# 操作指引 #### 操作流程 图1操作流程 ![](https://support.huaweicloud.com/usermanual-cbh/zh-cn_image_0000002493275690.png "点击放大") 表1操作流程说明 | 编号 | 流程节点 | 说明 | |:---|:---|:---| | 1 | 准备工作 | 在购买CBH资源之前，请先注册华为云账号、完成实名认证、为账户充值。请保证账户有足够的资金，以避免购买资源失败。具体操作，请参见[准备工作](https://support.huaweicloud.com/qs-cbh/cbh_06_0009.html#section1)。 | | 2 | 购买云堡垒机 | 登录管理控制台，购买云堡垒机实例。具体操作，请参见[购买云堡垒机](https://support.huaweicloud.com/usermanual-cbh/cbh_02_0002.html)。 | | 3 | 配置云堡垒机 | 管理员登录云堡垒机，完成对堡垒机的部门、用户、策略、资源等配置。常用管理操作，请参见[管理员操作指引]。 | | 4 | 资源运维 | 运维员登录云堡垒机，对主机、数据库、应用和容器资源进行运维。常用运维操作，请参见[运维员操作指引]。 | | 5 | 运维审计 | 审计员登录堡垒机，查阅和管理各种审计数据，包括会话、日志、报表数据。常用审计操作，请参见[审计员操作指引]。 | #### 管理员操作指引 系统管理员**admin**或其他获取管理员权限的用户，可以通过控制台管理并配置堡垒机。本节介绍管理员常用操作指导。 表2管理员操作指引 | 功能模块 | 配置步骤 | 说明 | |:---|:---|:---| | 部门管理 | （按需）步骤一：新建部门 | 部门是用于划分组织结构，标识用户和资源的组织。管理员可以创建并管理部门。 更多信息，请参见[新建部门](https://support.huaweicloud.com/usermanual-cbh/cbh_02_001002.html)。 | | 用户管理 | 步骤二：新建用户 | 管理员创建用户并为其分配部门和角色，即为不同人员创建一个登录云堡垒机的账号。 更多信息，请参见[新建用户](https://support.huaweicloud.com/usermanual-cbh/cbh_02_001201.html)。 | | 资源管理 | 步骤三：纳管资源 | - 在公网连通的情况下，管理员可以通过手动添加、批量导入、自动发现等方式将主机资源纳管到堡垒机中进行管理。 更多信息，请参见[通过堡垒机纳管主机或数据库资源](https://support.huaweicloud.com/usermanual-cbh/cbh_02_0018.html)。 - 在不同网络环境或专有网络环境下，管理员可以通过代理服务器将主机资源纳管到堡垒机中进行管理。更多信息，请参见[代理服务器管理](https://support.huaweicloud.com/usermanual-cbh/cbh_02_0076.html)。 | | 资源管理 | 步骤三：纳管资源 | 在公网连通的情况下，管理员可以通过手动添加、批量导入、自动发现等方式将数据库资源纳管到堡垒机中进行管理。 更多信息，请参见[通过堡垒机纳管主机或数据库资源](https://support.huaweicloud.com/usermanual-cbh/cbh_02_0018.html)。 | | 资源管理 | 步骤三：纳管资源 | 在公网连通的情况下，管理员可以将客户端应用和Web应用资源纳管到堡垒机中进行管理。 更多信息，请参见[纳管应用资源](https://support.huaweicloud.com/usermanual-cbh/cbh_02_00180.html)。 | | 资源管理 | 步骤三：纳管资源 | 在公网连通的情况下，管理员可以将基于Kubernetes创建的容器资源纳管到堡垒机中进行管理，包括华为云云容器引擎（Cloud Container Engine，简称CCE） 或其他自建第三方容器资源。 **当前仅专业版支持** ，更多信息，请参见[纳管容器资源](https://support.huaweicloud.com/usermanual-cbh/cbh_02_0100.html)。 | | 策略管理 | 步骤四：新建访问控制策略 | 访问控制策略用于控制用户访问资源的权限。通过配置访问控制策略，并为策略关联用户及资源，可实现对运维人员、运维资源及运维行为的管控。 更多信息，请参见[创建访问控制策略](https://support.huaweicloud.com/usermanual-cbh/cbh_02_002301.html)。 | | 策略管理 | （按需）新建命令控制策略 | 命令控制策略用于控制用户访问资源的命令操作权限，实现Linux主机运维操作的细粒度控制。 更多信息，请参见[创建命令控制策略](https://support.huaweicloud.com/usermanual-cbh/cbh_02_002401.html)。 | | 策略管理 | （按需）新建数据库控制策略 | 数据库控制策略是用于拦截数据库会话敏感操作，实现数据库运维操作的细粒度控制。 **当前仅专业版支持** ，更多信息，请参见[创建数据库控制策略](https://support.huaweicloud.com/usermanual-cbh/cbh_02_005301.html)。 | | 策略管理 | （按需）新建改密策略 | 改密策略用于对主机资源账户自动改密，并可针对多个主机资源账户同时定期改密，提高资源账户安全性。 更多信息，请参见[创建改密策略](https://support.huaweicloud.com/usermanual-cbh/cbh_02_002501.html)。 | | 工单管理 | （按需）审批工单 | 当运维员提交工单申请或者触发命令工单后，管理员可根据情况审批或驳回工单。 更多信息，请参见[查看和审批工单](https://support.huaweicloud.com/usermanual-cbh/cbh_02_0038.html)。 | | 系统管理 | （按需）系统配置 | 提供**登录安全配置、多因子认证、远程认证、告警配置**等多种系统配置，保障系统安全。 更多信息，请参见[系统配置](https://support.huaweicloud.com/usermanual-cbh/cbh_02_0040.html)。 | | 系统管理 | （按需）维护管理 | 提供系统数据备份和还原、系统诊断、网络诊断等功能，保障数据安全。 更多信息，请参见[维护管理](https://support.huaweicloud.com/usermanual-cbh/cbh_02_0039.html)。 | #### 运维员操作指引 获取资源运维权限的用户，可通过Web浏览器、SSH客户端工具、FTP/SFTP客户端工具或其他本地客户端工具，登录资源进行运维操作。本节介绍运维员常用操作指导。 表3运维员操作指引 | 功能模块 | 运维类型 | 说明 | |:---|:---|:---| | 工单管理 | 提交工单申请 | 当运维员不具备某些资源访问控制权限时，可主动提交工单，申请相应资源访问控制权限。 更多信息，请参见： - [提交访问授权工单](https://support.huaweicloud.com/usermanual-cbh/cbh_02_0036.html) - [提交命令授权工单](https://support.huaweicloud.com/usermanual-cbh/cbh_02_0037.html) - [提交数据库授权工单](https://support.huaweicloud.com/usermanual-cbh/cbh_02_0058.html) | | 资源运维 | 运维主机 | 运维员根据不同协议的主机类型，通过Web浏览器、SSH客户端工具或FTP/SFTP客户端工具，登录主机进行运维。 更多信息，请参见： - [通过Web浏览器登录主机资源进行运维](https://support.huaweicloud.com/usermanual-cbh/cbh_02_002702.html) - [通过SSH客户端登录主机资源进行运维](https://support.huaweicloud.com/usermanual-cbh/cbh_02_002703.html) - [通过FTP/SFTP客户端登录文件传输类资源进行运维](https://support.huaweicloud.com/usermanual-cbh/cbh_02_002704.html) | | 资源运维 | 运维数据库 | 运维员通过SSO单点登录工具调用本地客户端工具或直接通过本地客户端工具，登录数据库进行运维。 更多信息，请参见： - [通过SSO单点登录工具登录数据库进行运维](https://support.huaweicloud.com/usermanual-cbh/cbh_02_002705.html) - [通过本地客户端工具登录和运维数据库资源](https://support.huaweicloud.com/usermanual-cbh/cbh_02_0027005.html) | | 资源运维 | 运维应用 | 运维员通过Web浏览器，登录应用进行运维。 更多信息，请参见[通过Web浏览器登录应用资源进行运维](https://support.huaweicloud.com/usermanual-cbh/cbh_02_002802.html)。 | | 资源运维 | 运维容器 | 运维员通过Web浏览器，登录容器进行运维。 **当前仅专业版支持** ，更多信息，请参见[通过Web浏览器登录资源运维容器](https://support.huaweicloud.com/usermanual-cbh/cbh_02_0108.html)。 | #### 审计员操作指引 获取运维审计权限的用户，可通过控制台查看并管理各种审计会话、日志、报表等信息。本节介绍审计员常用操作指导。 表4审计员操作指引 | 功能模块 | 审计方式 | 说明 | |:---|:---|:---| | 运维审计 | 实时会话 | 审计员可以通过控制台查看实时会话，当监控到运维员有违规或高危运维操作时，审计员可立即中断其操作。 更多信息，请参见[实时会话](https://support.huaweicloud.com/usermanual-cbh/cbh_02_0030.html)。 | | 运维审计 | 历史会话 | 审计员可以通过控制台查看、管理和导出历史会话记录，并可以在线回放历史会话。 更多信息，请参见[历史会话](https://support.huaweicloud.com/usermanual-cbh/cbh_02_0031.html)。 | | 运维审计 | 系统日志 | 审计员可以通过控制台查看和导出系统登录日志及系统操作日志。 更多信息，请参见[系统日志](https://support.huaweicloud.com/usermanual-cbh/cbh_02_0032.html)。 | | 运维审计 | 运维报表 | 审计员可以通过控制台查看和导出运维报表，运维报表呈现包括运维时间分布、资源访问次数、会话时长、来源IP访问数、命令拦截等维度的数据。支持将运维报表数据定期以邮件形式自动发送到指定邮箱。 更多信息，请参见[运维报表](https://support.huaweicloud.com/usermanual-cbh/cbh_02_0033.html)。 | | 运维审计 | 系统报表 | 审计员可以通过控制台查看和导出系统报表，系统报表呈现包括用户控制、用户与资源操作、用户源IP数、异常登录等维度的数据。支持将系统报表数据定期以邮件形式自动发送到指定邮箱。 更多信息，请参见[系统报表](https://support.huaweicloud.com/usermanual-cbh/cbh_02_0034.html)。 |