堡垒机¶
产品介绍¶
堡垒机（Bastion）是OpsAny的一款支持4A审计的统一安全运维平台，为企业提供集中的账号（Account）、授权（Authorization）、认证（Authentication）和审计（Audit）管理支撑。OpsAny 堡垒机提供HTML5的访问方式，无需安装任何客户端和浏览器插件，在Windows、Linux、MacOS、Android、IOS等操作系统上通过主流浏览器均可实现对资源的访问和操作，让运维人员脱离运维工具和操作系统束缚，随时随地安全运维。
OpsAny Bastion提出了堡垒机无处不在的理念，将堡垒机的入口扩展到了资源、管控、监控、云管等OpsAny其它平台，在任何和主机相关的操作时，你都可以点击【登录】进入到堡垒机的页面中，快速开始手工管理和调试。
基本概念¶
资源
资源管理有主机资源和数据库资源，也就是你需要登录和管理的对象，你必须先创建资源才能进行后续的操作。
凭证
你需要登录某个资源需要提前创建好登录凭证，例如用户名和密码、或者SSH证书。这个凭证和资源（主机或数据库）做关联。一个资源可以关联多个凭证。例如一个主机有多个登录用户。一个凭证可以关联多个资源，例如有多台主机它的用户名和密码是一致的。
策略
策略分为访问策略和命令策略，总体来说，管理员通过策略授权将主机和数据库、用户和用户组、资源和凭证进行关联，设置用户在什么时间范围，具体什么时间，以什么（身份）凭证登录到什么的主机或者数据库。
默认情况下，管理员角色的用户是不需要创建授权策略的，默认可以看到所有的资源。管理员不需要自己给自己授权。
审计
审计可以让管理员查看用户登录后的操作情况。Linux支持操作回放和命令文本展示和输出。Windows支持操作回放，（注：Windows回放是视频格式，占用磁盘空间较大，Linux为自定义的文本格式实现录像的效果，占用磁盘空间很小）
登录
以上所有的功能均是提供为管理员角色使用的，给普通用户授权时，应该仅授权"安全运维"菜单下的页面，当管理员通过访问策略给用户授权主机时，用户可以在授权主机看到已经授权的主机，点击登录即可打开操作界面。
1. 资源管理¶
为了测试和使用堡垒机的功能，请先创建一个非管理员的普通用户，方便进行资源的授权操作和测试。
主机资源¶
主机资源主要用于管理员添加主机资源，正确使用方式是主机资源这个菜单是管理员使用的，授权主机这个菜单是非管理员使用的，具体菜单的权限控制是在统一权限的权限策略里面可以进行设置。
创建主机
-
创建主机资源：进入主机资源列表页面，点击页面右上角【新建】按钮，打开新建主机页面后完成主机创建操作。
-
导入主机资源：在页面右上角【导入主机】按钮处点击【资源平台导入】按钮，打开资源平台导入页面后完成物理机、虚拟机、云主机等主机资源的导入操作。
默认支持三种方式添加主机的登录凭证：
* 立即添加，使用此方式同时会在凭证管理里面创建凭证。
* 以后添加，是指只添加主机，先不添加登录凭证，随后再添加。
* 添加已有，是指选择已经创建好的凭证来使用。
支持从资源平台添加导入主机，方便用户的管理和使用。
登录主机
- 登录主机：点击页面右侧的【登录】按钮，打开登录弹框，选择可登录的资源凭证，点击确定按钮即可登录。
数据库¶
数据库资源用于通过堡垒机直接登录数据库，目前支持MySQL、MongoDB、Redis。
创建数据库
- 创建数据库：进入数据库列表页面，点击页面右上角【新建】按钮，打开新建数据库页面之后完成数据库创建操作。
登录数据库
- 登录数据库：点击页面右侧的【登录】按钮，打开登录弹框，选择可登录的资源凭证，点击确定按钮即可登录。
网络设备¶
通过SSH、Telnet协议管理网络设备资源。
创建网络设备
- 创建网络设备：进入网络设备列表页面，点击页面右上角【新建】按钮，打开新建网络设备页面之后网络设备的创建操作
登录网络设备
- 登录网络设备：点击页面右侧的【登录】按钮，打开登录弹框，选择可登录的资源凭证，点击确定按钮即可登录。
2. 凭证管理¶
堡垒机提供密钥和密码管理功能。您可以创建密钥和密码并将密钥或者密码关联到主机资源的主机中，提高管理主机账户的效率。您也可以更改密钥和密码的基本信息，增删关联主机账户，更好地满足运维需求。本文介绍如何创建和编辑密钥和密码。
密码凭证¶
创建密码凭证
自动登录和手动登录的区别是需要输入密码。切记记得绑定主机资源。
SSH密钥凭证¶
创建密钥凭证
切记记得绑定主机资源。
凭证分组¶
凭证分组主要为了访问策略和命令策略提供快捷的管理方式。通过分组可以清晰的管理多个凭证。
3. 权限策略¶
访问策略¶
访问控制策略用于控制用户访问资源的权限。策略基本限制和授权功能，包括使用有效期、登录时段限制、用户IP限制、文件传输权限、文件管理权限、RDP剪切板功能等维度。同时可通过关联用户组或帐户组，批量授权访问控制权限。
创建访问策略
Step-01-基础信息配置
- 有效期：指该策略的使用有效期，仅在限定时间内有效。
- 登录时段限制：指该策略的限定使用时间范围。
- IP限制：指该策略限制指定来源IP地址的用户访问资源。
- 文件传输：指该策略允许或禁止使用文件传输，即上传或下载资源文件的权限。
Step-02-关联用户/用户组配置
Step-03-关联资源凭证配置
访问策略创建时需注意访问时间的设置，避免验证策略时出现不通过的情况。
命令策略¶
命令控制策略用于控制用户访问资源的关键操作权限，实现Linux主机运维操作的细粒度控制。
命令控制策略支持以下功能项：
- 允许执行：触发该策略规则后，放行命令操作。默认允许执行所有操作。
- 拒绝执行：触发该策略规则后，拒绝执行该命令，界面提示“命令“xxx”已被拒绝”。
- 有效期：指该策略的使用有效期，仅在限定时间内有效。
创建命令策略
Step-01-基础信息配置
Step-02-关联命令或命令组
Step-03-关联用户或用户组
Step-04-关联资源凭证
4. 审计管理¶
在线会话¶
运维人员通过堡垒机登录资源后，审计管理员将会实时收到会话记录，通过实时会话查看正在进行的运维会话，以免运维违规操作造成损失。
历史会话¶
运维人员通过堡垒机登录资源运维结束后，审计管理员将会收到历史会话记录。通过历史会话记录，可查询详细的操作记录，在线审计历史会话。
审计历史¶
运维人员登录堡垒机系统，执行配置权限、审计管理等操作后，审计管理员将会收到系统命令日志记录。通过系统日志记录，可查询详细的系统登录和操作记录，在线审计系统操作日志。
操作日志¶
记录堡垒机用户的所有操作记录，用于进行安全审计和查看。
5. 平台设置¶
用户管理¶
堡垒机户主要来源于统一权限的用户，在使用堡垒机其他功能之前，需要导入用户。为了安全性的考虑，需要将平台的用户导入到堡垒机后才可以进行策略授权。
-
用户列表导入：进入用户管理-用户列表页面，点击页面右上角【导入】按钮，打开导入用户页面之后完成用户导入操作。
-
用户组导入：进入用户管理-用户组页面，点击页面右上角【导入】按钮，打开导入用户组页面之后完成用户组导入操作。
网络代理¶
通过增加网络代理，堡垒机可以管理不同网络内的主机和数据库资源。
创建网络代理
- 创建网络代理：进入网络代理页面，点击页面右上角【新建】按钮，打开新建网络代理页面之后完成创建操作。
Info
开源技术使用声明：OpsAny积极拥抱开源技术，鼓励大家一起保护开源技术知识产权及合法使用，堡垒机使用了以下开源技术。
- Guacamole：http://guacamole.apache.org/
- Asciiplayer: https://github.com/qeesung/asciiplayer
