Keycyte PAM 3.2 · Kurulum Kılavuzu

Sorun Giderme

Bu konu, bir sorunla ilgili bilgi toplamayı ve sık karşılaşılan kurulum durumlarını çözmeyi anlatır. Bu konudaki docker compose komutlarını kurulum paketi klasöründe çalıştırın.

Hizmet Günlüklerini Görüntüleme

Yönetici Paneli’nde

Ayarlar > Servisler sayfası Keycyte PAM kapsayıcılarını (container) Container, Servis, Durum, CPU, Bellek ve Çalışma Süresi bilgileriyle listeler. Bu sayfayı yalnızca MASTER yöneticileri açabilir.

Bir kapsayıcının günlüğünü görüntülemek için:

1. Yönetici Paneli’nde Ayarlar > Servisler sayfasını açın.
2. Keycyte Servisleri tablosunda, kapsayıcının satırındaki Loglar düğmesine tıklayın.

Kapsayıcının en son günlük satırları görüntülenir.

Aynı tablodan kapsayıcıları Yeniden Başlat, Durdur ve Başlat düğmeleriyle yönetebilirsiniz. Bir kapsayıcıyı durdurmak ya da yeniden başlatmak, o kapsayıcının yürüttüğü oturumları keser. PAM sunucusu için yalnızca Yeniden Başlat kullanılabilir.

Sayfa Docker soketi erişilemiyor iletisini gösteriyorsa Docker soketi PAM sunucusu kapsayıcısına bağlanmamıştır. Kurulum paketi /var/run/docker.sock soketini salt okunur olarak bağlar; docker-compose.yml dosyasının bu bağlamayı hâlâ içerdiğini ve .env dosyasındaki DOCKER_GID değerinin ana makinedeki docker grubunun kimliğiyle eşleştiğini denetleyin.

Ana Makinede

Bir hizmetin günlüklerini ana makinede görüntülemek için docker compose logs komutunu kullanın:

sudo docker compose --env-file .env -f docker-compose.yml logs --tail 200 pam

Günlüğü sürekli izlemek için -f ekleyin. Hizmet adları pam, ssh-proxy, guacd, password-manager, radius ve postgres şeklindedir.

Her kapsayıcı, her biri en fazla 5 MB olan en fazla üç günlük dosyası tutar.

Günlük Düzeyini Değiştirme

Daha fazla ayrıntı almak için Ayarlar > Genel sayfasında (Günlük Seviyesi) günlük düzeyini debug olarak ayarlayın. Değişiklik yeniden başlatma gerekmeden hemen geçerli olur. debug düzeyi çok sayıda günlük satırı ürettiğinden, gerekli bilgiyi topladıktan sonra düzeyi yeniden info olarak ayarlayın.

Başlangıçtaki günlük düzeyini KEYCYTE_LOG_LEVEL ile de ayarlayabilirsiniz. Bkz. Yapılandırma Başvurusu.

Web TLS Sertifikasını Sıfırlama

Ayarlar > Web TLS Sertifikası sayfasında uygulanan bir sertifika tarayıcıların bağlanmasını engelliyorsa (örneğin HSTS ile birlikte yanlış ana bilgisayar adı ya da istemcilerin güvenmediği bir sertifika) sertifikayı komut satırından devre dışı bırakabilirsiniz. Bu durumda PAM sunucusu kurulum anahtar deposuna ya da geçici, kendinden imzalı bir sertifikaya geçer ve doğru sertifikayı uygulamak için yeniden oturum açabilirsiniz.

Web TLS sertifikasını sıfırlamak için:

1. Ana makinede, PAM sunucusu kapsayıcısında sıfırlama komutunu çalıştırın:

   sudo docker exec pam keycyte-pam cert reset

   Komut, veritabanındaki etkin sertifikayı devre dışı bırakır ve kaç satırı değiştirdiğini yazdırır.

2. PAM sunucusunu yeniden başlatın:

   sudo docker compose --env-file .env -f docker-compose.yml restart pam

3. Yönetici Paneli’ni açın, tarayıcı uyarısı görüntülenirse kabul edin ve Ayarlar > Web TLS Sertifikası sayfasında doğru sertifikayı uygulayın.

Uygulanmış sertifika Yükleme Geçmişi tablosunda kalır; yalnızca etkin değildir.

Sık Karşılaşılan Durumlar

Bir kapsayıcı başlamıyor

Kurulum betiği, çalışmayan her kapsayıcının son günlük satırlarını yazdırır. Bu satırları docker compose logs <service> komutuyla yeniden görüntüleyebilirsiniz. PAM sunucusu için tipik nedenler:

Kurulum betiği eksik imaj bildiriyor

keycyte-pam.tar.gz arşivi açıldıktan sonra beklenen bir imaj yüklenmemişse kurulum betiği durur. Yüklü imajları sudo docker images komutuyla denetleyin. İmajlar keycyte-pam:latest, keycyte-ssh-proxy:latest, keycyte-password-manager:latest, keycyte-radius-server:latest ve guacamole/guacd:latest etiketlerine sahip olmalıdır.

postgres kapsayıcısı imaj çekilemediği için başlayamıyorsa sunucunun Docker Hub’a erişimi yoktur. postgres:17 imajını elle yükleyin; bkz. Kurulum Paketini Hazırlama.

Master hesabı oluşturulmadı

Kurulum betiği master hesabı betiğinin atlandığını bildiren bir uyarı yazdırdıysa betiği elle çalıştırın. Bkz. Master Hesabı Oluşturulmadıysa.

Tarayıcı sertifika uyarısı gösteriyor

PAM sunucusu kurulum anahtar deposunu ya da geçici, kendinden imzalı bir sertifikayı kullanmaktadır. Ayarlar > Web TLS Sertifikası sayfasında Kaynak bilgisini denetleyin ve Keycyte PAM DNS adı için, kullanıcı iş istasyonlarının güvendiği bir CA tarafından düzenlenmiş bir sertifika uygulayın.

LDAP oturum açma işlemi sertifika hatasıyla başarısız oluyor

LDAP sunucu sertifikasına güvenilmemektedir. Sertifikayı düzenleyen CA’nın ~/keycyte/cacerts.pem dosyasında bulunduğunu denetleyin ya da sertifikayı Yönetici Paneli’ndeki LDAP yapılandırmasından ekleyin. Ana makinede cacerts.pem dosyasını değiştirdikten sonra pam ve password-manager hizmetlerini yeniden başlatın.

Yerel SSH ya da web terminali oturumları açılamıyor

Ayarlar > Servisler sayfasındaki Servis AccessKey’leri kartını denetleyin. SSH proxy tanımlı değil olarak gösteriliyorsa SSH proxy erişim anahtarı PAM sunucusu ortamında tanımlı değildir. Ayrıca ssh-proxy günlüğünde PAM sunucusuna yönelik kimlik doğrulama hatalarını denetleyin. Bkz. Hizmet Erişim Anahtarları.

Zamanlanmış parola rotasyonu, raporlar ya da yedeklemeler çalışmıyor

Zamanlanmış işler yalnızca ana düğümde çalışır. Ayarlar > Replikasyon sayfasındaki Master anahtarını denetleyin ya da başlangıçtan sonra PAM sunucusu günlüğünde Running as MASTER node veya Running as REPLICA node satırını arayın. Bkz. Yüksek Erişilebilirlik.

Yük dengeleyici arkasında kullanıcıların oturumu kapanıyor ya da oturumlar açılamıyor

Tüm düğümlerin aynı SESSION_SECRET_KEY değerini kullandığını ve yük dengeleyicinin oturum yakınlığı kullandığını denetleyin. Bkz. Yüksek Erişilebilirlik.

Sertifika süre sonu e-postaları alınmıyor

Ayarlar > Bildirim sayfasında Email Test ile posta sunucusu ayarlarını denetleyin ve MASTER yöneticilerinin e-posta adreslerinin tanımlı olduğunu doğrulayın.