokol	Bir veya daha fazla protokol.
   Takma Ad	Sunucu adının bir bölümü.
   Adres	Adresin bir bölümü.
   Port	Port numarası.
   Açıklama	Açıklamanın bir bölümü.
   Yönetici	Seçilen yönetici kullanıcılardan birini kullanan sunucular.
   Roller	Seçilen sunucu rollerinden birine ait sunucular.
   Etiketler	Seçilen etiketlere sahip sunucular. Seçilen etiketlerden herhangi biri yerine tümünü şart koşmak için Seçili etiketlerin hepsini taşısın seçeneğini seçin.
   Hiçbir Role Atanmamış	Hiçbir sunucu rolünde bulunmayan sunucular.
   Parola Kasası Yok	Hiçbir parola kasası hesabının bağlı olmadığı sunucular.

3. Filtrele düğmesine tıklayın.

Filtreyi kaldırmak için Filtreleri Temizle düğmesine tıklayın.

Sunucu Listesini Dışa Aktarma

Araç çubuğunda Excel’e Aktar (Excel simgesi) düğmesine tıklayın. Dosya, geçerli arama ve filtreyle eşleşen her sunucunun ID, Takma Ad, Adres, Port, Protokol ve Açıklama bilgilerini içerir.

Parola Kasası

Parola kasası, Keycyte PAM’ın kullanıcıları sunuculara oturum açtırmak için kullandığı ayrıcalıklı hesapları ve sertifika, API anahtarı ve güvenli not gibi diğer gizli bilgileri saklar. Her kayıt şifreli olarak saklanır. İstemci Paneli kullanıcıları kasa hesaplarıyla parolalarını görmeden bağlantı kurar; bir parola rolü parolayı kopyalamaya izin veriyorsa bu durum değişir.

Kasayı açmak için menüden Parola Kasası öğesini seçin. MASTER tüm kayıtları görür; ADMIN ise yalnızca sahibi olduğu kayıtları, her kayıt üzerinde kendisi için tanımlanmış yetki seviyesiyle görür.

Bu bölüm aşağıdaki konuları içerir:

Hesap Türleri

Parola kasasındaki her kaydın bir türü vardır. Tür, kaydın hangi alanlara sahip olduğunu ve Keycyte PAM’ın parolasını hedef sistemde değiştirip değiştiremeyeceğini belirler.

Türler iki gruba ayrılır:

• Hesap türleri bir hedef sistemdeki oturum açma hesabını tanımlar. Bu türlerin çoğu sunuculara bağlanabilir, bunlara parola politikası atanabilir ve parolaları otomatik olarak değiştirilebilir.
• Gizli bilgi türleri yalnızca saklama amaçlıdır. Yeni bir değerin gönderilebileceği bir hedef sistemleri olmadığından sunuculara bağlanamaz, parola politikası alamaz ve otomatik parola değişimine tabi tutulmaz.

Hesap Türleri

Hedef sistemlerdeki parola değişiklikleri Keycyte PAM parola yönetim servisi (keycyte-password-manager) tarafından gerçekleştirilir. Bir parola politikasının otomatik parola değişimi yalnızca Windows Domain, Windows, Linux, MySQL ve PostgreSQL türlerine uygulanır. Ayrıntılar için bkz. Parola Politikalarını Yapılandırma.

Gizli Bilgi Türleri

Yüklenen dosyalar en fazla 8 MB olabilir.

Hesap Ekleme

Kullanıcıların bağlantı kurarken kullandığı her ayrıcalıklı hesap ve Keycyte PAM’da saklamak istediğiniz her gizli bilgi için parola kasasına bir kayıt ekleyin.

Başlamadan önce:

• Parola Kasası için Ekle yetkisine sahip olmanız gerekir.
• Hesabın kullanıldığı sunucuları ekleyin. Bkz. Sunucu Ekleme.
• Hesabın parolası otomatik olarak değiştirilecekse bir parola politikası oluşturun. Bkz. Parola Politikalarını Yapılandırma.

Hesap Ekleme

Bir hesap eklemek için:

1. Menüden Parola Kasası öğesini seçin.

2. Araç çubuğunda Ekle düğmesine tıklayın. Hesap paneli açılır.

3. Tip alanında hesap veya gizli bilgi türünü seçin. Panel, seçilen türün alanlarını gösterir. Türler için bkz. Hesap Türleri.

4. Alanları doldurun:

   Alan	Gösterildiği türler	Açıklama
   Tip	Tümü	Kaydın türü. Varsayılan: Diğer.
   Ad	Tümü	Kaydın görünen adı. Zorunludur.
   Ana Hesap	Windows Servis	Parolası servis tarafından kullanılan hesap. Bkz. Windows Servis Hesapları.
   Servis Adı	Windows Servis	Windows servisinin adı.
   Politika	Windows Servis dışındaki hesap türleri	Hesabın parola politikası. Politika, üretilen parolaların karmaşıklığını ve parolanın otomatik olarak değiştirilip değiştirilmeyeceğini belirler.
   Domain	Windows Domain	Hesabın domain’i, örneğin example.com.
   Kullanıcı Adı	Tümü	Hesabın kullanıcı adı.
   Parola	Sertifika ve PFX Paketi dışındaki tüm türler	Hesabın geçerli parolası. Güvenli Not için bu alanın adı Not İçeriği’dir. Yalnızca kayıt oluşturulurken gösterilir; sonrasında parola, parola değiştirme işlemleriyle değiştirilir.
   Özel Anahtar	Linux, SSH Anahtarı (Bağımsız)	Anahtar tabanlı SSH oturumu için özel anahtar. Yalnızca kayıt oluşturulurken gösterilir.
   Passphrase	Linux, Sertifika, SSH Anahtarı (Bağımsız), PFX Paketi	Özel anahtarın veya paketin passphrase değeri. Yalnızca kayıt oluşturulurken gösterilir.
   Etiketler	Tümü	Gruplama ve filtreleme için tanımlayıcı etiketler.
   Roller	Windows Servis dışındaki tüm türler	Kaydın eklendiği parola rolleri.
   Sunucular	Windows Servis dışındaki hesap türleri	Hesabın kullanılabileceği sunucular. Bkz. Hesabı Sunuculara Bağlama.
   Sunucu	Windows Servis	Servisin çalıştığı Windows sunucusu.
   Açıklama	Tümü	Serbest metin not.

   Gizli bilgi türlerinin, örneğin sertifika için Geçerlilik Bitişi gibi ek alanları vardır. Bkz. Hesap Türleri.

5. Linux hesabı için isteğe bağlı olarak Su/Sudo ile yetki yükseltmeyi yapılandırın. Bkz. Su/Sudo ile Yetki Yükseltme.

6. Kaydet düğmesine tıklayın.

Kayıt listede görünür. Parolası maskelenmiş olarak gösterilir; listeden kimse parolayı okuyamaz.

Hesabı Sunuculara Bağlama

Bir hesap yalnızca bağlı olduğu sunucularda bağlantı için kullanılabilir. Sunucuları Sunucular alanında seçin. Liste ayrıca kısayollar da sunar:

• Tüm protokol sunucuları, örneğin Tüm RDP sunucuları, görebildiğiniz o protokole ait tüm sunucuları ekler.
• Bir sunucu rolü (Rol olarak işaretlenir), görebildiğiniz o role ait tüm sunucuları ekler.

Kısayollar sunucuları o anki halleriyle ekler. Protokole veya role sonradan eklenen sunucular otomatik olarak bağlanmaz. Tümünü Seç geçerli arama metniyle eşleşen tüm sunucuları ekler; Temizle bunları kaldırır.

Bir kullanıcının hesapla bağlantı kurabilmesi için ayrıca hesabı içeren bir parola rolüne ve sunucuyu içeren bir sunucu rolüne ihtiyacı vardır. Bkz. Parola Rolleri ve Sunucu Rolleri.

Windows Servis Hesapları

Windows Servis kaydı, tek bir sunucudaki tek bir Windows servisinin oturum açma hesabını temsil eder. Bağlantılarda kullanılmaz; parola değiştiğinde servisin çalışmaya devam etmesini sağlar.

Bir Windows servis hesabı eklemek için:

1. Servisin çalıştığı hesabı (ana hesap) Windows, Windows Domain veya Linux kaydı olarak ekleyin.
2. Tip alanı Windows Servis olarak ayarlanmış yeni bir kayıt ekleyin.
3. Ana Hesap alanında ana hesabı seçin.
4. Servis Adı alanına Windows servisinin adını girin.
5. Sunucu alanında servisin çalıştığı Windows sunucusunu seçin.
6. Kaydet düğmesine tıklayın.

Ana hesabın parolası hedef sistemde değiştirildiğinde Keycyte PAM, seçilen sunucudaki servisin oturum açma parolasını da değiştirir ve sonucu servis kaydına işler. Bu güncelleme başarısız olursa servis kaydı önceki parolasını korur ve durum bilgisinde hata gösterilir.

Su/Sudo ile Yetki Yükseltme

Bir Linux hesabı, oturum açtıktan sonra otomatik olarak bir root hesabına geçebilir. Kullanıcıların kişisel veya ayrıcalıksız bir hesapla oturum açması gerektiği ancak hedef sistemde root yetkilerine ihtiyaç duyduğu durumlarda bu özelliği kullanın.

Yetki yükseltmeyi yapılandırmak için bir Linux kaydının Su/Sudo bölümünde:

1. Su/Sudo anahtarını açın.

2. Yetki Yükseltme Yöntemi alanında geçiş yöntemini seçin: sudo su -, su -, sudo su, su, enable (Cisco), super (Huawei) veya super level-15 (H3C). Yöntem seçilmezse sudo su - kullanılır.

3. Root Hesap alanında root hesabının kasa kaydını seçin. Yalnızca diğer Linux kayıtları listelenir.

4. Kaydet düğmesine tıklayın.

SSH proxy, oturum açıldıktan sonra root hesabının parolasını kullanarak seçilen yöntemle root hesabına geçer.

Hesap Sahipleri ve Yetki Seviyeleri

Sahipler, bir kaydı yöneten yönetici hesaplarıdır (arayüzde Yöneticiler). Bir ADMIN yalnızca sahibi olduğu kayıtları görür ve her sahibin kayıt üzerinde bir yetki seviyesi vardır:

MASTER her zaman tam erişime sahiptir. İşlemler ayrıca ilgili yetki profili bayrağını gerektirir; örneğin parola değiştirmek için Parola Kasası üzerinde Düzenle yetkisi gerekir.

Bir kaydın sahiplerini değiştirmek için:

1. Kaydın satırındaki işlem menüsüne (…) tıklayın ve Yöneticiler öğesini seçin.
2. Yönetici Değiştir iletişim kutusunda kaydın sahibi olacak yönetici hesaplarını seçin ve her biri için Yetki seviyesini ayarlayın.
3. Kaydet düğmesine tıklayın.

Birden fazla kayda sahip atamak için kayıtları seçin ve araç çubuğunda Parola Yöneticileri düğmesine (kullanıcılar simgesi) tıklayın.

Parola Değiştirme

Keycyte PAM bir kasa hesabının parolasını hedef sistemde değiştirebilir ya da yalnızca kasada saklanan parolayı güncelleyebilir. Bu işlemleri Parola Kasası sayfasında her satırın sonundaki işlem menüsünden (…) başlatırsınız.

Başlamadan önce aşağıdakileri sağlayın:

• Parola Kasası için Düzenle yetkisine sahip olmalısınız.
• ADMIN iseniz kayıt üzerindeki yetki seviyeniz modify veya full_access olmalıdır. Bkz. Hesap Ekleme.
• Parolayı hedef sistemde değiştirmek için hesap türü bunu desteklemelidir (Windows Domain, Windows, Linux, MySQL veya PostgreSQL) ve gerekli olduğu durumlarda sunucuda çalışan bir yetkili hesap bulunmalıdır. Bkz. Hesap Türleri.

Hesap İşlem Menüsü

Parolayı Hedef Sistemde Değiştirme

Parola Değiştir, hesabın parola politikasına uygun yeni bir parola üretir, parolayı hedef sistemde değiştirir ve kasada saklar.

Hesabın Uzunluk değeri 0’dan büyük olan bir parola politikasına sahip olması gerekir.

Parolayı hedef sistemde değiştirmek için:

1. Parola Kasası sayfasında hesabın satırındaki … simgesine tıklayın ve Parola Değiştir öğesini seçin.
2. Auto change password on target? sorusunu onaylayın.

Keycyte PAM parolayı değiştirir ve parolayı saklamadan önce yeni parolayla hedef sistemde oturum açar. Kasa yalnızca bu denetim başarılı olursa güncellenir. Hesap, Windows servis kayıtlarının ana hesabıysa her servisin oturum açma parolası da güncellenir.

Parolanın nasıl değiştirileceği (hesabın kendisi tarafından mı, yoksa yetkili bir hesapla sıfırlanarak mı) parola politikasındaki Değiştirme Yöntemi ile belirlenir. Ayrıntılar için bkz. Parola Politikalarını Yapılandırma.

Parolayı Elle Belirleme

Yeni parolayı bildiğiniz durumlarda, örneğin parola Keycyte PAM dışında değiştirildikten sonra Manuel Değiştir işlemini kullanın.

Parolayı elle belirlemek için:

1. Hesabın satırındaki … simgesine tıklayın ve Manuel Değiştir öğesini seçin.
2. Parolayı Yeni Parola alanına ve tekrar Parola Tekrar alanına girin.
3. Parolayı hedef sistemde de değiştirmek için Hedef Sistemde Değiştir seçeneğini işaretleyin. Yalnızca kasada saklanan parolayı güncellemek için işareti kaldırın.
4. Değiştir düğmesine tıklayın.

Yeni parola geçerli paroladan farklı olmalı ve hesabın önceki parolalarından biri olmamalıdır. Hedef Sistemde Değiştir seçildiğinde parola ayrıca hesabın parola politikasının gereksinimlerini karşılamalı ve hesap türü parola değişimini desteklemelidir.

Parolayı Doğrulama

Doğrula, saklanan parolayla hedef sistemde oturum açar ve sonucu kaydeder. Parolası Keycyte PAM dışında değiştirilmiş hesapları bulmak için bu işlemi kullanın.

Bir parolayı doğrulamak için hesabın satırındaki … simgesine tıklayın ve Doğrula öğesini seçin. Sonuç bir mesajda gösterilir ve Parola Yöneticisi günlüğüne kaydedilir.

Hesap için bir parola değişikliği sürerken, değişiklik tamamlandıktan sonra doğrulamayı yeniden yapın.

Self Change İşlemini Yeniden Deneme

Varsayılan değiştirme yönteminde hesap önce kendi parolasını değiştirmeyi dener. Bu işlem kalıcı bir nedenle başarısız olursa, örneğin hedef sistem buna izin vermiyorsa, Keycyte PAM sonraki 30 gün boyunca yeniden denemek yerine hesabı yetkili hesapla sıfırlar. Bu hesapların adının yanında Self change atlanıyor etiketi gösterilir; ne zamana kadar ve neden atlandığını görmek için işaretçiyi etiketin üzerine getirin.

Self change işlemini 30 gün dolmadan yeniden denemek için hesabın satırındaki … simgesine tıklayın ve Self change’i tekrar dene öğesini seçin. Bir sonraki otomatik parola değişimi self change işlemini yeniden dener.

Parola Geçmişini Görüntüleme

Her başarılı değişiklik, hesabın parola geçmişine bir sürüm ekler.

Geçmişi görüntülemek için hesabın satırındaki … simgesine tıklayın ve Geçmiş öğesini seçin. İletişim kutusu önceki sürümleri Versiyon, Kullanıcı Adı ve Değiştirme Tarihi bilgileriyle listeler. Önceki bir parolayı kopyalamak için ilgili satırdaki kopyalama düğmesine tıklayın; bu işlem full_access gerektirir.

Birden Fazla Hesaba Aynı Parolayı Atama

Birden fazla hesaba aynı parolayı atamak için:

1. Parola Kasası sayfasında hesapları seçin.
2. Araç çubuğunda Seçili hesapların parolasını değiştir düğmesine (anahtar simgesi) tıklayın.
3. Parolayı Yeni Parola ve Parola Tekrar alanlarına girin.
4. Değiştir düğmesine tıklayın.

Parola yalnızca kasada saklanır; hedef sistemlerde değiştirilmez. Parolayı hedef sistemde değiştirmek için her hesapta Parola Değiştir veya Manuel Değiştir işlemini kullanın. Bir mesaj kaç hesabın güncellendiğini gösterir; değiştirme yetkiniz olmayan hesaplar forbidden olarak sayılır.

Hesapları Duruma Göre Bulma

Hesapları son parola işlemlerinin sonucuna göre listelemek için Gelişmiş Filtre düğmesine tıklayın ve Durum alanında bir veya daha fazla değer seçin: OK, Warning veya Error. Aynı iletişim kutusu Ad, Tip, Sunucular, Roller, Etiketler, Parola Politikası ve Açıklama ölçütleriyle filtreleme yapar; rolü olmayan (Hiçbir Role Atanmamış), sunucusu olmayan (Hiçbir Sunucuya Atanmamış) veya politikası olmayan (Parola Politikası Yok) hesapları bulur. Filtrelemek için Uygula düğmesine tıklayın.

Geri Dönüşüm Kutusu

Bir parola kasası kaydını sildiğinizde Keycyte PAM kaydı hemen silmek yerine geri dönüşüm kutusuna taşır. Kayıt, saklama süresi dolana kadar geri yüklenebilir durumda kalır; süre dolduğunda otomatik olarak silinir.

Geri dönüşüm kutusu yalnızca MASTER kullanıcıları tarafından kullanılabilir.

Geri Dönüşüm Kutusunu Görüntüleme

Geri dönüşüm kutusunu açmak için Ayarlar > Geri Dönüşüm Kutusu öğesini seçin.

Geri dönüşüm kutusunda parola gösterilmez. Silinen bir kaydın parolasına erişmek için kaydı geri yükleyin.

Kaydı Geri Yükleme

Bir kaydı geri yüklemek için:

1. Ayarlar > Geri Dönüşüm Kutusu sayfasında kaydın satırındaki Geri Yükle düğmesine tıklayın.
2. Geri yükleme işlemini onaylayın.

Kayıt; sahipleri, sunucuları, rolleri, etiketleri ve parola geçmişiyle birlikte parola kasasına geri döner. Özgün kimliği (ID) hâlâ boştaysa kayıt bu kimliği geri alır; böylece kayda başvuran erişim kuralları yeniden uygulanır.

Kaydı Kalıcı Olarak Silme

Bir kaydı kalıcı olarak silmek için satırındaki Kalıcı Sil düğmesine tıklayın ve işlemi onaylayın. Bu işlem geri alınamaz.

Saklama Süresini Değiştirme

Saklama süresi Ayarlar > Genel sayfasındaki Geri Dönüşüm Kutusu Saklama Süresi alanında belirlenir; bkz. Genel Ayarlar. Varsayılan değer 30 gündür. Yeni değer, bundan sonra silinen kayıtlara uygulanır; kutuda zaten bulunan kayıtlar özgün sona erme tarihlerini korur.

Parola Politikaları

Parola politikası, Keycyte PAM’ın politikayı kullanan kasa hesaplarının parolalarını nasıl üreteceğini ve değiştireceğini belirler:

• üretilen parolaların karmaşıklığı,
• parolaların otomatik olarak değiştirilip değiştirilmeyeceği ve ne zaman değiştirileceği,
• parolanın nasıl değiştirileceği (hesabın kendisi tarafından veya yetkili bir hesapla),
• Windows ve Active Directory hesaplarında kullanıcı bağlanmadan önce ve oturum sona erdikten sonra çalışan işlemler; örneğin hesabı yalnızca oturum süresince bir gruba eklemek.

Bir kasa hesabı en fazla bir politika kullanır. Politikayı hesap üzerinde atarsınız ya da Parola Politikaları sayfasında hesapları politikaya eklersiniz.

Sayfayı açmak için menüden Parola Politikaları öğesini seçin. Bir ADMIN yalnızca sahibi olduğu politikaları görür.

Bu bölüm aşağıdaki konuyu içerir:

Parola Politikalarını Yapılandırma

Aynı parola kurallarını paylaşması gereken her hesap grubu için bir parola politikası oluşturun ve ardından hesapları bu politikaya atayın.

Başlamadan önce Parola Politikaları için Ekle yetkisine sahip olduğunuzdan emin olun. Hesap atamak için Düzenle yetkisi gerekir.

Parola Politikası Oluşturma

Bir parola politikası oluşturmak için:

1. Menüden Parola Politikaları öğesini seçin.

2. Ekle düğmesine tıklayın. Parola Politikası iletişim kutusu açılır.

3. Genel alanları doldurun:

   Alan	Açıklama
   Ad	Politikanın adı. Zorunludur.
   Yaş	Bir parolanın gün cinsinden en uzun kullanım süresi. Otomatik Değiştir seçiliyse bu süreden eski parolalar otomatik olarak değiştirilir. Hiç değiştirilmemiş bir parolanın değişim zamanı gelmiş kabul edilir. 0 değeri zamanlanmış değişiklikleri kapatır.
   Uzunluk	Üretilen parolaların uzunluğu. Keycyte PAM’ın parola üretebilmesi için 0’dan büyük olmalıdır.
   Hariç Karakter	Üretilen parolalarda bulunmaması gereken karakterler; örneğin kolayca karıştırılan karakterleri önlemek için l1O0 ya da hedef sistemin kabul etmediği karakterler.
   Değiştirme Yöntemi	Parolanın hedef sistemde nasıl değiştirileceği. Bkz. Değiştirme Yöntemleri. Varsayılan: Önce hesabın kendisi, olmazsa yetkili hesap.

4. Parola Karmaşıklığı altında üretilen parolaların karakter sınıflarını seçin: Büyük Harf (A–Z), Küçük Harf (a–z), Rakam (0–9) ve Noktalama. Hiçbirini seçmezseniz harfler ve rakamlar kullanılır.

5. Değiştirme ve İzin altında ihtiyaç duyduğunuz seçenekleri işaretleyin. Bkz. Otomatik Değiştirme ve Bağlantı Operasyonları.

6. Periyod altında isteğe bağlı olarak zamanlanmış değişiklikleri bir zaman aralığıyla sınırlayın. Bkz. Değiştirme Periyodu.

7. Kaydet düğmesine tıklayın.

Politika listede görünür; liste politikanın Yaş, Uzunluk değerlerini ve seçilen karakter sınıflarını gösterir.

Otomatik Değiştirme

Otomatik değişiklikler yalnızca aşağıdaki türlerdeki hesaplara uygulanır:

Diğer türlerdeki hesaplar üretilen parolaların karmaşıklığı için bir politika kullanabilir, ancak parolaları otomatik olarak değiştirilmez. Sertifika ve API anahtarı gibi gizli bilgi türlerine politika atanamaz.

Zamanlanmış değişiklikler şu şekilde çalışır:

• Keycyte PAM hesapları her dakika denetler. Replikasyonlu bir kurulumda parolaları yalnızca ana düğüm değiştirir.
• Etkin bir oturum tarafından kullanılan hesap atlanır ve daha sonra yeniden denetlenir.
• Her değişiklik, kasa güncellenmeden önce yeni parolayla hedef sistemde oturum açılarak doğrulanır.
• Başarısız bir denemeden sonra hesap için bir sonraki deneme 5 dakika bekler; bekleme süresi sonraki her başarısızlıkta iki katına çıkar ve en fazla 6 saate ulaşır.

Sonuçlar Parola Yöneticisi günlüğüne kaydedilir.

Değiştirme Yöntemleri

Hesap kendi parolasını değiştirdiğinde Active Directory veya Windows parola kuralları uygulanır ve yetkili bir kimlik bilgisine gerek kalmaz. Bir hesap kalıcı bir nedenle kendi parolasını değiştiremiyorsa Keycyte PAM sonraki 30 gün boyunca hesabı yetkili hesapla sıfırlar. Bu süreyi Parola Kasası sayfasında hesabın işlem menüsündeki Self change’i tekrar dene ile erken sonlandırabilirsiniz; bkz. Parola Değiştirme.

Bağlantı Operasyonları

Aşağıdaki seçenekler, hesabı Windows sunucularında veya Active Directory’de oturum süresince değiştirir: değişiklik kullanıcı bağlanmadan önce yapılır ve oturum sona erdikten sonra geri alınır. Ayrıcalıklı grup üyeliklerini ve etkin hesapları oturumların dışında en aza indirmek için bu seçenekleri kullanın.

Hedef sunucudaki işlemler sunucunun Yönetici hesabını kullanır. Windows Domain hesaplarında, hesap başka bir oturumda zaten kullanılıyorsa bağlantı öncesindeki domain işlemleri atlanır.

Değiştirme Periyodu

Varsayılan olarak değişim zamanı gelen bir parola bir sonraki denetimde değiştirilir. Zamanlanmış değişiklikleri bir zaman aralığıyla sınırlamak için Periyod seçeneğini işaretleyin ve aşağıdaki alanları ayarlayın:

Doğrula onay kutusu da bu bölümde yer alır.

Hesapları Politikaya Atama

Politikayı hesabın kendisinde (Politika alanı; bkz. Hesap Ekleme) ya da politika listesinden atayabilirsiniz.

Bir politikaya hesap eklemek için:

1. Parola Politikaları sayfasında politikanın satırını genişletin. Hesaplar listesi politikayı kullanan hesapları gösterir.
2. Ekle düğmesine tıklayın.
3. Hesapları seçin. Hesapları bulmak için Ara alanını kullanın.
4. Kaydet düğmesine tıklayın.

Bir hesabı politikadan çıkarmak için Hesaplar listesinde hesabın satırındaki silme simgesine tıklayın ve işlemi onaylayın.

Politika Sahiplerini Değiştirme

Bir ADMIN yalnızca sahibi olduğu politikaları görür. Bir ADMIN politika oluşturduğunda sahip olarak eklenir. Sahipleri değiştirmek için politikanın satırındaki Yöneticiler düğmesine (kullanıcılar simgesi) tıklayın, Yönetici Değiştir iletişim kutusunda yönetici hesaplarını seçin ve Kaydet düğmesine tıklayın.

Politikayı Silme

Bir politikayı silmeden önce hesaplarını başka bir politikaya atayın veya politikadan çıkarın. Bir politikayı silmek için satırındaki Sil düğmesine tıklayın ve işlemi onaylayın. Parola Politikaları için Sil yetkisine sahip olmanız gerekir.

Kullanıcılar

Keycyte PAM’ı kullanan her kişi ya da uygulama için bir kullanıcı hesabı bulunur. Hesabın tipi, kullanıcının nasıl kimlik doğrulayacağını; rolleri ise kullanıcının hangi panele oturum açabileceğini belirler.

Kullanıcı listesini açmak için menüden Kullanıcılar öğesini seçin. MASTER tüm kullanıcıları görür. ADMIN yalnızca sahibi olduğu kullanıcıları görür ve MASTER ya da ADMIN hesaplarını yönetemez.

Bu bölüm aşağıdaki konuları içerir:

Kullanıcı Türleri ve Rolleri

Bir Keycyte PAM kullanıcı hesabının bir tipi ve bir ya da daha fazla rolü vardır.

Kullanıcı Tipleri

Tip, kullanıcının parolasının nerede doğrulanacağını belirler.

Dizin, RADIUS ve Entra ID ayarları için bkz. Kimlik Doğrulama Ayarları.

Kullanıcı Rolleri

Roller, kullanıcının hangi panele oturum açabileceğini belirler. Bir kullanıcının birden fazla rolü olabilir.

MASTER ile ADMIN arasındaki fark için bkz. Yönetici Türleri. SERVICE hesapları için bkz. Servis Kimlikleri.

Bu hesap rolleri, sunuculara ve hesaplara erişim veren Roller menüsündeki sunucu, parola ve kullanıcı rollerinden farklıdır. Bkz. Roller.

Kullanıcı Ekleme

Keycyte PAM’a oturum açması gereken her kişi için bir kullanıcı hesabı ekleyin. Domain ve Entra ID kullanıcıları ilk oturum açılışlarında otomatik olarak da oluşturulabilir; bkz. Domain Kullanıcılarını Senkronize Etme.

Başlamadan önce:

• Kullanıcılar için Ekle yetkisine sahip olmanız gerekir.
• Domain, RADIUS ve Entra ID kullanıcıları için dizin, RADIUS sunucusu veya Entra ID bağlantısı Ayarlar > Doğrulama altında yapılandırılmış olmalıdır. Bkz. Kimlik Doğrulama Ayarları.
• Bir ADMIN hesabı oluşturmak için MASTER olarak oturum açın ve önce yetki profillerini oluşturun. Bkz. Yönetici Türleri.

Kullanıcı Ekleme

Bir kullanıcı eklemek için:

1. Menüden Kullanıcılar öğesini seçin.

2. Araç çubuğunda Ekle düğmesine tıklayın (araç ipucu Yeni Kullanıcı). Portal Kullanıcısı paneli açılır.

3. Alanları doldurun:

   Alan	Açıklama
   Tip	Local, Domain, Radius veya Entra ID. Varsayılan: Local. Bkz. Kullanıcı Türleri ve Rolleri.
   Domain	Domain kullanıcıları için hesabın domain’i, örneğin example.com. Dizin aramasından bir kullanıcı seçtiğinizde otomatik olarak doldurulur.
   Kullanıcı Adı	Kullanıcı adı. Domain ve Entra ID kullanıcılarında dizinde arama yapmak için en az iki karakter yazın ve kullanıcıyı listeden seçin.
   Parola	Local kullanıcılar için ilk parola. Yeni yerel kullanıcılar için zorunludur.
   Email	E-posta adresi. E-posta ile MFA kodları, MFA kurulum e-postaları, parola sıfırlama e-postaları ve bildirimler için kullanılır.
   Telefon	Telefon numarası. SMS ile MFA kodları için kullanılır.
   Etiketler	Gruplama ve filtreleme için tanımlayıcı etiketler.
   Açıklama	Serbest metin not.
   Roller	MASTER, ADMIN, USER ve SERVICE rollerinden bir ya da birkaçı. Bir ADMIN yalnızca USER ve SERVICE rollerini atayabilir. Hiçbir rol seçmezseniz USER atanır.
   Yetki Profilleri	ADMIN seçildiğinde MASTER’a gösterilir. En az bir profil zorunludur. Birden fazla profilin yetkileri birleştirilir.
   Etkin	Hesabı devre dışı bırakmak için işareti kaldırın. Devre dışı bir kullanıcı oturum açamaz. Varsayılan olarak seçilidir.
   MFA	Çok faktörlü kimlik doğrulamayı açar. Bkz. Çok Faktörlü Kimlik Doğrulama.
   Password never expires	Local kullanıcılar için kullanıcıyı parola geçerlilik süresinin dışında tutar. Yalnızca acil durum (break-glass) veya servis hesapları için kullanın.
   MFA Type	MFA seçildiğinde gösterilir: AUTHENTICATOR, EMAIL, SMS veya NONE.
   Oturum Zaman Aşımı (dakika)	Bu kullanıcının oturum açma oturumu süresi, 0 ile 1440 arasında. Genel varsayılanı kullanmak için boş bırakın veya 0 girin.

4. Kaydet düğmesine tıklayın.

Kullanıcı listede görünür. ADMIN iseniz kullanıcının sahibi olarak eklenirsiniz.

Kullanıcı Listesi

ADMIN, MASTER ve ADMIN hesaplarının satırlarını seçemez veya değiştiremez.

Yerel Kullanıcı Parolalarını Sıfırlama

Yerel kullanıcıların parolasını sıfırlamak için:

1. Listeden kullanıcıları seçin.
2. Araç çubuğunda Parolayı Sıfırla (anahtar simgesi) düğmesine tıklayın. Düğme, kullanıcılar seçildiğinde görünür.
3. Yeni parolayı her kullanıcıya e-postayla göndermek için Send new password via email to users seçeneğini işaretleyin; parolaları yalnızca ekranda görmek için işareti kaldırın.
4. Reset düğmesine tıklayın.

Keycyte PAM her yerel kullanıcı için rastgele bir parola üretir. Kullanıcıların bu parolayı bir sonraki oturum açışlarında değiştirmesi gerekir. Reset Password Results iletişim kutusu her yeni parolayı bir kopyalama düğmesiyle birlikte gösterir; parolaları güvenli bir yoldan paylaşın. Domain, RADIUS ve Entra ID kullanıcıları atlanır; bu kullanıcıların parolaları kendi kimlik sağlayıcılarında yönetilir.

Kullanıcı Kilidini Açma

Yerel bir kullanıcı, Ayarlar > Genel altındaki yerel kullanıcı parola politikasına göre çok sayıda başarısız oturum açma denemesinden sonra kilitlenir. Kullanıcı Adı sütunu kilitli kullanıcılar için bir kilit rozeti gösterir.

Kullanıcıların kilidini açmak için:

1. Listeden kullanıcıları seçin. Kilit açma düğmesi, seçim kilitli kullanıcılar içerdiğinde görünür.
2. Unlock n locked user(s) (kilit açma simgesi) düğmesine tıklayın.
3. İşlemi onaylayın.

Kullanıcı Sahiplerini Değiştirme

Sahipler, bir kullanıcıyı yöneten yönetici hesaplarıdır. ADMIN yalnızca sahibi olduğu kullanıcıları görür.

Bir kullanıcının sahiplerini değiştirmek için satırındaki Yönetici Değiştir düğmesine tıklayın, yönetici hesaplarını seçin ve Kaydet düğmesine tıklayın. Birden fazla kullanıcının sahiplerini değiştirmek için kullanıcıları seçin ve araç çubuğunda Seçilenlerin Yöneticisini Değiştir düğmesine tıklayın.

Paylaşılan Kaynakları Görüntüleme

Paylaşılan Kaynaklar, bir kullanıcının nelere erişebildiğini gösterir: kullanıcının rollerinin erişim verdiği sunucular ve parola kasası hesapları ile her birine erişim veren roller. Bir kullanıcının erişimini kontrol etmek için kullanın.

Bir kullanıcının paylaşılan kaynaklarını görüntülemek için kullanıcının satırındaki Paylaşılan Kaynaklar düğmesine tıklayın.

Erişim Matrisini Dışa Aktarma

Tüm kullanıcıların erişimini bir Excel dosyası olarak indirmek için araç çubuğunda Kullanici Matrisini İndir (dışa aktarma simgesi) düğmesine tıklayın. user_access_matrix.xlsx dosyası her kullanıcının nelere erişebildiğini listeler. ADMIN, sahibi olduğu kullanıcıların matrisini alır.

Kullanıcı listesinin kendisini dışa aktarmak için Excel’e Aktar düğmesine tıklayın. Dosya her kullanıcının ID, Kullanıcı Adı, Email, Tip, Domain, Etkin, MFA, Roller ve Açıklama bilgilerini içerir.

Kullanıcı Silme

Bir kullanıcıyı silmek için satırındaki Sil düğmesine tıklayın ve işlemi onaylayın. Kullanıcılar için Sil yetkisine sahip olmanız gerekir.

Çok Faktörlü Kimlik Doğrulama

Çok faktörlü kimlik doğrulama (MFA), kullanıcıdan parolasına ek olarak tek kullanımlık bir kod ister. Keycyte PAM üç MFA tipini destekler:

MFA, kullanıcı Yönetici Paneli’ne veya İstemci Paneli’ne oturum açtığında uygulanır. Sunucu rolleri ve parola rolleri de bağlantıdan önce bir MFA kodu isteyebilir; bkz. Sunucu Rolleri.

Başlamadan önce:

• Kullanıcılar için Düzenle yetkisine sahip olmanız gerekir.
• Email tipi ve doğrulayıcı kurulum e-postalarının gönderilmesi için Ayarlar > Bildirim altında e-posta gönderimini yapılandırın. SMS için aynı yerde bir SMS ağ geçidi yapılandırın. Bkz. Bildirim Ayarları.
• Kullanıcıların kayıtlı bir e-posta adresi veya telefon numarası olduğundan emin olun. Domain kullanıcılarında, kullanıcı üzerinde tanımlı değilse e-posta adresi dizinden okunur.

Kullanıcılar için MFA’yı Etkinleştirme

Bir ya da birden fazla kullanıcı için MFA’yı etkinleştirmek için:

1. Menüden Kullanıcılar öğesini seçin.
2. Aşağıdakilerden birini yapın:
   • Tek bir kullanıcı için kullanıcının satırındaki MFA Kurulumu düğmesine tıklayın.
   • Birden fazla kullanıcı için kullanıcıları seçin ve araç çubuğunda MFA Aktif Et (zarf simgesi) düğmesine tıklayın.
3. MFA Setup iletişim kutusunda MFA type olarak Authenticator, Email veya SMS seçeneğini belirleyin.
4. Authenticator için Send MFA setup email to users seçeneğini işaretleyin veya işareti kaldırın:
   • İşaretli: Her kullanıcı QR kodunu ve gizli anahtarı içeren bir e-posta alır.
   • İşaretsiz: Her kullanıcı QR kodunu bir sonraki başarılı oturum açılışında görür ve kurulumu orada tamamlar.
5. Setup düğmesine tıklayın.

MFA Setup Results iletişim kutusu her kullanıcı için sonucu gösterir. Güvenlik nedeniyle QR kodu ve gizli anahtar yöneticiye hiçbir zaman gösterilmez. Kurulum e-postası gönderilemezse kullanıcı QR kodunu bunun yerine bir sonraki oturum açılışında görür.

Email ve SMS tiplerinde MFA hemen etkin olur; kurulum adımı gerekmez.

MFA’yı bir kullanıcıyı düzenlerken de açıp kapatabilir ve tipini değiştirebilirsiniz: Portal Kullanıcısı panelinde MFA seçeneğini işaretleyin ve MFA Type alanından tipi seçin. MFA kullanmayan kullanıcılar kullanıcı listesinde bir rozetle işaretlenir.

Kullanıcının Gördükleri

Bir sonraki oturum açılışında, parolayı girdikten sonra:

• Authenticator, henüz kurulmamış: Oturum açma sayfası bir QR kodu ve gizli anahtarı gösterir. Kullanıcı kodu bir doğrulayıcı uygulamayla tarar ve 6 haneli kodu MFA Kodu alanına girer.
• Authenticator, kurulmuş: Kullanıcı uygulamadaki güncel kodu MFA Kodu alanına girer.
• Email veya SMS: Keycyte PAM bir kod gönderir ve kullanıcı bu kodu MFA Kodu alanına girer.

Hatalı kodlar başarısız oturum açma denemesi olarak sayılır ve yerel kullanıcı parola politikasına göre hesabı kilitleyebilir.

Domain Kullanıcılarını Senkronize Etme

Domain kullanıcılarının tek tek oluşturulması gerekmez. Keycyte PAM bu kullanıcıları dizinle iki yoldan uyumlu tutar: kullanıcılar ilk oturum açılışlarında otomatik olarak oluşturulur ve Kullanıcıları Senkronize Et işlemi mevcut domain kullanıcılarının saklanan bilgilerini yeniler.

Başlamadan önce her domain için LDAP veya Active Directory bağlantısının Ayarlar > Doğrulama altında yapılandırıldığından emin olun. Bkz. Kimlik Doğrulama Ayarları.

İlk Oturum Açılışta Otomatik Oluşturma

Bir domain kullanıcısı ilk kez oturum açtığında ve henüz bir Keycyte PAM hesabı yoksa Keycyte PAM dizini denetler. Aşağıdaki koşullardan biri sağlanıyorsa hesap USER rolüyle otomatik olarak oluşturulur:

• kullanıcı bir sunucu rolünde veya parola rolünde doğrudan yetkilendirilmişse ya da
• kullanıcının üyesi olduğu bir grup bir sunucu rolünde veya parola rolünde yetkilendirilmişse.

Aksi durumda oturum açma isteği reddedilir. Entra ID kullanıcıları da Entra ID gruplarına göre aynı şekilde oluşturulur.

Bir departmanın tamamının oturum açabilmesi için departmanın dizin grubunu bir rolde yetkilendirin. Bkz. Sunucu Rolleri.

Keycyte PAM bir domain kullanıcısını kullanıcı adı ve domain ile birlikte dizin nesnesinin güvenlik tanımlayıcısıyla (SID) tanır. Bir kullanıcının adı Active Directory’de değiştirilirse yeni bir hesap oluşturulmaz; mevcut Keycyte PAM hesabı bir sonraki oturum açılışında güncellenir.

Domain Kullanıcılarını Senkronize Etme

Bir domain kullanıcısına hangi rollerin uygulanacağını grup üyelikleri belirler. Keycyte PAM her domain kullanıcısının gruplarını saklar ve her oturum açılışında yeniler. Kullanıcıları Senkronize Et, örneğin Active Directory’de grup üyeliklerini değiştirdikten sonra, tüm domain kullanıcıları için bu bilgiyi tek seferde yeniler.

Domain kullanıcılarını senkronize etmek için:

1. Menüden Kullanıcılar öğesini seçin.
2. Araç çubuğunda Kullanıcıları Senkronize Et (yenileme simgesi) düğmesine tıklayın.

Keycyte PAM her domain kullanıcısı için kullanıcının domain’ine ait dizine bağlanır, kullanıcıyı arar ve:

• saklanan grup üyeliklerini kullanıcının güncel gruplarıyla değiştirir,
• kullanıcı adı dizinde değiştirilmişse kullanıcı adını günceller.

Senkronizasyon yeni kullanıcı oluşturmaz ve dizinden kaldırılmış kullanıcıları silmez. Domain’i için dizin yapılandırması bulunmayan veya dizinde bulunamayan kullanıcılar atlanır.

Senkronizasyon için Kullanıcılar üzerinde Ekle yetkisine sahip olmanız gerekir.

Servis Kimlikleri

Servis kimliği, bir kişi yerine bir uygulama için kullanılan kullanıcı hesabıdır. Uygulamalar bu hesapla Secrets API üzerinden Keycyte PAM’dan kimlik bilgisi alır. Servis kimliği SERVICE rolüne sahiptir ve parolayla değil, API anahtarlarıyla kimlik doğrular.

Yalnızca SERVICE rolüne sahip bir hesap her etkileşimli oturum açma yolunda reddedilir: Yönetici Paneli, İstemci Paneli ve SSH veya RDP bağlantıları.

Başlamadan önce Kullanıcılar için Ekle ve Düzenle yetkilerine sahip olduğunuzdan emin olun.

Servis Kimliği Oluşturma

Bir servis kimliği oluşturmak için:

1. Menüden Kullanıcılar öğesini seçin ve Ekle düğmesine tıklayın (araç ipucu Yeni Kullanıcı).
2. Tip alanında Local değerini koruyun.
3. Kullanıcı Adı alanına uygulamayı tanımlayan bir ad girin, örneğin svc-backup.
4. Bir Parola girin. Panel her yeni yerel kullanıcı için parola ister; yalnızca SERVICE rolüne sahip bir hesap bu parolayla oturum açamaz.
5. Roller alanında yalnızca SERVICE rolünü seçin. Panelde Servis hesabı — giriş yapamaz uyarısı görünür.
6. Açıklama ve diğer alanları gerektiği gibi doldurun.
7. Kaydet düğmesine tıklayın.

Hesap, parola rollerinin erişim verdiği kasa hesaplarını alabilir. Hesabı, uygulamanın ihtiyaç duyduğu hesapları içeren bir parola rolünde yetkilendirin. Bkz. Parola Rolleri.

API Anahtarı Üretme

Bir API anahtarı üretmek için:

1. Kullanıcı listesinde servis kimliğinin satırındaki API Anahtarları (anahtar simgesi) düğmesine tıklayın. API Anahtarları iletişim kutusu açılır.
2. Etiket alanına anahtarın nerede kullanıldığını belirten bir ad girin, örneğin blue veya green.
3. Süre alanında anahtarın geçerlilik süresini seçin: 30 gün, 90 gün, 180 gün, 365 gün veya Süresiz. Varsayılan: 90 gün.
4. Süresiz seçeneğini belirlerseniz gerekçeyi Bu anahtar neden süresiz? alanına girin. Gerekçe denetimler için kaydedilir.
5. Anahtar üret düğmesine tıklayın.

Anahtar üretildi kutusu anahtar kimliğini ve gizli değeri gösterir. Gizli değeri Gizli değeri kopyala ile kopyalayın ve uygulamanın yapılandırmasında saklayın.

Bir servis kimliği aynı anda en fazla iki etkin anahtara sahip olabilir. İki anahtar, kesinti olmadan anahtar yenilemenize olanak tanır: yeni anahtarı üretin, uygulamayı güncelleyin, ardından eski anahtarı iptal edin.

Anahtarları İzleme ve İptal Etme

API Anahtarları iletişim kutusu kimliğin anahtarlarını Etiket, Durum, Süre ve Son kullanım bilgileriyle listeler. Uzun süredir kullanılmayan bir anahtar Atıl olarak işaretlenir; bu, süresiz anahtarlar için de geçerlidir.

Bir anahtarı iptal etmek için satırındaki İptal et düğmesine tıklayın ve işlemi onaylayın. Anahtarı kullanmaya devam eden uygulamalar anında çalışmayı durdurur.

İptal edilmiş bir anahtarı listeden kaldırmak için Kalıcı sil düğmesine tıklayın. İptal kaydı sistem günlüğünde kalır.

Anahtarı Kullanma

API Anahtarları iletişim kutusu, Secrets API’nin Entegrasyon belgesi ve OpenAPI dosyası bağlantılarını içerir. Uygulamaların nasıl kimlik doğruladığı ve gizli bilgileri nasıl aldığı için bkz. Secrets API.

Roller

Roller erişim verir. Keycyte PAM’da, her biri Roller menüsü altında kendi sayfasında yönetilen üç tür rol bulunur:

Erişimin Belirlenmesi

Bir kullanıcı, aşağıdaki koşulların tümü sağlandığında bir sunucuya bir hesapla bağlanabilir:

1. Sunucuyu içeren bir sunucu rolü kullanıcıyı doğrudan veya bir grup üzerinden yetkilendirir.
2. Hesabı içeren bir parola rolü kullanıcıyı doğrudan veya bir grup üzerinden yetkilendirir.
3. Hesap, parola kasasında sunucuya bağlanmıştır.
4. Rollerin zamanlamaları o anda erişime izin verir ve kullanıcının kullanıcı rolleri zamana ve istemci IP adresine izin verir.
5. Bir rol onay gerektiriyorsa, onaylanmış bir erişim talebi o anı kapsar. Bkz. Erişim Talepleri.
6. Bir rol MFA gerektiriyorsa kullanıcı geçerli bir kod girer.

Aynı sunucu veya hesap için birden fazla rol geçerli olduğunda özellikleri birleşir: Geçerli rollerden herhangi biri bir özelliği açıyorsa özellik açıktır. Örneğin, bu kullanıcı için sunucuyu kapsayan sunucu rollerinden herhangi birinde Oturum Kayıt seçiliyse oturum kaydedilir; herhangi birinde Disable Copy seçiliyse kopyalama engellenir.

Zamanlaması o anı kapsamayan bir rol uygulanmaz.

Rol Sahipleri

Her rolün, onu yöneten yönetici hesaplarından oluşan sahipleri vardır. ADMIN yalnızca sahibi olduğu rolleri görür ve yönetir. Sahipler, rolün işlem menüsündeki Yöneticiler öğesiyle belirlenir.

Etiketler

Rollere, sunucular ve hesaplarda olduğu gibi etiket eklenebilir. Etiketler gruplama ve filtreleme için kullanılan tanımlayıcılardır; erişim vermez.

Sunucu Rolleri

Sunucu rolü, bir kullanıcı grubuna bir sunucu grubuna erişim verir ve bu kullanıcıların oturumlarının nasıl davranacağını belirler. Sayfayı açmak için Roller > Sunucu Rolleri öğesini seçin.

Başlamadan önce:

• Rol oluşturmak için Sunucu Rolleri üzerinde Ekle yetkisine, rolleri değiştirmek için Düzenle yetkisine sahip olmanız gerekir.
• Sunucuları ekleyin. Bkz. Sunucu Ekleme.
• Dizin kullanıcılarını veya gruplarını yetkilendirmek için dizini Ayarlar > Doğrulama altında yapılandırın.

Sunucu Rolü Oluşturma

Bir sunucu rolü oluşturmak için:

1. Roller > Sunucu Rolleri öğesini seçin.
2. Ekle düğmesine tıklayın. Sunucu Rolü paneli açılır.
3. İsteğe bağlı olarak Etiketler seçin ve bir Ad girin.
4. Rolün özelliklerini seçin. Bkz. Sunucu Rolü Özellikleri.
5. İsteğe bağlı olarak TACACS+ Yetki Seviyesi değerini ayarlayın. Bkz. TACACS+ Yetki Seviyesi.
6. Rolün sunucularını Üye Değil listesinden Üye listesine taşıyın. Sunucuları bulmak için her listenin üstündeki arama kutusunu kullanın.
7. Kaydet düğmesine tıklayın.
8. Kullanıcıları ve grupları yetkilendirin. Bkz. Kullanıcıları ve Grupları Yetkilendirme.

Rol kaydedildikten sonra panelin Linked Command Filters bölümünden bir MASTER role komut filtreleri bağlayabilir. Bkz. Komut Filtreleri.

Sunucu Rolü Özellikleri

Tüm özellikler varsayılan olarak kapalıdır.

Notify On Connect ve Notify On Disconnect, bu seçeneklerin işaretli olduğu herhangi bir rol üzerinden sunucuya yapılan her bağlantıya uygulanır. E-posta gönderiminin Ayarlar > Bildirim altında yapılandırılmış olması gerekir; bkz. Bildirim Ayarları.

TACACS+ Yetki Seviyesi

Operatörlerin kimliğini Keycyte TACACS+ sunucusu üzerinden doğrulayan ağ cihazları için TACACS+ Yetki Seviyesi, bir shell yetkilendirildiğinde döndürülen Cisco yetki seviyesini (0–15) belirler: 1 User EXEC, 15 ise Privileged EXEC seviyesidir. Birden fazla rol geçerli olduğunda en yüksek seviye uygulanır. Hiçbir seviye döndürülmemesi ve cihazın kendi varsayılanını uygulaması için alanı boş bırakın (Cihaz varsayılanı).

Kullanıcıları ve Grupları Yetkilendirme

Bir rol, içinde yetkilendirilmiş kullanıcılara uygulanır.

Kullanıcıları ve grupları yetkilendirmek için:

1. Rolün satırında Diğer işlemler (…) düğmesine tıklayın ve Yetkilendirme öğesini seçin.
2. Yetkili Kullanıcılar altında Domain Kullanıcısı Giriniz alanına bir kullanıcı adının en az iki karakterini yazın ve kullanıcıyı seçin. Arama yerel ve RADIUS kullanıcılarını, dizin kullanıcılarını ve Entra ID kullanıcılarını kapsar.
3. Gruplar altında Domain Grubu Giriniz alanına en az iki karakter yazın ve grubu seçin. Arama LDAP gruplarını, Entra ID gruplarını ve kullanıcı rollerini kapsar.
4. Bir girdiyi kaldırmak için satırındaki silme düğmesine tıklayın.
5. Kaydet düğmesine tıklayın.

Doğrudan veya bir grup üzerinden yetkilendirilmiş bir dizin kullanıcısı, henüz bir Keycyte PAM hesabı olmasa bile ilk kez oturum açabilir; hesap otomatik olarak oluşturulur. Bkz. Domain Kullanıcılarını Senkronize Etme.

Rol listesindeki Yetkili kullanıcı ve gruplar sütunu yetkilendirilmiş girdileri gösterir. Yalnızca belirli bir kullanıcının veya grubun yetkilendirildiği rolleri listelemek için listenin üstündeki Kullanıcı veya gruba göre filtrele alanında bu kullanıcıyı veya grubu seçin.

Rolün Sunucularını Değiştirme

Bir rolün sunucularını değiştirmek için rolü düzenleyin ya da satırındaki … düğmesine tıklayıp Sunucular öğesini seçin, sunucuları Üye Değil ile Üye listeleri arasında taşıyın ve Kaydet düğmesine tıklayın.

Üyeler sütunu rolün kaç sunucusu olduğunu gösterir; satırı genişletip sunucuları görmek için sütuna tıklayın. Tek bir sunucuyu kaldırmak için genişletilmiş listede sunucunun satırındaki silme düğmesine tıklayın.

Zamanlama Tanımlama

Zamanlama, rolün geçerli olduğu zamanları sınırlar. Zamanlamanın dışında rol hiçbir erişim vermez. Zamanlama sona erdiğinde açık olan oturumlara 10, 5 ve 1 dakika önceden uyarı verilir ve ardından oturumlar kapatılır.

Bir zamanlama tanımlamak için:

1. Rolün satırındaki … düğmesine tıklayın ve Zamanlayıcı öğesini seçin.

2. Zamanlama tipini seçin:

   Tip	Alanlar	Rolün geçerli olduğu zaman
   Hiçbiri	—	Her zaman. Varsayılan.
   Günlük	Başlangıç Saati, Bitiş Saati	Her gün iki saat arasında. Bitiş Saati, Başlangıç Saati değerinden önceyse aralık gece boyunca sürer ve ertesi gün sona erer.
   Haftalık	Başlangıç Saati, Bitiş Saati, Günler	Seçilen günlerde (Mon ile Sun arası) iki saat arasında.
   Özel	Başlangıç Tarihi, Bitiş Tarihi	İki tarih ve saat arasında. Bunlardan en az birini belirlemeniz gerekir.

3. Kaydet düğmesine tıklayın.

Saatler Keycyte PAM sunucusunun yerel saatine göredir.

Toplu İşlemler

Birden fazla rolü aynı anda değiştirmek için rolleri listede seçin ve Toplu işlemler düğmesine tıklayın:

Bir ileti, kaç rolün güncellendiğini, kaçının zaten uygun olduğunu, kaçının sahibi olmadığınız için atlandığını ve kaçının artık bulunmadığını bildirir.

Sunucu Rolü Silme

Bir rolü silmek için satırındaki … düğmesine tıklayın, Sil öğesini seçin ve işlemi onaylayın. Kullanıcılar rolün verdiği erişimi kaybeder. Sunucu Rolleri için Sil yetkisine sahip olmanız gerekir.

Parola Rolleri

Parola rolü, bir kullanıcı grubuna bir parola kasası hesapları grubuna erişim verir. Bir kullanıcı bir sunucuya bir hesapla ancak bir parola rolü hesaba, bir sunucu rolü de sunucuya erişim veriyorsa bağlanabilir. Parola rolleri ayrıca bir servis kimliğinin Secrets API üzerinden hangi hesapları alabileceğini de belirler.

Sayfayı açmak için Roller > Parola Rolleri öğesini seçin.

Başlamadan önce Parola Rolleri için Ekle yetkisine sahip olduğunuzdan ve hesapların parola kasasında bulunduğundan emin olun.

Parola Rolü Oluşturma

Bir parola rolü oluşturmak için:

1. Roller > Parola Rolleri öğesini seçin.
2. Ekle düğmesine tıklayın. Parola Rolleri paneli açılır.
3. İsteğe bağlı olarak Etiketler seçin ve bir Ad girin.
4. Rolün özelliklerini seçin. Bkz. Parola Rolü Özellikleri.
5. Rolün hesaplarını Üye Değil listesinden Üye listesine taşıyın.
6. Kaydet düğmesine tıklayın.
7. Kullanıcıları ve grupları yetkilendirin: Rolün satırındaki … düğmesine tıklayın, Yetkilendirme öğesini seçin, kullanıcıları Yetkili Kullanıcılar altına, grupları Gruplar altına ekleyin ve Kaydet düğmesine tıklayın. Arama, sunucu rollerindekiyle aynı şekilde çalışır; bkz. Sunucu Rolleri.

Parola Rolü Özellikleri

Tüm özellikler varsayılan olarak kapalıdır.

Rolün Hesaplarını Değiştirme

Bir rolün hesaplarını değiştirmek için rolü düzenleyin ya da satırındaki … düğmesine tıklayıp Hesaplar öğesini seçin, hesapları Üye Değil ile Üye listeleri arasında taşıyın ve Kaydet düğmesine tıklayın.

Üyeler sütunu rolün kaç hesabı olduğunu gösterir; satırı genişletip hesapları görmek için sütuna tıklayın.

Zamanlama, Toplu İşlemler ve Sahipler

Parola rolleri, sunucu rolleriyle aynı Zamanlayıcı, Yöneticiler ve Toplu işlemler seçeneklerine sahiptir. Zamanlamasının dışında bir parola rolü hiçbir erişim vermez. Ayrıntılar için bkz. Sunucu Rolleri.

Parola Rolü Silme

Bir rolü silmek için satırındaki … düğmesine tıklayın, Sil öğesini seçin ve işlemi onaylayın. Parola Rolleri için Sil yetkisine sahip olmanız gerekir.

Kullanıcı Rolleri

Kullanıcı rolü, kullanıcıları gruplar. İki kullanım amacı vardır:

• Üyelerini kısıtlar: Zamanlama, üyelerin ne zaman oturum açıp bağlanabileceğini; IP listeleri ise nereden oturum açıp bağlanabileceklerini sınırlar.
• Sunucu rollerinde ve parola rollerinde grup olarak yetkilendirilebilir; böylece tüm üyeleri bu rollerin verdiği erişimi alır.

Sayfayı açmak için Roller > Kullanıcı Rolleri öğesini seçin.

Başlamadan önce Kullanıcı Rolleri için Ekle yetkisine sahip olduğunuzdan emin olun.

Kullanıcı Rolü Oluşturma

Bir kullanıcı rolü oluşturmak için:

1. Roller > Kullanıcı Rolleri öğesini seçin.
2. Ekle düğmesine tıklayın.
3. Bir Ad ve isteğe bağlı olarak Etiketler ile bir Açıklama girin.
4. Rolün kullanıcılarını Üye Değil listesinden Üye listesine taşıyın.
5. Kaydet düğmesine tıklayın.

Rol kaydedildikten sonra panelin Linked Command Filters bölümünden bir MASTER role komut filtreleri bağlayabilir. Bkz. Komut Filtreleri.

Her rolün satırında Düzenle, Zamanlayıcı, IP List, Üyeler, Yöneticiler ve Sil düğmeleri bulunur. Üyelerini görmek için satırı genişletin.

Oturum Açma Zamanlarını Kısıtlama

Bir kullanıcı rolündeki zamanlama, üyelerin ne zaman oturum açıp bağlanabileceğini kısıtlar. Zamanlamanın dışında oturum açma ve yeni bağlantılar reddedilir; ret Erişim günlüğüne kaydedilir.

Bir zamanlama tanımlamak için rolün satırındaki Zamanlayıcı düğmesine tıklayın, Hiçbiri, Günlük, Haftalık veya Özel seçeneğini belirleyin, saatleri veya tarihleri girin ve Kaydet düğmesine tıklayın. Zamanlama tipleri sunucu rollerindekiyle aynıdır; bkz. Sunucu Rolleri.

Bir kullanıcı birden fazla kullanıcı rolünün üyesiyse bu rollerin zamanlamalarının tümü o ana izin vermelidir.

İstemci IP Adreslerini Kısıtlama

Üyelerin oturum açıp bağlanabileceği adresleri kısıtlamak için:

1. Rolün satırındaki IP List düğmesine tıklayın.
2. Karaliste Adres altına her zaman reddedilecek adresleri ekleyin. Beyaz Liste Adres altına izin verilen adresleri ekleyin. Bir adres yazın ve Enter tuşuna basın ya da ekleme düğmesine tıklayın.
3. Kaydet düğmesine tıklayın.

Tam bir adres (10.0.0.10), bir CIDR aralığı (10.0.0.0/8) veya joker karakterli bir adres (192.168.1.*) girebilirsiniz.

Listeler şu şekilde değerlendirilir:

• Kullanıcının rollerinden herhangi birinin kara listesiyle eşleşen adres reddedilir.
• Bir rolün beyaz listesi varsa, bu listedeki girdilerin hiçbiriyle eşleşmeyen adres reddedilir.
• Beyaz listesi olmayan bir rol, adresleri kara listesi dışında kısıtlamaz.

Üyeleri ve Sahipleri Değiştirme

Üyeleri değiştirmek için Üyeler düğmesine tıklayın, kullanıcıları Üye Değil ile Üye listeleri arasında taşıyın ve Kaydet düğmesine tıklayın. Tek bir üyeyi kaldırmak için satırı genişletin ve kullanıcının yanındaki silme düğmesine tıklayın.

Sahipleri değiştirmek için Yöneticiler düğmesine tıklayın, Yönetici Değiştir iletişim kutusunda yönetici hesaplarını seçin ve Kaydet düğmesine tıklayın.

Kullanıcı Rolü Silme

Bir rolü silmek için satırındaki Sil düğmesine tıklayın ve işlemi onaylayın. Kullanıcı Rolleri için Sil yetkisine sahip olmanız gerekir.

Erişim Kontrol

Roller, kimin hangi sunuculara ve hesaplara erişebileceğini belirler. Erişim kontrolü buna iki denetim daha ekler:

• Onay (just-in-time erişim). Rolü onay gerektiren sunucular ve hesaplar için kullanıcılar belirli bir zaman aralığı için erişim talep eder ve bir sahip talebi onaylar veya reddeder. Onaylanan talepler ve elle oluşturulan onaylar kaynak kuralları olarak saklanır.
• Komut filtreleri. Kullanıcıların SSH oturumlarında yazdığı komutlar ve ağ cihazlarının TACACS+ üzerinden yetkilendirdiği komutlar filtre desenleriyle karşılaştırılır; kabul edilir, uyarı verilir veya reddedilir.

Sayfalar menüde Erişim Kontrol altında yer alır: Kaynak Kuralları ve Komut Filtreleri. Komut Filtreleri yalnızca MASTER kullanıcıları tarafından kullanılabilir.

Bu bölüm aşağıdaki konuları içerir:

Erişim Talepleri

Onay tabanlı erişimde kullanıcıların hassas sunuculara veya hesaplara kalıcı erişimi yoktur. Bunun yerine kullanıcı belirli bir zaman aralığı için erişim talep eder ve sunucunun veya hesabın sahibi talebi onaylar. Kullanıcı yalnızca onaylanan zaman aralığında bağlantı kurabilir.

Onay Akışının İşleyişi

1. Bir yönetici bir sunucu rolünde, bir parola rolünde ya da her ikisinde Onay seçeneğini işaretler. Bkz. Sunucu Rolleri ve Parola Rolleri.
2. Rolün bir kullanıcısı İstemci Paneli’nde bağlantı kurmaya çalışır ve kendisinden erişim talep etmesi istenir. Kullanıcı bir başlangıç tarihi, bir bitiş tarihi ve bir gerekçe girerek talebi gönderir.
3. Keycyte PAM onay gerektiren her nesne için bir talep oluşturur: Sunucu rolü onay gerektiriyorsa sunucu için bir talep, parola rolü onay gerektiriyorsa hesap için bir talep.
4. Keycyte PAM sunucunun sahiplerine (sunucu talebi için) ve hesabın sahiplerine (hesap talebi için) bir e-posta gönderir. E-posta, Kaynak Kuralları sayfasına giden bir bağlantı içerir. Talep ayrıca bu sahiplerin bildirim zilinde de görünür.
5. Sahiplerden biri talebi onaylar veya reddeder. Talep onaylandığında talep sahibi bir e-posta alır.
6. Kullanıcı, onaylanan başlangıç ve bitiş tarihleri arasında bağlantı kurabilir. Bu aralığın dışında kullanıcının yeniden erişim talep etmesi gerekir.

Hem sunucu hem de hesap onay gerektiriyorsa, kullanıcının bağlantı kurabilmesi için her iki talebin de onaylanması gerekir.

E-posta gönderiminin Ayarlar > Bildirim sayfasında yapılandırılmış olması gerekir. Bkz. Bildirim Ayarları.

Talebi Onaylama veya Reddetme

Başlamadan önce aşağıdakileri sağlayın:

• Sunucunun veya hesabın sahibi ya da MASTER olmalısınız.
• Kaynak Kuralları için Düzenle yetkisine sahip olmalısınız.

Bir talebi onaylamak veya reddetmek için:

1. Üst çubuktaki zil simgesine tıklayın. Kırmızı rozet bekleyen taleplerin sayısını gösterir.

2. Bildirimler panelinde, Erişim İzin Talepleri altında talebi inceleyin:

   Öğe	Açıklama
   Sunucu veya Hesap etiketi	Talebin bir sunucu için mi yoksa bir hesap için mi olduğu.
   Kullanıcı adı	Erişim talep eden kullanıcı.
   ID	Talep edilen sunucunun veya hesabın kimliği.
   Başlangıç Tarihi, Bitiş Tarihi	Talep edilen erişim aralığı.
   Talep Tarihi	Talebin gönderildiği zaman.
   Sebep	Kullanıcının girdiği gerekçe.

3. Onayla veya Reddet düğmesine tıklayın.

Talep onaylandı veya Talep reddedildi mesajı kararı onaylar ve talep listeden kalkar.

Talepler hakkında Erişim Kontrol > Kaynak Kuralları sayfasında, talebi düzenleyip Aksiyon değerini değiştirerek de karar verebilirsiniz. Bkz. Kaynak Kuralları.

Kaynak Kuralları

Kaynak kuralı, bir kullanıcının belirli bir zaman aralığında bir sunucuyu veya hesabı kullanmak üzere onaylanıp onaylanmadığını kaydeder. İstemci Paneli’nden gelen erişim talepleri kaynak kurallarını otomatik olarak oluşturur; yöneticiler de kuralları doğrudan oluşturabilir, örneğin bir bakım aralığı için önceden onaylanmış erişim vermek amacıyla.

Kaynak kuralları yalnızca sunucu rolünde veya parola rolünde Onay seçili olan sunucular ve hesaplar için geçerlidir. Diğer sunucular ve hesaplar için erişime yalnızca roller karar verir.

Sayfayı açmak için Erişim Kontrol > Kaynak Kuralları öğesini seçin. MASTER tüm kuralları görür; ADMIN ise sahip olarak bilgilendirildiği kuralları görür.

Kural Listesi

Ara alanı listeyi nesneye, türe, kullanıcıya, aksiyona ve gerekçeye göre filtreler.

Kaynak Kuralı Oluşturma

Başlamadan önce Kaynak Kuralları için Ekle yetkisine sahip olduğunuzdan emin olun.

Bir kaynak kuralı oluşturmak için:

1. Erişim Kontrol > Kaynak Kuralları öğesini seçin.

2. Ekle düğmesine tıklayın. Erişim Kontrol iletişim kutusu açılır.

3. Alanları doldurun:

   Alan	Açıklama
   Tip	Server veya Account.
   Sunucu / Hesap	Kuralın ait olduğu sunucu veya hesap. Alan, seçilen türe göre değişir.
   Portal Kullanıcısı	Kuralın uygulandığı kullanıcı.
   Başlangıç Saati	Zaman aralığının başlangıcı. Zorunludur.
   Bitiş Saati	Zaman aralığının sonu. Zorunludur.
   Aksiyon	allow, deny veya inactive. Onaylamak için allow seçin.

4. Kaydet düğmesine tıklayın.

Kullanıcının onay gerektiren hem bir sunucuya hem de bir hesaba ihtiyacı varsa her biri için ayrı bir kural oluşturun.

Kuralı Değiştirme veya Silme

Bir kuralı değiştirmek için satırındaki düzenleme düğmesine tıklayın, alanları değiştirin ve Kaydet düğmesine tıklayın. Aksiyon değerini allow olarak değiştirmek bekleyen bir talebi onaylar; talep sahibi bir e-posta alır. Gerekçe kullanıcının gerekçesini gösterir ve değiştirilemez. Kaynak Kuralları için Düzenle yetkisine sahip olmanız gerekir.

Bir kuralı silmek için satırındaki silme düğmesine tıklayın ve işlemi onaylayın. Kaynak Kuralları için Sil yetkisine sahip olmanız gerekir.

Komut Filtreleri

Komut filtresi, bir aksiyona sahip komut desenleri kümesidir. Keycyte PAM, kullanıcının çalıştırdığı her komutu oturuma uygulanan filtrelerle karşılaştırır ve komuta ne olacağına eşleşen ilk filtre karar verir.

Komut filtreleri şunlara uygulanır:

• Keycyte PAM SSH proxy üzerinden kurulan SSH oturumları;
• ağ cihazlarının Keycyte TACACS+ sunucusu üzerinden yetkilendirdiği komutlar.

Komut filtreleri yalnızca MASTER kullanıcıları tarafından kullanılabilir. Sayfayı açmak için Erişim Kontrol > Komut Filtreleri öğesini seçin.

Filtre Aksiyonları

Eşleşen komutlar, eşleştikleri filtreyle birlikte kaydedilir. Bkz. Oturumlar > Komut Geçmişi.

Filtrelerin Değerlendirilmesi

Bir oturum başladığında Keycyte PAM, kullanıcıya ve sunucuya uygulanan etkin filtreleri toplar ve bunları Priority değerine göre, en düşük numara önce olacak şekilde sıralar. Her komut için filtrelerin desenleri bu sırayla denetlenir ve eşleşen ilk desen aksiyonu belirler. Hiçbir desenle eşleşmeyen komut normal şekilde çalışır.

Deseni olmayan bir filtrenin etkisi yoktur.

Komut Filtresi Oluşturma

Bir komut filtresi oluşturmak için:

1. Erişim Kontrol > Komut Filtreleri öğesini seçin.

2. Araç çubuğunda Create düğmesine tıklayın. Create Command Filter iletişim kutusu General sekmesinde açılır.

3. General sekmesinde alanları doldurun:

   Alan	Açıklama
   Name	Filtrenin adı, en fazla 128 karakter. Zorunludur.
   Description	Serbest metin not.
   Priority	0 ile 9999 arasında değerlendirme sırası. Düşük numaralar önce denetlenir. Varsayılan: 100.
   Action	accept, warning, notify_and_warn veya reject. Varsayılan: warning.
   Ignore case (default for items)	Desenleri büyük/küçük harf ayrımı yapmadan eşleştirir. Her desen bu ayarı geçersiz kılabilir.
   Enabled	Filtreyi etkinleştirir. Varsayılan olarak seçilidir.

4. Patterns sekmesinde Add Pattern düğmesine tıklayın ve bir veya daha fazla desen tanımlayın. Bkz. Desenler.

5. Kaydet düğmesine tıklayın.

Filtre kaydedilir ve siz bağlama ekleyene kadar tüm oturumlara uygulanır. Bindings ve Test sekmeleri, kaydedilen filtreyi Edit ile açtığınızda kullanılabilir hale gelir.

Desenler

Patterns sekmesindeki her satır bir desen öğesidir:

İki tür farklı şekilde eşleşir:

Geçerli olmayan bir düzenli ifade hiçbir şeyle eşleşmez. Yeni desenleri Test sekmesinde test edin.

Bir deseni kaldırmak için satırındaki silme düğmesine tıklayın.

Bağlamalar

Bağlamalar, bir filtrenin hangi oturumlara uygulanacağını belirler. Bağlaması olmayan bir filtre tüm oturumlara uygulanır.

Bir bağlama eklemek için:

1. Filtreyi Edit ile açın ve Bindings sekmesini seçin.
2. Add Binding düğmesine tıklayın. Add Binding iletişim kutusu açılır.
3. Scope Type alanında Server Role, User Role, Server veya User seçeneğini belirleyin.
4. Target alanında rolü, sunucuyu veya kullanıcıyı seçin.
5. Add düğmesine tıklayın.

Bağlamalar iki eksende çalışır:

• kullanıcı ekseni: User ve User Role bağlamaları;
• sunucu ekseni: Server ve Server Role bağlamaları.

Bir filtre, her iki eksen de eşleştiğinde oturuma uygulanır. Bağlaması olmayan bir eksen her şeyle eşleşir. Örneğin yalnızca Production Linux sunucu rolüne bağlanan bir filtre bu sunuculardaki tüm kullanıcılara uygulanır; Contractors kullanıcı rolüne ve Production Linux sunucu rolüne bağlanan bir filtre ise yalnızca bu sunuculardaki yüklenicilere uygulanır.

Bir bağlamayı kaldırmak için satırındaki silme düğmesine tıklayın ve işlemi onaylayın.

Filtreleri rol tarafından da ilişkilendirebilirsiniz: Bir sunucu rolünün veya kullanıcı rolünün düzenleme panelinde Attach Filter düğmesini içeren bir Linked Command Filters bölümü bulunur. Bkz. Sunucu Rolleri ve Kullanıcı Rolleri.

Komutu Test Etme

Test sekmesi, bir komutu filtrenin kaydedilmiş desenleriyle, oturumların kullandığı eşleştirme motorunun aynısını kullanarak karşılaştırır.

Bir komutu test etmek için:

1. Filtreyi Edit ile açın ve Test sekmesini seçin.
2. Bir komut yazın, örneğin rm -rf /, ve Run düğmesine tıklayın.

Sonuç ya No match — this command would pass through ya da desen öğesi ve eşleşen metinle birlikte Match — action aksiyon would fire olarak gösterilir. Test yalnızca bu filtreyi kapsar; diğer filtrelerin önceliğini dikkate almaz.

Filtreleri Yönetme

Filtre listesi her filtrenin Name, Action, Priority, Description, Updated zamanı ve Enabled anahtarını gösterir.

• Bir filtreyi kapatmak veya açmak için Enabled anahtarını kullanın.
• Bir filtreyi değiştirmek için Edit düğmesine tıklayın. General ve Patterns sekmelerindeki değişiklikler Kaydet ile kaydedilir; bağlamalar anında kaydedilir.
• Bir filtreyi desenleri ve bağlamalarıyla birlikte silmek için Delete düğmesine tıklayın ve işlemi onaylayın.
• Listeyi filtrelemek için Gelişmiş Filtre düğmesine tıklayın ve Name Contains, Action veya Status (Enabled veya Disabled) değerini ayarlayın.

Oturumlar

Yönetici Paneli’nin Oturumlar menüsü, kullanıcıların platform üzerinden sunuculara açtığı bağlantılar hakkında Keycyte PAM’ın sahip olduğu tüm bilgileri bir araya getirir. Bu menüyü oturumları çalışırken izlemek, sona erdikten sonra yeniden oynatmak ve oturumlarda çalıştırılan komutları ve gerçekleştirilen dosya aktarımlarını aramak için kullanın.

Menüde aşağıdaki sayfalar bulunur:

Bir oturum için neyin kaydedileceğini, sunucuyu kapsayan sunucu rolleri belirler; örneğin bir sunucu rolünün Oturum Kayıt ve Metin Kayıt özellikleri. Ayrıntılar için bkz. Sunucu Rolleri.

Aktif Oturumları İzleme

Aktif Oturumlar sayfası, o anda Keycyte PAM üzerinden açık olan tüm oturumları listeler. Bu sayfadan çalışan bir oturumu izleyebilir, kullanıcının oturumunda görüntülenen bir mesaj gönderebilir ve bir veya daha fazla oturumu kapatabilirsiniz.

Sayfayı açmak için Oturumlar > Aktif Oturumlar öğesini seçin.

Tablo Görünümü

Sayfa, oturumları varsayılan olarak bir tabloda gösterir. Liste her 30 saniyede bir otomatik olarak yenilenir; hemen yenilemek için araç çubuğunda Refresh düğmesine tıklayın. Zaman sütunu her saniye artar.

Tabloyu Portal Kullanıcısı, Sunucu, Hesap ve Başlangıç Tarihi sütunlarına göre sıralayabilirsiniz.

Grid Görünümü

Grid görünümü, açık oturumların canlı ekranlarını yan yana gösterir; böylece birden fazla oturumu aynı anda izleyebilirsiniz.

Grid görünümüne geçmek için araç çubuğunda Grid Görünüm düğmesine tıklayın. Düğme yalnızca en az bir oturum açıkken kullanılabilir.

Grid, tek oturum için bir sütun, iki ile dört oturum için iki sütun, beş veya daha fazla oturum için üç sütun kullanır. Her hücrede kullanıcı, sunucu ve geçen süre gösterilir; ayrıca Görüntüle (oturumu büyük görüntüleyicide açar) ve Sistemi Kapat düğmeleri bulunur.

Tabloya dönmek için Tablo Görünüm düğmesine tıklayın.

Bir Oturumu İzleme

Çalışan bir oturumu bir görüntüleyici penceresinde izleyebilirsiniz. Görüntüleyici salt okunurdur: klavye ve fare girdileriniz oturuma gönderilmez.

Bir oturumu izlemek için:

1. Oturumun satırında Görüntüle düğmesine tıklayın.
2. Gerekirse görüntüleyici penceresinde büyütme düğmesini kullanarak tam ekrana geçin.
3. İzlemeyi bitirmek için görüntüleyici penceresini kapatın.

Oturumun nasıl gösterileceği protokole bağlıdır:

• RDP, VNC ve web uygulaması oturumları canlı ekran olarak gösterilir.
• SSH, Telnet ve Kubernetes oturumları canlı terminal olarak gösterilir.

RDP, VNC ve web uygulaması oturumlarında, bir yönetici oturumu izlemeye başladığında ve izlemeyi bıraktığında kullanıcı İstemci Paneli’nde bildirim alır. İzleme ayrıca İstemci günlüğüne yazılır ve Oturum Geçmişi sayfasında Yönetici İzleme tipinde bir oturum olarak görünür.

Kullanıcılara Mesaj Gönderme

Bir veya daha fazla açık oturumun içinde görüntülenen kısa bir mesaj gönderebilirsiniz; örneğin bakım öncesinde kullanıcıları uyarmak için.

Başlamadan önce, yetki profilinizin Aktif Oturumlar için Düzenle yetkisi verdiğinden emin olun. MASTER kullanıcılar bu yetkiye her zaman sahiptir.

Mesaj göndermek için:

1. Aşağıdakilerden birini yapın:
   • Mesajı tek bir oturuma göndermek için oturumun satırında Mesaj gönder düğmesine tıklayın.
   • Mesajı birden fazla oturuma göndermek için tabloda oturumları seçin ve araç çubuğunda Mesaj gönder düğmesine tıklayın.
2. Mesaj gönder iletişim kutusunda Alıcılar altında listelenen oturumları kontrol edin.
3. Öncelik altında Bilgi, Uyarı veya Hata seçeneğini belirleyin.
4. Mesaj alanına metni yazın. Mesaj en fazla 500 karakter olabilir.
5. Gönder düğmesine tıklayın.

RDP, VNC ve web uygulaması oturumlarında mesaj, kullanıcının oturum penceresinde bir bant olarak görünür. SSH, Telnet ve Kubernetes oturumlarında mesaj, kullanıcının terminaline yazılır. Mesaj bazı oturumlara iletilemezse Keycyte PAM, mesajın kaç oturuma ulaştığını ve kaç oturumda başarısız olduğunu bildirir.

Oturumları Sonlandırma

Bir oturumu sonlandırmak bağlantıyı hemen kapatır.

Başlamadan önce, yetki profilinizin Aktif Oturumlar için Sil yetkisi verdiğinden emin olun. MASTER kullanıcılar bu yetkiye her zaman sahiptir.

Bir oturumu sonlandırmak için:

1. Oturumun satırında Sistemi Kapat düğmesine tıklayın.
2. Onay iletişim kutusunda oturumu sonlandırmak istediğinizi onaylayın.

Birden fazla oturumu aynı anda sonlandırmak için:

1. Tabloda oturumları seçin. Seçili oturum sayısı araç çubuğu düğmelerinin yanında görünür.
2. Seçili oturumları sonlandır düğmesine tıklayın.
3. İşlemi onaylayın.

Sonlandırılan oturumlar listeden kalkar. Bazı oturumlar sonlandırılamazsa (örneğin yönetmediğiniz sunuculara ait oldukları için) Keycyte PAM, kaç oturumun sonlandırıldığını ve kaçında işlemin başarısız olduğunu bildirir. Her sonlandırma işlemi Sistem günlüğüne yazılır.

Oturum Geçmişini İnceleme

Oturum Geçmişi sayfası, kullanıcıların Keycyte PAM üzerinden açtığı oturumları listeler. Kaydedilen oturumlarda kaydı tarayıcıda oynatabilir, kullanıcının yazdıklarını okuyabilir ve kaydı indirebilirsiniz.

Sayfayı açmak için Oturumlar > Oturum Geçmişi öğesini seçin.

Oturum Listesi

Oturumları Arama ve Filtreleme

Tüm sütunlarda bir sözcüğü aramak için araç çubuğundaki Ara alanına sözcüğü yazın ve Enter tuşuna basın.

Listeyi filtrelemek için:

1. Araç çubuğunda Gelişmiş Filtre düğmesine tıklayın.

2. Aşağıdaki alanlardan bir veya daha fazlasını doldurun:

   Alan	Açıklama
   Protokol	Oturumun protokolü.
   Oturum Tipi	Kullanıcı, Ortak Çalışma veya Yönetici İzleme.
   Portal Kullanıcısı	Keycyte PAM kullanıcı adı.
   İstemci IP	Kullanıcının bağlandığı adres.
   Kullanıcı Adı	Hedefte kullanılan hesap.
   Sunucu Adresi	Hedef sunucunun adresi.
   Başlangıç Tarihi İlk, Başlangıç Tarihi Son	Oturum başlangıç zamanı aralığı.
   Bitiş Tarihi İlk, Bitiş Tarihi Son	Oturum bitiş zamanı aralığı.

3. Uygula düğmesine tıklayın.

Tüm filtreleri kaldırmak için araç çubuğunda Filtreleri Temizle düğmesine tıklayın.

Oturuma Açıklama Ekleme

Bir oturuma not ekleyebilirsiniz; örneğin bir değişiklik kaydı numarası. Bunun için Oturum Geçmişi üzerinde Düzenle yetkisine sahip olmanız gerekir.

Açıklama eklemek için:

1. Oturumun satırında Düzenle düğmesine tıklayın.
2. Açıklama alanına notu yazın.
3. Kaydet düğmesine tıklayın.

Kaydı Oynatma

Oynat düğmesi yalnızca kaydedilmiş oturumlarda kullanılabilir. Oturum kaydedilmediyse düğme soluk görünür; nedenini görmek için işaretçiyi düğmenin üzerine getirin. Örneğin:

• Bu sunucuyu (veya hesabını) kapsayan hiçbir sunucu rolünde kayıt etkin değildir.
• Oturum başladığında şifreleme anahtarı kullanılamıyordu.
• Kayıt dizinine yazılamadı.
• Hedef sunucu bağlantıyı kabul etmediği için oturum hiç başlamadı.
• Oturum, kaydedilecek bir şey oluşmadan sona erdi.

Kayıt etkin olduğu hâlde dosya artık bulunamıyorsa Keycyte PAM “Bu oturum için kayıt açıktı ancak dosyası bulunamıyor” mesajını gösterir.

Bir kaydı oynatmak için:

1. Oturumun satırında Oynat düğmesine tıklayın.
2. Aşağıda açıklanan oynatıcı denetimlerini kullanın.
3. Oynatıcıyı kapatmadan listedeki önceki veya sonraki oturuma geçmek için oynatıcının üst kısmındaki ok düğmelerini kullanın.

Açılan oynatıcı, kaydın tipine bağlıdır.

Grafik Oturum Oynatıcısı

RDP, VNC ve web uygulaması oturumları grafik oynatıcıda açılır.

Uzun bir kayıtta geriye doğru gitmek birkaç saniye sürebilir. Oynatıcı bu sırada iptal edebileceğiniz bir Seeking ilerleme çubuğu gösterir.

Tuş kayıtları paneli, kullanıcının yazdığı metni zamana göre gruplandırılmış olarak listeler. Metin bulmak için arama kutusuna yazın; kayıtta o ana gitmek için bir girdiye tıklayın. Metin yalnızca sunucuyu kapsayan bir sunucu rolünde Metin Kayıt özelliği etkinse yakalanır.

Terminal Oturum Oynatıcısı

SSH ve Telnet oturumları, terminal çıktısını kendi oynatma, duraklatma, arama ve hız denetimleriyle yeniden oynatan terminal oynatıcısında açılır. Ayrıca:

• Commands, oturumda çalıştırılan komutları listeleyen bir panel açar. Bir komuta gitmek için komuta tıklayın.
• Video Olarak Dışa Aktar, terminal kaydını indirir.
• Büyütme düğmesi oynatıcıyı tam ekrana geçirir.

SFTP Aktarım Günlüğü

Bir SFTP oturumunda oynatıcı, kayıt yerine dosya işlemlerinin listesini gösterir: Time, Operation, Details, Size ve Result.

RDP Gateway Kayıtları

Keycyte RDP gateway tarafından kaydedilen oturumlar, bu kayıt biçimine özel bir oynatıcıda açılır.

Kayıtları İndirme

Birden fazla kaydı aynı anda indirmek için:

1. Tabloda oturumları seçin.
2. Araç çubuğunda İndir düğmesine tıklayın.
3. Bulk Download iletişim kutusunda oturum listesini kontrol edin ve Start Download düğmesine tıklayın.

Her kayıt, sunucu adresi, kullanıcı adı, başlangıç ve bitiş zamanı ile bağlantı kimliğinden oluşan bir adla ayrı bir dosya olarak kaydedilir. Kayıt dosyası olmayan oturumlar ve SFTP oturumları atlanır ve sonda hata olarak listelenir. İndirme sürerken işlemi iptal edebilirsiniz.

Kayıt Biçimleri

Keycyte PAM, kayıtları protokole göre farklı biçimlerde saklar. Bir kaydı indirdiğinizde aşağıdaki dosyayı alırsınız:

MP4 video, oturumun kendi ekran boyutunda kodlanır.

Komut ve Dosya Geçmişini İnceleme

Keycyte PAM, kullanıcıların terminal oturumlarında çalıştırdığı komutların ve aktardığı dosyaların aranabilir bir kaydını tutar. Komut Geçmişi ve Dosya Geçmişi sayfaları bu kayıtları her komut veya her aktarım için bir satır olacak şekilde, oturum kaydına giden bir bağlantıyla birlikte gösterir.

Her iki sayfa da aynı şekilde çalışır:

• Arama yapmak için Ara alanına bir sözcük yazın ve Enter tuşuna basın.
• Filtrelemek için Gelişmiş Filtre düğmesine tıklayın, alanları doldurun ve Uygula düğmesine tıklayın. Filtreleri kaldırmak için Filtreleri Temizle düğmesine tıklayın.
• Geçerli listeyi Excel dosyası olarak indirmek için Export to Excel düğmesine tıklayın.
• Bir satırın tüm ayrıntılarını görmek için satırı genişletin veya Detail düğmesine tıklayın.
• O kayda ait oturumun kaydını açmak için Jump to session recording düğmesine tıklayın.

Komut Geçmişi

Sayfayı açmak için Oturumlar > Komut Geçmişi öğesini seçin.

Risk sütunu aşağıdaki değerlerden birini gösterir:

Komut filtresi kuralları Erişim Kontrol > Komut Filtreleri bölümünde yapılandırılır. Ayrıntılar için bkz. Komut Filtreleri.

Gelişmiş Filtre iletişim kutusunda aşağıdaki alanlar bulunur:

Command Detail iletişim kutusu ayrıca istemci tipini ve sürümünü, uzak adresi, uygulanan eylemi ve yakalandıysa komut çıktısını gösterir.

Dosya Geçmişi

Sayfayı açmak için Oturumlar > Dosya Geçmişi öğesini seçin.

Gelişmiş Filtre iletişim kutusunda şu alanlar bulunur: Başlangıç Tarihi, Bitiş Tarihi, Session ID, Portal User, Server Address, Target Username, Filename Contains, Direction, Connection Type (SSH veya WEBTERMINAL), Action Taken ve Status.

Keşif

Keşif, ortamınızda zaten bulunan sistemleri ve hesapları bulur; böylece bunları Keycyte PAM’a tek tek eklemeniz gerekmez. Bir kaynağı bir kez keşif şablonunda tanımlar, keşfi çalıştırır ve sonuçları sunucu veya parola kasası hesabı olarak kaydedersiniz.

Yönetici Paneli’nde aşağıdaki kaynaklar kullanılabilir:

Bir şablon zamanlanmış olarak da çalışabilir. Zamanlanmış bir çalıştırma, şablonun çakışma politikasına göre yeni sunucular ekler ve mevcut sunucuları günceller; ayrıca değişiklikleri özetleyen bir e-posta gönderebilir.

Yordamlar için bkz. Keşif Şablonlarını Yapılandırma.

Keşif Şablonlarını Yapılandırma

Keşif şablonu, Keycyte PAM’ın sistemleri ve hesapları nerede ve nasıl arayacağını saklar. Bir şablonu bir kez oluşturur, ardından Keşif sayfasından elle, bir zamanlamaya göre veya her iki yolla çalıştırırsınız.

Sayfayı açmak için Keşif öğesini seçin. Sayfada iki alan bulunur: Tarama Şablonları (şablon listesi) ve Hesap ve Bilgisayar Tarama (keşfi çalıştırma ve sonuçları kaydetme).

Başlamadan Önce

• Active Directory şablonları için Ayarlar > Doğrulama bölümünde etki alanına ait bir LDAP yapılandırması ekleyin. Şablon, bu yapılandırmanın bağlantı (bind) hesabını ve temel ayarlarını kullanır. Ayrıntılar için bkz. Doğrulama Kaynaklarını Yapılandırma.
• VMware şablonları için vCenter SDK URL’sini ve envanteri okuyabilen bir vCenter hesabını hazırlayın.
• Zamanlanmış çalıştırmalarla ilgili e-posta almak için Ayarlar > Bildirim bölümünde SMTP’yi yapılandırın. Ayrıntılar için bkz. Bildirimleri Yapılandırma.

Keşif Şablonu Oluşturma

Bir şablon oluşturmak için:

1. Tarama Şablonları alanında Ekle düğmesine tıklayın. Discovery Şablonu Oluştur paneli açılır.

2. Type alanında ACTIVE_DIRECTORY veya VMWARE seçeneğini belirleyin.

3. Bir Ad ve isteğe bağlı olarak bir Açıklama girin.

4. Kaynak ayarlarını belirtin:

   ACTIVE_DIRECTORY için:

   Alan	Açıklama
   DNS Suffix	Aranacak LDAP yapılandırması (etki alanı). Liste, Ayarlar > Doğrulama bölümündeki LDAP yapılandırmalarının DNS son eklerini gösterir.
   DN	Organizasyon birimleri için arama kutusu. Bir OU adının bir kısmını yazın ve önerilerden OU’yu seçin. Seçtiğiniz her OU Üyeler listesine eklenir.
   Üyeler	Keşfin aradığı organizasyon birimleri. Bir OU’yu kaldırmak için satırındaki silme düğmesine tıklayın.

   VMWARE için:

   Alan	Açıklama
   VMware URL	vCenter SDK adresi; örneğin https://vcenter.example.com/sdk.
   Kullanıcı Adı	vCenter hesabı; örneğin administrator@vsphere.local.
   Parola	vCenter hesabının parolası. Kaydedilmiş bir şablonu düzenlerken mevcut parolayı korumak için alanı boş bırakın.

   VMware şablonunda URL’yi ve kimlik bilgilerini denetlemek için Bağlantı Test düğmesine tıklayın.

5. Gerekirse Zamanlama bölümünde otomatik çalıştırmaları yapılandırın:

   Alan	Açıklama
   Otomatik çalıştır	Zamanlamayı açar.
   Periyot	Saatlik, Günlük veya Haftalık.
   Başlangıç saati	Periyodun sayılmaya başlandığı günün saati (SS:dd biçiminde, sunucunun yerel saat diliminde). Boş bırakılırsa bir sonraki çalıştırma, şablonun kaydedilmesinden veya son çalışmasından bir periyot sonra gerçekleşir.

6. Çakışma yönetimi bölümünde Var olan sunucu eşleştiğinde politikasını seçin:

   Seçenek	Zaten var olan, keşfedilmiş bir sunucuya ne olur
   Mevcut kaydı güncelle (boş alanları doldur, son görülme yenile)	Mevcut sunucu güncellenir ve son görülme zamanı yenilenir. Varsayılan seçenek budur.
   Bulunan kaydı atla	Keşfedilen öğe yok sayılır.
   Sadece işaretle (değişiklik yapma)	Mevcut sunucunun yalnızca son görülme zamanı yenilenir.

   Mevcut sunucular önce Active Directory veya VMware benzersiz kimliğine, ardından adrese göre eşleştirilir. Bir yöneticinin elle değiştirdiği adres ve port değerlerinin üzerine hiçbir zaman yazılmaz.

7. Gerekirse E-posta bildirimi bölümünde bildirimleri yapılandırın:

   • Değişikliklerde bildir seçeneğini açın.
   • Alıcılar alanına bir e-posta adresi yazın ve Enter tuşuna basın. Her alıcı için bu işlemi yineleyin.

8. Kaydet düğmesine tıklayın.

Şablon Tarama Şablonları listesinde görünür. Bir şablonu değiştirmek için düzenleme düğmesine, silmek için silme düğmesine tıklayın.

Zamanlanmış Çalıştırmaların İşleyişi

Keycyte PAM şablonları dakikada bir denetler ve bir sonraki çalışma zamanı geçmiş olan tüm şablonları çalıştırır. Şablonlar paralel değil, sırayla çalışır.

Zamanlanmış bir çalıştırma şunları yapar:

• Active Directory şablonları bilgisayar nesnelerini arar; VMware şablonları sanal makineleri okur.
• Keşfedilen her ana bilgisayar, çakışma politikasına göre sunucu olarak eklenir veya eşleşen mevcut sunucuya uygulanır. Windows ana bilgisayarlar 3389 numaralı portta RDP protokolüyle, VMware’de keşfedilen Linux ana bilgisayarlar 22 numaralı portta SSH ile eklenir.
• Şablonun daha önce bulduğu ancak bu çalıştırmada bulunamayan sunucular silinmez, raporlanır.
• Kullanıcı hesapları otomatik olarak eklenmez. Kasa hesapları yalnızca siz elle kaydettiğinizde eklenir (aşağıya bakın).

Değişikliklerde bildir açıksa Keycyte PAM, bir çalıştırma sunucu eklediğinde, değiştirdiğinde, bazı sunucuları bulamadığında veya hata bildirdiğinde alıcılara e-posta gönderir. Hiçbir değişiklik olmayan çalıştırmalar e-posta göndermez.

Keşfi Çalıştırma ve Sonuçları Kaydetme

Bir keşfi elle çalıştırmak için:

1. Hesap ve Bilgisayar Tarama alanında, Select Template listesinden şablonu seçin.
2. Active Directory şablonu için Search Type listesinde neyin aranacağını seçin: User, Computer veya UserAndComputer.
3. Taramayı Başlat düğmesine tıklayın.

Sonuçlar tabloda görünür. Active Directory için tablo, her nesnenin adını ve konumunu (ayırt edici ad) gösterir. VMware için ana bilgisayar adını, IP adresini, kayıt durumunu, önerilen protokolü, güç durumunu ve konuk işletim sistemini gösterir.

VMware sonuçlarında tabloyu güç durumuna, protokole ve kayıt durumuna göre daraltabilirsiniz. Kayıt durumu (Status) aşağıdakilerden biridir:

IP adresi olmayan sanal makineler seçilemez.

Sonuçları kaydetmek için:

1. Kaydedilecek satırları seçin.
2. Aşağıdakilerden birini yapın:
   • Bilgisayarları veya sanal makineleri sunucu olarak eklemek için Sunucuları Ekle düğmesine tıklayın.
   • Active Directory kullanıcılarını parola kasası hesabı olarak eklemek için Hesapları Ekle düğmesine tıklayın.
3. Satır seçmeden eşleşen tüm sonuçları tek seferde kaydetmek için eylem düğmelerinin yanındaki All (n) düğmesine tıklayın.

Çok sayıda sonucu tek seferde kaydettiğinizde Keycyte PAM, kaç öğenin eklendiğini, atlandığını ve başarısız olduğunu bildirir. Active Directory kullanıcıları Windows Domain hesabı olarak eklenir.

Raporlar

Keycyte PAM raporları, zaten topladığı verilerden oluşturur: parola kasası hesaplarının durumu ve geçmişi ile kullanıcıların açtığı oturumlar. Raporlar Yönetici Paneli’nde grafik ve tablo olarak gösterilir; dışa aktarılabilir veya bir zamanlamaya göre e-postayla gönderilebilir.

Hesap Raporlarını Kullanma

Hesap raporu, parola kasasında saklanan parolaların sağlık durumunu ve parola değişikliklerinin ve doğrulamalarının geçmişini gösterir. Bu raporu ilgilenilmesi gereken hesapları bulmak için kullanın; örneğin parolası, parola politikasının izin verdiğinden daha eski olan hesaplar veya son doğrulaması başarısız olan hesaplar.

Raporu açmak için Raporlar > Hesap öğesini seçin.

Raporun Kapsamı

Rapor yalnızca Keycyte PAM’ın parolasını değiştirebildiği ve doğrulayabildiği hesapları kapsar. Sertifikalar, API anahtarları, güvenli notlar ve TOTP tohumları gibi yalnızca saklanan sırlar rapora dahil edilmez. Bir ADMIN yalnızca kendi yönettiği hesapları görür.

Bir parola, hesabın parola politikasında belirlenen azami yaştan daha eskiyse süresi dolmuş kabul edilir. Parola politikası olmayan veya politikasında azami yaş tanımlanmamış bir hesabın süresi hiçbir zaman dolmaz.

Dönemi Seçme

Araç çubuğundaki tarih seçici, raporun zamana bağlı bölümlerinin (trendler, etkinlik, değişim geçmişi) dönemini belirler. Last 1 Day, Last 1 Week, Last 1 Month (varsayılan), Last 3 Months, Last 6 Months, Last 1 Year veya Custom Range seçeneğini belirleyin. Custom Range için başlangıç ve bitiş tarihlerini seçin.

Özet kartları, sağlık değerleri ile Süresi Dolmuş Hesaplar ve Doğrulama Başarısız Hesaplar sekmeleri, dönemden bağımsız olarak her zaman güncel durumu gösterir.

Özet Kartları ve Uyarılar

Hem başarısız olan hem de süresi dolan bir hesap her iki kartta da sayılır. Kartların altındaki uyarılar, işlem yapılması gereken durumları özetler.

Rapor Sekmeleri

Süresi Dolmuş Hesaplar ve Doğrulama Başarısız Hesaplar tablolarını sütun başlıklarına tıklayarak sıralayabilirsiniz.

Raporu Dışa Aktarma

Raporu Excel çalışma kitabı olarak indirmek için Excel İndir düğmesine tıklayın.

Benzer bir özeti bir zamanlamaya göre e-postayla göndermek için bkz. Raporları Zamanlama.

Oturum Raporlarını Kullanma

Oturum raporu, kullanıcıların Keycyte PAM üzerinden açtığı oturumları özetler. Genel Bakış sekmesi sabit bir grafik ve en üst sıradakiler listesi kümesi sunar; Detaylı Analiz sekmesi oturumları ayrıntılı olarak filtrelemenize, ihtiyacınıza göre gruplamanıza ve sonucu dışa aktarmanıza olanak tanır.

Raporu açmak için Raporlar > Oturum öğesini seçin.

Dönemi Seçme

Araç çubuğundaki tarih seçici her iki sekmeye de uygulanır. Last 1 Day, Last 1 Week (varsayılan), Last 1 Month, Last 3 Months, Last 6 Months, Last 1 Year veya Custom Range seçeneğini belirleyin. Verileri yeniden yüklemek için Yenile düğmesine tıklayın.

Genel Bakış Sekmesi

Özet kartları Toplam Bağlantılar (o anda aktif olan oturum sayısıyla birlikte), Aktif Kullanıcılar, Aktif Sunucular ve Ort. Oturum Süresi değerlerini gösterir.

Sekmede ayrıca şunlar bulunur:

Genel bakışı dışa aktarmak için araç çubuğunda bir biçim (Excel (.xlsx), PDF (.pdf) veya CSV (.csv)) ve bir rapor tipi (Full Report, Summary veya Security Report) seçin, ardından Export düğmesine tıklayın.

Detaylı Analiz Sekmesi

Detaylı Analiz sekmesi, “geçen ay mesai saatleri dışında bu sunucuya kim bağlandı” veya “her kullanıcı bu hesapla ne kadar zaman geçirdi” gibi soruları yanıtlar.

Oturumları Filtreleme

Oturumları filtrelemek için:

1. Filtre panelini açmak için Filtreler düğmesine tıklayın.

2. İhtiyacınız olan filtreleri ayarlayın. Boş filtreler her şeyle eşleşir.

   Grup	Filtreler
   Kim	Kullanıcılar, Kullanıcı türleri (Yerel, Domain, RADIUS, Entra ID), Kullanıcı rolleri.
   Nerede	Sunucular, Protokoller, Sunucu etiketleri, Sunucu rolleri.
   Hangi hesapla	Hedef hesaplar, Hesap türleri, Hesap kapsamı (Hepsi, Paylaşılan kasa, Kişisel kasa).
   Ne zaman	Başlangıç saati (başlangıç–bitiş), Haftanın günleri, Yalnızca mesai dışı (08:00 öncesi / 22:00 sonrası), Açık oturumları dahil et.
   Oturum	Oturum türleri (Kullanıcı oturumu, Paylaşılan oturum, Admin izleme), Süre (dakika cinsinden en az ve en çok), Kapanış nedenleri (Herhangi bir hata dahil), Kayıt (Hepsi, Kaydı var, Kaydı yok).
   İstemci	İstemci IP (tek bir adres, 10.10.5. gibi bir ön ek veya 10.10.0.0/16 gibi bir CIDR aralığı), İstemci türleri.

3. Uygula düğmesine tıklayın.

Etkin filtreler etiket olarak gösterilir; tümünü kaldırmak için Filtreleri temizle düğmesine tıklayın.

Filtreleri Kaydetme

Bir filtre kümesini daha sonra yeniden kullanmak üzere kaydedebilirsiniz.

1. Filtreleri ayarlayın.
2. Filtreyi kaydet düğmesine tıklayın ve Yeni olarak kaydet… seçeneğini belirleyin.
3. Bir Ad girin. Filtreyi raporun tüm kullanıcılarının kullanımına sunmak için Herkesle paylaşılır seçeneğini işaretleyin.
4. Kaydet düğmesine tıklayın.

Kaydedilmiş bir filtreyi uygulamak için Kayıtlı filtreler listesinden seçin. Filtreyi uyguladıktan sonra filtrelerde değişiklik yaparsanız filtre değiştirildi olarak işaretlenir; kaydedilmiş duruma dönmek için yeniden uygulama düğmesine tıklayın. Filtreyi değiştirmek veya kaldırmak için Kayıtlı filtreyi güncelle ve Kayıtlı filtreyi sil seçeneklerini kullanın. Paylaşılan bir filtreyi yalnızca sahibi veya bir MASTER kullanıcı değiştirebilir ya da silebilir.

Gruplama ve Karşılaştırma

Gruplama alanında oturumların nasıl gruplanacağını seçin:

• Kullanıcı, Sunucu, Hedef hesap, Protokol, İstemci IP
• Kullanıcı × Sunucu, Kullanıcı × Hesap
• Gün, Hafta, Ay, Günün saati, Haftanın günü

Her satır; oturum sayısını, toplam ve ortalama süreyi, en uzun oturumu, farklı kullanıcı, sunucu ve hesap sayısını, en üst sıradaki sunucuyu veya kullanıcıyı, ilk ve son oturumu, mesai dışı oturum sayısını ve zorla kapatılan oturum sayısını gösterir. İkinci bir boyuta göre dağılımı görmek için satırı genişletin. Eşleşen oturumları açmak için satırdaki Oturum Geçmişinde aç düğmesine tıklayın.

Tablonun üstündeki trend grafiği günlük veya haftalık oturum sayısını gösterir.

Aynı uzunluktaki önceki dönemle karşılaştırmak için Önceki dönemle karşılaştır seçeneğini işaretleyin. Tablo bu durumda önceki değerleri güncel değerlerin yanında gösterir.

Grup sayısı çok fazlaysa yalnızca ilk gruplar gösterilir ve bir uyarı filtreleri daraltmanızı ister.

Analizi Dışa Aktarma

Geçerli tabloyu dışa aktarmak için Excel veya CSV düğmesine tıklayın.

Raporları Zamanlama

Zamanlanmış rapor, Excel çalışma kitabı içeren bir e-postayı bir alıcı listesine her gün, her hafta veya her ay gönderir. Çalışma kitabı, dönem içindeki parola değiştirme ve doğrulama işlemlerini özetler ve ilgilenilmesi gereken hesapları listeler.

Sayfayı açmak için Ayarlar > Raporlama öğesini seçin.

Zamanlanmış Rapor Oluşturma

Zamanlanmış bir rapor oluşturmak için:

1. Ekle düğmesine tıklayın. Report Configuration iletişim kutusu açılır.

2. Aşağıdaki ayarları belirtin:

   Alan	Açıklama
   Report Name	Raporun adı. E-posta konusunda ve dosya adında görünür.
   Report Type	Daily, Weekly veya Monthly.
   Scheduled Time	Raporun gönderileceği günün saati.
   Timezone	Scheduled Time için saat dilimi; örneğin UTC veya Europe/Istanbul.
   Week Day	Haftalık raporlar için haftanın günü.
   Month Day	Aylık raporlar için ayın günü. Daha az gün içeren aylarda rapor ayın son günü çalışır.
   Enabled	Zamanlamayı açar.
   Email Enabled	Raporu e-postayla gönderir. E-posta gönderimi olmayan bir rapor oluşturulmaz.
   Recipients	Virgül veya noktalı virgülle ayrılmış e-posta adresleri.

3. Kaydet düğmesine tıklayın.

Rapor; zamanlaması, saati, saat dilimi ile Enabled ve Email gönderim durumuyla birlikte listede görünür.

Zamanlanmış Raporları Yönetme

Bir raporun Aksiyon sütunundaki düğmeleri kullanın:

• Düzenle: Report Configuration iletişim kutusunu açar.
• Duraklat / Sürdür: Zamanlamayı kapatır veya açar.
• Şimdi gönder: Raporu oluşturur ve hemen gönderir. Düğme yalnızca rapor ve e-posta gönderimi etkin olduğunda kullanılabilir.
• Sil: Raporu kaldırır.

Rapor İçeriği

Her çalıştırma kendinden önceki dönemi kapsar: günlük rapor için son gün, haftalık rapor için son 7 gün, aylık rapor için son ay.

E-postanın konusu Keycyte PAM - <Report Name> Report olur ve raporun adı ile çalışma zamanına göre adlandırılmış bir Excel eki içerir. Çalışma kitabında şunlar bulunur:

• Dönem içindeki parola işlemlerine ait değerleri içeren bir Statistics sayfası.
• Başarılı hesapları ve başarısız ya da denetlenmemiş hesapları hesap adı, tip, durum, mesaj, son değişiklik, son doğrulama ve açıklama bilgileriyle listeleyen Success Accounts ve Error Accounts sayfaları.
• Bir Trends & Analysis sayfası.

Çalışma kitabı hesap kullanıcı adlarını, etki alanlarını veya parolaları içermez.

Günlükler ve SIEM Entegrasyonu

Keycyte PAM; oturum açma işlemleri, yönetici değişiklikleri, kullanıcı bağlantıları, parola işlemleri ve erişim talepleri için bir denetim kaydı yazar. Bu kayıtları Yönetici Paneli’nin Günlükler menüsünde inceleyebilir ve gerçek zamanlı olarak syslog sunucularına, örneğin bir SIEM’e iletebilirsiniz.

Terminal oturumlarına ait komut ve dosya aktarım kayıtları Oturumlar altında gösterilir. Ayrıntılar için bkz. Komut ve Dosya Geçmişini İnceleme.

Günlük Türleri

Keycyte PAM beş denetim günlüğü tutar. Her birinin Günlükler menüsü altında kendi sayfası vardır.

Günlük Sayfasında Çalışma

Tüm günlük sayfaları aynı şekilde çalışır:

• Arama yapmak için Ara alanına bir sözcük yazın ve Enter tuşuna basın.
• Filtrelemek için Gelişmiş Filtre düğmesine tıklayın, alanları doldurun ve Uygula düğmesine tıklayın. Filtreleri kaldırmak için Filtreleri Temizle düğmesine tıklayın.
• Listeyi yenilemek için Yenile düğmesine tıklayın.

Satırların çoğu, syslog’a gönderilen verilerle aynı olan yapılandırılmış kaydın tamamını göstermek için genişletilebilir.

İstemci Günlüğü

Filtreler: Başlangıç Tarihi, Bitiş Tarihi, Kullanıcı Adı, Kategori, Öncelik, Event (olay adı; örneğin session_start) ve İstemci IP.

Sistem Günlüğü

Genişletilmiş kayıt, hangi nesnenin değiştirildiğini ve düzenlemelerde değiştirilen alanları gösterir. Sır değerleri hiçbir zaman günlüğe yazılmaz.

Filtreler: Başlangıç Tarihi, Bitiş Tarihi, Kullanıcı Adı, Kategori, Öncelik ve Event.

Parola Yöneticisi Günlüğü

Filtreler: Başlangıç Tarihi, Bitiş Tarihi, Yönetici, Hesap, Operation ve Öncelik.

Erişim Günlüğü

Filtreler: Başlangıç Tarihi, Bitiş Tarihi, Kullanıcı Adı, Metot, Tip ve İstemci Adres.

Erişim Kontrol Günlüğü

Filtreler: Başlangıç Tarihi, Bitiş Tarihi, Kullanıcı, Tip ve Aksiyon.

Günlükleri Syslog'a İletme

Keycyte PAM, denetim kayıtlarını yazıldıkları anda syslog sunucularına iletebilir; böylece bir SIEM veya merkezi günlük sunucusu bu kayıtları sorgulama yapmadan alır. Birden fazla syslog hedefi ekleyebilirsiniz; her hedefin kendi protokolü ve kendi kayıt türü seçimi vardır.

Sayfayı açmak için Ayarlar > Syslog Ayarları öğesini seçin.

İletimin İşleyişi

• Kayıtlar, etkin her hedefe, hedefin kendi kayıt türü seçimine göre gönderilir.
• Mesajlar, keycyte-pam uygulama adı ve user tesisi (facility) ile RFC 5424 syslog biçimini kullanır. Mesaj gövdesi, Yönetici Paneli’nde bir günlük satırını genişlettiğinizde gösterilen alanlarla aynı alanlara sahip bir JSON nesnesidir.
• Her hedefin kendi bağlantısı ve kuyruğu vardır. Yavaş veya erişilemeyen bir hedef diğer hedefleri ya da kullanıcının isteğini geciktirmez. Keycyte PAM başarısız bir hedefi kısa bir beklemeden sonra yeniden dener; bir hedefin kuyruğu dolarsa o hedefe yönelik yeni kayıtlar bırakılır.
• Sayfada yapılan değişiklikler yeniden başlatma gerekmeden hemen etkinleşir.

Syslog Hedefi Ekleme

Başlamadan önce, syslog sunucusuna Keycyte PAM sunucusundan kullanmayı planladığınız port üzerinden erişilebildiğinden emin olun. TCP+TLS için syslog sunucusunun sertifikasına Keycyte PAM sunucusunun işletim sistemi tarafından güvenilmesi gerekir.

Bir hedef eklemek için:

1. Ekle düğmesine tıklayın. Syslog Sunucu iletişim kutusu açılır.

2. Aşağıdaki ayarları belirtin:

   Alan	Açıklama
   Protokol	UDP (varsayılan), TCP veya TCP+TLS. TLS bağlantıları TLS 1.2 veya üzerini kullanır ve sunucu sertifikasını doğrular.
   Adres	Syslog sunucusunun ana bilgisayar adı veya IP adresi; örneğin 10.0.0.20.
   Port	Syslog sunucusunun portu. Varsayılan: 514.
   İstemci Günlükleri	İstemci günlüğü kayıtlarını iletir.
   Sistem Günlükleri	Sistem günlüğü kayıtlarını iletir.
   ACL Günlükleri	Erişim günlüğü kayıtlarını (oturum açma denemeleri ve oturum kapatmalar) iletir.
   Access Control	Erişim taleplerini (Erişim Kontrol günlüğü) iletir.
   Password Manager	Parola değiştirme ve doğrulama olaylarını iletir.
   Command	Terminal oturumlarında çalıştırılan komutları iletir.
   File Transfer	Terminal oturumlarının dosya aktarım kayıtlarını iletir.
   Durum	Hedefi etkinleştirir. Devre dışı bir hedef hiçbir kayıt almaz.

3. Kaydet düğmesine tıklayın.

Hedef, her kayıt türü için bir sütunla birlikte listede görünür. Bir hedefi değiştirmek için düzenleme düğmesine, kaldırmak için silme düğmesine tıklayın.

Ayarlar

Ayarlar menüsü, Keycyte PAM’ın sistem genelindeki yapılandırmasını içerir: doğrulama kaynakları, bildirim kanalları, yerleşik RADIUS ve TACACS+ sunucuları, platform servisleri ve yönetici yetkileri.

Menüde aşağıdaki sayfalar bulunur:

Web TLS Sertifikası, Replikasyon, Yedekleme ve Lisans sayfaları cihazın kurulumu ve işletimi kapsamındadır ve Keycyte PAM Kurulum Kılavuzu’nda anlatılır.

Genel Ayarları Yapılandırma

Genel sayfası, belirli bir özelliğe ait olmayan sistem geneli seçenekleri bir araya getirir: kayıt depolama, yerel kullanıcılar için parola politikası, oturum açma sayfalarının marka özelleştirmesi, kullanıcı sözleşmesi ve sunucuların ve hesapların toplu içe aktarımı.

Sayfayı açmak için Ayarlar > Genel öğesini seçin. Sayfadaki her kartın kendi Kaydet düğmesi vardır; bir kartta yapılan değişiklikler diğer kartları kaydetmez.

Sistem Bilgisi ve Dil

Sistem Bilgisi kartı, Keycyte PAM sunucusunun işletim sistemini, ana bilgisayar adını, IP adresini, MAC adresini, CPU’sunu, CPU çekirdek sayısını, belleğini ve diskini gösterir.

Kartın altındaki dil listesi, kendi hesabınızın Yönetici Paneli dilini belirler: English veya Turkce.

Tanı Günlüğü

Günlük Seviyesi, Keycyte PAM servisinin kendi servis günlüğüne ne kadar ayrıntı yazacağını belirler: DEBUG, INFO, WARN veya ERROR. Değişiklik hemen etkinleşir.

Harici Kaynaklar

Bir Excel dosyasından tek seferde çok sayıda hesap veya sunucu eklemek için Harici Kaynaklar kartını kullanın.

Hesapları veya sunucuları içe aktarmak için:

1. Hesap Şablonunu İndir veya Sunucu Şablonunu İndir düğmesine tıklayın ve indirilen .xlsx dosyasını doldurun.
2. Hesap Şablonunu Yükle veya Sunucu Şablonunu Yükle düğmesine tıklayın ve dosyayı seçin.
3. Önizleme iletişim kutusunda satırları kontrol edin.
4. Tümünü Kaydet düğmesine tıklayın.

Kayıt Ayarları

Otp Ayarları

Erişim Talebi, URL ve Geçmiş Seçenekleri

Yerel Kullanıcı Parola Politikası

Bu kurallar yerel Keycyte PAM kullanıcılarının parolalarına uygulanır (kasa hesaplarına uygulanmaz).

Politikayı uygulamak için kartın altındaki Kaydet düğmesine tıklayın.

Özelleştir

Oturum açma sayfalarını ve uygulamayı markanıza göre özelleştirmek için Özelleştir kartını kullanın.

• Giriş Logosu Yükle, Uygulama Logosu Yükle, Alt Logo Yükle, Giriş Arka Planı Yükle: Her öğe için bir görüntü yükler.
• Uygulama Etiketi: Uygulamanın başlığı. Alanın yanındaki Kaydet düğmesine tıklayın.
• Client Login Banner: İstemci Paneli oturum açma sayfasında gösterilen metin. Varsayılan bandı kullanmak için boş bırakın. Alanın yanındaki Kaydet düğmesine tıklayın.
• Varsayılanlara Dön: Tüm logoları, başlığı, bantları ve arka planı kaldırır ve varsayılanları geri yükler.

Kullanıcı Sözleşmesi

Kullanıcı sözleşmesi etkinleştirildiğinde kullanıcıların oturum açabilmek için sözleşmeyi kabul etmesi gerekir. Kabul edilmeden yapılan oturum açma denemeleri Erişim günlüğüne kaydedilir.

Bağlantı Ayarlarını Yapılandırma

Bağlantı sayfası, bazı sunucu tiplerinin bağlanabilmek için ihtiyaç duyduğu yapı taşlarını içerir: uygulamaları barındıran ara sunucular, hesapların içe aktarılacağı bir üçüncü parti kasa, üçüncü parti uygulama tanımları ve web uygulamaları için giriş betikleri.

Sayfayı açmak için Ayarlar > Bağlantı öğesini seçin. Sayfada dört kart bulunur: Ara Sunucu, Üçüncü Parti Kasa, Üçüncü Parti Uygulama ve Web Uygulama Dili.

Ara Sunucu

Ara sunucu, Keycyte PAM’ın web uygulaması ve üçüncü parti uygulama oturumlarını üzerinden açtığı aracı bir ana bilgisayardır. Ara sunucuyu, protokolü web uygulaması veya üçüncü parti uygulama olan bir sunucunun ayarlarında seçersiniz.

• Windows ara sunucuya RDP üzerinden erişilir; uygulama (web uygulamaları için web tarayıcısı) bu sunucuda RemoteApp programı olarak çalışır.
• Linux ara sunucu, web uygulamaları için tarayıcı oturumlarını çalıştırır; Keycyte PAM tarayıcıyı kullanıcıya VNC üzerinden gösterir.

Bir ara sunucu eklemek için:

1. Ara Sunucu kartında Ekle düğmesine tıklayın.

2. Aşağıdaki ayarları belirtin:

   Alan	Açıklama
   Tip	Windows veya Linux.
   Takma Ad	Listelerde gösterilen ara sunucu adı.
   Adres	Ara sunucunun ana bilgisayar adı veya IP adresi.
   Port	Yalnızca Windows. Ara sunucunun RDP portu.
   Program Yolu	Yalnızca Windows. Ara sunucuda RemoteApp programı olarak çalışan başlatıcı programın yolu.
   Program Yolu (Linux)	Yalnızca Linux. Keycyte PAM’ın ara sunucuda tarayıcı oturumlarını başlatmak için kullandığı erişim belirteci.
   Giriş Tipi	Yalnızca Windows. Keycyte PAM’ın ara sunucuda nasıl oturum açacağı (aşağıya bakın).

3. Kaydet düğmesine tıklayın.

Giriş Tipi aşağıdaki seçeneklere sahiptir:

Üçüncü Parti Kasa

Keycyte PAM, bir CyberArk kasasındaki hesapları kendi parola kasasına aktarabilir. İçe aktarılan hesaplar CyberArk kaynaklı olarak işaretlenir; yeniden eşitleme yaptığınızda daha önce aktarılmış hesapların parolaları güncellenir.

Bir CyberArk kasası eklemek için:

1. Üçüncü Parti Kasa kartında Ekle düğmesine tıklayın.

2. Aşağıdaki ayarları belirtin:

   Alan	Açıklama
   Kasa Adı	Kasanın Keycyte PAM’daki adı.
   URL	CyberArk REST API’sinin temel adresi. Keycyte PAM bu adrese /auth/Cyberark/Logon ve /Accounts ekler.
   Parametreler	Hesap listesi isteğine eklenen isteğe bağlı sorgu dizesi; örneğin bir arama veya safe filtresi.
   Yerel Kasa	Keycyte PAM kullanıcısı.
   Kullanıcı Adı, Parola	API çağrıları için kullanılan CyberArk hesabı.

3. Kaydet düğmesine tıklayın.

Eşitlemek için kasanın satırındaki çalıştırma düğmesine tıklayın. Keycyte PAM CyberArk’ta oturum açar, hesap listesini okur, her hesabın parolasını alır ve eşleşen kasa hesaplarını oluşturur veya günceller.

Üçüncü Parti Uygulama

Üçüncü parti uygulama tanımı, kullanıcıların bir Windows ara sunucusunda başlattığı ve bir kasa hesabının kimlik bilgilerinin otomatik olarak doldurulduğu bir masaüstü programını tanımlar.

Bir uygulama eklemek için:

1. Üçüncü Parti Uygulama kartında Ekle düğmesine tıklayın.

2. Aşağıdaki ayarları belirtin:

   Alan	Açıklama
   Takma Ad	Listelerde gösterilen uygulama adı.
   Uygulama	Başlatılacak program.
   Argumanlar	Programın komut satırı argümanları.
   Script	Program başladıktan sonra başlatıcının çalıştırdığı otomasyon betiği.

3. Kaydet düğmesine tıklayın.

Argumanlar ve Script alanlarında aşağıdaki yer tutucuları kullanabilirsiniz. Keycyte PAM bunları oturum başladığında değiştirir:

Web Uygulama Dili

Web uygulama dili (dialect), bir kullanıcıyı bir web uygulamasında otomatik olarak oturum açtıran, adlandırılmış bir betik adımları listesidir. Dili, bir web uygulaması sunucusunun ayarlarında seçersiniz.

Bir dil eklemek için:

1. Web Uygulama Dili kartında Ekle düğmesine tıklayın.
2. Bir Ad girin.
3. Script alanına bir adım yazın ve Ekle düğmesine tıklayın. Her adım için bu işlemi yineleyin. Adımlar listelendikleri sırayla çalışır; bir adımı kaldırmak için silme düğmesine tıklayın.
4. Kaydet düğmesine tıklayın.

Adımlarda tırnak içindeki "username", "password" ve "domain" sözcükleri, oturum başladığında kasa hesabının değerleriyle değiştirilir.

Doğrulama Kaynaklarını Yapılandırma

Keycyte PAM, yerel kullanıcıların yanı sıra kullanıcıları dizin servislerine ve kimlik sağlayıcılarına karşı da doğrulayabilir. Doğrulama sayfası bu kaynakları yapılandırır:

• LDAP Yapılandırması: Bir veya daha fazla LDAP ya da Active Directory etki alanı.
• RADIUS Yapılandırması: Keycyte PAM’ın istemci olarak sorguladığı harici bir RADIUS sunucusu.
• Entra ID Yapılandırması: Microsoft Entra ID ile oturum açma.

Bir kullanıcı parolayla oturum açtığında Keycyte PAM kaynakları şu sırayla dener: yerel kullanıcılar, RADIUS, LDAP/Active Directory.

Sayfayı açmak için Ayarlar > Doğrulama öğesini seçin.

LDAP Yapılandırması

Her LDAP yapılandırması bir etki alanını tanımlar. Keycyte PAM bu yapılandırmayı etki alanı kullanıcılarını doğrulamak, MFA için kullanıcıların e-posta adresini ve telefon numarasını bulmak, rollerde yetkilendirme yaparken kullanıcıları ve grupları aramak ve Active Directory keşfinin kaynağı olarak kullanır.

LDAP Yapılandırması Ekleme

Bir etki alanı eklemek için:

1. LDAP Yapılandırması kartında Ekle düğmesine tıklayın. Ldap Kimlik Bilgileri iletişim kutusu açılır.

2. Aşağıdaki ayarları belirtin:

   Alan	Açıklama
   Ldap Adres	Etki alanı denetleyicisinin ana bilgisayar adı veya IP adresi; örneğin dc01.example.com.
   Ldap Port	LDAP için 389 (varsayılan), LDAPS için genellikle 636.
   Kullanıcı Adı	Keycyte PAM’ın dizinde arama yapmak için kullandığı bağlantı (bind) hesabı.
   Parola	Bağlantı hesabının parolası. Kaydedilmiş bir yapılandırmayı düzenlerken mevcut parolayı korumak için alanı boş bırakın.
   DNS Son Eki	Etki alanının DNS adı; örneğin example.com. Kullanıcılar user@example.com biçiminde oturum açabilir.
   Dizin	Kullanıcı aramaları için temel DN; örneğin DC=example,DC=com.
   Grup Dizini	Grup aramaları için temel DN.
   Giriş Alanı	Oturum açma adını tutan öznitelik. Varsayılan: sAMAccountName.
   Mail Alanı	E-posta adresini tutan öznitelik. Varsayılan: mail.
   Telefon Alanı	Telefon numarasını tutan öznitelik. Varsayılan: telephoneNumber.
   SSL	LDAPS üzerinden bağlanır.
   Ana	Bu etki alanını varsayılan olarak işaretler. Etki alanı son eki olmadan oturum açan kullanıcılar ana etki alanına karşı doğrulanır.

3. Kaydet düğmesine tıklayın.

Bağlantıyı denetlemek için yapılandırmanın satırındaki test düğmesine tıklayın.

LDAPS için CA Sertifikası Ekleme

SSL seçildiğinde Keycyte PAM’ın etki alanı denetleyicisinin sertifikasına güvenmesi gerekir. Sertifikayı sunucudan otomatik olarak içe aktarabilir veya yükleyebilirsiniz.

Bir sertifika eklemek için:

1. Yapılandırmanın satırında sertifika (kilit) düğmesine tıklayın. Sertifikalar iletişim kutusu açılır.
2. Aşağıdakilerden birini yapın:
   • Otomatik Keşif sekmesinde Sertifikaları Keşfet düğmesine tıklayın. Keycyte PAM sunucuya bağlanır ve zincirindeki sertifikaları konu, veren ve geçerlilik tarihi bilgileriyle listeler; güvenilmesi gereken sertifika Önerilen olarak işaretlenir. Satırındaki güven (kalkan simgeli) düğmeye tıklayın. Önce bir sertifikayı incelemek için PEM içeriğini görüntüleyen (dosya simgeli) düğmeye tıklayın.
   • Manuel Yükleme sekmesinde bir Takma Ad girin, İçe Aktar düğmesine tıklayıp sertifika dosyasını (.pem, .crt veya .cer) seçin, ardından Yükle düğmesine tıklayın.
3. Çıkış düğmesine tıklayın.

RADIUS Yapılandırması

RADIUS yapılandırmasıyla Keycyte PAM, oturum açma isteklerini harici bir RADIUS sunucusuna, örneğin mevcut bir MFA sunucusuna iletir.

Ayarları uygulamak için Kaydet düğmesine tıklayın.

Bağlantıyı test etmek için:

1. Test düğmesine tıklayın. RADIUS Test iletişim kutusu açılır.
2. Bir Kullanıcı Adı ve Parola girin ve Test düğmesine tıklayın.
3. RADIUS sunucusu ikinci bir faktör isterse MFA Kodu alanına kodu girin ve Doğrula düğmesine tıklayın.

Sonuç iletişim kutusunda görünür.

Entra ID Yapılandırması

Entra ID ile kullanıcılar Keycyte PAM’da Microsoft hesaplarıyla oturum açar.

Başlamadan önce Microsoft Entra ID’de bir uygulama kaydedin ve https://<your-keycyte-host>/sso/entra/callback yönlendirme URI’sini ekleyin; örneğin https://pam.example.com/sso/entra/callback. Uygulama için bir istemci gizli anahtarı oluşturun.

Yapılandırmayı denetlemek için Test düğmesine, ardından Kaydet düğmesine tıklayın. Yapılandırmayı kaldırmak için karttaki silme düğmesine tıklayın.

Bir kullanıcı Entra ID ile ilk kez oturum açtığında Keycyte PAM otomatik olarak bir Entra ID kullanıcısı oluşturur; ancak bu yalnızca kullanıcı veya kullanıcının gruplarından biri bir sunucu rolünde ya da parola rolünde yetkilendirilmişse gerçekleşir. Aksi hâlde oturum açma reddedilir ve Erişim günlüğüne kaydedilir.

Bildirimleri Yapılandırma

Keycyte PAM; MFA kodları ve kurulumu, erişim talepleri, zamanlanmış raporlar ve keşif sonuçları için e-posta, MFA kodları için SMS gönderir. Bildirim sayfası her iki kanalı da yapılandırır.

Sayfayı açmak için Ayarlar > Bildirim öğesini seçin. Sayfada üç kart bulunur: Email Ayarları, MFA Ayarları ve Sms Ayarları.

Email Ayarları

SMTP sunucusunu yapılandırmak için:

1. Email Ayarları kartında aşağıdaki ayarları belirtin:

   Alan	Açıklama
   Sunucu	SMTP sunucusunun ana bilgisayar adı veya IP adresi; örneğin smtp.example.com.
   Port	SMTP portu. Varsayılan: 587.
   Encryption	None (plain SMTP / relay) (varsayılan), STARTTLS (587) veya SSL/TLS (465).
   Skip TLS verify	SMTP sunucusu sertifikasının doğrulanmasını atlar.
   HELO hostname	Keycyte PAM’ın SMTP sunucusuna bildirdiği isteğe bağlı ad; örneğin pam.example.com.
   From address	Gönderen adresi; örneğin noreply@example.com.
   From name	Gönderenin görünen adı; örneğin Keycyte PAM.
   Authentication	SMTP sunucusu oturum açmayı gerektiriyorsa Required seçeneğini işaretleyin.
   Kullanıcı Adı, Parola	Kimlik doğrulama gerektiğinde kullanılan SMTP hesabı. Mevcut parolayı korumak için Parola alanını boş bırakın.

2. Kaydet düğmesine tıklayın.

3. Ayarları denetlemek için Test düğmesine tıklayın, Email Test iletişim kutusuna bir adres girin ve Test düğmesine tıklayın. Sonuç iletişim kutusunda görünür.

MFA Ayarları

Kullanıcıların MFA için aldığı e-postaları değiştirmek için MFA Ayarları kartını kullanın.

Değişiklikleri uygulamak için Kaydet düğmesine tıklayın.

Sms Ayarları

Tek kullanımlık kodları SMS ile göndermek için bir SMS ağ geçidi yapılandırın.

1. Sağlayıcı alanında ağ geçidi tipini seçin. Form yalnızca seçilen ağ geçidinin kullandığı alanları gösterir.

   Sağlayıcı	Alanlar
   İVTbox (token + JSON POST)	Token URL, SMS URL, Kullanıcı Adı, API Key
   Generic HTTP GET (URL template)	SMS URL, Kullanıcı Adı, Parola
   TT Mesaj (token + JSON POST)	Token URL, SMS URL, Kullanıcı Adı, Parola, Gönderici / Başlık, Token Kullanıcı Adı, Token Parolası

   Sağlayıcı alanını boş bırakırsanız (Otomatik algıla (eski davranış)), Keycyte PAM yer tutucu içeren bir SMS URL değerini genel GET şablonu, diğer her şeyi İVTbox olarak değerlendirir.

2. Alanları doldurun:

   Alan	Açıklama
   Token URL	Keycyte PAM’ın ağ geçidinden erişim belirteci aldığı adres.
   SMS URL	Gönderim isteğinin adresi. Generic HTTP GET için bu bir URL şablonudur; Keycyte PAM <username>, <password>, <phone> ve <message> yer tutucularını URL kodlu değerlerle değiştirir.
   Kullanıcı Adı, Parola, API Key	Ağ geçidi kimlik bilgileri.
   Gönderici / Başlık	Sağlayıcıda kayıtlı SMS başlığı.
   Token Kullanıcı Adı, Token Parolası	Belirteç isteği için ayrı kimlik bilgileri. Gönderim hesabıyla aynıysa boş bırakın.
   OTP Mesajı	SMS metni. Kodun görüneceği yere {otp} yazın. Varsayılan metin için boş bırakın.

3. Kaydet düğmesine tıklayın.

4. Ayarları denetlemek için Test düğmesine tıklayın, Telefon Test iletişim kutusuna bir telefon numarası girin ve Test düğmesine tıklayın.

Genel bir ağ geçidi için örnek SMS URL şablonu:

https://sms.example.com/send?user=<username>&pass=<password>&to=<phone>&text=<message>

RADIUS Sunucusunu Yapılandırma

Keycyte PAM bir RADIUS sunucusu içerir. VPN ağ geçitleri, güvenlik duvarları ve kablosuz denetleyiciler gibi ağ erişim cihazları (RADIUS istemcileri, NAS olarak da adlandırılır) oturum açma isteklerini bu sunucuya gönderebilir. RADIUS sunucusu kullanıcıyı Keycyte PAM oturum açma sayfasıyla aynı zincirle (yerel kullanıcılar, RADIUS, LDAP/Active Directory) doğrular ve MFA etkinse kullanıcının MFA kodunu ister.

RADIUS sunucusu ayrı bir Keycyte PAM servisi olarak çalışır. Durumunu Servisler sayfasında görebilir ve servisi buradan yeniden başlatabilirsiniz.

Sayfayı açmak için Ayarlar > Radius Sunucu öğesini seçin. Sunucu henüz yapılandırılmamışsa sayfa bunu belirtir; ayarları doldurun ve kaydedin.

RADIUS Sunucusunu Yapılandırma

Sunucuyu yapılandırmak için:

1. Aşağıdaki ayarları belirtin:

   Alan	Açıklama
   Dinleme Portu	Sunucunun dinlediği UDP portu. Varsayılan: 1812.
   Paylaşılan Gizli Anahtar	RADIUS istemcileriyle paylaşılan gizli anahtar. Mevcut anahtarı korumak için boş bırakın.
   MFA Zaman Aşımı (saniye)	Sunucunun kullanıcının MFA kodunu ne kadar bekleyeceği; 30 ile 600 arası. Varsayılan: 180.
   Maks Başarısız Deneme	İzin verilen başarısız deneme sayısı; 1 ile 10 arası. Varsayılan: 3.
   Oturum Zaman Aşımı (saniye)	10 ile 3600 arası. Varsayılan: 30.
   İzin Verilen NAS IP’leri	İstek göndermesine izin verilen cihazların virgülle ayrılmış adresleri; örneğin 10.0.0.1, 10.0.0.2. Tümüne izin vermek için boş bırakın.
   Günlük Seviyesi	DEBUG, INFO (varsayılan) veya ERROR.
   Açıklama	Serbest metin not.

2. Kaydet düğmesine tıklayın.

3. Her ağ cihazında Keycyte PAM’ı; Keycyte PAM sunucusunun adresi, dinleme portu ve paylaşılan gizli anahtarla RADIUS sunucusu olarak ekleyin.

TACACS+ Sunucusunu Yapılandırma

Keycyte PAM; anahtarlar, yönlendiriciler ve güvenlik duvarları gibi ağ cihazlarının yönetimi için bir TACACS+ sunucusu içerir. Cihazlar, yöneticilerinin oturum açma, komut yetkilendirme ve kayıt tutma (accounting) isteklerini Keycyte PAM’a gönderir; Keycyte PAM da diğer oturumlardaki aynı kullanıcıları, rolleri ve MFA’yı uygular.

TACACS+ sunucusu ayrı bir Keycyte PAM servisi olarak çalışır. Durumunu Servisler sayfasında görebilir ve servisi buradan yeniden başlatabilirsiniz.

Cihazların Kaydedilmesi

Bir cihaz, onu temsil eden sunucunun (varlığın) ayarlarına bir TACACS+ Paylaşılan Sır girilerek kaydedilir. Böylece her cihaz kendi gizli anahtarını kullanır. Bu sayfadaki Yedek Paylaşılan Sır yalnızca kendi gizli anahtarı olmayan cihazlar tarafından kullanılır.

Bir cihazın kullanıcıya verdiği yetki seviyesi, kullanıcıyı kapsayan sunucu rollerinin TACACS+ Yetki Seviyesi değerinden gelir. Ayrıntılar için bkz. Sunucu Rolleri.

TACACS+ Sunucusunu Yapılandırma

Sayfayı açmak için Ayarlar > TACACS+ Sunucu öğesini seçin. Sayfayı kaydedene kadar sunucu kendi varsayılan ayarlarıyla çalışır.

Sunucuyu yapılandırmak için:

1. Aşağıdaki ayarları belirtin:

   Alan	Açıklama
   Dinleme Portu	Sunucunun dinlediği TCP portu. Varsayılan: 49.
   Yedek Paylaşılan Sır	Kendi gizli anahtarı olmayan cihazlar için gizli anahtar. Kayıtsız cihazların hiç bağlanamaması için boş bırakın.
   İzin Verilen Cihaz IP’leri	Bağlanmasına izin verilen cihazların virgülle ayrılmış adresleri veya CIDR aralıkları; örneğin 10.0.0.0/24. Tümüne izin vermek için boş bırakın.
   Cihaz Sırrı Önbelleği (saniye)	Bir cihaz gizli anahtarının yeniden sorgulanmadan önce ne kadar süre yeniden kullanılacağı; 0 ile 86400 arası. Varsayılan: 300. Değiştirilen bir gizli anahtar, yeniden başlatma gerekmeden bu süreden sonra etkinleşir.
   PAP MFA Ayırıcısı	PAP’ta ikinci bir istem olmadığından MFA kullanan kullanıcılar kodu parolanın sonuna ekler: password<separator>123456. Varsayılan: ,. Devre dışı bırakmak için none girin; bu durumda MFA kullanan kullanıcılar PAP üzerinden oturum açamaz.
   Log Seviyesi	DEBUG, INFO (varsayılan) veya ERROR.
   Açıklama	Serbest metin not.

2. TACACS+ trafiğini TLS 1.3 ile korumak için TLS 1.3 bölümünde TLS’i Etkinleştir seçeneğini işaretleyin ve şunları belirtin:

   Alan	Açıklama
   Sertifika Dosyası	Sunucu sertifikasının yolu; örneğin /etc/keycyte/tls/tacacs.crt.
   Özel Anahtar Dosyası	Özel anahtarın yolu; örneğin /etc/keycyte/tls/tacacs.key.
   İstemci Sertifikası Zorunlu	Yalnızca istemci sertifikası sunan cihazları kabul eder.
   CA Dosyası	İstemci sertifikalarını imzalayan CA sertifikasının yolu. İstemci Sertifikası Zorunlu seçildiğinde gereklidir.

   Yollar, iş istasyonunuzun değil TACACS+ sunucusunun dosya sistemini ifade eder.

3. Kaydet düğmesine tıklayın.

Servisleri, Depolamayı, Etiketleri ve Geri Dönüşüm Kutusunu Yönetme

Bu konu, Ayarlar menüsündeki dört bakım sayfasını kapsar: Servisler, Depolama, Etiketler ve Geri Dönüşüm Kutusu.

Servisler

Servisler sayfası, Keycyte PAM’ı oluşturan container’ları gösterir ve bunları denetlemenizi sağlar. Ayrıca Keycyte PAM servislerinin PAM sunucusunda kimlik doğrulamak için kullandığı erişim anahtarlarını yönetir.

Sayfayı açmak için Ayarlar > Servisler öğesini seçin.

Keycyte Servisleri

Keycyte Servisleri kartı servis container’larını listeler:

Listeyi yenilemek için Yenile düğmesine tıklayın.

• Bir container’ın son günlük çıktısını (son 500 satır) görüntülemek için Loglar düğmesine tıklayın. Günlük panelinde yeniden yüklemek için Yenile düğmesine tıklayın.
• Bir container’ı denetlemek için Başlat, Durdur veya Yeniden Başlat düğmesine tıklayın ve işlemi onaylayın.

Sayfada Docker soketi erişilemiyor mesajı görünürse Docker soketi (/var/run/docker.sock) PAM container’ına bağlanmamıştır ve servis listesi ile günlükler gösterilemez. Ayrıntılar için Kurulum Kılavuzu’na bakın.

Servis AccessKey’leri

keycyte-ssh-proxy ve keycyte-radius-server gibi Keycyte PAM servisleri, PAM sunucusunda bir HMAC-SHA256 HTTP imzası ve servise özel bir erişim anahtarıyla kimlik doğrular. Servis AccessKey’leri kartı servisleri, bunların Access Key ID değerini ve anahtarın en son ne zaman kullanıldığını (Son Kullanım) listeler.

Bir anahtar oluşturmak veya yenilemek için:

1. Servisin satırında Üret (henüz anahtar yoksa) veya Yenile (mevcut anahtarı değiştirmek için) düğmesine tıklayın. Yenileme işlemi onay ister.
2. Açılan iletişim kutusunda KEYCYTE_ACCESS_KEY_ID ve KEYCYTE_ACCESS_KEY_SECRET değerlerini kopyalayın veya .env olarak kopyala düğmesine tıklayın.
3. Bu iki değeri servis container’ının ortam değişkenleri olarak ayarlayın.
4. Servis container’ını yeniden başlatın.

Bu anahtarlar Keycyte’ın kendi servisleri içindir. Sırları okuyan müşteri uygulamalarına ait anahtarlar servis kimliklerine verilir; ayrıntılar için bkz. Servis Kimlikleri.

Depolama

Depolama sayfası, Keycyte PAM sunucusundaki kullanıcı başına sanal sürücü dizinlerini (/drive) gösterir. Bu dizinler, kullanıcıların oturumlarının sanal sürücüsü üzerinden aktardığı dosyaları tutar.

Sayfayı açmak için Ayarlar > Depolama öğesini seçin.

Liste her dizinin Klasör Adı ve Klasör Boyutu değerlerini gösterir. Dosyalarını Dosya Adı ve Dosya Boyutu bilgileriyle görmek için bir dizini genişletin. Bir dizini bulmak için Ara alanına yazın.

• Tek bir dosyayı silmek için dosya satırındaki silme düğmesine tıklayın ve onaylayın.
• Bir dizindeki tüm dosyaları silmek için dizin satırındaki silme düğmesine tıklayın ve onaylayın.

Etiketler

Etiketler; sunucuları, parola kasası hesaplarını, kullanıcıları ve rolleri gruplamak ve filtrelemek için kullanılan işaretlerdir. Etiketler hiçbir şeye erişim vermez; erişim rollerle yönetilir. Etiketler sayfası, etiketlerin kullanıldığı her yerde sunulan etiket sözlüğünü yönetir.

Sayfayı açmak için Ayarlar > Etiketler öğesini seçin.

Liste her etiketi Ad, Açıklama ve Kullanım sayısıyla (etiketi taşıyan öğe sayısı veya kullanılmıyor) gösterir.

Bir etiket eklemek için:

1. Ekle düğmesine tıklayın.
2. Bir Ad girin; isteğe bağlı olarak bir Renk seçin ve bir Açıklama girin.
3. Kaydet düğmesine tıklayın.

Bir etiketi değiştirmek için satırındaki Düzenle düğmesine tıklayın.

İki etiketi birleştirmek için:

1. Kaldırılacak etiketin satırında Birleştir düğmesine tıklayın.
2. Birleştirilecek hedef etiketi seçin.
3. Birleştir düğmesine tıklayın.

İlk etiketi taşıyan tüm öğeler artık seçilen etiketi taşır ve ilk etiket silinir.

Bir etiketi silmek için satırındaki Sil düğmesine tıklayın ve onaylayın. Etiket kullanılıyorsa onay mesajı kaç öğede kullanıldığını belirtir; etiketin silinmesi onu bu öğelerin tümünden kaldırır.

Geri Dönüşüm Kutusu

Bir parola kasası hesabını sildiğinizde Keycyte PAM, geri yükleyebilmeniz için hesabı bir saklama süresi boyunca geri dönüşüm kutusunda tutar. Süre dolduğunda hesap otomatik olarak kalıcı silinir. Saklama süresi Ayarlar > Genel bölümünde belirlenir (Geri Dönüşüm Kutusu Saklama Süresi, varsayılan 30 gün).

Sayfayı açmak için Ayarlar > Geri Dönüşüm Kutusu öğesini seçin.

Liste, silinen her hesabı Ad, Kullanıcı Adı, Tip, Silen, Silinme Tarihi ve Kalan Süre (kalan gün sayısı veya Süresi doldu) bilgileriyle gösterir. Bu sayfada parola gösterilmez.

• Bir hesabı geri yüklemek için Geri Yükle düğmesine tıklayın ve onaylayın. Hesap; yöneticileri, sunucuları, rolleri ve geçmişiyle birlikte parola kasasına geri döner.
• Bir hesabı kalıcı olarak silmek için Kalıcı Sil düğmesine tıklayın ve onaylayın. Bu işlem geri alınamaz.

Yetki Profilleri

Yetki profilleri, bir ADMIN kullanıcının Yönetici Paneli’nin her modülünde neleri görebileceğini ve yapabileceğini belirler. Bir profil, modüllerden ve dört yetkiden oluşan bir matristir: Görüntüle, Ekle, Düzenle ve Sil. Profiller ADMIN kullanıcılara Kullanıcılar sayfasında atanır.

Temel kurallar:

• Her ADMIN kullanıcının en az bir yetki profili olmalıdır.
• Bir ADMIN’in birden fazla profili olduğunda yetkiler birleştirilir: herhangi bir profilin verdiği yetki verilmiş sayılır.
• MASTER kullanıcılar profillerle hiçbir zaman kısıtlanmaz.
• Bir modülün Görüntüle yetkisi, o modülün menü öğesinin ve sayfasının görünüp görünmeyeceğini belirler. Profilleri hiçbir modüle erişim vermeyen bir ADMIN, hesabın hiçbir yetkisi olmadığını belirten bir sayfa görür.
• Profiller yalnızca MASTER kullanıcılara açık sayfalara erişim veremez: Keşif, Erişim Kontrol > Komut Filtreleri ve Ayarlar menüsünün tamamı.
• Profiller bir ADMIN’in yapabileceklerini sınırlar; ADMIN’in sahiplik kapsamını genişletmez. Bir ADMIN yine yalnızca kendi yönettiği sunucuları, hesapları ve kullanıcıları görür.

Sayfayı açmak için Ayarlar > Yetki Profilleri öğesini seçin.

Modüller

Matris, menüdeki gibi gruplandırılmış şu modülleri içerir:

Matristeki tire, ilgili yetkinin o modül için uygulanmadığı anlamına gelir.

Sistem Profili

Keycyte PAM, her modülün tüm yetkilerini veren Full Admin adlı bir sistem profili oluşturur. Sistem profilleri listede Sistem olarak işaretlenir ve değiştirilemez ya da silinemez. İlk başlatmada, hiçbir yöneticinin erişimini kaybetmemesi için profili olmayan her ADMIN kullanıcıya Full Admin atanır.

Yetki Profili Oluşturma

Bir profil oluşturmak için:

1. Ekle düğmesine tıklayın.
2. Bir Ad ve isteğe bağlı olarak bir Açıklama girin.
3. Matriste yetkileri ayarlayın. Hazır bir ayardan başlamak için Salt okunur (her modülde yalnızca Görüntüle), Tam erişim (tüm yetkiler) veya Temizle (hiçbir yetki) düğmesine tıklayın. Bir modülün tüm yetkilerini tek seferde ayarlamak için Tümü sütununu kullanın.
4. Kaydet düğmesine tıklayın.

Liste her profil için kaç modülün her bir yetkiyi verdiğini ve profilin kaç kullanıcıya atandığını (Atanmış Kullanıcılar) gösterir.

Profilleri Düzenleme ve Silme

• Bir profili değiştirmek için düzenleme düğmesine tıklayın. Değişiklikler profile sahip her ADMIN’e uygulanır.
• Bir profili silmek için silme düğmesine tıklayın ve onaylayın. Kullanıcılara atanmış bir profil silinemez; önce profili bu kullanıcılardan kaldırın.

Profilleri Kullanıcılara Atama

Profiller, Kullanıcılar sayfasında kullanıcının ayarlarındaki Yetki Profilleri alanında atanır. Bu alan ADMIN kullanıcılar için zorunludur.

Secrets API

Secrets API, bir uygulamanın parolayı bir yapılandırma dosyasında veya ortam değişkeninde tutmak yerine, çalışma zamanında Keycyte PAM parola kasasından bir kimlik bilgisi okumasını sağlar. Müşteri uygulamalarına yönelik tek Keycyte PAM API’si budur; /api/ altındaki diğer uç noktalar Yönetici Paneli’ne hizmet eder ve herkese açık bir sözleşme niteliği taşımaz.

Erişimin Denetlenmesi

• Çağıran bir servis kimliğidir. Uygulama, SERVICE rolüne sahip bir Keycyte PAM kullanıcısı olarak kimlik doğrular. Yalnızca SERVICE rolüne sahip bir kullanıcı Yönetici Paneli’nde, İstemci Paneli’nde veya SSH/RDP oturumlarında oturum açamaz; bu nedenle sızdırılan bir API anahtarı etkileşimli bir oturuma dönüşemez.
• Çağıranın neyi okuyabileceğini parola rolleri belirler. Bir servis kimliği, parola rollerinin verdiği hesapları, bu rollerin zaman penceresi dahil olmak üzere birebir görür. Ayrı bir yetki modeli ve MASTER kısayolu yoktur.
• Her çağrıda tek sır. Toplu okuma yoktur. Hesap listesi yalnızca meta verileri döndürür, hiçbir zaman sır değerlerini döndürmez.
• Salt okunur. API hesap oluşturamaz, değiştiremez, parolasını döndüremez veya doğrulayamaz; kişisel (özel) kasaları veya parola geçmişini okuyamaz.

Servis kimliği oluşturma ve API anahtarlarını verme hakkında bilgi için bkz. Servis Kimlikleri. Servis kimliğine hesap erişimi vermek için onu parola rollerine ekleyin; bkz. Parola Rolleri.

Kimlik Doğrulama

Her istek, servis kimliğine verilmiş bir API anahtarının anahtar kimliği ve gizli anahtarı kullanılarak HMAC-SHA256 HTTP imzasıyla imzalanır.

• İstek bir Date başlığı ve bir Authorization: Signature ... başlığı taşır.
• İmza, istek yöntemini ve yolunu ((request-target)) ve Date başlığını kapsar; bu nedenle imzalanmış bir istek başka bir uç noktaya karşı yeniden oynatılamaz.
• Date başlığı, sunucu saatinden en fazla yaklaşık 300 saniye farklı olmalıdır. Çağıran ana bilgisayarın saatini NTP ile eşitlenmiş tutun.
• Yalnızca hmac-sha256 kabul edilir.
• Bir anahtar, istemci IP adresleri listesiyle sınırlandırılabilir ve bir son kullanma tarihine sahip olabilir; bu tarih herhangi bir ek süre tanınmadan uygulanır.

Başlığın tam biçimi Secrets API Başvurusu konusunda açıklanmıştır.

Denetim

Her çağrı, başarılı veya reddedilmiş olsun, çağıran anahtar kimliği, hesap ve varsa çağıranın gönderdiği reason metniyle birlikte Sistem günlüğüne yazılır. Sır değerleri hiçbir zaman günlüğe yazılmaz.

Entegrasyon Dosyaları

Yönetici Paneli’nde bir servis kimliğinin API Anahtarları iletişim kutusu, Keycyte PAM sunucunuz tarafından sunulan bir entegrasyon kılavuzuna (/admin/docs/secrets-api.html) ve OpenAPI belirtimine (/admin/docs/secrets-api.yaml) bağlantı verir.

Secrets API Başvurusu

Bu başvuru, Secrets API’nin (sürüm 1.0.0) iki uç noktasını, istek imzasını ve hata yanıtlarını açıklar. Tüm istekler HTTPS üzerinden Keycyte PAM sunucunuza gider; örneğin https://pam.example.com.

İstek İmzası

Her istek iki başlık gerektirir ve her ikisinin de imzada listelenmesi gerekir:

Date: Sat, 30 Aug 2026 17:04:47 GMT
Authorization: Signature keyId="<key-id>",algorithm="hmac-sha256",headers="(request-target) date",signature="<base64-signature>"

İmza, imzalama dizesinin gizli anahtarla hesaplanmış HMAC-SHA256 değerinin Base64 kodlamasıdır. İmzalama dizesi, listelenen başlıkları yeni satır karakteriyle (\n) birleştirir:

(request-target): post /api/secrets/fetch
date: Sat, 30 Aug 2026 17:04:47 GMT

• (request-target) içindeki yöntem küçük harfle yazılır; yol, varsa sorgu dizesi dahil tam yoldur.
• Yalnızca hmac-sha256 kabul edilir; RSA ve ECDSA reddedilir.
• Date, sunucu saatinden en fazla yaklaşık 300 saniye farklı olmalıdır.

GET /api/secrets/accounts

Çağıranın kapsamındaki tüm hesapları önce name, ardından accountId değerine göre sıralanmış olarak döndürür. Sayısal kimlikleri koda sabit yazmak yerine hesapları adlarına göre bulmak için bu uç noktayı kullanın. Liste aynı zamanda anahtarın kesin sınırıdır: anahtar sızdırılırsa nelerin açığa çıkacağını gösterir.

Yanıt hiçbir zaman password, privatekey veya passphrase içermez.

Yanıt 200

accounts içindeki her girdi:

Boş liste olağan bir sonuçtur: kimliğin hiçbir parola rolü yoktur veya rollerinin hiçbiri şu anda zaman penceresi içinde değildir.

{
  "accounts": [
    { "accountId": 6365, "name": "app-db", "username": "appuser", "type": "mysql" }
  ],
  "count": 1
}

POST /api/secrets/fetch

Bir hesabın tek bir sır değerini döndürür. Hesap, erişim günlüklerinde görünmemesi için URL’de değil istek gövdesinde belirtilir.

İstek gövdesi

accountId veya name alanlarından tam olarak birini gönderin.

Yanıt 200

Hata Yanıtları

Örnek

Aşağıdaki kabuk betiği app-db adlı hesabın parolasını okur. Yer tutucuları kendi değerlerinizle değiştirin.

KEY_ID="<key-id>"
KEY_SECRET="<key-secret>"
HOST="pam.example.com"
PATH_="/api/secrets/fetch"
DATE="$(LC_ALL=C date -u '+%a, %d %b %Y %H:%M:%S GMT')"

SIGNING_STRING="$(printf '(request-target): post %s\ndate: %s' "$PATH_" "$DATE")"
SIGNATURE="$(printf '%s' "$SIGNING_STRING" | openssl dgst -sha256 -hmac "$KEY_SECRET" -binary | base64)"

curl -s "https://$HOST$PATH_" \
  -H "Date: $DATE" \
  -H "Authorization: Signature keyId=\"$KEY_ID\",algorithm=\"hmac-sha256\",headers=\"(request-target) date\",signature=\"$SIGNATURE\"" \
  -H "Content-Type: application/json" \
  -d '{"name": "app-db", "field": "password", "reason": "nightly backup job"}'

Başarılı bir çağrı şunu döndürür:

{ "accountId": 6365, "field": "password", "value": "<secret-value>" }

HMAC anahtarı, anahtar verildiğinde gösterildiği şekliyle gizli anahtarın kendisidir (kod çözülmeden, metin dizesi olarak kullanılır).