云堡壘機 （Cloud Bastion Host， CBH ）是用于提供 云計算 安全管控的系統(tǒng)和組件，可以實現(xiàn)對運維資源的4A安全管控。云 堡壘機 包含用戶管理、資源管理、策略、審計和工單等功能模塊，支持對Windows或Linux等操作系統(tǒng)的主機提供安全管控保護。云堡壘機是集統(tǒng)一資產(chǎn)管理與單點登錄、多種終端訪問協(xié)議、文件傳輸功能于一體的運維安全管理與審計產(chǎn)品。云堡壘機使用時有以下注意事項：
原則1：堡壘機的賬號管理
企業(yè)管理人員為了方便登陸，經(jīng)常會出現(xiàn)多個用戶使用一個賬號或一個用戶使用多個賬號的情況。由于共享賬號是多人共同使用，當系統(tǒng)發(fā)生問題后，無法精確定位惡意操作或誤操作的具體責任人。因此在搭建堡壘機時，一定要注意必須做到一人一個帳號，絕不允許多個人共用個人帳號，更不能允許共同賬號登錄堡壘機。
原則2：堡壘機的訪問控制
訪問控制的目的是通過限制維護人員對數(shù)據(jù)信息的訪問能力及范圍，保證信息資源不被非法使用和訪問。
原則3：堡壘機的指令審核
堡壘機的操作審計功能主要審計運維人員的賬號使用（登錄、資源訪問）情況、資源使用情況等，針對敏感指令，堡壘機可以進行阻斷響應或觸發(fā)審核操作，審核不通過的敏感指令，堡壘機將會進行攔截。
原則4：堡壘機的身份認證
杜絕僅使用密碼登錄堡壘機，建議在執(zhí)行主機重啟、密碼修改、會話創(chuàng)建、快照回滾、磁盤更換等各種重要操作時，可通過微信或短信等進行雙因子身份確認，確保訪問者身份的合法性。
原則5：堡壘機的資源授權
用戶授權，建議結合公司內部CMDB來做基于角色的訪問控制模型以實現(xiàn)權限控制。通過集中訪問控制和細粒度的命令級授權策略，基于最小權限原則，實現(xiàn)集中有序的運維操作管理。
原則6：堡壘機的審計錄像
在安全層面，除了通過堡壘機的事前權限授權、事中敏感指令攔截外，還需提供堡壘機事后運維審計的特性。用戶在堡壘機中所進行的運維操作均會以日志的形式記錄下來，管理者即通過日志對運維人員的運維操作進行審計。
原則7：堡壘機的操作審計
堡壘機的操作審計功能主要審計運維人員的賬號使用（登錄、資源訪問）情況、資源使用情況等。在各服務器主機的訪問日志記錄都采用統(tǒng)一的賬號、資源進行標識后，堡壘機的操作審計功能才能更好地對賬號的完整使用過程進行追蹤。
