云堡垒机 CBH-华为云

云堡垒机 CBH-步骤三：添加系统资源:操作步骤

操作步骤表1 资源的不同添加方式资源类型添加方式说明主机资源添加单个主机资源逐一添加主机资源。主机基本信息添加后，可选择添加主机资源账户。默认生成Empty资源账户。 Excel文件批量导入主机资源按照Excel模板要求配置主机基本信息，可选择配置主机账户信息。录入主机资源账户后，不再生成Empty资源账户。从云平台批量导入选择与CBH网络通畅的云平台，导入云平台主机信息和主机账户信息。导入主机全部资源账户，且不再生成Empty资源账户。自动发现通过IP地址或地址段，自动发现与CBH网络通畅的主机。自动发现主机只能添加主机信息，需另添加主机资源账户。应用资源添加单个应用资源逐一添加应用资源。应用基本信息添加后，可选择添加应用资源账户。默认生成Empty资源账户。 Excel文件批量导入应用资源按照Excel模板要求配置应用基本信息，可选择配置应用账户信息。录入应用资源账户后，不再生成Empty资源账户。

云堡垒机 CBH

云堡垒机 CBH-步骤三：添加系统资源:配置说明

配置说明系统内协议类型@主机地址:端口需唯一，不能重复，即系统纳管的主机资源唯一。表2 主机资源基本信息说明参数说明主机名称自定义的主机资源名称，系统内“主机名称”不能重复。协议类型选择主机的协议类型。专业版支持协议类型有SSH、RDP、VNC、TELNET、FTP、SFTP、DB2、MySQL、SQL Server、Oracle、SCP、Rlogin。标准版支持协议类型有SSH、RDP、VNC、TELNET、FTP、SFTP、SCP、Rlogin。主机地址输入主机与堡垒机网络通畅的IP地址选择主机的EIP地址或私有IP地址，建议优先选择可用私有IP地址。 CBH系统默认要求网络接口为主机的IPv4地址。主机开启IPv6地址，且在CBH系统网络配置开启了IPv6网络接口后，可配置为主机的IPv4或IPv6地址。说明：因CBH管理同一VPC网络下的主机资源，私有IP根据网络稳定性与就近优势，不受对外安全策略和访问控制策略的限制。建议“主机地址”优先考虑配置同VPC网络下私有IP地址。主机的EIP为独立的公网IP，对外访问的端口受网络安全限制，可能导致从堡垒机无法跳转登录到主机。端口输入主机的端口号。系统类型（可选）选择主机的操作系统类型或者设备系统类型。默认支持14种系统类型，包括Linux、Windows、Cisco、Huawei、H3C、DPtech、Ruijie、Sugon、Sugon、Digital China sm-s-g 10-600、Digital China sm-d-d 10-600、ZTE、ZTE5950-52tm、Surfilter、ChangAn。同时支持系统管理员admin自定义系统类型。详情请参见系统类型说明。终端速度 Rlogin协议类型主机可选择不同终端速率。编码 SSH、TELNET协议类型主机可选择运维界面中文编码。可选择UTF-8、Big5、GB18030。终端类型 SSH、TELNET协议类型主机可选择运维终端类型。可选择Linux、Xterm。更多选项（可选）选择配置“文件管理”、“剪切板”、“X11转发”。文件管理：仅SSH、RDP、VNC协议类型主机可配置。剪切板：仅RDP协议类型主机可配置。 X11转发：仅SSH协议类型主机可配置。部门选择主机所属部门。标签（可选）自定义标签或选择已有标签。主机描述（可选）对主机的简要描述。表3 应用资源基本信息说明参数说明应用名称自定义的应用发布名称，系统内“应用名称”不能重复。应用服务器选择已创建的应用发布服务器。所属部门选择应用所属部门。应用地址（可选）输入有效IP或域名。应用发布为浏览器时，输入网页地址。若地址有对应的端口，则地址为URL:端口号。应用发布为数据库或客户端时，输入数据库服务器的地址。应用端口（可选）输入应用访问端口。应用发布为数据库时，输入对应数据库访问的端口。应用发布为除数据库外其他应用时，无需填写。应用参数（可选）输入应用相关参数。应用发布为数据库时，输入实例名。应用发布为除数据库外其他应用时，无需填写。更多选项（可选）选择“文件管理”和“剪切板”。标签（可选）自定义标签或选择已有标签。应用描述（可选）对应用发布的简要描述。

云堡垒机 CBH

云堡垒机 CBH-使用前必读

使用前必读本文旨在帮助您了解云堡垒机（Cloud Bastion Host，CBH）入手使用的基本流程，帮助您更快上手操作。通过Web浏览器、SSH客户端登录云堡垒机系统，依次创建用户、添加资源、配置权限策略，授予用户运维资源权限。用户获取资源管理权限后，通过云堡垒机登录资源。审计用户运维会话，以及审计用户登录系统和系统操作。云堡垒机基础使用流程如图1所示。图1 使用流程表1 使用流程简介操作步骤说明登录云堡垒机系统成功购买CBH实例后，获取登录地址登录云堡垒机系统。 admin是系统第一个可登录用户，用户密码为自定义设置的密码。创建用户创建CBH系统用户，一个用户对应一个系统登录账号。添加资源添加资源信息，并纳管资源账户。添加资源，可纳管资源包括Linux主机、Windows主机、数据库、应用系统等。添加资源后，可纳管资源账户，实现自动登录资源进行运维管控。配置运维权限创建访问控制权限。策略授权用户访问资源后，用户才有权限登录相应资源，才能对资源进行运维操作。登录运维资源授权用户通过CBH系统登录相应资源，不同资源类型可选择不同登录方式。审计运维会话在系统Web页面审计用户系统登录和操作，以及审计用户运维会话。

云堡垒机 CBH

云堡垒机 CBH-步骤一：登录云堡垒机系统:通过MSTSC客户端登录堡垒机

通过MSTSC客户端登录堡垒机用户获取资源运维权限后，可通过MSTSC客户端直接登录进行运维操作。打开本地远程桌面连接（MSTSC）工具。在弹出的对话框中，“计算机”列，输入“堡垒机IP:53389”。图2 配置计算机单击“连接”，在登录页面完成登录。 username：堡垒机用户登录名@Windows主机资源账户名@Windows主机资源IP:Windows远程端口（默认3389），例如admin@Administrator@192.168.1.1:3389。 “Windows主机资源账户名”必须是已添加到堡垒机中的资源账户，且登录方式是”自动登录“，否则无法识别Windows主机资源账户，且无法生成运维审计文件。不支持实时会话运维。如何添加主机资源账户，请参考添加资源账户章节。 password：输入当前堡垒机的用户密码。

云堡垒机 CBH

云堡垒机 CBH-步骤一：登录云堡垒机系统:通过Web浏览器登录堡垒机

通过Web浏览器登录堡垒机启动浏览器，在Web地址栏中输入CBH系统登录地址，进入系统登录页面。登录地址：https://堡垒机实例EIP或私网IP。例如，https://10.10.10.10。未绑定EIP时，可通过私网IP登录，需确保用户本地网络与云堡垒机私网网络通畅。登录方式可选用 IAM 或本地登录，IAM登录堡垒机详情请参见：如何使用IAM登录云堡垒机。受浏览器兼容性限制，当浏览器版本与云堡垒机系统不匹配时，可能导致登录时获取不到验证信息，或登录后页面显示异常，建议使用推荐的浏览器及版本。推荐浏览器，请参见使用限制。选择登录认证方式。图1 堡垒机系统登录界面系统所有用户可选择配置“手机短信”、“手机令牌”、“USBKey”和“动态令牌”多因子认证，详情请参考配置多因子认证。配置多因子认证后，“密码登录”方式认证失效。表1 Web浏览器登录验证说明登录方式登录说明登录方式配置说明密码登录输入堡垒机系统的用户登录名和密码。默认登录方式。 “AD域认证”、“RADIUS认证”、“LDAP认证”或“Azure AD认证”用户登录密码为远程服务器用户密码，详情请参见远程认证配置。手机短信输入堡垒机系统的用户登录名和密码，单击“获取验证码”，并输入短信验证码。需要已经为用户账号配置可用手机号码。手机令牌输入堡垒机系统的用户登录名和密码，并输入手机令牌的动态验证码（每隔一段时间就会变化）。说明：需确保用户登录系统时间与手机时间一致，精确到秒，否则会提示验证码错误。需用户先绑定手机令牌，再由管理员配置多因子认证，否则用户无法登录系统，详情请参考绑定手机令牌。 USBKey 插入并选择已签发过的USBKey，并输入对应的PIN码。需已为用户签发USBKey，详情请参考签发USBKey。动态令牌输入堡垒机系统的用户登录名和密码，并输入动态令牌的动态口令（每隔一段时间就会变化）。需已为用户签发动态令牌，详情请参考签发动态令牌。单击“登录”，成功登录堡垒机系统进行管理和运维操作。系统管理员admin为CBH系统第一个可登录用户，拥有系统最高操作权限，且无法更改权限配置，请妥善保管账号信息。在首次登录系统成功后，请所有用户按照系统提示修改密码和绑定手机号码，否则无法进入系统运行页面。登录系统后，可在个人中心修改用户基本信息。

云堡垒机 CBH

云堡垒机 CBH-步骤一：登录云堡垒机系统:背景介绍

背景介绍堡垒机支持Web浏览器、SSH客户端和MSTSC客户端三种登录方式。 Web浏览器登录：支持系统管理和资源运维功能。建议系统管理员admin或管理人员使用Web浏览器登录进行系统管理和授权审计。 SSH客户端登录：在不改变用户原来使用SSH客户端习惯的前提下，可对授权资源进行运维管理。运维人员可选择使用SSH客户端直接登录运维资源。 MSTSC客户端登录：在不改变用户原来使用MSTSC客户端习惯的前提下，可对授权资源进行运维管理。运维人员可选择使用MSTSC客户端直接登录运维资源。

云堡垒机 CBH

云堡垒机 CBH-步骤五：登录资源运维:操作步骤

操作步骤表1 不同登录方式说明登录方式适用资源 Web浏览器登录 SSH、RDP、VNC和TELNET协议类型主机资源。全部应用资源。 SSH客户端登录 SSH、TELNET和Rlogin协议类型主机资源。 FTP/SFTP客户端登录适用于全部传输协议类型主机资源。 FTP、SFTP协议类型主机资源。 SSO单点客户端登录适用于全部数据库类型主机资源。 MySQL、SQL Server、Oracle和DB2协议类型主机资源。

云堡垒机 CBH

云堡垒机 CBH-步骤六：审计运维会话:操作步骤

操作步骤表1 系统和运维审计说明审计类型审计内容实时会话实时监控当前运维会话，查看运维用户和资源的会话详情，中断有高危风险的会话。历史会话运维会话视频：无需设置，全程录屏记录运维会话操作，可在线播放或下载操作视频。运维会话详情：用户运维会话详情，可在线查看或导出Excel文件。详情内容包括资源会话信息、系统会话信息、运维记录、文件传输、协同会话的详细操作记录。运维报表以折线图的形式，从多方面呈现用户运维资源随时间变化的趋势，并可生成运维资源综合分析报告。主要涵盖内容有“运维时间分布”、“资源访问次数”、“会话时长”、“来源IP访问数”、“会话协同”、“双人授权”、“命令拦截”、“字符命令数”和“传输文件数”。系统日志系统登录日志：用户登录系统的详细记录，可在线查看或导出Excel文件。系统操作日志：用户系统操作的详细记录，可在线查看或导出Excel文件。系统报表以柱状图的形式，从多方面统计用户登录系统和系统操作次数，并可生成系统管理综合分析报告。主要涵盖内容有“用户控制”、“用户与资源操作”、“用户源IP数”、“用户登录方式”、“异常登录”、“会话控制”和“用户状态”。

云堡垒机 CBH

云堡垒机 CBH-步骤二：创建系统用户:配置说明

配置说明表2 用户信息说明参数说明登录名自定义登录系统的用户名。创建后不可修改，且系统内“登录名”唯一不能重复。认证类型选择登录系统的认证方式。本地：系统默认认证方式，即通过系统自身的账号管理系统进行身份认证。 AD域：通过Windows AD域服务器对用户进行身份认证。 LDAP：通过LDAP协议，由第三方认证服务器对用户进行身份认证。 RADIUS：通过RADIUS协议，由第三方认证服务器对用户进行身份认证。 Azure AD：基于SAML配置，由Azure平台对登录用户进行身份认证。密码/确认密码用户登录系统的密码。姓名自定义用户姓名，便于区分不同的用户。手机用户系统预留手机号码。可通过手机短信验证登录身份或找回密码。邮箱用户系统预留邮箱地址。可通过邮箱收取系统消息通知。角色选择用户的角色，一个用户仅能选择一个角色。仅admin是可自定义角色或编辑默认角色的权限范围。缺省情况下，系统角色包括部门管理员、策略管理员、审计管理员和运维员。部门管理员：负责部门系统管理，除“用户管理”和“角色管理”模块之外，部门管理员拥有其他全部模块的配置权限。策略管理员：负责策略权限的配置，拥有“用户组管理”、“资源组管理”和“访问策略管理”等模块的配置权限。审计管理员：负责系统和运维数据的审计，拥有“实时会话”、“历史会话”和“系统日志”等模块的配置权限。运维员：系统普通用户和资源操作人员，拥有“主机运维”、“应用运维”和“授权工单”模块的操作访问权限。所属部门选择用户所属部门组织。用户描述（可选）对用户情况的简要描述。

云堡垒机 CBH

云堡垒机 CBH-步骤四：配置运维权限:操作步骤

操作步骤表1 访问控制策略配置说明步骤说明配置策略基本信息可配置文件传输权限、用户登录IP限制、用户登录时段限制、策略有效期等信息。关联用户或用户组关联用户：赋权给单个系统用户，该用户角色需同时有“主机运维”和“应用运维”模块权限，才能正常获取运维资源权限。关联用户组：批量赋权给整个用户组成员。赋权后，新加入组的用户即刻拥有该访问控制权限。关联资源账户或账户组关联资源账户：授权访问单个资源账户。关联账户组：授权访问整个账户组。授权后，新加入组的资源账户可立即被赋权用户访问。

云堡垒机 CBH

云堡垒机 CBH-步骤四：配置运维权限:配置说明

配置说明表2 访问控制策略基本信息说明参数说明策略名称自定义的访问控制策略名称，系统内“策略名称”不能重复。有效期（可选）选择策略生效时间和策略的失效时间。文件传输（可选）在运维过程中，对资源中文件上传和下载权限。勾选，允许对资源中文件上传或下载；不勾选，禁止对资源中文件上传或下载。更多选项（可选）选择在运维过程中主机资源的“文件管理”、“RDP剪切板”、“显示水印”权限。说明： SSH和RDP协议对应的设备支持“文件管理”，VNC协议需通过应用发布才支持。Telnet协议对应的设备不支持“文件管理”。登录时段限制（可选）选择用户登录主机的时间段权限。 IP限制（可选）输入限制/允许用户“来源IP”访问资源。选择“黑名单”，配置相应IP或IP网段，即限制该IP或IP网段用户登录资源。选择“白名单”，配置相应IP或IP网段，即仅允许该IP或IP网段用户登录资源。 IP地址缺省状态下，即不限制用户IP登录资源。

云堡垒机 CBH

云堡垒机 CBH-入门实践

入门实践当您配置完云堡垒机（CBH）后，可以根据自身业务的业务场景使用CBH提供的一系列常用实践。表1 常用最佳实践实践描述变更规格变更堡垒机规格当使用的云堡垒机规格不能满足实际需求时，您可以选择对云堡垒机的规格进行变更规格。系统策略数据库控制策略：高危命令二次审批云堡垒机支持通过执行命令运维数据库，包括数据删除、修改、查看等运维操作。为确保数据库敏感信息的安全，避免关键信息的丢失和泄露，本文针对运维用户访问和运维数据库关键信息，详细介绍了如何设置数据库高危操作的复核审批，以及如何实现关键信息的重点监控。等保合规云堡垒机等保合规相关项为客户提供一站式的安全解决方案，帮助客户快速、低成本完成安全整改，轻松满足等保合规要求。系统运维跨云跨VPC线上线下统一运维针对您的服务器资源分布在跨VPC、线下IDC机房、非华为云等跨网络域的场景，华为云堡垒机提供了通过网络代理服务器进行运维的方案，便于您在没有搭建网络专线的情况下，纳管各网络域的各类服务器资源，从而通过华为云堡垒机统一管理、运维您的各类工作负载。运维审计使用堡垒机对安全事故进行事后追溯华为云堡垒机可以管控所有的操作，并对所有的操作都进行详细记录。针对会话的审计日志，支持在线查看、在线播放和下载后离线播放。目前支持字符协议（SSH、TELNET）、图形协议（RDP、VNC）、文件传输协议（FTP、SFTP、SCP）、数据库协议（DB2、MySQL、Oracle、SQL Server）和应用发布的操作审计。其中，字符协议和数据库协议能够进行操作指令解析，还原操作指令；文件传输能够记录传输的文件名称和目标路径。

云堡垒机 CBH

云堡垒机 CBH-快速购买并登录堡垒机:操作流程

操作流程本文档介绍如何快速购买、配置云堡垒机。图1 快速购买配置云堡垒机流程图表1 购买配置云堡垒机流程说明步骤说明准备工作使用云服务前，您需要注册华为账号并开通华为云、完成实名认证、为账户充值。步骤一：购买堡垒机在云堡垒机控制台购买10资产量的标准版单机实例类型堡垒机。步骤二：登录堡垒机购买堡垒机后会使用默认的admin账号登录堡垒机。步骤三：添加资源使用admin在堡垒机添加需要纳管的Linux资源，实现通过堡垒机访问资源，同时也可使用admin账号创建不同角色的账号实现权限的细分管理。步骤四：添加访问控制策略使用admin为资源绑定管理角色，同时配置登录的时间段、操作权限、黑名单或白名单等信息，创建对资源的访问控制策略。

云堡垒机 CBH

云堡垒机 CBH-安装Linux应用服务器:操作步骤

操作步骤使用root账号登录Linux服务器。在Linux服务器中，下载Linux环境app_publisher_x86_64_xxx.tar.gz（xxx为版本号）压缩包。表1 app_publisher组件版本说明堡垒机版本支持架构 app_publisher组件版本下载地址 V3.3.26.0 X86和Arm V1.0.0 软件包下载地址 V3.3.30.0 X86和Arm V1.1.0 软件包下载地址 V3.3.38.0 X86 V1.2.0_CentOS7 软件包下载地址 Arm V1.2.0_UOS20 软件包下载地址 V3.3.40.0 X86 V1.3.0_CentOS7 软件包下载地址 Arm V1.3.0_UOS 软件包下载地址 V3.3.43.0 X86 V1.4.0_CentOS7 软件包下载地址 Arm V1.4.0_UOS 软件包下载地址 V3.3.46.0 X86 V1.5.0_CentOS7 软件包下载地址 Arm V1.5.0_UOS 软件包下载地址 V3.3.52.0 X86 1.6.1_EulerOS 软件包下载地址 Arm 1.6.1_EulerOS 软件包下载地址 X86 1.6.1_CentOS7 软件包下载地址 Arm 1.6.1_UOS 软件包下载地址在Linux服务器中，执行以下命令，将app_publisher_x86_64_xxx.tar.gz（xxx为版本号）压缩包进行解压。 # tar -xvf app_publisher_*.tar.gz # cd app_publisher 环境之前是否已安装过firefox应用发布服务器是，执行以下命令，把之前安装的firefox docker镜像删除。 # docker rmi 127.0.0.1:5000/psm-firefox:0.2 删除后，继续执行步骤 5。否，执行步骤 5。执行以下命令，部署脚本。 # /bin/bash install.sh 执行以下命令，检查服务状态。 # service docker status active (running)表示应用发布服务器安装成功。创建share目录（仅针对堡垒机V3.3.26.0版本）。 # mkdir /opt/autorun/share （可选）重启应用发布服务器。

云堡垒机 CBH 安装应用发布服务器

云堡垒机 CBH-通过堡垒机纳管应用服务器:约束限制

约束限制添加的主机和应用资源数量总和不能超过资产数。支持对Windows Server2008 R2及以上的Windows系统版本的应用进行管理。支持对Centos7.9系统的Linux服务器的应用进行管理。 Linux服务器仅支持调用Firefox浏览器应用和达梦管理工具V8。 Linux服务器和堡垒机之间需要开通的端口号：2376和35000~40000，且端口号不可修改。 Linux服务器的密码请联系华为云技术支持获取。添加应用发布前，需已添加应用服务器。 Edge浏览器应用不支持配置自动登录账户。

云堡垒机 CBH 系统资源

云服务器内容精选

云堡垒机 CBH

7*24

备案

专业服务

退订

建议反馈

售前咨询热线