检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
系统地址需为NAT外网地址，否则会导致FTP等应用无法连接。 图2 系统地址 管理系统时间 当系统时间不正确时，将影响策略和工单的生效，也会导致“手机令牌”、“动态令牌”的绑定验证不通过。 登录堡垒机系统。 选择“系统 > 系统维护 > 系统管理”，进入系统管理页面。 图3 系统管理 展开“系统时间”区域，可管理系统时间。
信验证码。 手机令牌 输入用户登录名和密码，并输入手机令牌的动态验证码（每隔一段时间就会变化）。 USBKey 接入并选择已签发的USBKey，并输入对应的PIN码。 动态令牌 输入用户登录名和密码，并输入动态令牌的动态口令（每隔一段时间就会变化） 父主题： 系统登录
配置手机令牌类型 手机令牌可用来生成动态口令的手机客户端软件。堡垒机系统支持通过绑定手机令牌，对用户登录进行多因子身份认证，用户配置“手机令牌”多因子认证后，需同时输入用户密码和6位手机令牌验证码，才能登录堡垒机系统。 本小节主要介绍如何设置系统手机令牌类型。 约束限制 目前仅支持两种手机令牌类型：
断开连接：触发该策略规则后，拒绝执行该操作，断开会话连接，界面提示“本次连接已被管理员强制断开！” 动态授权：触发该策略规则后，拒绝执行该操作，界面提示“操作“xxx”已被拦截，请提交数据库授权工单申请动态授权”，同时生成数据库授权工单。用户需提交工单，并审核通过后，才能继续执行该命令。 约束限制
操作指令准确拦截 针对资源敏感操作进行二次复核，系统预置标准Linux字符命令库或自定义命令，对运维操作指令和脚本的准确拦截，并可通过异步“动态授权”，实现对敏感操作的动态管控，防止误操作或恶意操作的发生。 核心资源二次授权 借鉴银行金库授权机制，针对重要资源的运维权限设置多人授权，若需登录此类
如何修改用户手机号码？ 云堡垒机“手机号码”为用户登录验证、找回密码、获取系统动态信息的账户重要信息。 CBH不支持绑定海外的手机号码。 admin用户的手机号码，为首次登录时自行绑定的手机号码。 其他用户的手机号码，为管理员创建用户时或用户首次登录系统时，绑定的手机号码。 若系
如何设置提权登录账户？ 动态授权的作用及操作流程是什么？ 操作回放视频支持下载吗？ 如何创建运维协同会话？ 如何备份系统数据？ 更多 故障排除 登录云堡垒机系统，可能会遇到哪些故障？ 登录云堡垒机系统，收不到短信验证码怎么办？ 用户配置了动态令牌登录，但是没有绑定动态令牌怎么办？ 为什么绑定了手机令牌后却无法登录？
安装Linux应用服务器 基础环境要求 系统要求：CentOS release 7.9最小安装系统。 网络要求：服务器需要有公网访问权限（绑定弹性EIP）。 防火墙要求：开放2376（docker服务）端口和35000-40000端口。 规格选型 应用发布服务器安装前建议根据自己的资产数量选择对应的运行内存规格。
系统策略类 动态授权的作用及操作流程是什么？ 父主题： 系统用户、资源及策略配置
系统用户 用户概述 用户管理 用户角色管理 用户组管理 远程认证管理 USBKey管理 动态令牌管理
配置多因子认证 配置手机短信登录 配置手机令牌登录 配置USBKey登录 配置动态令牌登录 父主题： 系统登录
Console和SSH使用的账号和口令均为创建堡垒机时设置的账号和口令，此外，Web Console同样支持手机短信、手机令牌、USBKey、动态令牌的方式进行登录。详细登录步骤请参见云堡垒机系统登录方式。 访问控制 CBH支持安全组、Web应用防火墙、ACL、VPC对堡垒机实例的访问进行权限控制。
添加命令规则 配置数据库策略。 选择“策略列表”页签。 图4 数据库控制策略管理页面 单击“新建”，创建一个“动态授权”的数据库控制策略。以新建DB-ACL策略为例。 图5 配置动态授权 关联规则集DB-test。 图6 关联规则集 关联用户User_A和关联资源RDS_A。 图7 关联用户和资源
不同版本功能差异说明。 表2 不同版本功能说明 功能项 功能说明 标准版 专业版 身份认证 用户账号双因子认证 支持手机令牌、手机短信、USBKey、动态令牌等多因子认证形式。 √ √ 用户账号远程认证 支持AD域、RADIUS、LDAP、Azure AD、SAML远程认证。 √ √ 权限控制
参考如下说明： 支持单命令格式。 如设置拒绝执行查询命令，即设置关联命令为ls，执行单命令操作时触发策略规则。 支持命令路径格式。 如设置动态授权查询日志，即设置关联命令为ls /var/log/，执行命令参数操作时触发策略规则。此时若执行ls /var/log，则无法触发策略拦截规则。
系统诊断 通过系统诊断可获取当前系统相关信息，包括综合信息、系统负载、内核信息、内存信息、网卡信息、磁盘使用信息、路由信息、ARP信息。 本小节主要介绍如何进行系统诊断，获取系统后台信息。 前提条件 已获取“系统”模块管理权限。 操作步骤 登录堡垒机系统 选择“系统 > 系统维护
云堡垒机系统用户账号配置用户登录限制“多因子认证”后，用户在登录系统时开启登录验证功能，需要二次认证（二次认证方式支持“手机短信”、“手机令牌”、“USBKey”、“动态令牌”），有效保护用户敏感信息。 日志记录 云堡垒机系统用户个人数据的所有操作，包括增加、修改、查询和删除，云堡垒机系统都会记录审计日志，
表1 支持导出或下载的数据 数据信息 导出 下载 格式 说明 用户 支持 - CSV 不支持导出“用户密码”、“手机号码”和“邮箱”信息。 动态令牌 支持 - CSV - 主机 支持 - CSV - 应用发布服务器 支持 - CSV - 应用发布 支持 - CSV - 资源账户 支持
登录安全：镜像加密，SSH远程登录安全加固，内核参数安全加固，系统账户口令使用强密码并且默认登录失败超过3次将锁定登录。 数据安全：敏感信息加密存储，系统根密钥独立动态生成。 应用安全：防SQL注入攻击、防CSV注入攻击、防XSS恶意攻击、API接口认证机制。 系统安全 系统全自动化安装，LUKS加密用户系统数据盘。
若能够登录，请分别检查Linux主机是否开启双因子认证和检查Linux主机是否拒绝root账户登录。 检查Linux主机是否开启双因子认证 当登录Linux主机需输入动态密码时，即Linux主机开启了企业主机安全服务（Host Security Service，HSS）的双因子认证功能。 因云堡垒机不能登录
长按/截图保存，微信识别二维码
或者关注公众号“华为云”
