华为云用户手册

  • 后续管理 提交工单申请后,相关管理员即可在“消息中心”收到提醒,查看详细工单内容。并可在工单审批页面收到工单,可对工单进行批准或驳回操作。 提交工单申请后,若需修改已提交的工单,可单击“撤回”,取消已提交的工单申请,工单状态变为“已撤回”。 创建工单后,若需查看工单和修改工单信息,可单击“管理”,进入工单详情页面查看和修改工单信息。 “审批中”状态的工单仅能查看工单详情信息,不能修改工单内容。“已撤回”和“待提交”状态的工单才能被修改。 若已提交的工单已过期,可单击“删除”,管理工单列表。亦可勾选多条工单,单击列表左下角删除,批量删除工单。 删除后工单信息不能找回,请谨慎操作。
  • 用户状态 呈现僵尸账户和密码强度的用户账号数量。 僵尸账户是当前未登录时间超过14天的已生效用户,按未登录天数统计。 默认呈现TOP5僵尸账户信息。可选择查看TOP5、TOP10、TOP20的僵尸账户。 在“详细数据”区域,可查看上一次成功登录的时间、用户登录名、来源IP、操作、操作结果等信息。 密码强度则是对系统内用户密码强度的划分,分为高、中、低三个等级。 在“详细数据”区域,可查看上一次改密的用户登录名、密码强度、上次改密时间,以密码强度由低至高排列。 密码强度的划分具体按照以下规则: 高:8位及以上,包含大写字母、小写字母、数字、特殊字符。 中:8位及以上,包含大写字母、小写字母、数字、特殊字符中的两种或三种。 低:8位及以上,包含大写字母、小写字母、数字、特殊字符中的一种,或8位以下。
  • 约束限制 趋势图最多呈现连续180天的运维数据变化趋势。 默认按小时呈现当天运维数据变化趋势。 筛选周期时间在同一月且在同一周时,仅可选择按天呈现趋势图。 筛选周期时间跨月且在同一周时,可选择按天和按月呈现趋势图。 筛选周期时间在同一月且跨周时,仅可选择按天和按周呈现趋势图。 筛选周期时间跨月且跨周时,仅可选择按天、按周和按月呈现趋势图。 趋势图可选择线状图、柱状图、饼状图形式。 表示线状图形式。 表示柱状图形式。 仅命令拦截动作趋势图可呈现饼状图形式。 默认呈现运维时间段内总的趋势图。 支持按目标用户呈现运维统计趋势图,最多可选择5个目标用户。 支持按目标资源呈现运维统计趋势图,最多可选择5个目标资源。
  • 约束限制 目前仅X86版本 堡垒机 支持应用运维,Arm版本堡垒机不支持应用运维。 应用运维仅支持通过Web浏览器方式登录进行运维。 支持复制/粘贴大量字符不乱码,本地到远端最多8万字符,远端到本地最多100万字节。 文件管理 不支持批量编辑文件或文件夹。 文件传输 系统默认支持上传最大100G的单个文件,但实际上传单个文件大小,受“个人网盘空间”大小和使用浏览器限制。 空间不足会导致上传失败,需清理磁盘或扩充磁盘容量。 不支持下载文件夹。 应用运维的目标地址只有“主机网盘”。
  • 约束限制 目前仅SSH、RDP协议主机,支持通过Web运维上传/下载文件。 Web运维不能通过执行rz/sz命令等方式上传/下载文件,仅能通过“文件传输”操作上传/下载文件。 Linux主机资源支持在客户端执行命令方式传输文件,例如在SSH客户端执行rz/sz命令上传/下载文件。但该方式不能被CBH系统记录上传/下载的具体文件,不能达到对全程安全审计的目的。 支持下载一个或多个文件,不支持下载文件夹。 不支持断点续传,文件上传或下载过程请勿终止或暂停。 不支持传输大小超过1G的超大文件,建议分批次上传/下载文件,或通过FTP客户端传输文件。 空间不足会导致上传失败,需清理磁盘或扩充磁盘容量。
  • 配置SSO单点客户端 以Navicat客户端为例,示例配置客户端路径。 打开本地SsoDBSettings单点登录工具。 图1 单点登录工具界面 在“Navicat路径”栏后,单击路径配置。 根据本地Navicat客户端安装的绝对路径,选中Navicat工具的exe文件后,单击“打开”。 图2 查找本地工具绝对路径 返回SsoDBSettings单点登录工具配置界面,可查看已选择的Navicat客户端路径。 图3 确认配置路径 单击“保存”,返回堡垒机“主机运维”列表页面,即可登录数据库资源。
  • 约束限制 仅FTP、SFTP、SCP协议主机支持通过Web浏览器登录,且登录资源的客户端工具的版本要求如下: 表1 工具支持情况 协议主机 登录资源的客户端工具的版本要求 SFTP协议 Xftp 6及以上、WinSCP 5.14.4及以上、FlashFXP 5.4及以上 FTP协议 Xftp 6及以上、WinSCP 5.14.4及以上、FlashFXP 5.4及以上、FileZilla 3.46.3及以上 表2 客户端运维支持服务器情况 算法类型 SSH客户端运维 Key exchange diffie-hellman-group-exchange-sha256 diffie-hellman-group-exchange-sha1 diffie-hellman-group14-sha1 diffie-hellman-group1-sha1 ecdh-sha2-nistp521 ecdh-sha2-nistp384 ecdh-sha2-nistp256 Encryption aes128-ctr aes192-ctr aes256-ctr aes128-cbc aes192-cbc aes256-cbc 3des-cbc blowfish-cbc arcfour128 arcfour256 HMAC hmac-md5 hmac-md5-96 hmac-sha1 hmac-sha1-96 hmac-sha2-256 hmac-sha2-512 Host Key ssh-rsa ssh-dss rsa-sha2-256 rsa-sha2-512 ecdsa-sha2-nistp256 ecdsa-sha2-nistp384 ecdsa-sha2-nistp521
  • 约束限制 仅SSH、TELNET和Rlogin协议主机支持通过SSH客户端登录,其中Rlogin协议主机仅支持SSH客户端登录。 支持SSH协议客户端工具:SecureCRT 8.0及以上版本、Xshell 5及以上版本、PuTTY、MAC Terminal 2.0及以上版本。 不同算法类型不同场景支持的服务器情况如下: 表1 SSH运维支持服务器情况 算法类型 H5页面运维 SSH客户端运维 Key exchange diffie-hellman-group-exchange-sha256 diffie-hellman-group-exchange-sha1 diffie-hellman-group14-sha1 diffie-hellman-group1-sha1 ecdh-sha2-nistp256 ecdh-sha2-nistp384 ecdh-sha2-nistp521 curve25519-sha256 curve25519-sha256@libssh.org diffie-hellman-group14-sha256 diffie-hellman-group-exchange-sha256 diffie-hellman-group-exchange-sha1 diffie-hellman-group14-sha1 diffie-hellman-group1-sha1 ecdh-sha2-nistp521 ecdh-sha2-nistp384 ecdh-sha2-nistp256 Encryption aes128-ctr aes192-ctr aes256-ctr aes128-cbc aes192-cbc aes256-cbc 3des-cbc blowfish-cbc arcfour128 arcfour cast128-cbc 3des-cbc rijndael-cbc@lysator.liu.se aes128-ctr aes192-ctr aes256-ctr aes128-cbc aes192-cbc aes256-cbc 3des-cbc blowfish-cbc arcfour128 arcfour256 HMAC hmac-md5 hmac-md5-96 hmac-sha1 hmac-sha1-96 hmac-sha2-256 hmac-sha2-512 hmac-ripemd160 hmac-ripemd160@openssh.com hmac-md5 hmac-md5-96 hmac-sha1 hmac-sha1-96 hmac-sha2-256 hmac-sha2-512 Host Key ssh-rsa ssh-dss ecdsa-sha2-nistp256 ecdsa-sha2-nistp384 ecdsa-sha2-nistp521 ssh-ed25519 ssh-rsa ssh-dss rsa-sha2-256 rsa-sha2-512 ecdsa-sha2-nistp256 ecdsa-sha2-nistp384 ecdsa-sha2-nistp521
  • SSH/TELNET协议类型主机会话 表2 Linux运维操作说明 参数 说明 编码 字符协议支持多种编码格式。 复制/粘贴 选中字符,按“Ctrl+C”进行复制,按“Ctrl+V”进行粘贴。 预置命令 对于字符较长,且经常输入的命令,可以提前预置。 终端类型 字符协议支持切换终端类型,包括Linux和Xterm两种类型。 群发键 开启群发可同时对多个会话进行命令输入。 字体大小 设置字体大小:大、中、小。 复制窗口 可复制当前会话窗口。 全屏 可开启窗口全屏。 图6 SSH主机会话窗口
  • RDP/VNC协议类型主机会话 表3 Windows主机运维操作说明 参数 说明 复制/粘贴 远程文本:选中字符, 需按两次“Ctrl+C”复制,按“Ctrl+V”粘贴。 远程机器文件:选中文本或图像,“Ctrl+B”复制,“Ctrl+G”粘贴。 说明: Web浏览器运维支持复制/粘贴大量字符不乱码,本地到远端最多8万字符,远端到本地最多100万字节。 分辨率 可切换当前操作界面分辨率,切换途中会重新创建连接。 切换鼠标 可分别切换为本地鼠标和远程鼠标。 Windows键 适用于Win快捷键操作。 锁屏键 “Ctrl+Alt+Delete”。 复制窗口 可复制当前会话窗口。 全屏 可开启窗口全屏。 图7 RDP主机会话窗口
  • 配置Windows 10服务器相关参数 登录Windows 10服务器。 启动winRM服务。 搜索“组件服务”,进入“组件服务”页面。 在左侧导航树中,选择“服务(本地)”,在右侧弹框中,找到“Windows Remote Management(WS-Management)”。 右键单击“Windows Remote Management(WS-Management)”,在弹窗中单击“启动”。 配置winRM。 以管理员身份运行cmd,执行以下命令: winrm qc (执行两次)回显后,根据提示输入y。 执行以下命令: winrm set winrm/config/service '@{AllowUnencrypted="true"}' 执行以下命令: winrm set winrm/config/service/auth '@{Basic="true"}' (如果已是管理员,可不执行该步骤)执行以下命令,添加用户到用户组。 例如,用户名为“appuser01”。 net localgroup "Remote Management Users" appuser01 /add 在power shell会话框中执行以下命令,添加防火墙命令。 New-NetFirewallRule -DisplayName "WinRM-5985" -Direction Inbound -LocalPort 5985 -Protocol TCP -Action Allow
  • 后续管理 改密策略创建完成后,可在策略列表页面,管理已创建策略,包括管理关联资源、删除策略、启停策略、立即执行策略等。 若需补充关联资源,可单击“关联”,快速关联资源账户、账户组。 若需删除策略,可选择目标策略,单击“删除”,立即删除策略。 若需禁用策略改密,可勾选一个或多个“已启用”状态的策略,单击“禁用”,策略状态变更为“已禁用”,策略立即失效。 若需立即修改资源账户密码,可单击“立即执行”,立即执行改密任务。
  • 约束限制 仅SSH,MySQL,SQL Server,Oracle,RDP和Telnet协议类型的主机,支持通过改密策略修改资源账户密码。 Windows主机资源需启用SMB服务,并放开主机安全组445端口,才能通过改密策略修改资源账户密码。 Windows 10不能使用SMB方式改密,关联Windows 10资源账户前,需配置winRM后进行改密策略的创建,可参照配置Windows 10服务器相关参数进行服务器相关参数的配置。
  • 自定义关联命令 命令控制策略关联的自定义的命令,关联命令后,在执行相关命令或参数时,触发拦截和允许操作。 自定义关联命令大小写敏感,严格按照设置的关联命令进行审核和过滤,若执行命令与设置命令不一致,则不能触发策略规则。详细设置说明和示例,请参考如下说明: 支持单命令格式。 如设置拒绝执行查询命令,即设置关联命令为ls,执行单命令操作时触发策略规则。 支持命令路径格式。 如设置动态授权查询日志,即设置关联命令为ls /var/log/,执行命令参数操作时触发策略规则。此时若执行ls /var/log,则无法触发策略拦截规则。 支持命令带“*”通配符,“*”表示任意多个字符。 如设置拒绝执行所有删除命令,即设置关联命令为rm *,执行命令加任意参数触发策略拦截,如执行rm -rf。此时若执行rm命令本身,则不会触发策略拦截规则。 支持命令带“?”通配符,“?”表示任意单个字符,输入几个“?”就代表几个未知字符。 如设置拒绝执行删除两个字符名称的文件或目录,即设置关联命令为rm -rf ??,执行命令加任意两个字符触发策略拦截,如执行rm -rf ts。此时若执行rm -rf test,则不会触发策略拦截规则。 支持命令带“[]”通配符,“[]”表示框内的任意字符、范围、取反(使用“|”或“^”取反)。 如设置动态授权删除带abcd名称的文件或目录,即设置关联命令为rm -rf [abcd],执行命令加任意abcd字符触发策略拦截,如执行rm -rf cloud。此时若执行rm -rf test或rm -rf ABCD,则不会触发策略拦截规则。 父主题: 命令控制策略
  • 后续管理 命令控制策略创建完成后,可在策略列表页面,管理已创建策略,包括管理关联用户或资源、删除策略、启停策略、策略排序等。 若需补充关联用户或资源,可单击“关联”,快速关联用户、用户组、资源账户、账户组。 若需删除策略,可选择目标策略,单击“删除”,立即删除策略。 若需禁用策略授权,可勾选一个或多个“已启用”状态的策略,单击“禁用”,策略状态变更为“已禁用”,策略授权立即失效。 若需排序策略优先等级,可选中策略行上下拖动策略,改变策略排序。
  • 后续管理 访问控制策略创建完成后,可在策略列表页面,管理已创建策略,包括管理关联用户或资源、删除策略、启停策略、策略排序等。 若需补充关联用户或资源,可单击“关联”,快速关联用户、用户组、资源账户、账户组。 若需删除策略,可选择目标策略,单击“删除”,立即删除策略。 若需禁用策略授权,可勾选一个或多个“已启用”状态的策略,单击“禁用”,策略状态变更为“已禁用”,策略授权立即失效。 若需排序策略优先等级,可选中策略行上下拖动策略,改变策略排序。 若需线下管理策略,可单击“导出”,以 CS V格式导出全量访问控制策略详情。
  • 账户组概述 多个资源账户加入一个“账户组”形成账户群组,通过对账户组授权可对资源账户进行批量授权、批量账户验证。 仅系统管理员admin或拥有“账户组”管理权限用户,可管理账户组,包括新建账户组、维护账户组资源,管理账户组信息、删除账户组等。 账户组与部门挂钩,不属于个人。当前登录用户新建的账户组默认放在登录用户部门下,不支持修改部门。上级部门拥有“账户组”管理权限用户可查看下级部门的所有账户组信息,反之不能,同级之间的账户组可相互查看。 上级部门管理员为下级部门账户组添加资源账户时,可将上级部门的资源账户添加到下级部门的账户组,但是下级部门拥有“账户组”管理权限用户操作账户组时,只能查看资源账户列表,不能查看上级部门资源账户的详情信息。 下级部门拥有“账户组”管理权限用户将当前账户组中的上级部门资源账户移除后,将不能添加移除的上级部门资源账户。 一个资源账户可加入多个账户组。 父主题: 账户组
  • 约束限制 添加的主机和应用资源数量总和不能超过资产数。 支持对Windows Server2008 R2及以上的Windows系统版本的应用进行管理。 支持对Centos7.9系统的Linux服务器的应用进行管理。 Linux服务器仅支持调用Firefox浏览器应用和达梦管理工具V8。 Linux服务器和堡垒机之间需要开通的端口号:2376和35000~40000,且端口号不可修改。 Linux服务器的密码请联系华为云技术支持获取。 添加应用发布前,需已添加应用服务器。 Edge浏览器应用不支持配置自动登录账户。
  • 资源概述 堡垒机具备集中资源管理功能,将已有资源和资源账户添加到系统,可实现对资源账户全生命周期管理,单点登录资源,管理或运维无缝切换。 资源类型 纳管资源类型丰富,包括Windows、Linux等主机资源,MySQL、Oracle等数据库资源,Kubernetes服务器以及Windows应用程序资源。 支持C/S架构运维接入,包括SSH、RDP、VNC、TELNET、FTP、SFTP、DB2、MySQL、SQL Server、Oracle、SCP、Rlogin协议类型主机资源。 支持B/S、C/S架构应用系统资源接入,可直接配置12+种Edge、Chrome、Oracle Tool等浏览器或客户端Windows服务器应用资源。 资源管理 批量导入 通过自动发现、同步云上资源,以及批量导入资源,支持一键同步并导入云上ECS、RDS等服务器上资源。 账户组管理 资源账户按属性分组管理,可实现对同类型资源账户按账户组给用户赋权。 批量管理 支持批量管理资源信息和资源账户,包括删除资源、添加资源标签、修改资源信息、验证资源账户、删除资源账户等。 父主题: 系统资源
  • 角色概述 用户所关联的角色,赋予用户不同系统操作访问权限。 堡垒机系统仅admin拥有自定义角色和修改角色的权限。 缺省情况下,系统中的默认角色包括部门管理员、策略管理员、审计管理员和运维员。默认角色不可删除,但可修改默认角色的权限范围。 表1 系统默认角色说明 参数 说明 部门管理员 部门的运维管理员,主要负责堡垒机系统的管理。除用户管理和角色管理模块之外,部门管理员拥有其他全部模块的配置权限。 策略管理员 用户权限策略管理员,负责主机运维的权限策略管理。主要负责策略权限的配置,拥有用户组管理、资源组管理和访问策略管理等模块的配置权限。 审计管理员 运维结果审计管理员,查询管理系统审计数据。主要负责查阅和管理系统的审计数据,拥有实时会话、历史会话和系统日志等模块的配置权限。 运维员 访问系统的普通用户和操作人员。主要负责资源的运维,拥有主机运维、应用运维和工单授权管理的权限。 父主题: 用户角色管理
  • 用户组概述 多个用户加入一个“用户组”形成用户群组,通过对用户组授权可对用户进行批量授权,具体的操作请参见新建访问控制策略并关联用户和资源账户。 仅系统管理员admin或拥有“用户”模块权限用户,可管理用户组,包括新建用户组、维护用户组成员,管理用户组信息、删除用户组等。 用户组与部门挂钩,不属于个人,当前登录用户新建的用户组默认放在登录用户部门下,不支持修改部门,上级部门有用户组权限的用户可以查看下级部门的所有用户组信息,反之不能,同级之间的用户组都能查看。 上级部门管理员向下级部门用户组添加用户时,可将上级部门的用户添加到下级部门用户组。 下级部门拥有“用户”模块管理权限的用户,查看用户组详情时,只能查看到用户组内上级部门用户成员列表,不能查看上级部门用户的详情信息。 下级部门拥有“用户”模块管理权限的用户,将当前用户组中的上级部门成员移除后,不能再添加移除的上级部门用户。 一个用户可加入多个用户组。 父主题: 用户组管理
  • 背景介绍 为加强用户账号登录管理,堡垒机支持通过配置登录开启或关闭多因子认证、设置账号使用有效期、设置登录时段限制、设置登录IP地址限制、设置登录MAC地址限制,管理用户账号登录权限,有效降低用户账号泄露等导致的安全风险。 多因子认证:指开启多因子认证后,用户登录时通过发送短信口令、动态令牌、USBKey等二次认证用户身份。 有效期:指用户账号的使用有效期,仅在限定时间内可登录。 登录时段限制:指用户账号限定登录星期和时刻。 登录IP地址限制:指限制指定来源IP地址的用户登录。 登录MAC地址限制:指在局域网内限制指定MAC地址的用户登录。
  • 约束限制 为正常使用“手机令牌”多因子认证,需确保系统时间与绑定手机时间一致,精确到秒。否则使用手机令牌登录时,口令将验证失败。 系统默认内置短信网关有短信发送频率和条数限制,为避免对“手机短信”多因子认证登录造成影响,可设置“自定义”短信网关,详情请参见短信网关配置。 由于MAC地址属于数据链路层,用于局域网寻址。MAC地址在传输过程中经过路由或主机,地址会发生变化,因此“登录MAC地址限制”仅在局域网生效。 若admin用户配置了多因子认证,无法登录系统取消多因子认证配置,请联系技术支持。
  • 用户概述 堡垒机系统具备集中管理用户功能,创建一个用户即创建一个堡垒机系统的登录账号。系统管理员admin是系统默认用户,为系统第一个可登录用户,拥有系统最高操作权限,且无法删除和更改权限配置。 根据用户角色的不同,用户拥有不同的系统操作权限。 根据用户组的划分,可批量为同组用户授予资源运维的权限。 仅系统管理员admin或拥有“用户”模块权限的用户,可管理系统用户,包括新建用户、批量导入用户、批量导出用户、重置用户账号密码、移动用户部门、更改用户角色、加入用户组、配置用户登录权限、启用、禁用、批量管理用户等操作。 父主题: 系统用户
  • 部门概述 “部门”是用于划分组织结构,标识用户和资源的组织。系统默认有一个部门“总部”,仅可在“总部”基础上创建部门分支,且“总部”不可删除。 根据部门划分用户组织结构后,下级部门用户不能查看上级部门信息,包括上级部门组织结构、用户、主机资源、应用资源、应用发布服务器、资源账户,以及上级部门配置的策略信息和运维审计数据。 不同部门的用户,仅同部门和上级部门管理员可管理用户。 仅系统管理员admin或拥有“部门”模块权限的用户,可管理系统部门组织结构,包括新建部门、编辑部门、删除部门、查询部门用户和查询部门资源等。 图1 部门管理 父主题: 系统部门
  • 绑定手机令牌 登录堡垒机系统。 选择右上角用户名,单击“个人中心”,进入个人中心管理页面。 图1 个人中心页面 选择“手机令牌”页签,进入个人手机令牌管理页面。 按照界面提示和实际令牌类型,执行绑定操作。 微信小程序手机令牌 打开手机微信,依次按照操作指导,获取绑定动态口令,输入6位“动态密码”,验证通过绑定手机令牌。 APP版手机令牌 打开已安装好的手机令牌APP,扫描页面操作指导步骤2的二维码,获取绑定动态口令,输入6位“动态密码”,验证通过绑定手机令牌。 “手机令牌”页签更新为已绑定手机令牌页面。
  • 修改个人密码 登录堡垒机系统。 选择右上角用户名,单击“个人中心”,进入个人中心管理页面。 图1 个人中心页面 在“基本信息”页签,单击“修改密码”,弹出修改密码窗口。 图2 修改个人密码 输入当前密码,并自定义新密码。 新密码要求: 长度范围:8~32个字符。 规则要求:可设置英文大写字母(A~Z)、英文小写字母(a~z)、数字(0~9)和特殊字符(!@$%^-_=+[{}]:,./?~#*),且需同时至少包含其中三种。 不能包含用户名或倒序的用户名。 确认无误,单击“确定”,返回个人基本信息页面。 退出登录,再次登录新密码即生效。
  • 我的日志 选择“我的日志”页签,可查看个人“系统登录日志列表”、“系统操作日志列表”和“资源登录日志列表”。 个人用户不能清理个人日志,日志仅能由有系统管理权限的用户统一管理,详细说明请参见数据维护。 系统登录日志列表 主要包括登录时间、登录用户来源IP、登录方式、登录结果等信息。 系统操作日志列表 主要包括操作时间、操作用户来源IP、操作的模块、操作内容、操作结果等信息。 资源登录日志列表 主要包括资源名称、资源协议类型、资源账户、登录资源用户来源IP、登录起止时间、会话时长等信息。 图6 我的日志列表
  • 标记消息提醒 登录堡垒机系统。 单击右上角,展开消息中心小窗口。 可查看最新三条未读消息。 图6 消息中心小窗口 单击“查看更多”,进入消息中心列表页面。 图7 消息中心列表 标记一条或多条消息。 选一条或多条消息,单击左下角“标为已读”,弹出标记消息确认窗口。 单击“确定”,返回消息列表页面,目标消息状态更新为“已读”。 标记全部消息。 单击“全部已读”,弹出标记消息确认窗口。 单击“确定”,返回消息列表页面,全部消息状态更新为“已读”。
  • 查看消息提醒 登录堡垒机系统。 单击右上角,展开消息中心小窗口。 可查看最新三条未读消息。 图1 消息中心小窗口 单击“查看更多”,进入消息中心列表页面。 图2 消息中心列表 查询消息。 在搜索框中输入关键字,根据消息标题内容快速查询消息。 查看消息列表。 消息按发生时间顺序倒序排列,可查看全部已读、未读的消息 。 查看消息详情。 单击目标消息名称,进入消息详情页面。 可查看消息基本信息。 图3 查看消息详情
共100000条