提交命令授权工单

操作场景

堡垒机支持对Linux主机操作进行“动态授权”管理，加强对敏感操作的限制管理。

当运维用户登录Linux主机进行运维操作时，触发“动态授权”命令控制策略的操作命令，系统会自动拦截操作命令，生成命令授权工单。当管理员收到工单审批申请并批准工单后，运维用户才有执行该Linux“动态授权”操作命令的权限。

本小节主要介绍如何提交命令授权工单。

图1 命令被拦截示例

约束与限制

仅SSH和Telnet协议类型的Linux主机，支持拦截敏感操作生成命令授权工单。

前提条件

当前用户所属角色已拥有“命令授权工单”模块的管理权限，如何查看各角色的权限，请参见角色。

自动生成命令授权工单

若您已创建命令控制策略，且执行动作设置为“动态授权”时，在运维过程中如果触发该策略规则，系统将拒绝执行该命令，界面提示“命令“xxx”已被拦截，请提交命令授权工单申请动态授权”，同时生成命令授权工单。您可以在堡垒机系统选择“工单 > 命令授权工单”，在命令授权工单列表页面查看自动生成的命令授权工单。当工单被提交并审核通过后，才能继续执行该命令。

触发命令控制策略自动生成的命令授权工单，其提交方式包括“自动提交”和“手动提交”，配置方法请参见配置工单基本模式。

• 手动提交（默认）：触发命令控制策略规则生成命令授权工单后，仅在命令授权工单列表中生成相应工单，需运维人员提交工单至管理员处审批。
• 自动提交：触发命令控制策略规则生成命令授权工单后，会在命令授权工单列表中生成相应工单，且系统自动提交至管理员处审批。

手动创建并提交命令授权工单

手动创建工单支持提前发起审批，管理员审批通过后系统将在指定时间自动执行，无需管理员实时在线，适用于夜间变更等管理员可能不在场的运维场景。而自动生成工单需管理员实时审批后方可执行，若管理员不在线则审批流程无法及时推进，可能导致运维任务延误。

1. 登录堡垒机系统。
2. 在左侧导航栏选择“工单 > 命令授权工单”，进入命令授权工单列表页面。
3. 单击“新建”，弹出配置窗口，参考表1配置命令授权工单信息。

   表1 命令授权工单参数说明

   参数	说明
   运维时间	选择访问资源的时间段，生效时间和失效时间均必须配置。
   命令/参数	输入需要执行的命令。 命令最多2000行，每行输入一条命令，每条命令1-100个字符，命令中只能包含大小写字母、数字、“-”和“_”。
   工单备注	（可选）简要描述申请工单的原因或其他信息。

4. 单击“下一步”，选择本条工单申请访问的资源账户。
5. 击“确定”，创建并提交工单。

   返回工单列表页面，可查看已提交的工单申请。

相关操作

• 修改工单：工单提交后，如果工单被管理员驳回，或自行撤回工单，可修改工单信息后再次提交，可单击工单“操作”列的“管理”，进入工单详情页面查看和修改工单信息。
  

  “审批中”状态的工单仅能查看工单详情信息，不能修改工单内容。“已撤回”和“待提交”状态的工单才能被修改。

• 撤回工单：提交工单申请后，若需修改已提交的工单，可单击工单“操作”列的“撤回”，取消已提交的工单申请，工单状态变为“已撤回”。
• 删除工单：若已提交的工单已过期，可单击工单“操作”列的“删除”，删除该工单，亦可勾选多条工单，单击列表左下角“删除”，批量删除工单。
  

  删除后工单信息不能找回，请谨慎操作。

后续操作

运维员提交工单后，管理员即可在“消息中心”收到提醒，查看详细工单内容。并可在“工单审批”页面收到工单，可对工单进行批准、驳回或撤销操作，具体操作，请参见查看和审批工单。

• 管理员审批工单通过后，运维员权限立刻生效，即可在授权范围和时间段拥有命令操作权限。
• 管理员驳回工单后，运维员无法获取相应权限。
• 管理员撤销工单权限后，运维员权限立刻失效，操作命令会再次被拦截。