检测到您已登录华为云国际站账号,为了您更好的体验,建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
口。 添加规则集的库、表和命令规则。 表1 添加规则参数说明 参数 说明 库 可选项,支持正则表达式匹配库名。 缺省状态下表示将会拦截所有使用该命令的sql语句。 表 可选项,支持正则表达式匹配表名。 缺省状态下表示将会拦截所有使用该命令的sql语句。 命令 必选项,必须选择一条预置命令。
value为匹配的值。key为固定字典值,不能包含重复的key或不支持的key。 根据key的值确认是否需要模糊匹配,如resource_name默认为模糊搜索(不区分大小写),如果value为空字符串精确匹配(多数服务不存在资源名称为空的情况,因此此类情况返回空列表)。 reso
如果配置了用户角色,则用户池中只有相应角色的用户才能申请资源池中的资源。 用户池指根据用户部门、用户角色限制的用户范围。关联部门或角色后,该部门或角色的用户能够申请资源池内资源。 资源池指根据资源部门限定的资源范围。关联的部门之后,该部门的资源能够被用户池内的用户申请。 本小节主要介绍工单模式的配置指导。
value为匹配的值。key为固定字典值,不能包含重复的key或不支持的key。 根据key的值确认是否需要模糊匹配,如resource_name默认为模糊搜索(不区分大小写),如果value为空字符串精确匹配(多数服务不存在资源名称为空的情况,因此此类情况返回空列表)。 reso
登录堡垒机系统。 选择“系统 > 系统配置 > 安全配置”,进入系统安全配置管理页面。 在“密码策略配置”区域,单击“编辑”,弹出密码策略配置窗口。 根据界面提示配置系统用户密码策略。 图1 配置用户密码策略 表1 密码策略配置参数说明 参数 说明 密码强度校验 选择开启或关闭强制系统用户强密码验证,默认。
新建命令控制策略 命令控制策略用于控制用户访问资源的关键操作权限,实现Linux主机运维操作的细粒度控制。 针对SSH和Telnet字符协议主机,根据管理员配置的策略限制,Guacd代理对用户运维过程中执行的命令进行审计和过滤,并返回审计的命令、过滤结果和命令返回的内容,用于会话操作记录、动态授权、断开连接等动作。
管理员强制断开!” 动态授权:触发该策略规则后,拒绝执行该操作,界面提示“操作“xxx”已被拦截,请提交数据库授权工单申请动态授权”,同时生成数据库授权工单。用户需提交工单,并审核通过后,才能继续执行该命令。 约束限制 仅专业版堡垒机支持数据库运维操作审计。 仅针对MySQL、O
选择改密方式。可选择“生成不同密码”、“生成相同密码”、“指定相同密码”。 生成不同密码:根据主机对账户的密码要求,随机生成不同资源账户密码。 生成相同密码:根据主机对账户的密码要求,随机生成相同资源账户密码。 指定相同密码:需手动输入预置密码。 说明: 堡垒机随机生成的密码长度为20
仅专业版实例支持数据库运维操作审计。 仅针对MySQL和Oracle类型数据库,支持拦截敏感操作生成工单。 数据库授权工单由运维用户触发命令策略,自动创建,不能手动创建。 前提条件 已获取“数据库授权工单”模块管理权限。 已触发操作拦截,生成数据库授权工单。 操作步骤 登录堡垒机系统。 选择“工单 > 数据库授权工单”,进入数据库授权工单页面。
云堡垒机支持配置SSH Key登录主机资源,主机资源配置SSH Key后优先验证SSH Key登录资源。 生成SSH Key 生成认证Key。 登录主机,执行以下命令,生成SSH Key。 ssh-keygen -t rsa 回显信息如下: [root@Server ~]# ssh-keygen
作命令记录。 运维用户在操作关键命令时,触发“动态授权”操作命令,系统自动拦截操作命令,生成数据库授权工单。运维用户需提交工单申请,待管理员审批工单后,才能继续操作。 主机运维方式不支持生成和下载数据库运维历史会话视频。 应用运维方式 只要数据库与应用发布服务器网络连接通畅,且应
入门实践 当您配置完云堡垒机(CBH)后,可以根据自身业务的业务场景使用CBH提供的一系列常用实践。 表1 常用最佳实践 实践 描述 变更规格 变更堡垒机规格 当使用的云堡垒机规格不能满足实际需求时,您可以选择对云堡垒机的规格进行变更规格。 系统策略 数据库控制策略:高危命令二次审批
管理运维任务执行日志 运维任务执行完成后生成执行日志,执行日志中可查看任务执行结果,包括执行结果信息、执行详情等。 本小节主要介绍如何管理执行日志,包括查看执行日志、下载执行日志、删除日志等。 前提条件 已获取“运维任务”模块管理权限。 查看日志详情 登录堡垒机系统。 选择“运维
信息、系统会话信息、运维记录、文件传输、协同会话的详细操作记录。 系统日志 以折线图的形式,从多方面呈现用户运维资源随时间变化的趋势,并可生成运维资源综合分析报告。 主要涵盖内容有“运维时间分布”、“资源访问次数”、“会话时长”、“来源IP访问数”、“会话协同”、“双人授权”、“
任务中心是系统执行任务接收状态提示管理中心。 任务类型:导入用户、导入主机、导入云主机、导入应用、导入应用服务器、导入账户、账户改密、AD域同步、系统维护(升级和还原)、生成视频、账户同步、账户验证、配置备份、自动运维、导入动态令牌、安装Agent。 任务状态共有3种,分别包括“进行中”、“已完成”、“已停止”。
客户信息 当时系统使用区域和可用区。 授权类型 系统默认内置“正式版”。 状态 “已激活”状态为授权许可正常使用状态。 单击“更新许可证”,根据系统提示,下载许可申请文件,并联系供应商申请授权许可。导入供应商已授权的许可文件,更新许可证。 单击“备份许可证”,下载当前系统许可证到本地保存。
运维审计技术 Linux命令审计 基于字符协议(SSH、TELNET)的命令操作审计,记录命令运维全程,支持解析字符操作命令,还原操作指令,根据输入、输出结果关键字搜索快速定位回放。 Windows操作审计 基于图形协议(RDP、VNC)终端和应用发布的行为操作审计,远程桌面的操作
在“自动删除”区域,单击“编辑”,弹出自动删除配置窗口,配置相关参数。 表1 配置自动删除 参数 说明 自动删除 选择开启或关闭自动删除功能,默认。 ,表示开启自动删除功能。根据数据存储时间和数据盘空间使用率,触发自动清除。 ,表示关闭自动删除功能。 自动删除(天)前数据 数据存储天数超过设定时长,将会被自动清除。
个被纳管的主机账户或应用账户对应一个资源账户。登录被纳管资源账户时,自动登录无需输入账号和密码。 当添加主机或应用未纳管账户和密码时,默认生成一个“Empty”账户,登录“Empty”资源账户时需手动输入账户名和相应密码。 约束限制 Edge浏览器应用资源不支持配置自动登录资源账户。
Key验证。 配置后优先使用SSH Key登录资源。 Passphrase SSH Key对应私钥序列,可选择配置。 未生成私钥密码情况下,登录主机无需输入密码。 已生成私钥密码情况下,每次登录主机需手动输入私钥密码。 XX参数 当选择的协议类型是Postgresql、Gaussdb、