【产品技术】一文解析云堡垒机功能点

角色分权

支持多种用户角色，包括默认管理员、部门管理员、策略管理员、审计管理员、运维员，每种用户角色的权限都各不相同。云堡垒机同时支持默认管理员自定义角色，满足企业的复杂运维场景，为设立不同的角色提供选择。

全程审计

运维人员登录到云堡垒机之后，云堡垒机管控所有的操作，并对所有的操作都进行详细记录。针对会话的审计日志，支持在线查看、在线播放和下载后离线播放。

云堡垒机目前支持字符协议（SSH、TELNET）、图形协议（RDP、VNC）、文件传输协议（FTP、SFTP、SCP）、数据库协议（DB2、MySQL、Oracle、SQL Server）和应用发布的操作审计。其中，字符协议和数据库协议能够进行操作指令解析，100%还原操作指令；图形协议和应用发布可以通过OCR进行文字识别；文件传输能够记录传输的文件名称和目标路径。

命令控制

云堡垒机提供了集中的命令控制策略功能，实现基于不同的主机和用户设置不同的命令控制策略。

·       策略提供断开连接、拒绝执行、动态授权和允许执行等四种执行动作，根据命令的危险程度和资源的重要程度去设置命令的执行动作。

·       同时，云堡垒机预置了近千条Linux/Unix和主流网络设备的操作命令，让管理人员可以直接从命令库进行调取，简化命令控制策略的配置过程。

工单申请

运维人员向管理员申请需要访问的设备，申请时可以选择资源账户、运维有效期、申请备注等信息，并且工单以多种方式通知管理员。当需要使用的功能权限（例如文件管理、RDP剪切板等）由于策略的限制无法使用时，运维人员也可以通过工单申请相应的功能权限。管理员对工单进行审核和批准后，运维人员就拥有了临时的访问权限。

工单的审批流程可以由系统管理员进行自定义，并且可以设置多人审批或会签审批模式，满足企业流程需求。

会话协同

通过云堡垒机，运维人员可以邀请其他用户加入自己的会话，进行协同操作。当新人操作不熟练时，通过会话协同能够邀请其他的用户协助自己进行操作，操作控制权可在不同的用户之间能够进行灵活的切换。

双人授权

为降低高权限账号被滥用引起违规操作的风险，借鉴银行金库管理中开关库房必须有两名管库员在场共同授权的方式，以多人制衡的手段对高权限的使用进行监督和控制。云堡垒机通过双人授权，让运维人员在访问核心资源时，必须要通过管理员的现场审批，通过双人授权有效遏制权限滥用的情况，降低安全事件发生的风险。

报表分析

云堡垒机预置了多种分析报表，能够全方位地分析系统操作、资源运维的情况，让管理员迅速了解系统的现状，快速分析系统操作和资源运维的情况，及时阻止安全事件的发生。报表支持自动发送，支持以天、周、月为粒度发送报表，并且以HTML、DOC等多种格式导出，让管理员随时掌握系统信息。

集中管控

通过定制集中的访问控制策略，帮助企业梳理用户与资源的关系，并且提供一对一、一对多、多对一、多对多的灵活授权模式。云堡垒机提供的访问控制策略，不仅实现了将资源授权给用户，也实现了功能权限的精细化控制，最大程度地降低越权操作的可能。

资源改密

在传统的运维模式下，管理员需要定期手动修改资源账户的密码，同时维护起来也比较繁琐。通过云堡垒机提供的改密策略，实现自动化的改密，并且以日志形式记录改密执行结果，让管理员掌握资源的改密动态和历史密码。

资源访问

云堡垒机支持托管主机、应用的账户和密码，运维人员无需输入主机的账户和密码，直接点击“登录”即可成功自动登录到目标资源，并进行运维操作。采用数据库代理技术，DBA或运维人员可不改变原来的使用习惯，在本地使用客户端软件上，通过云堡垒机连接目标数据库服务器进行访问和操作。

同时，云堡垒机支持批量登录功能，通过批量登录，运维人员可以在一个页面上批量打开多台资源（支持不同协议类型），方便运维人员在操作时进行不同资源的切换。

身份管理

云堡垒机主账号通过本地认证、AD认证、RADIUS认证等多种认证方式，将主账号与实际用户身份一一对应，确保行为审计的一致性，从而准确定位事故责任人，弥补传统网络安全审计产品无法准确定位用户身份的缺陷。