Bu Kılavuz Hakkında

Bu kılavuz, Keycyte PAM’in nasıl planlanacağını, kurulacağını ve yapılandırılacağını; nasıl yükseltileceğini ve yedekleneceğini anlatır.

Kılavuz Keycyte PAM 3.2 için geçerlidir. Keycyte PAM, bir Linux sunucusunda Docker Compose ile başlatılan bir dizi Docker kapsayıcısı (container) olarak çalışır.

Hedef Kitle

Kılavuz, Keycyte PAM’i kuran ve işleten sistem yöneticileri ile BT mühendisleri için hazırlanmıştır. Linux yönetimi, Docker, TLS sertifikaları ve kendi ağ ortamınız hakkında bilgi sahibi olmanız beklenir.

İçindekiler

Gösterim Kuralları

Mimari

Bir Keycyte PAM kurulumu, tek bir Linux sunucusunda çalışan ve Docker Compose ile başlatılıp yönetilen bir dizi Docker kapsayıcısından (container) oluşur. Merkezi bileşen PAM sunucusudur: web arayüzlerini sunar, yapılandırmayı PostgreSQL’de saklar, rolleri ve politikaları uygular ve tüm ayrıcalıklı oturumları denetler. Diğer bileşenler belirli protokolleri ya da görevleri üstlenir ve PAM sunucusuyla dahili bir Docker ağı üzerinden iletişim kurar.

Kullanıcılar hedef hesapların parolalarını hiçbir zaman görmez. Kullanıcı Keycyte PAM’e bağlanır; hedef sistemle bağlantıyı Keycyte PAM, Parola Kasası’nda saklanan kimlik bilgisiyle açar.

Bu Bölümde

Bileşenler

Bir Keycyte PAM kurulumu, aşağıda açıklanan kapsayıcılardan (container) oluşur. Tüm kapsayıcılar tek bir dahili Docker köprü ağına (keycyte-net) bağlıdır ve birbirlerine hizmet adıyla erişir. Ana makinenin dışından yalnızca yayımlanmış olarak listelenen portlara erişilebilir.

Bileşenlere Genel Bakış

PAM Sunucusu

PAM sunucusu (pam kapsayıcısı), Keycyte PAM’in çekirdeğidir. PAM sunucusu:

• İstemci Paneli’ni (https://<pam-address>/ adresinde) ve Yönetici Paneli’ni (https://<pam-address>/admin adresinde) 443 numaralı port üzerinden HTTPS ile sunar;
• tüm verileri PostgreSQL veritabanında saklar ve başlangıçta veritabanı şemasını oluşturur ya da günceller;
• gizli bilgileri (kasa parolaları, anahtarlar, sağlayıcı kimlik bilgileri, yedekler ve oturum kayıtları) ortamında tanımlı şifreleme anahtarıyla şifreler;
• kullanıcıların kimliğini doğrular (yerel, LDAP/Active Directory, RADIUS, Microsoft Entra ID) ve MFA’yı, rolleri ve erişim politikalarını uygular;
• oturumları denetler: bağlantıyı açması için ağ geçidine, SSH proxy’ye ya da RDP proxy’ye istek gönderir, oturumu kaydeder ve denetim günlüklerini yazar;
• zamanlanmış işleri çalıştırır: parola rotasyonu, zamanlanmış raporlar ve zamanlanmış yedeklemeler (yalnızca ana düğümde; bkz. Yüksek Erişilebilirlik);
• kapsayıcıya salt okunur olarak bağlanan Docker soketi aracılığıyla diğer kapsayıcıları Ayarlar > Servisler sayfasında listeler ve yönetir.

SSH Proxy

SSH proxy (ssh-proxy kapsayıcısı) SSH trafiğini işler:

• Yerel SSH istemcileri SSH proxy’ye 2222 numaralı port üzerinden bağlanır. SSH proxy, kullanıcının istenen hesabı kullanıp kullanamayacağını PAM sunucusuna sorar ve ardından hedef sistemle SSH bağlantısını açar.
• İstemci Paneli’nde açılan web terminali (SSH) ve SFTP oturumları, PAM sunucusu tarafından dahili ağ üzerinden SSH proxy’ye aktarılır (WebSocket, ağ içinde 8443 numaralı port).

SSH proxy, SSH oturum kayıtlarını kayıt dizinine yazar.

RDP Proxy

RDP proxy (rdp-proxy kapsayıcısı), yerel RDP istemcilerinden gelen bağlantıları 3389 numaralı port üzerinden kabul eder (kapsayıcı içinde 13389 numaralı port). Kullanıcı yerel bir istemciyle bağlanmayı seçtiğinde PAM sunucusu, tek kullanımlık bir bağlantı belirtecini ve kimlik bilgilerini RDP proxy’ye iletir ve kullanıcıya bir .rdp dosyası verir. Ardından RDP proxy, hedef sistemle RDP bağlantısını açar.

Ağ Geçidi (guacd)

Ağ geçidi (guacd kapsayıcısı) bir Apache Guacamole proxy hizmetidir (daemon). PAM sunucusu, tarayıcıda çalışan oturumlar için ağ geçidini ağ içindeki 4822 numaralı port üzerinden kullanır: RDP, VNC, Telnet, Kubernetes, RemoteApp, web uygulaması ve üçüncü taraf uygulama oturumları. Ağ geçidi, dosya aktarım dizinine (/drive) ve kayıt dizinine erişebilir.

Parola Yöneticisi

Parola Yöneticisi hizmeti (password-manager kapsayıcısı), hedef sistemlerdeki parolaları değiştirir ve doğrular; örneğin Windows yerel hesapları ve Active Directory hesapları. PAM sunucusu, elle ve zamanlanmış parola değişiklikleri sırasında bu hizmeti ağ içindeki 1453 numaralı port üzerinden çağırır. Parola Yöneticisi, LDAP CA dosyasını paylaşılan uygulama dizininden okur.

RADIUS Sunucusu

RADIUS sunucusu (radius kapsayıcısı) 1812/udp portunu dinler. RADIUS istemcilerinin (örneğin ağ cihazları ya da VPN ağ geçitleri) kimliğini, PAM sunucusunun dahili API’sini çağırarak Keycyte PAM kullanıcılarına karşı doğrular. Ayarları Yönetici Paneli’nde Ayarlar > Radius Sunucu sayfasında yönetilir.

TACACS+ Sunucusu

TACACS+ sunucusu (tacacs kapsayıcısı) 49/tcp portunu dinler. Ağ cihazı yöneticilerinin kimliğini Keycyte PAM’e karşı doğrular, yetkilendirme kararlarını döndürür ve hesap kayıtlarını (accounting) PAM sunucusuna gönderir. Ayarları Yönetici Paneli’nde Ayarlar > TACACS+ Sunucu sayfasında yönetilir.

Veritabanı

PostgreSQL veritabanı (postgres kapsayıcısı, PostgreSQL 17) tüm Keycyte PAM verilerini saklar. Veriler postgres-data Docker biriminde (volume) tutulur. Veritabanı portu ana makinede yayımlanmaz; veritabanına yalnızca dahili ağdaki kapsayıcılar erişebilir.

Ana Makine Dizinleri

Kurulum betiği, kendisini çalıştıran kullanıcının ana dizininde üç dizin oluşturur ve bunları kapsayıcılara bağlar:

Bağlantı Yolları

Kullanıcılar hedef sistemlere Keycyte PAM üzerinden üç yoldan biriyle erişir. Her durumda kullanıcı Keycyte PAM’de kimlik doğrular, Keycyte PAM kullanıcının rollerini ve politikalarını denetler ve hedef sistemle bağlantıyı, Parola Kasası’ndaki kimlik bilgisiyle bir Keycyte PAM bileşeni açar.

Tarayıcı Oturumları

Tarayıcı oturumları için istemci yazılımı gerekmez. Kullanıcı İstemci Paneli’nde bir sunucu açar ve oturum bir tarayıcı sekmesinde çalışır.

1. Tarayıcı, PAM sunucusuna 443 numaralı port üzerinden HTTPS ile bağlanır.
2. Kullanıcı bir sunucu ve bir hesap seçer. PAM sunucusu rolleri, MFA ve onay gereksinimlerini denetler.
3. PAM sunucusu tarayıcıdan bir WebSocket açar ve hedef sisteme bağlanır:
   • RDP, VNC, Telnet, Kubernetes, RemoteApp, web uygulaması ve üçüncü taraf uygulama oturumlarında PAM sunucusu, hedefe bağlanması için ağ geçidine (guacd, dahili ağda 4822 numaralı port) istek gönderir. Ağ geçidi, hedef sisteme sunucu için yapılandırılan port üzerinden bağlanır.
   • SSH terminali ve SFTP oturumlarında PAM sunucusu, WebSocket’i SSH proxy’ye (dahili ağda 8443 numaralı port) aktarır. SSH proxy, hedef sisteme SSH ile bağlanır.
4. Sunucu rolü gerektiriyorsa PAM sunucusu oturumu kaydeder.

Web uygulaması ve üçüncü taraf uygulama oturumları bir atlama sunucusunda (jump server) çalışır: ağ geçidi, Ayarlar > Bağlantı sayfasında yapılandırılan atlama sunucusuna bir RDP oturumu açar ve uygulama orada başlatılır.

Yerel SSH İstemcileri

Kendi SSH istemcisini kullanmayı tercih eden kullanıcılar, SSH proxy’ye 2222 numaralı port üzerinden bağlanır. İstemci Paneli, kopyalanacak komutu aşağıdaki biçimde gösterir:

ssh <vault_id>@<server_id>@<pam_user>@pam.example.com -p 2222

1. SSH istemcisi, SSH proxy’ye 2222 numaralı port üzerinden bağlanır ve kullanıcının kimliği doğrulanır.
2. SSH proxy, kullanıcının istenen sunucuda istenen hesabı kullanıp kullanamayacağını dahili API üzerinden PAM sunucusuna sorar. İstek, SSH proxy’nin erişim anahtarıyla imzalanır (bkz. Hizmet Erişim Anahtarları).
3. SSH proxy, hedef sisteme kasadaki kimlik bilgisiyle bağlanır ve gerekiyorsa oturumu kaydeder.

Yerel RDP İstemcileri

Yerel RDP erişimi için RDP proxy gerekir (bkz. Bileşenler).

1. Kullanıcı İstemci Paneli’nde bir sunucu ve bir hesap seçer ve yerel bir RDP istemcisiyle bağlanmayı seçer.
2. PAM sunucusu, tek kullanımlık bir bağlantı belirtecini ve kimlik bilgilerini, RDP proxy erişim anahtarıyla imzalayarak dahili ağ üzerinden RDP proxy’ye iletir.
3. Kullanıcı bir .rdp dosyası ve tek kullanımlık bir parola alır. .rdp dosyası, KEYCYTE_RDP_PROXY_PUBLIC_ADDRESS değişkeninde tanımlı olan RDP proxy genel adresini gösterir.
4. RDP istemcisi, RDP proxy’ye 3389 numaralı port üzerinden bağlanır. RDP proxy belirteci doğrular ve hedef sistemle RDP bağlantısını açar.

Belirtecin geçerlilik süresi varsayılan olarak 120 saniyedir (KEYCYTE_RDP_LAUNCH_TOKEN_TTL_SECS). Yerel RDP ile başlatma, RDP proxy URL’si, genel adresi ve erişim anahtarı yapılandırıldığında etkinleşir.

Hizmetler Arası Trafik

Kullanıcı bağlantılarının yanı sıra bileşenler dahili ağ üzerinden birbirleriyle de iletişim kurar:

Planlama ve Hazırlık

Keycyte PAM’i kurmadan önce sistem gereksinimlerini karşılayan bir Linux sunucusu hazırlayın, gerekli ağ portlarını açın, TLS sertifika dosyalarını edinin ve lisansı planlayın.

Bu Bölümde

Sistem Gereksinimleri

Keycyte PAM, tüm bileşenlerini tek bir Linux sunucusunda Docker kapsayıcıları (container) olarak çalıştırır. Keycyte PAM’i kurmadan önce sunucunun aşağıdaki gereksinimleri karşıladığından emin olun.

Donanım

Disk; kapsayıcı imajlarını, PostgreSQL veritabanı birimini, oturum kayıtlarını (~/record), aktarılan dosyaları (~/drive) ve yerel yedek dosyalarını (~/keycyte/backups) barındırır. En fazla alanı genellikle oturum kayıtları kaplar. Çok sayıda oturum kaydediyor ya da kayıtları uzun süre saklıyorsanız ~/record için ek disk alanı planlayın.

İşletim Sistemi

• Docker Engine tarafından desteklenen 64 bit bir Linux dağıtımı.
• bash, sudo ve standart GNU araçları (tar, getent, timeout). Kurulum betiği bir bash betiğidir ve sudo ile çalıştırılmalıdır.

Docker

Kurulum betiği, başka bir işlem yapmadan önce her ikisini de denetler. Docker Engine’i ve Compose eklentisini kurmak için Docker belgelerine bakın: https://docs.docker.com/engine/install/ ve https://docs.docker.com/compose/install/.

Sunucuda bir docker grubu bulunmalıdır. Kurulum betiği bu grubun kimliğini okur ve PAM sunucusuna, Ayarlar > Servisler sayfasının kullandığı Docker soketine salt okunur erişim verir.

Saat Dilimi ve DNS

• Kapsayıcılar, kurulum paketinin .env dosyasındaki TZ değişkeninde tanımlı saat dilimini kullanır.
• Kapsayıcılar, kurulum sırasında girdiğiniz DNS sunucularını kullanır. Bu sunucular hedef sistemlerinizin, dizin sunucularınızın ve posta sunucunuzun adlarını çözümleyebilmelidir.

Tarayıcılar

Kullanıcılar Keycyte PAM ile bir web tarayıcısında çalışır; tarayıcı oturumları için istemci yazılımı gerekmez. Google Chrome, Microsoft Edge, Mozilla Firefox ya da Apple Safari’nin güncel bir sürümünü kullanın.

Ağ Portları

Kullanıcılar, ağ cihazları, hedef sistemler ve Keycyte PAM sunucusu arasındaki güvenlik duvarlarında aşağıdaki portları açın.

Gelen Portlar

Bu portlar Keycyte PAM sunucusunda yayımlanır.

Giden Portlar

Bu bağlantılar Keycyte PAM sunucusundan başlatılır. Kesin portlar ortamınıza ve her sunucu için yapılandırılan porta bağlıdır.

Dahili Portlar

Bu portlar yalnızca dahili Docker ağı keycyte-net üzerinde kullanılır ve sunucuda yayımlanmaz. Güvenlik duvarında açmanız gerekmez.

Sertifikalar

Keycyte PAM, web arayüzlerini yalnızca HTTPS üzerinden sunar ve LDAP dizinlerine TLS üzerinden bağlanır. Kurulum betiğini çalıştırmadan önce aşağıdaki dosyaları hazırlayın ve kurulum paketi klasörüne yerleştirin.

Kurulum betiği dosyaları, PAM sunucusuna /app olarak bağlanan ~/keycyte dizinine kopyalar. Kopyalamadan sonra localhost.p12 ya da cacerts.pem eksikse uyarı verir.

HTTPS Sertifikası

PAM sunucusu, başlangıçta HTTPS sertifikasını aşağıdaki sırayla yükler:

1. Bir MASTER yöneticisinin Yönetici Paneli’nde Ayarlar > Web TLS Sertifikası sayfasında uyguladığı sertifika. Bu sertifika veritabanında saklanır.
2. KEYCYTE_SERVER_TLS_KEYSTORE değişkenindeki PKCS#12 anahtar deposu (kurulum paketinde: /app/localhost.p12); KEYCYTE_SERVER_TLS_PASSWORD değişkenindeki parolayla açılır.
3. PAM sunucusunun her başlangıçta ürettiği geçici, kendinden imzalı bir sertifika. Tarayıcılar bu sertifika için güven uyarısı gösterir.

Üçüncü düzey, yapılandırılan sertifika eksik, süresi dolmuş ya da bozuk olsa bile PAM sunucusunun HTTPS üzerinden dinlemeye başlamasını sağlar. Bu durumda oturum açıp tarayıcı uyarısını kabul ederek geçerli bir sertifika yükleyebilirsiniz.

localhost.p12 anahtar deposu, yalnızca Yönetici Paneli’nde bir sertifika uygulanana kadar kullanılır. Kurulumdan sonra HTTPS sertifikasını Ayarlar > Web TLS Sertifikası sayfasında yönetin. Bkz. Web TLS Sertifikasını Yapılandırma.

HTTPS Sertifikası Gereksinimleri

Sertifikayı aşağıdaki koşulları sağlayacak şekilde planlayın:

• kullanıcıların tarayıcıya yazdığı DNS adı (örneğin pam.example.com) için düzenlenmiş olmalıdır;
• en az 2048 bit RSA anahtarı ya da P-256 veya P-384 eğrisinde ECDSA anahtarı kullanmalıdır;
• kullanıcı iş istasyonlarının güvendiği bir CA tarafından, varsa ara sertifikalarla birlikte düzenlenmiş olmalıdır.

Tarayıcılar Ed25519, DSA ve ECDSA P-521 anahtarlarıyla TLS el sıkışmasını tamamlayamadığı için Keycyte PAM bu anahtarları kabul etmez.

LDAP CA Dosyası

cacerts.pem, LDAPS ya da StartTLS üzerinden LDAP sunucularını doğrulamak için kullanılan CA sertifikalarını içerir. Dosyanın yolu, kurulum paketinin .env dosyasındaki LDAP_CA_CERT değişkeninde tanımlıdır (/app/cacerts.pem). PAM sunucusu bu sertifikaları sistem CA deposuna ekler.

LDAP sunucu sertifikalarını daha sonra, bir dizin bağlantısını yapılandırırken Yönetici Paneli’nden de ekleyebilirsiniz. Bkz. Yönetici Kılavuzu, Ayarlar > Doğrulama bölümü.

Lisanslama

Geçerli bir lisans zorunludur.

Keycyte PAM lisans anahtarı belirli bir sistem için düzenlenir. Kurulu sistemde bir Gizli Anahtar oluşturur, bunu Keycyte’a gönderir ve Yönetici Paneli’ne gireceğiniz bir lisans anahtarı alırsınız. Adımlar Lisansı Etkinleştirme konusunda açıklanmıştır.

Lisansın Sisteme Bağlanması

Ayarlar > Lisans sayfasında gösterilen Gizli Anahtar, PAM sunucusunun çalıştığı sistemi tanımlar. Anahtar aşağıdaki değerlerden hesaplanır:

• PAM sunucusu kapsayıcısının ana bilgisayar adı (hostname);
• PAM sunucusunun işletim sistemi ve CPU mimarisi;
• PAM sunucusunun kullanabildiği CPU sayısı.

Bir lisans anahtarını kaydettiğinizde Keycyte PAM, anahtarın aynı değerler için oluşturulup oluşturulmadığını denetler. Oluşturulmamışsa anahtar license key not generated for this system iletisiyle reddedilir.

Lisans Alanları

Bir lisans anahtarı kaydedildikten sonra Ayarlar > Lisans sayfası aşağıdaki alanları gösterir:

Lisanslı Özellikler

Lisans anahtarı ayrıca aşağıdaki özellikler için bayraklar taşır. Her bayrak anahtarda etkin ya da devre dışıdır.

Kullanıcı sayısını ya da lisanslı özellikleri değiştirmek için Keycyte ile iletişime geçin. Size, mevcut lisansın yerini alan yeni bir lisans anahtarı iletilir.

Kurulum

Keycyte PAM; kapsayıcı (container) imajlarını, bir Docker Compose dosyasını, bir ortam dosyasını ve bir kurulum betiğini içeren bir kurulum paketi olarak teslim edilir. Kurulum betiği imajları yükler, DNS sunucularını sorar, ana makine dizinlerini hazırlar, kapsayıcıları başlatır ve ilk yönetici hesabını oluşturur.

Keycyte PAM’i kurmak için aşağıdaki adımları sırasıyla tamamlayın:

1. Kurulum paketini hazırlayın: paketi sunucuya kopyalayın ve sertifika dosyalarını ekleyin.
2. Kurulum betiğini çalıştırın.
3. master hesabıyla ilk kez oturum açın ve hesabın parolasını değiştirin.

Kurulumdan sonra İlk Yapılandırma ile devam edin.

Başlamadan Önce

• Sunucu sistem gereksinimlerini karşılıyor; Docker Engine ve Docker Compose v2 kurulu.
• Gerekli portlar açık.
• localhost.p12 ve cacerts.pem sertifika dosyaları elinizde.
• Sunucuda sudo ile komut çalıştırabilen bir hesabınız var.

Kurulum Paketini Hazırlama

Kurulum betiğini çalıştırmadan önce kurulum paketini Keycyte PAM sunucusuna kopyalayın ve sertifika dosyalarını pakete ekleyin.

Paket İçeriği

Kurulum paketi, aşağıdaki dosyaları içeren tek bir klasördür:

Paketi Hazırlama

Kurulum paketini hazırlamak için:

1. Kurulum paketi klasörünü Keycyte PAM sunucusuna kopyalayın; örneğin kurulum betiğini çalıştıracak kullanıcının ana dizinine.

   Ana makine dizinleri (~/keycyte, ~/drive, ~/record), root kullanıcısının değil, sudo ./install.sh komutunu çalıştıran kullanıcının ana dizininde oluşturulur.

2. Sertifika dosyalarını paket klasörüne, install.sh dosyasının yanına kopyalayın:

   • localhost.p12 — HTTPS için PKCS#12 anahtar deposu (teslim edilen dosya yerine kendi dosyanızı kullanıyorsanız);
   • cacerts.pem — TLS üzerinden LDAP için CA sertifikaları;
   • keycyte-ca.crt — isteğe bağlı.

   Ayrıntılar için bkz. Sertifikalar.

3. Kendi localhost.p12 dosyanızı kullanıyorsanız parolasının .env dosyasındaki anahtar deposu parolasıyla (TLS_KEYSTORE_PASSWORD) eşleştiğinden emin olun.

4. .env dosyasındaki saat dilimini (TZ) denetleyin; örneğin TZ=Europe/Istanbul.

5. Sunucunun internet erişimi yoksa PostgreSQL imajını sunucuya yükleyin:

   docker load -i postgres-17.tar

   İmaj postgres:17 olarak kullanılabilir olmalıdır. Arşivi, internet erişimi olan bir makinede docker pull postgres:17 ve docker save -o postgres-17.tar postgres:17 komutlarıyla oluşturabilirsiniz.

6. Kurulum betiğini çalıştırılabilir yapın:

   chmod +x install.sh

Paket hazırdır. Kurulum Betiğini Çalıştırma ile devam edin.

Kurulum Betiğini Çalıştırma

install.sh kurulum betiği, Keycyte PAM’i hazırlanan kurulum paketinden sunucuya kurar. Betik bir bash betiğidir ve paket klasöründen sudo ile çalıştırılmalıdır.

Başlamadan Önce

• Kurulum paketini Kurulum Paketini Hazırlama konusunda anlatıldığı gibi hazırlayın.
• Kapsayıcıların (container) kullanacağı birincil DNS sunucusunun ve isteğe bağlı olarak ikincil DNS sunucusunun IP adresini belirleyin.

Kurulum Betiği Seçenekleri

Kurulum Betiğinin Yaptıkları

Kurulum betiği aşağıdaki adımları çalıştırır:

1. Ön koşullar. Docker’ın kurulu olduğunu, Docker hizmetinin (daemon) çalıştığını ve erişilebilir olduğunu, Docker Compose’un kullanılabildiğini denetler. keycyte-pam.tar.gz, docker-compose.yml ve .env dosyalarının paket klasöründe bulunduğunu denetler.
2. İmajlar. keycyte-pam.tar.gz arşivini açar ve içindeki her imajı docker load ile yükler. Ardından keycyte-pam:latest, keycyte-ssh-proxy:latest, keycyte-password-manager:latest, keycyte-radius-server:latest ve guacamole/guacd:latest imajlarının bulunduğunu denetler. Bu denetim --skip-load ile de çalışır.
3. DNS. Birincil ve ikincil DNS sunucularını sorar ve .env dosyasına yazar (PRIMARY_DNS, SECONDARY_DNS).
4. Docker grubu. PAM sunucusunun Docker soketini okuyabilmesi için sunucudaki docker grubunun kimliğini bulur ve .env dosyasına yazar (DOCKER_GID).
5. Ana makine dizinleri. sudo komutunu çalıştıran kullanıcının ana dizininde ~/keycyte, ~/drive ve ~/record dizinlerini oluşturur, bu kullanıcıyı dizinlerin sahibi yapar ve yolları ile kullanıcı ve grup kimliklerini .env dosyasına yazar (KEYCYTE_BASE, KEYCYTE_DRIVE, KEYCYTE_RECORD, RUN_UID, RUN_GID). Kapsayıcılar bu kullanıcı ve grup kimliğiyle çalışır.
6. Sertifikalar. localhost.p12, cacerts.pem ve keycyte-ca.crt dosyalarından mevcut olanları ~/keycyte dizinine kopyalar. localhost.p12 ya da cacerts.pem eksikse uyarı verir.
7. Veritabanı denetimi. .env harici bir veritabanı sunucusunu IP adresiyle gösteriyorsa bu sunucunun portuna erişilebildiğini denetler.
8. Başlatma. Tüm kapsayıcıları docker compose up -d ile başlatır, birkaç saniye bekler, kapsayıcıların durumunu ve çalışmayan kapsayıcıların son günlük satırlarını gösterir.
9. Master hesabı. PostgreSQL hazır olana ve PAM sunucusu veritabanı şemasını oluşturana kadar bekler, ardından master hesabını oluşturmak için initdb/10-master-user.sql betiğini çalıştırır. Hesap zaten varsa değiştirilmez.

Kurulum Betiğini Çalıştırma

Kurulum betiğini çalıştırmak için:

1. Sunucuda bir kabuk açın ve kurulum paketi klasörüne gidin.

2. Kurulum betiğini çalıştırın:

   sudo ./install.sh

   DNS sunucusunu soru sorulmadan ayarlamak için:

   sudo ./install.sh --dns 10.0.0.53

3. İstendiğinde birincil DNS sunucusunun IP adresini girin ve Enter tuşuna basın.

   İstem, .env dosyasındaki geçerli değeri köşeli parantez içinde gösterir. Bu değeri korumak için bir şey yazmadan Enter tuşuna basın. Kurulum betiği yalnızca IPv4 adresi kabul eder; değer geçerli değilse yeniden sorar.

4. İstendiğinde ikincil DNS sunucusunun IP adresini girin ya da atlamak için Enter tuşuna basın.

   Atlarsanız ikincil DNS sunucusu birincil sunucuya ayarlanır.

5. Kurulum betiğinin tamamlanmasını bekleyin.

   Kurulum betiği her kapsayıcının durumunu yazdırır. Tüm kapsayıcılar çalışıyorsa kurulumun tamamlandığını ve tüm hizmetlerin çalıştığını bildiren bir ileti yazdırır. Ardından master hesabı betiğini uygular ve günlükleri görüntüleme ile hizmetleri durdurma komutlarını yazdırır.

Keycyte PAM kurulmuştur. İlk Kez Oturum Açma ile devam edin.

Kurulumu Denetleme

Kurulumdan sonra kapsayıcıları denetlemek için paket klasöründe aşağıdaki komutu çalıştırın:

sudo docker compose --env-file .env -f docker-compose.yml ps

Tüm kapsayıcılar (pam, ssh-proxy, guacd, password-manager, radius, postgres-db) running durumunda olmalıdır.

PAM sunucusu günlüğünü izlemek için:

sudo docker compose --env-file .env -f docker-compose.yml logs -f pam

Master Hesabı Oluşturulmadıysa

PostgreSQL ya da veritabanı şeması zamanında hazır olmazsa kurulum betiği master hesabı betiğini atlar ve çalıştırılacak komutla birlikte bir uyarı yazdırır. Bu durumda PAM sunucusunun başlamasını bekleyin, ardından betiği paket klasöründe elle çalıştırın:

sudo docker exec -i postgres-db psql -U <db-user> -d <db-name> < initdb/10-master-user.sql

.env dosyasındaki veritabanı kullanıcısını ve veritabanı adını (DB_USER, DB_NAME) kullanın. Kurulum betiği komutu bu değerler doldurulmuş olarak yazdırır.

Kurulum Betiğini Yeniden Çalıştırma

Kurulum betiğini yeniden çalıştırabilirsiniz; örneğin eksik bir sertifika dosyasını ekledikten sonra. Kurulum betiği .env dosyasında yönettiği değerleri günceller; mevcut dizinleri ve mevcut master hesabını değiştirmez. İmajlar zaten yüklüyse --skip-load seçeneğini kullanın.

sudo docker compose --env-file .env -f docker-compose.yml restart pam

Hizmetleri Durdurma

Kapsayıcıları durdurmak ve kaldırmak için paket klasöründe şu komutu çalıştırın:

sudo docker compose --env-file .env -f docker-compose.yml down

Veritabanı birimi ve ana makine dizinleri korunur. Hizmetleri yeniden başlatmak için sudo docker compose --env-file .env -f docker-compose.yml up -d komutunu çalıştırın.

İlk Kez Oturum Açma

Kurulum betiği, MASTER rolüne sahip tek bir yönetici hesabı (master) oluşturur. MASTER yöneticileri, tüm ayarlar dahil olmak üzere Yönetici Paneli’ne sınırsız erişime sahiptir. İlk kez oturum açmak ve ilk yapılandırmayı tamamlamak için bu hesabı kullanın.

master hesabının ilk parolası kurulum paketiyle birlikte iletilir.

Başlamadan Önce

• Kurulum betiği tamamlanmış ve tüm kapsayıcılar (container) çalışıyor.
• Keycyte PAM sunucusunun adresini biliyorsunuz ve iş istasyonunuzdan 443 numaralı porta erişilebiliyor.

Oturum Açma

İlk kez oturum açmak için:

1. Bir web tarayıcısında https://<pam-address>/admin adresini açın; örneğin https://pam.example.com/admin.

   PAM sunucusu paketle teslim edilen anahtar deposunu ya da kendinden imzalı bir sertifikayı kullanıyorsa tarayıcı bir sertifika uyarısı gösterir. Doğru adresi açtığınızı denetleyin ve sayfaya devam edin. Sertifikayı sonraki bir adımda değiştirirsiniz.

2. Oturum açma sayfasında Kullanıcı Adı alanına master yazın, Parola alanına ilk parolayı girin ve Giriş Yap düğmesine tıklayın.

   Yönetici Paneli yerine İstemci Paneli açılırsa https://<pam-address>/admin adresini yeniden açın. Yönetici Paneli Sistem Monitör sayfasıyla açılır.

   

3. master hesabının parolasını değiştirin.

İlk Oturum Açmadan Sonra

İlk yapılandırmayla devam edin:

1. Lisansı etkinleştirin.
2. Tarayıcıların Keycyte PAM’e güvenmesi için Web TLS sertifikasını yapılandırın.
3. E-posta ve dizin hizmetlerini yapılandırın ve hizmet erişim anahtarlarını denetleyin.

İlk Yapılandırma

İlk kez oturum açtıktan sonra, kullanıcılar Keycyte PAM ile çalışmaya başlamadan önce aşağıdaki ayarları yapılandırın. Bu ayarların tümü Yönetici Paneli’nin Ayarlar menüsünde bulunur ve MASTER rolü gerektirir.

Bu Bölümde

Lisansı Etkinleştirme

Geçerli bir lisans zorunludur. Lisansı etkinleştirmek için sisteminizin Gizli Anahtar değerini Keycyte’a gönderir, bu sistem için düzenlenen lisans anahtarını alır ve lisans anahtarını Yönetici Paneli’ne girersiniz.

Lisansın sisteme nasıl bağlandığı ve neleri içerdiği için bkz. Lisanslama.

Başlamadan Önce

• Yönetici Paneli’nde MASTER rolüyle oturum açmış olmalısınız.
• Sistem son halini almış olmalıdır (sunucu, CPU sayısı, PAM sunucusu kapsayıcısı). Bkz. Lisansın Sisteme Bağlanması.

Gizli Anahtarı Alma

Sistemin gizli anahtarını almak için:

1. Yönetici Paneli’nde Ayarlar > Lisans sayfasını açın.

2. Gizli Anahtar düğmesine tıklayın.

   Gizli Anahtar iletişim kutusu bu sistemin anahtarını gösterir.

3. Anahtarı kopyalayın ve Çıkış düğmesine tıklayın.

4. Anahtarı sipariş bilgilerinizle birlikte Keycyte’a gönderin.

Size bu sistem için oluşturulmuş bir lisans anahtarı iletilir.

Lisans Anahtarını Girme

Lisans anahtarını girmek için:

1. Ayarlar > Lisans sayfasını açın.
2. Ekle düğmesine tıklayın.
3. Lisans Ekle iletişim kutusunda lisans anahtarını Lisans Anahtarı alanına yapıştırın.
4. Kaydet düğmesine tıklayın.

Lisans; Şirket Adı, Oluşturma Tarihi, Toplam Kullanıcı ve Versiyon bilgileriyle listede görünür.

Anahtar kaydedilemezse Yönetici Paneli bir Hata iletisi gösterir ve lisans listesi değişmez. En sık rastlanan nedenler şunlardır:

• Anahtar eksiktir ya da kopyalama sırasında değişmiştir. Anahtarın tamamını yeniden kopyalayın.
• Anahtar farklı bir gizli anahtar için oluşturulmuştur; örneğin sistem değiştirilmeden önce. Güncel gizli anahtarı Keycyte’a gönderin.

Lisansı Değiştirme ya da Kaldırma

Keycyte PAM aynı anda tek bir lisans tutar. Yeni bir lisans anahtarı kaydettiğinizde bu anahtar mevcut lisansın yerini alır.

• Lisansı değiştirmek için Aksiyon sütunundaki düzenleme simgesine tıklayın, yeni anahtarı yapıştırın ve Kaydet düğmesine tıklayın. Ekle düğmesine tıklayıp yeni anahtarı da kaydedebilirsiniz.
• Lisansı kaldırmak için Aksiyon sütunundaki silme simgesine tıklayın ve işlemi onaylayın.

Web TLS Sertifikasını Yapılandırma

Web TLS sertifikası, tarayıcıların İstemci Paneli’ni ya da Yönetici Paneli’ni açtığında gördüğü HTTPS sertifikasıdır. Sertifikayı Ayarlar > Web TLS Sertifikası sayfasında yönetirsiniz. Yeni bir sertifika, yeni bağlantılar için hemen geçerli olur; Keycyte PAM’i yeniden başlatmanız gerekmez.

Başlamadan Önce

• Yönetici Paneli’nde MASTER rolüyle oturum açmış olmalısınız.
• Sertifika, özel anahtarı ve varsa ara sertifikalar PEM metin dosyaları olarak elinizde olmalıdır.
• Özel anahtar parolayla korunmamalıdır. Parolayı kaldırmak için örneğin openssl pkey -in key.pem -out key-plain.pem komutunu kullanın.
• Anahtar en az 2048 bit RSA ya da P-256 veya P-384 eğrisinde ECDSA olmalıdır.

openssl pkcs12 -in cert.pfx -nokeys -out cert.pem
openssl pkcs12 -in cert.pfx -nocerts -nodes -out key.pem

Mevcut Sertifikayı Görüntüleme

Ayarlar > Web TLS Sertifikası sayfasını açın. Mevcut Sertifika kartı, PAM sunucusunun şu anda kullandığı sertifikayı gösterir:

Ayrıntıların üzerindeki durum iletisi; örneğin sertifikanın sorunsuz olduğunu, süresinin yakında dolacağını, kendinden imzalı olduğunu ya da sunucunun kurulum anahtar deposuyla veya geçici, kendinden imzalı bir sertifikayla çalıştığını gösterir.

Yeni Sertifika Uygulama

Yeni bir sertifika uygulamak için:

1. Ayarlar > Web TLS Sertifikası sayfasını açın.

2. Yeni Sertifika Yükle kartında alanları doldurun. PEM metnini yapıştırabilir ya da bir alanın yanındaki Dosyadan yükle düğmesine tıklayarak içeriği dosyadan okuyabilirsiniz.

   Alan	Açıklama
   Sertifika (PEM)	Sunucu sertifikası. Tam zinciri (sunucu sertifikası ve ardından ara sertifikalar) yapıştırırsanız Keycyte PAM sunucu sertifikasını zincirden ayırır.
   Özel Anahtar (PEM)	Sertifikanın şifrelenmemiş özel anahtarı.
   Ara Sertifika Zinciri (PEM, opsiyonel)	Sertifika alanında yer almıyorsa CA’nızın ara sertifikaları.

3. Doğrula düğmesine tıklayın.

   Doğrulama Önizlemesi, ayrıştırılan sertifikayı ve varsa uyarıları gösterir. Örneğin sertifika ile anahtar eşleşmiyorsa, sertifikanın süresi dolmuşsa ya da henüz geçerli değilse, anahtar türü desteklenmiyorsa veya zincir sertifikaya ait değilse doğrulama başarısız olur.

   Uyarılar sertifikanın uygulanmasını engellemez. Tipik uyarılar şunlardır: sertifika kendinden imzalıdır, süresi yakında dolacaktır, ana bilgisayar adını kapsamamaktadır, bir CA tarafından düzenlenmiş ancak zincir verilmemiştir ya da zincir, kök sertifikasına sunucunun güvenmediği dahili bir ara sertifikada sona ermektedir.

4. Önizlemeyi denetleyin ve Sertifikayı Uygula düğmesine tıklayın.

5. Web TLS Sertifikasını Uygula? iletişim kutusunda işlemi onaylayın.

Sertifika uygulanır. Mevcut tarayıcı oturumları etkilenmez; yeni bağlantılar yeni sertifikayı kullanır. Keycyte PAM, ara sertifika zincirini tarayıcılara kök sertifika olmadan, düzenleyen sırasına göre gönderir.

Yükleme Geçmişi

Yükleme Geçmişi tablosu, bu sayfada uygulanmış sertifikaları Subject, Issuer, Son Kullanma, Yükleyen ve Yükleme Zamanı bilgileriyle listeler. Aktif sütunu kullanımdaki sertifikayı işaretler.

Yedek Sertifikalar

Başlangıçta uygulanmış bir sertifika yüklenemezse PAM sunucusu kurulumdaki PKCS#12 anahtar deposuna (KEYCYTE_SERVER_TLS_KEYSTORE), o da yüklenemezse her başlangıçta yeniden üretilen geçici, kendinden imzalı bir sertifikaya geçer. Bu nedenle PAM sunucusu her zaman HTTPS sunar ve geçerli bir sertifika uygulamak için (tarayıcı uyarısını kabul ettikten sonra) oturum açabilirsiniz.

Uygulanmış bir sertifikanın süresi dolduğunda yedek sertifika, dinleyicinin çevrimiçi kalmasını sağlar. Yenilenmiş sertifikayı en kısa sürede yükleyin.

Süre Sonu Uyarıları

Keycyte PAM, etkin sertifikayı günde bir kez denetler ve sertifikanın süresinin dolmasına 30, 14, 7 ve 1 gün kaldığında tüm MASTER yöneticilerine e-posta gönderir. Her uyarı bir kez gönderilir; sonraki e-posta, sertifika bir sonraki eşiğe ulaştığında gönderilir.

E-posta uyarıları için şunlar gerekir:

• Ayarlar > Bildirim sayfasında çalışan bir posta sunucusu yapılandırması;
• her MASTER yöneticisi için bir e-posta adresi. Keycyte PAM’de e-posta adresi tanımlı olmayan etki alanı kullanıcıları için adres dizinden okunur.

Süre sonu uyarıları, kurulum anahtar deposu ya da kendinden imzalı yedek sertifika için değil, yalnızca bu sayfada uygulanan sertifikalar için gönderilir.

E-posta ve SMS'i Yapılandırma

Keycyte PAM; bildirimleri, tek kullanımlık parolaları ve raporları iletmek için e-posta ve SMS kullanır. Birçok işlev bunlara bağlı olduğundan e-posta ve SMS’i kurulumun hemen ardından yapılandırın:

• MFA için e-posta ve SMS ile tek kullanımlık parolalar;
• yöneticilere gönderilen bildirimler; örneğin erişim talepleri ve Web TLS sertifikası süre sonu uyarıları;
• e-postayla gönderilen zamanlanmış raporlar.

Her ikisini de Yönetici Paneli’nde Ayarlar > Bildirim sayfasında yapılandırırsınız:

Posta sunucusu ve SMS ağ geçidi kimlik bilgileri şifrelenmiş olarak saklanır.

Tüm alanların açıklaması için bkz. Yönetici Kılavuzu, Ayarlar > Bildirim bölümü.

Başlamadan Önce

• Keycyte PAM sunucusu, posta sunucusuna ve SMS ağ geçidine gerekli portlar üzerinden erişebilmelidir. Bkz. Ağ Portları.
• Kurulum sırasında tanımladığınız DNS sunucuları, posta sunucusunun ve SMS ağ geçidinin adlarını çözümleyebilmelidir.

Ayarları kaydettikten sonra iletimin çalıştığından emin olmak için bir test e-postası ve bir test SMS’i gönderin.

Dizin Hizmetlerini Bağlama

Keycyte PAM, kullanıcıların kimliğini yerel hesaplar yerine ya da yerel hesaplara ek olarak mevcut dizinlerinize karşı doğrulayabilir. Bağlantıları Yönetici Paneli’nde Ayarlar > Doğrulama sayfasında yapılandırırsınız:

Tüm alanların ve kullanıcı eşitleme seçeneklerinin açıklaması için bkz. Yönetici Kılavuzu, Ayarlar > Doğrulama bölümü.

Kurulum Ön Koşulları

Bir dizin bağlantısını yapılandırmadan önce aşağıdakileri denetleyin:

• Ağ. Keycyte PAM sunucusu LDAP sunucularına (StartTLS ile LDAP için genellikle 389, LDAPS için 636 numaralı port) ve kullanılıyorsa RADIUS sunucusuna ve Microsoft Entra ID’ye erişebilmelidir. Bkz. Ağ Portları.
• DNS. Kurulum sırasında tanımladığınız DNS sunucuları, etki alanı denetleyicilerinin adlarını çözümleyebilmelidir.
• LDAP sertifikaları. PAM sunucusu ve Parola Yöneticisi, LDAP sunucu sertifikalarını cacerts.pem dosyasındaki CA sertifikalarına ve sistem CA deposuna karşı doğrular. Sertifikaları Yönetici Paneli’nden de ekleyebilirsiniz: LDAP sertifikası iletişim kutusu Otomatik Keşif (sertifikayı sunucudan okur) ve Manuel Yükleme seçeneklerini sunar. Bkz. Sertifikalar.
• Hizmet hesabı. Keycyte PAM’in kullanıcı ve grup aramak için kullanabileceği bir dizin hesabı. Active Directory hesaplarının parola rotasyonu için bu hesabın parola sıfırlama yetkisine sahip olması gerekir.

Hizmet Erişim Anahtarları

Keycyte PAM hizmetleri birbirlerine erişim anahtarlarıyla kimlik doğrular. Her anahtar, bir erişim anahtarı kimliği (access key ID) ile bir gizli değerden (secret) oluşan bir çifttir. Bir hizmet, başka bir hizmete gönderdiği her isteği gizli değerle oluşturulan HMAC-SHA256 HTTP imzasıyla imzalar; isteği alan hizmet imzayı aynı çiftle doğrular.

Erişim anahtarları kapsayıcıların (container) ortamında, kurulum paketinin .env dosyasında tanımlanır. PAM sunucusu anahtarları başlangıçta okur ve bellekte tutar. Erişim anahtarları Yönetici Paneli’nden oluşturulmaz ya da değiştirilmez.

Kurulumdaki Erişim Anahtarları

docker-compose.yml dosyası aynı .env değerini her iki tarafa da aktarır; bu nedenle değeri yalnızca .env dosyasında değiştirdiğiniz sürece çift her zaman eşleşir.

Bir anahtar tanımlı değilse PAM sunucusu yine de başlar ve ilgili hizmet için bir uyarı günlüğe yazar. İlgili hizmet kimlik doğrulayamaz: örneğin SSH proxy anahtarı olmadan yerel SSH ve web terminali oturumları açılamaz, RDP proxy anahtarı olmadan yerel RDP ile başlatma devre dışı kalır.

Erişim Anahtarlarını Görüntüleme

PAM sunucusunun yüklediği erişim anahtarlarını görüntülemek için:

1. Yönetici Paneli’nde Ayarlar > Servisler sayfasını açın.

2. Servis AccessKey’leri kartını bulun.

   Kart, her Servis için Access Key ID değerini ve Gizli Anahtar değerinin son dört karakterini gösterir. Anahtarı olmayan hizmetler tanımlı değil olarak gösterilir.

Erişim anahtarları kurulumun .env dosyasında saklanır. Bir anahtarı yenilemek için aşağıdaki yordamı izleyin.

Erişim Anahtarını Yenileme

Gizli değerin ifşa olduğundan şüpheleniyorsanız ya da güvenlik politikanız gerektiriyorsa erişim anahtarını yenileyin.

Bir erişim anahtarını yenilemek için:

1. Sunucuda, kurulum paketi klasöründeki .env dosyasını açın.

2. Anahtarın gizli değeri için yeni bir değer belirleyin; örneğin openssl rand -hex 32 ile oluşturulmuş rastgele bir değer. İsterseniz yeni bir erişim anahtarı kimliği de belirleyebilirsiniz.

3. Dosyayı kaydedin.

4. Kapsayıcıların yeni değerleri okuması için paket klasöründe kapsayıcıları yeniden oluşturun:

   sudo docker compose --env-file .env -f docker-compose.yml up -d

Docker Compose, ortamı değişen kapsayıcıları yeniden oluşturur. Kapsayıcılar başladıktan sonra yeni anahtar kullanılır.

Yüksek Erişilebilirlik

Bir düğüm kullanılamaz duruma geldiğinde kullanıcıların çalışmaya devam edebilmesi için birden fazla Keycyte PAM düğümü çalıştırabilirsiniz. Düğümler aynı PostgreSQL veritabanını kullanır ve bir yük dengeleyicinin arkasına yerleştirilir. Düğümlerden biri ana düğümdür (master); diğerleri replika düğümlerdir.

Ana ve Replika Düğümler

Her düğüm kullanıcılara aynı şekilde hizmet verir. Fark zamanlanmış işlerdedir:

Bu sayede tüm düğümler veritabanını paylaşsa da her zamanlanmış iş yalnızca bir kez çalışır. Ana düğüm olarak ayarlanmayan her düğüm replikadır. Her düğüm, başlangıçta ana düğüm mü yoksa replika düğüm olarak mı çalıştığını günlüğüne yazar.

Ana düğüm ayarı her düğüm için ayrı olarak, düğümün uygulama dizinindeki master dosyasında saklanır (ana makinede ~/keycyte/master, PAM sunucusu kapsayıcısında /app/master).

Gereksinimler

Tüm düğümler:

• aynı PostgreSQL veritabanına bağlanmalıdır (bkz. Yapılandırma Başvurusu içindeki veritabanı değişkenleri);
• aynı şifreleme anahtarını kullanmalıdır (.env dosyasında KEYSTORE_KEY_HEX, PAM sunucusunda KEYCYTE_KEYSTORE_KEY_HEX). Aksi halde bir düğüm, başka bir düğümün sakladığı gizli bilgilerin şifresini çözemez;
• aynı oturum gizli anahtarını kullanmalıdır (.env dosyasında SESSION_SECRET_KEY, PAM sunucusunda KEYCYTE_SESSION_SECRET_KEY). Aksi halde bir düğümün verdiği oturum tanımlama bilgisi (cookie) başka bir düğüm tarafından reddedilir;
• aynı hizmet erişim anahtarlarını kullanmalıdır;
• tanımlama bilgisi etki alanı ayarlamamalıdır (KEYCYTE_SESSION_COOKIE_DOMAIN boş). Oturum tanımlama bilgisi, etki alanına izin vermeyen __Host- önekini kullanır.

Yük dengeleyici:

• HTTPS (443) trafiğini ve kullanılıyorsa SSH (2222) ile RDP (3389) trafiğini düğümlere iletmelidir;
• bir tarayıcının tüm isteklerinin aynı düğüme gitmesi için oturum yakınlığı (tanımlama bilgisi ya da kaynak IP ile yapışkan oturumlar, sticky sessions) kullanmalıdır.

Bazı kısa ömürlü veriler her düğümün belleğinde tutulduğu ve düğümler arasında paylaşılmadığı için oturum yakınlığı gereklidir: bağlantı belirteçleri, MFA tek kullanımlık parolaları, etkin oturum ve izleyici kayıtları. Oturum yakınlığı olmadan oturum açma, MFA doğrulaması ya da paylaşılan bir oturuma katılma işlemleri aralıklı olarak başarısız olabilir.

Ana Düğümü Ayarlama

Bir düğümü ana düğüm olarak ayarlamak için:

1. O düğümün Yönetici Paneli’nde MASTER rolüyle oturum açın. Doğru düğüme ulaşmak için yük dengeleyici adresini değil, düğümün kendi adresini kullanın.

2. Ayarlar > Replikasyon sayfasını açın.

   Replikasyon Ayarları kartı, bağlı olduğunuz düğümün Sunucu Adı, Ip Adres ve Mac Adres bilgilerini gösterir.

3. Master anahtarını açın.

   Master mode enabled iletisi görüntülenir. Düğüm, bir sonraki zamanlayıcı döngüsünden itibaren zamanlanmış işleri çalıştırır.

Bir düğümü replika yapmak için o düğümde Master anahtarını kapatın.

Replike Edilmiş Sunucular

Replike Edilmiş Sunucular kartı diğer Keycyte PAM düğümlerini listeler. Kayıt eklemek için Ekle düğmesine tıklayın, Tip, Adres, Durum ve Master alanlarını doldurun, ardından Kaydet düğmesine tıklayın.

Yedekleme ve Geri Yükleme

Keycyte PAM, veritabanının uygulama düzeyinde yedeklerini oluşturur: sunucular, kasa kayıtları, kullanıcılar, roller, politikalar, ayarlar ve isteğe bağlı olarak günlükler. Yedeklemeyi Ayarlar > Yedekleme sayfasında yapılandırırsınız. Bu sayfayı yalnızca MASTER yöneticileri açabilir.

Yedeğin İçeriği

Yedek, .keycyte uzantılı tek bir şifreli dosyadır (örneğin backup_20261101_020000.keycyte). Keycyte PAM veritabanı içeriğini serileştirir, sıkıştırır ve kurulumun şifreleme anahtarıyla (KEYCYTE_KEYSTORE_KEY_HEX) şifreler.

~/record, ~/drive ve kurulum paketi klasörünü kendi dosya yedekleme araçlarınızla yedekleyin.

Yedek Dosyalarının Saklandığı Yer

Her yedek önce uygulama dizinindeki backups klasörüne yazılır: ana makinede ~/keycyte/backups (PAM sunucusu kapsayıcısında /app/backups). Yedekleme yapılandırması SFTP kullanıyorsa dosya ardından SFTP sunucusuna kopyalanır.

Yedeklemeyi Yapılandırma

Bir yedeklemeyi yapılandırmak için:

1. Yönetici Paneli’nde Ayarlar > Yedekleme sayfasını açın.

2. Ekle düğmesine tıklayın.

3. Yedekleme Ayarları iletişim kutusunda alanları doldurun:

   Alan	Açıklama
   Metot	SFTP ya da SMB.
   Adres	Yedekleme sunucusunun ana bilgisayar adı ya da IP adresi.
   Port	SFTP sunucusunun SSH portu. Yalnızca SFTP için gösterilir.
   Dosya Yolu	Yedekleme sunucusunda dosyanın saklandığı klasör.
   Kullanıcı Adı	Yedekleme sunucusundaki kullanıcı adı.
   Parola	Kullanıcının parolası. SFTP için bunun yerine özel anahtar kullanabilirsiniz.
   Özel Anahtar	SFTP kimlik doğrulaması için özel anahtar. Yalnızca SFTP için gösterilir.
   Passphrase	Varsa özel anahtarın parolası. Yalnızca SFTP için gösterilir.
   Periyod	Zamanlanmış yedeklemelerin dakika cinsinden aralığı. 0 ya da boş değer, bu yapılandırma için zamanlanmış yedeklemeyi devre dışı bırakır.
   Açıklama	Yapılandırmayı tanımanıza yardımcı olan serbest metin.
   Günlükler	Günlük tablolarını yedeğe dahil eder. Günlük içeren yedekler çok daha büyük olabilir.
   Durum	Yapılandırmayı etkinleştirir. Zamanlanmış yedeklemeler yalnızca etkin yapılandırmalar için çalışır.

4. Kaydet düğmesine tıklayın.

Yapılandırma; Metot, Adres, Dosya Yolu ve Durum bilgileriyle listede görünür.

Zamanlanmış Yedeklemeler

Yedekleme zamanlayıcısı etkin yapılandırmaları dakikada bir denetler ve bir yapılandırmanın son çalışmasından bu yana Periyod süresi geçtiğinde yedeklemeyi başlatır. Bir yapılandırmanın ilk zamanlanmış yedeklemesi, PAM sunucusu başladıktan kısa bir süre sonra çalışır.

Zamanlanmış yedeklemeler yalnızca ana düğümde çalışır. Bkz. Yüksek Erişilebilirlik.

Hemen Yedekleme Çalıştırma

Bir yedeklemeyi hemen çalıştırmak için yapılandırmanın Aksiyon sütunundaki çalıştırma simgesine tıklayın.

Yedek, o yapılandırmanın ayarlarıyla oluşturulur. İşlem tamamlandığında Başarılı iletisi görüntülenir.

Yedeği İndirme

Bir yedek dosyasını indirmek için Aksiyon sütunundaki indirme simgesine tıklayın.

Yedek dosyalarını doğrudan ana makinedeki ~/keycyte/backups dizininden de kopyalayabilirsiniz.

Yedeği Geri Yükleme

Geri yükleme, Keycyte PAM’in veritabanı içeriğini yedek dosyasının içeriğiyle değiştirir.

Başlamadan Önce

• MASTER rolüyle oturum açmış olmalısınız.
• Yedek dosyası, aynı şifreleme anahtarını kullanan bir kurulum tarafından oluşturulmuş olmalıdır.
• Kullanıcılar bilgilendirilmiş olmalıdır; etkin oturumlar etkilenebilir.

Bir yedeği geri yüklemek için:

1. Ayarlar > Yedekleme sayfasını açın.

2. Restore düğmesine tıklayın.

3. .keycyte yedek dosyasını seçin.

   Geri yükleme, dosyayı seçtiğiniz anda başlar. İşlem tamamlandığında Başarılı iletisi görüntülenir.

4. Oturumu kapatıp yeniden açın ve geri yüklenen verileri denetleyin.

Yetki profilleri kullanıma girmeden önce alınmış bir yedek geri yüklenirse Keycyte PAM, geri yüklemeden sonra her ADMIN hesabına yerleşik tam yetki profilini atar.

Yapılandırma Başvurusu

PAM sunucusu ayarlarını ortam değişkenlerinden ve isteğe bağlı olarak bir config.yaml dosyasından okur. Kurulum paketinden yapılan bir kurulumda ayarlar, docker-compose.yml dosyasının pam kapsayıcısına (container) aktardığı ve çoğunlukla .env dosyasından gelen ortam değişkenleridir.

Ayarların Okunması

• Ortam değişkenleri. Her ayarın bir ortam değişkeni vardır: KEYCYTE_ önekinin ardından, noktaları alt çizgiyle değiştirilmiş ve büyük harfe çevrilmiş ayar yolu. Örneğin session.timeout ayarının değişkeni KEYCYTE_SESSION_TIMEOUT olur.
• config.yaml. PAM sunucusu config.yaml dosyasını çalışma dizininde (kapsayıcıda /app, ana makinede ~/keycyte) ve /etc/keycyte/ dizininde arar. Dosya isteğe bağlıdır; bulunamazsa PAM sunucusu bir uyarı günlüğe yazar ve ortam değişkenlerini ile varsayılanları kullanır.
• Öncelik. Ortam değişkenleri config.yaml dosyasına, config.yaml dosyası da yerleşik varsayılanlara göre önceliklidir.

Kurulum paketinden yapılan bir kurulumda bir ayarı değiştirmek için değeri .env dosyasında (ya da ayar orada tanımlıysa docker-compose.yml dosyasında) düzenleyin ve paket klasöründe kapsayıcıları yeniden oluşturun:

sudo docker compose --env-file .env -f docker-compose.yml up -d

Aşağıdaki tablolarda Varsayılan, PAM sunucusunun yerleşik varsayılan değeridir. Paket, kurulum paketinin ayarladığı değeri (farklı olduğu durumlarda) gösterir. Zorunlu olarak işaretlenen ayarlar tanımlanmalıdır; PAM sunucusu bunlar olmadan başlamaz.

Sunucu ve TLS

Veritabanı

Şifreleme Anahtarı

Şifreleme anahtarı; veritabanında saklanan gizli bilgileri (kasa parolaları, anahtarlar, sağlayıcı kimlik bilgileri), yedek dosyalarını ve oturum kayıtlarını korur. Zorunlu: aşağıdaki kaynaklardan tam olarak birini tanımlayın. PAM sunucusu anahtar olmadan başlamaz.

Birden fazla kaynak tanımlıysa PAM sunucusu tablodaki sıraya göre ilkini kullanır.

Oturum

MFA Kilitleme

Dosyalar, Kayıtlar ve Ağ Geçidi

LDAP TLS

Parola Yöneticisi kapsayıcısı da aynı iki değeri LDAP_CA_CERT ve LDAP_INSECURE_SKIP_VERIFY olarak alır.

Proxy’ler ve Erişim Anahtarları

Bu değişkenlerin config.yaml anahtarı yoktur; ortam değişkeni olarak tanımlayın. Anlamları ve yenilenmeleri için bkz. Hizmet Erişim Anahtarları.

Yerel RDP ile Başlatma

Bu değişkenlerin config.yaml anahtarı yoktur. Yerel RDP ile başlatma, URL, genel adres ve erişim anahtarının tümü tanımlandığında etkinleşir.

Günlük Kaydı

Kurulum Paketi Değişkenleri

Kurulum paketinin .env dosyası, PAM sunucusu tarafından doğrudan değil, docker-compose.yml ve diğer kapsayıcılar tarafından kullanılan değişkenleri de içerir.

Sorun Giderme

Bu konu, bir sorunla ilgili bilgi toplamayı ve sık karşılaşılan kurulum durumlarını çözmeyi anlatır. Bu konudaki docker compose komutlarını kurulum paketi klasöründe çalıştırın.

Hizmet Günlüklerini Görüntüleme

Yönetici Paneli’nde

Ayarlar > Servisler sayfası Keycyte PAM kapsayıcılarını (container) Container, Servis, Durum, CPU, Bellek ve Çalışma Süresi bilgileriyle listeler. Bu sayfayı yalnızca MASTER yöneticileri açabilir.

Bir kapsayıcının günlüğünü görüntülemek için:

1. Yönetici Paneli’nde Ayarlar > Servisler sayfasını açın.
2. Keycyte Servisleri tablosunda, kapsayıcının satırındaki Loglar düğmesine tıklayın.

Kapsayıcının en son günlük satırları görüntülenir.

Aynı tablodan kapsayıcıları Yeniden Başlat, Durdur ve Başlat düğmeleriyle yönetebilirsiniz. Bir kapsayıcıyı durdurmak ya da yeniden başlatmak, o kapsayıcının yürüttüğü oturumları keser. PAM sunucusu için yalnızca Yeniden Başlat kullanılabilir.

Sayfa Docker soketi erişilemiyor iletisini gösteriyorsa Docker soketi PAM sunucusu kapsayıcısına bağlanmamıştır. Kurulum paketi /var/run/docker.sock soketini salt okunur olarak bağlar; docker-compose.yml dosyasının bu bağlamayı hâlâ içerdiğini ve .env dosyasındaki DOCKER_GID değerinin ana makinedeki docker grubunun kimliğiyle eşleştiğini denetleyin.

Ana Makinede

Bir hizmetin günlüklerini ana makinede görüntülemek için docker compose logs komutunu kullanın:

sudo docker compose --env-file .env -f docker-compose.yml logs --tail 200 pam

Günlüğü sürekli izlemek için -f ekleyin. Hizmet adları pam, ssh-proxy, guacd, password-manager, radius ve postgres şeklindedir.

Her kapsayıcı, her biri en fazla 5 MB olan en fazla üç günlük dosyası tutar.

Günlük Düzeyini Değiştirme

Daha fazla ayrıntı almak için Ayarlar > Genel sayfasında (Günlük Seviyesi) günlük düzeyini debug olarak ayarlayın. Değişiklik yeniden başlatma gerekmeden hemen geçerli olur. debug düzeyi çok sayıda günlük satırı ürettiğinden, gerekli bilgiyi topladıktan sonra düzeyi yeniden info olarak ayarlayın.

Başlangıçtaki günlük düzeyini KEYCYTE_LOG_LEVEL ile de ayarlayabilirsiniz. Bkz. Yapılandırma Başvurusu.

Web TLS Sertifikasını Sıfırlama

Ayarlar > Web TLS Sertifikası sayfasında uygulanan bir sertifika tarayıcıların bağlanmasını engelliyorsa (örneğin HSTS ile birlikte yanlış ana bilgisayar adı ya da istemcilerin güvenmediği bir sertifika) sertifikayı komut satırından devre dışı bırakabilirsiniz. Bu durumda PAM sunucusu kurulum anahtar deposuna ya da geçici, kendinden imzalı bir sertifikaya geçer ve doğru sertifikayı uygulamak için yeniden oturum açabilirsiniz.

Web TLS sertifikasını sıfırlamak için:

1. Ana makinede, PAM sunucusu kapsayıcısında sıfırlama komutunu çalıştırın:

   sudo docker exec pam keycyte-pam cert reset

   Komut, veritabanındaki etkin sertifikayı devre dışı bırakır ve kaç satırı değiştirdiğini yazdırır.

2. PAM sunucusunu yeniden başlatın:

   sudo docker compose --env-file .env -f docker-compose.yml restart pam

3. Yönetici Paneli’ni açın, tarayıcı uyarısı görüntülenirse kabul edin ve Ayarlar > Web TLS Sertifikası sayfasında doğru sertifikayı uygulayın.

Uygulanmış sertifika Yükleme Geçmişi tablosunda kalır; yalnızca etkin değildir.

Sık Karşılaşılan Durumlar

Bir kapsayıcı başlamıyor

Kurulum betiği, çalışmayan her kapsayıcının son günlük satırlarını yazdırır. Bu satırları docker compose logs <service> komutuyla yeniden görüntüleyebilirsiniz. PAM sunucusu için tipik nedenler:

Kurulum betiği eksik imaj bildiriyor

keycyte-pam.tar.gz arşivi açıldıktan sonra beklenen bir imaj yüklenmemişse kurulum betiği durur. Yüklü imajları sudo docker images komutuyla denetleyin. İmajlar keycyte-pam:latest, keycyte-ssh-proxy:latest, keycyte-password-manager:latest, keycyte-radius-server:latest ve guacamole/guacd:latest etiketlerine sahip olmalıdır.

postgres kapsayıcısı imaj çekilemediği için başlayamıyorsa sunucunun Docker Hub’a erişimi yoktur. postgres:17 imajını elle yükleyin; bkz. Kurulum Paketini Hazırlama.

Master hesabı oluşturulmadı

Kurulum betiği master hesabı betiğinin atlandığını bildiren bir uyarı yazdırdıysa betiği elle çalıştırın. Bkz. Master Hesabı Oluşturulmadıysa.

Tarayıcı sertifika uyarısı gösteriyor

PAM sunucusu kurulum anahtar deposunu ya da geçici, kendinden imzalı bir sertifikayı kullanmaktadır. Ayarlar > Web TLS Sertifikası sayfasında Kaynak bilgisini denetleyin ve Keycyte PAM DNS adı için, kullanıcı iş istasyonlarının güvendiği bir CA tarafından düzenlenmiş bir sertifika uygulayın.

LDAP oturum açma işlemi sertifika hatasıyla başarısız oluyor

LDAP sunucu sertifikasına güvenilmemektedir. Sertifikayı düzenleyen CA’nın ~/keycyte/cacerts.pem dosyasında bulunduğunu denetleyin ya da sertifikayı Yönetici Paneli’ndeki LDAP yapılandırmasından ekleyin. Ana makinede cacerts.pem dosyasını değiştirdikten sonra pam ve password-manager hizmetlerini yeniden başlatın.

Yerel SSH ya da web terminali oturumları açılamıyor

Ayarlar > Servisler sayfasındaki Servis AccessKey’leri kartını denetleyin. SSH proxy tanımlı değil olarak gösteriliyorsa SSH proxy erişim anahtarı PAM sunucusu ortamında tanımlı değildir. Ayrıca ssh-proxy günlüğünde PAM sunucusuna yönelik kimlik doğrulama hatalarını denetleyin. Bkz. Hizmet Erişim Anahtarları.

Zamanlanmış parola rotasyonu, raporlar ya da yedeklemeler çalışmıyor

Zamanlanmış işler yalnızca ana düğümde çalışır. Ayarlar > Replikasyon sayfasındaki Master anahtarını denetleyin ya da başlangıçtan sonra PAM sunucusu günlüğünde Running as MASTER node veya Running as REPLICA node satırını arayın. Bkz. Yüksek Erişilebilirlik.

Yük dengeleyici arkasında kullanıcıların oturumu kapanıyor ya da oturumlar açılamıyor

Tüm düğümlerin aynı SESSION_SECRET_KEY değerini kullandığını ve yük dengeleyicinin oturum yakınlığı kullandığını denetleyin. Bkz. Yüksek Erişilebilirlik.

Sertifika süre sonu e-postaları alınmıyor

Ayarlar > Bildirim sayfasında Email Test ile posta sunucusu ayarlarını denetleyin ve MASTER yöneticilerinin e-posta adreslerinin tanımlı olduğunu doğrulayın.