操作指引
操作流程
编号 | 流程节点 | 说明 |
|---|---|---|
1 | 准备工作 | 在购买CBH资源之前，请先注册华为账号并开通华为云、完成实名认证、为账户充值。请保证账户有足够的资金，以避免购买资源失败。具体操作，请参见准备工作。 |
2 | 购买云堡垒机 | 登录管理控制台，购买云堡垒机实例。具体操作，请参见购买云堡垒机。 |
3 | 配置云堡垒机 | 管理员登录云堡垒机，完成对堡垒机的部门、用户、策略、资源等配置。常用管理操作，请参见管理员操作指引。 |
4 | 资源运维 | 运维员登录云堡垒机，对主机、数据库、应用和容器资源进行运维。常用运维操作，请参见运维员操作指引。 |
5 | 运维审计 | 审计员登录堡垒机，查阅和管理各种审计数据，包括会话、日志、报表数据。常用审计操作，请参见审计员操作指引。 |
管理员操作指引
系统管理员admin或其他获取管理员权限的用户，可以通过控制台管理并配置堡垒机。本节介绍管理员常用操作指导。
功能模块 | 配置步骤 | 说明 |
|---|---|---|
部门管理 | （按需）步骤一：新建部门 | 部门是用于划分组织结构，标识用户和资源的组织。管理员可以创建并管理部门。 更多信息，请参见新建部门。 |
用户管理 | 步骤二：新建用户 | 管理员创建用户并为其分配部门和角色，即为不同人员创建一个登录云堡垒机的账号。 更多信息，请参见新建用户。 |
资源管理 | 步骤三：纳管资源 |
|
在公网连通的情况下，管理员可以通过手动添加、批量导入、自动发现等方式将数据库资源纳管到堡垒机中进行管理。 更多信息，请参见通过堡垒机纳管主机或数据库资源。 | ||
在公网连通的情况下，管理员可以将客户端应用和Web应用资源纳管到堡垒机中进行管理。 更多信息，请参见纳管应用资源。 | ||
在公网连通的情况下，管理员可以将基于Kubernetes创建的容器资源纳管到堡垒机中进行管理，包括华为云云容器引擎（Cloud Container Engine，简称CCE） 或其他自建第三方容器资源。 当前仅专业版支持，更多信息，请参见纳管容器资源。 | ||
策略管理 | 步骤四：新建访问控制策略 | 访问控制策略用于控制用户访问资源的权限。通过配置访问控制策略，并为策略关联用户及资源，可实现对运维人员、运维资源及运维行为的管控。 更多信息，请参见新建访问控制策略并关联用户和资源账户。 |
（按需）新建命令控制策略 | 命令控制策略用于控制用户访问资源的命令操作权限，实现Linux主机运维操作的细粒度控制。 更多信息，请参见新建命令控制策略。 | |
（按需）新建数据库控制策略 | 数据库控制策略是用于拦截数据库会话敏感操作，实现数据库运维操作的细粒度控制。 当前仅专业版支持，更多信息，请参见新建数据库控制策略。 | |
（按需）新建改密策略 | 改密策略用于对主机资源账户自动改密，并可针对多个主机资源账户同时定期改密，提高资源账户安全性。 更多信息，请参见新建改密策略。 | |
工单管理 | （按需）审批工单 | 当运维员提交工单申请或者触发命令工单后，管理员可根据情况审批或驳回工单。 更多信息，请参见查看和审批工单。 |
系统管理 | （按需）系统配置 | 提供登录安全配置、多因子认证、远程认证、告警配置等多种系统配置，保障系统安全。 更多信息，请参见系统配置。 |
（按需）维护管理 | 提供系统数据备份和还原、系统诊断、网络诊断等功能，保障数据安全。 更多信息，请参见维护管理。 |
运维员操作指引
获取资源运维权限的用户，可通过Web浏览器、SSH客户端工具、FTP/SFTP客户端工具或其他本地客户端工具，登录资源进行运维操作。本节介绍运维员常用操作指导。
功能模块 | 运维类型 | 说明 |
|---|---|---|
工单管理 | 提交工单申请 | 当运维员不具备某些资源访问控制权限时，可主动提交工单，申请相应资源访问控制权限。 更多信息，请参见： |
资源运维 | 运维主机 | 运维员根据不同协议的主机类型，通过Web浏览器、SSH客户端工具或FTP/SFTP客户端工具，登录主机进行运维。 更多信息，请参见： |
运维数据库 | 运维员通过SSO单点登录工具调用本地客户端工具或直接通过本地客户端工具，登录数据库进行运维。 更多信息，请参见： | |
运维应用 | 运维员通过Web浏览器，登录应用进行运维。 更多信息，请参见通过Web浏览器登录应用资源进行运维。 | |
运维容器 | 运维员通过Web浏览器，登录容器进行运维。 当前仅专业版支持，更多信息，请参见通过Web浏览器登录资源运维容器。 |
审计员操作指引
获取运维审计权限的用户，可通过控制台查看并管理各种审计会话、日志、报表等信息。本节介绍审计员常用操作指导。
功能模块 | 审计方式 | 说明 |
|---|---|---|
运维审计 | 实时会话 | 审计员可以通过控制台查看实时会话，当监控到运维员有违规或高危运维操作时，审计员可立即中断其操作。 更多信息，请参见实时会话。 |
历史会话 | 审计员可以通过控制台查看、管理和导出历史会话记录，并可以在线回放历史会话。 更多信息，请参见历史会话。 | |
系统日志 | 审计员可以通过控制台查看和导出系统登录日志及系统操作日志。 更多信息，请参见系统日志。 | |
运维报表 | 审计员可以通过控制台查看和导出运维报表，运维报表呈现包括运维时间分布、资源访问次数、会话时长、来源IP访问数、命令拦截等维度的数据。支持将运维报表数据定期以邮件形式自动发送到指定邮箱。 更多信息，请参见运维报表。 | |
系统报表 | 审计员可以通过控制台查看和导出系统报表，系统报表呈现包括用户控制、用户与资源操作、用户源IP数、异常登录等维度的数据。支持将系统报表数据定期以邮件形式自动发送到指定邮箱。 更多信息，请参见系统报表。 |
