Keycyte PAM 3.2 · Yönetici Kılavuzu
Doğrulama Kaynaklarını Yapılandırma
Keycyte PAM, yerel kullanıcıların yanı sıra kullanıcıları dizin servislerine ve kimlik sağlayıcılarına karşı da doğrulayabilir. Doğrulama sayfası bu kaynakları yapılandırır:
- LDAP Yapılandırması: Bir veya daha fazla LDAP ya da Active Directory etki alanı.
- RADIUS Yapılandırması: Keycyte PAM’ın istemci olarak sorguladığı harici bir RADIUS sunucusu.
- Entra ID Yapılandırması: Microsoft Entra ID ile oturum açma.
Bir kullanıcı parolayla oturum açtığında Keycyte PAM kaynakları şu sırayla dener: yerel kullanıcılar, RADIUS, LDAP/Active Directory.
Sayfayı açmak için Ayarlar > Doğrulama öğesini seçin.
LDAP Yapılandırması
Her LDAP yapılandırması bir etki alanını tanımlar. Keycyte PAM bu yapılandırmayı etki alanı kullanıcılarını doğrulamak, MFA için kullanıcıların e-posta adresini ve telefon numarasını bulmak, rollerde yetkilendirme yaparken kullanıcıları ve grupları aramak ve Active Directory keşfinin kaynağı olarak kullanır.
LDAP Yapılandırması Ekleme
Bir etki alanı eklemek için:
-
LDAP Yapılandırması kartında Ekle düğmesine tıklayın. Ldap Kimlik Bilgileri iletişim kutusu açılır.
-
Aşağıdaki ayarları belirtin:
Alan Açıklama Ldap Adres Etki alanı denetleyicisinin ana bilgisayar adı veya IP adresi; örneğin dc01.example.com.Ldap Port LDAP için 389(varsayılan), LDAPS için genellikle636.Kullanıcı Adı Keycyte PAM’ın dizinde arama yapmak için kullandığı bağlantı (bind) hesabı. Parola Bağlantı hesabının parolası. Kaydedilmiş bir yapılandırmayı düzenlerken mevcut parolayı korumak için alanı boş bırakın. DNS Son Eki Etki alanının DNS adı; örneğin example.com. Kullanıcılaruser@example.combiçiminde oturum açabilir.Dizin Kullanıcı aramaları için temel DN; örneğin DC=example,DC=com.Grup Dizini Grup aramaları için temel DN. Giriş Alanı Oturum açma adını tutan öznitelik. Varsayılan: sAMAccountName.Mail Alanı E-posta adresini tutan öznitelik. Varsayılan: mail.Telefon Alanı Telefon numarasını tutan öznitelik. Varsayılan: telephoneNumber.SSL LDAPS üzerinden bağlanır. Ana Bu etki alanını varsayılan olarak işaretler. Etki alanı son eki olmadan oturum açan kullanıcılar ana etki alanına karşı doğrulanır. -
Kaydet düğmesine tıklayın.
Bağlantıyı denetlemek için yapılandırmanın satırındaki test düğmesine tıklayın.
Not
Yalnızca bir LDAP yapılandırması varsa, Ana seçili olmasa bile bu yapılandırma etki alanı son eki olmayan kullanıcılar için kullanılır. Birden fazla yapılandırma varsa ve hiçbiri ana olarak işaretlenmemişse bu kullanıcıların user@domain biçiminde oturum açması gerekir.
LDAPS için CA Sertifikası Ekleme
SSL seçildiğinde Keycyte PAM’ın etki alanı denetleyicisinin sertifikasına güvenmesi gerekir. Sertifikayı sunucudan otomatik olarak içe aktarabilir veya yükleyebilirsiniz.
Bir sertifika eklemek için:
- Yapılandırmanın satırında sertifika (kilit) düğmesine tıklayın. Sertifikalar iletişim kutusu açılır.
- Aşağıdakilerden birini yapın:
- Otomatik Keşif sekmesinde Sertifikaları Keşfet düğmesine tıklayın. Keycyte PAM sunucuya bağlanır ve zincirindeki sertifikaları konu, veren ve geçerlilik tarihi bilgileriyle listeler; güvenilmesi gereken sertifika Önerilen olarak işaretlenir. Satırındaki güven (kalkan simgeli) düğmeye tıklayın. Önce bir sertifikayı incelemek için PEM içeriğini görüntüleyen (dosya simgeli) düğmeye tıklayın.
- Manuel Yükleme sekmesinde bir Takma Ad girin, İçe Aktar düğmesine tıklayıp sertifika dosyasını (
.pem,.crtveya.cer) seçin, ardından Yükle düğmesine tıklayın.
- Çıkış düğmesine tıklayın.
RADIUS Yapılandırması
RADIUS yapılandırmasıyla Keycyte PAM, oturum açma isteklerini harici bir RADIUS sunucusuna, örneğin mevcut bir MFA sunucusuna iletir.
| Alan | Açıklama |
|---|---|
| Etkin | RADIUS kimlik doğrulamasını açar. |
| Sunucu | RADIUS sunucusunun adresi. |
| Kimlik Doğrulama Port | Kimlik doğrulama portu. Varsayılan: 1812. |
| Kimlik Doğrulama Protokolü | PAP (varsayılan), CHAP, MSCHAP veya MSCHAPv2. |
| Paylaşılan Anahtar | RADIUS sunucusuyla paylaşılan gizli anahtar. Mevcut anahtarı korumak için boş bırakın. |
| Zaman Aşımı | Yanıt için beklenecek saniye. Varsayılan: 5. |
Ayarları uygulamak için Kaydet düğmesine tıklayın.
Bağlantıyı test etmek için:
- Test düğmesine tıklayın. RADIUS Test iletişim kutusu açılır.
- Bir Kullanıcı Adı ve Parola girin ve Test düğmesine tıklayın.
- RADIUS sunucusu ikinci bir faktör isterse MFA Kodu alanına kodu girin ve Doğrula düğmesine tıklayın.
Sonuç iletişim kutusunda görünür.
Not
Bu kart Keycyte PAM’ı bir RADIUS istemcisi olarak yapılandırır. Ağ cihazlarının Keycyte PAM’a karşı kimlik doğrulaması yapmasını sağlamak için bkz. RADIUS Sunucusunu Yapılandırma.
Entra ID Yapılandırması
Entra ID ile kullanıcılar Keycyte PAM’da Microsoft hesaplarıyla oturum açar.
Başlamadan önce Microsoft Entra ID’de bir uygulama kaydedin ve https://<your-keycyte-host>/sso/entra/callback yönlendirme URI’sini ekleyin; örneğin https://pam.example.com/sso/entra/callback. Uygulama için bir istemci gizli anahtarı oluşturun.
| Alan | Açıklama |
|---|---|
| Etkin | Entra ID ile oturum açmayı açar. |
| Tenant ID | Entra ID kiracınızın dizin (tenant) kimliği. |
| Client ID | Kaydedilen uygulamanın uygulama (client) kimliği. |
| Client Secret | Uygulamanın istemci gizli anahtarı. Mevcut anahtarı korumak için boş bırakın. |
| Scope | İstenen izinler. Varsayılan: openid profile email User.Read. |
| SSL Doğrulamayı Atla | Microsoft bağlantısında sertifika doğrulamasını atlar. |
Yapılandırmayı denetlemek için Test düğmesine, ardından Kaydet düğmesine tıklayın. Yapılandırmayı kaldırmak için karttaki silme düğmesine tıklayın.
Bir kullanıcı Entra ID ile ilk kez oturum açtığında Keycyte PAM otomatik olarak bir Entra ID kullanıcısı oluşturur; ancak bu yalnızca kullanıcı veya kullanıcının gruplarından biri bir sunucu rolünde ya da parola rolünde yetkilendirilmişse gerçekleşir. Aksi hâlde oturum açma reddedilir ve Erişim günlüğüne kaydedilir.
Uyarı
SSL Doğrulamayı Atla seçeneğini yalnızca sorun giderme için kullanın. Sertifika doğrulaması olmadan kimlik sağlayıcıya yapılan bağlantı ele geçirilebilir.