2019年12月1日，国家网络安全等级保护2.0制度（以下简称等保2.0）正式实施，这意味着在铁路、银行、海关、税务、民航、电力、证券、保险、外交、科技、国防、公安、财政、审计、商务、水利、能源、交通、文化、教育等行业，因为主管单位的明确要求，这些行业的信息系统均要开展安全等级保护工作，而 堡垒机 又是等保2.0中必不可少的工具手段，于是乎，堡垒机也从一个面向特定行业的、少数人知晓的概念，逐渐变得为广大IT从业人员所熟知。 本文将向各位读者普及一下堡垒机的基本概念，以及探讨一下未来堡垒机的发展方向。 一、 什么是 堡垒机 堡垒机是一种非常形象的叫法，在国内，更直白、更易于理解的一种叫法是“合规运维与安全审计系统“，在国外，往往归类为”特权账号管理系统“。 1.1 堡垒机是用来解决“运维混乱”的 堡垒机到底是干什么的？简而言之一句话：堡垒机是用于解决“运维混乱”的。何谓运维混乱？当公司的IT运维人员越来越多，当需要管理的IT设备越来越多，当参与运维的岗位越来越多样性，如果没有一套好的机制，就会产生运维混乱。具体而言，你很想知道“哪些人允许以哪些账号访问哪些IT设备”而不可得。 1.2 堡垒机让“运维混乱”变“运维有序” 于是乎，堡垒机便诞生了，它承担起了运维人员在运维过程中的唯一入口，通过精细化授权，可以明确“哪些人以哪些身份访问哪些设备”，从而让运维混乱变得有序起来。在这种场景下，堡垒机更像是一种“跳板机“，换言之，IT运维人员并不会直接访问目标设备，而是通过堡垒机间接访问。 1.3 堡垒机让“运维混乱”变“运维安全” 更重要的一点是：堡垒机不仅可以明确每一个运维人员的访问路径，还可以将每一次访问过程变得可“审计”，一旦出现问题，可追溯回源。 如何做到可审计？显而易见的方法是“全程录像”和“指令查询”。全程录像很好理解，那么何谓指令查询呢？所谓指令查询是指将运维操作指令化。举例而言，你家里在过去24小时内进小偷了，你有监控录像，但需要你翻阅这24小时的录像显然不是一个聪明的做法，如果这时系统能够帮助你把24小时录像中出现的所有人脸直接识别并罗列出来，你自然可以知道什么时间进来的小偷。“指令查询”也是如此，录像文件是你最后的保障，但通过指令查询可以帮助你快速的定位到录像文件的可疑位置。 下图是“行云管家堡垒机“主机运维过程的云端录像与指令检索界面，帮助大家更直观的理解。 < 示例：行云管家堡垒机针对Windows主机的审计录像与指令检索 > < 示例：行云管家堡垒机针对Linux主机的审计录像与指令检索 > 二、 堡垒机的发展方向 如前文所述，我们已经明白了什么是堡垒机，以及堡垒机主要的用途是什么，那么，堡垒机的发展方向是怎样的呢？回顾堡垒机的发展历程，我们可以将其划分为四个阶段： 2.1 软硬一体化的堡垒机 软硬一体化的堡垒机，顾名思义，是将堡垒机软件和硬件（往往是一U或者2U的物理主机）整合在一起，打包销售。这种做法优缺点都很分明，优点是符合国人的消费习惯，为用户提供一揽子解决方案；缺点是不易维护，缺乏可扩展性。 2.2 纯软件的堡垒机 从技术上来说，纯软件的堡垒机和软硬一体化的堡垒机并没有质的区别，无非是纯软件的堡垒机是以产品安装包或者镜像形式向用户提供安装介质，而不再是以物理主机形式提供。相比较而言，纯软件的堡垒机的优势更为明显，易于维护，易于升级，方便未来的扩展。 3.3 云化的堡垒机 随着云计算的发展，传统的堡垒机越来越不适应云的变化，因此，业界逐渐衍生发展出“云化的堡垒机“。这里的云化指代两层含义：其一，需要堡垒机纳管的IT设备对云计算有着更好的支持，包括支持统一纳管不同的公有云主机以及私有云主机等，同时，需要纳管的IT资产也不再仅仅只是主机资源，还包括云数据库、对象存储等PaaS资源；其二，堡垒机产品自身的体系架构也支持云原生特性，堡垒机自身可以直接部署在公有云环境，并能够充分利用云计算丰富的基础设施能力，举例而言，云化的堡垒机原生支持公有云的Load Balance和Auto Scaling以获得高并发能力；通过将审计录像存储在公有云的对象存储Bucket之中以获得海量、廉价的存储能力等。 3.4 服务化的堡垒机 现阶段，随着云计算已经发展成为企业IT架构的基础支撑，云化的堡垒机已经成为业界的主流。如果眼光稍微放长远一些，未来的堡垒机将发展成怎样的形态？笔者认为，服务化的堡垒机将成为未来堡垒机的首选形态。 何谓服务化的堡垒机？我们不妨回顾一下云计算的起源。云计算的本质是服务化，无论是IaaS（Infrastructure as a Service）将IT的基础设施服务化，还是PaaS（Platform as a Service）将IT的平台能力服务化，其核心思想都是希望以服务的形式获取所需的资源。同样道理，针对堡垒机这一产品，用户的本质需求是“针对IT系统的合规运维与安全审计”，如果这种能力能够以服务的形式触手可及、随用随取，显然，这就是堡垒机终极发展形态。

4.18版本中，行云管家针对数据库审计模块进行了大幅优化与增强；优化了主机文件传输的相关限制逻辑；同时在管理控制台中支持了针对行云管家服务的备份与还原功能。4.18版本更新包括但不限于以下内容： 1.私有部署版 系统备份及还原： 在过去版本中，用户是通过在其部署行云管家的服务器上手动执行脚本来实现系统备份及还原的；新版本中，我们在管理控制台提供了备份还原服务的界面，同时也支持用户定义相应的策略对行云管家数据进行备份。 CAS单点登录支持： 行云管家在之前版本中支持了基于OpenID Connect的单点登录认证服务；4.18版本中，在此基础上，我们支持了基于CAS的单点登录认证服务，在配置好CAS Server的相关信息后,即可通过统一门户登录至行云管家。 2.主机 对接金山云、ZStack： 在新版本中,行云管家支持了金山云和ZStack资源的导入与管理，至此行云管家已支持了11家公有云平台与3家私有云平台，如果您在使用过程中有其他云厂商的对接需求，可以与我们联系。 云账户管理优化： 在4.18版本中，我们对云账户管理进行了以下优化：1、支持修改公有云API凭证信息2、增加云账户排序功能：在云账户管理模块中可对云账户进行排序设置；设置后，在主机、网络等模块中，将根据已设置的排序对云账户及其对应信息进行展现。 3.堡垒机 运维策略优化： 有用户反馈，我们针对主机文件传输的相关限制由于在功能授权的基础上再通过运维策略进行限制，十分复杂；因此在新版本中，我们针对文件传输限制的逻辑进行了统一的梳理，将所有限制规则都移动至“运维策略–文件传输”中；同时我们支持了文件上传与下载的审批功能，需要注意的是传输审批仅在“网盘”模块中的“主机文件”功能下支持，主机WEB会话与本地会话中暂不支持。 数据库优化： 在新版本中我们针对数据库模块进行了以下优化与增强：1、更多数据库支持：PostgresSql、Redis、Vertica、Hive、RedShift；2、更多数据库本地工具的支持：DataGrip、Redis Desktop Manager、beeline、DBeaver、SQLyog、MySQL-Front；3、数据库授权与方案优化：在过去版本中数据库的账户授权与运维策略都只能针对单台数据库进行设置，因此当用户的数据库特别多时，将无法方便的进行批量的账户授权与策略限制；在新版本中，我们将数据库账户与运维策略从原有数据库方案中剥离：即通过“账户凭证”对数据库账户进行统一的管理与授权；通过“访问方案”对多个数据库账户进行统一的运维策略限制；4、数据库支持全局检索；5、针对数据库审计日志的系统操作支持自定义设置：我们针对审计日志中数据库系统本身产生的操作预置了一些规则，使审计日志只展示用户操作过的SQL，但是会有一些系统操作没有被我们的规则所覆盖，因此在新版本中我们支持用户自定义添加系统操作，同时支持一键将审计日志中的SQL操作标记为系统操作。 应用宿主机优化： 应广大用户需求，在新版本中应用宿主机的操作系统将支持WinServer2012、2016、2019三个版本。 活跃会话管理优化： 4.18版本中，针对首页的活跃会话管理中，我们将分别展示主机、数据库及应用的活跃会话记录，同时支持了对活跃会话的批量关闭功能。 跳板机优化 ： 有用户反馈，希望通过跳板机访问主机时可以不通过快捷方式或登录凭证，而是直接输入用户名密码进行访问，安排！

随着云计算的发展大潮，企业（组织）利用云计算、上云已成事实，同时，企业出于安全、成本等原因，通常会采用结合本地资源与多家公有云资源的混合云架构，这种情形下企业面临的IT资源运维环境更加复杂、安全形势更加严峻。出于 运维安全 考量，企业在日常的IT资源运维工作中，通常要求遵循几个“最小化原则”，例如：操作命令最小化、登录用户最小化和普通用户授权权限最小化。 本文将介绍在混合云环境下，通过行云管家来实现以最小化原则对主机进行访问和运维，从而保障IT资源运维操作安全高效的实践方案。 在行云管家中，您可以使用快捷方式及登录凭证对主机进行快速访问，利用此类快捷方式访问主机，管理员可以免交密码予普通运维人员，而普通运维人员无需掌握密码即可对主机进行快速访问，避免主机的访问凭证扩散，保障运维安全。 下文将描述在行云管家中如何创建主机访问快捷方式、管理登录凭证并授权予运维人员以及运维人员使用快捷方式和登录凭证访问主机的全过程，说明如何利用行云管家进行免交访问凭证式的快捷运维。 一、 创建访问快捷方式 创建访问快捷方式操作通常由管理员执行，管理员通过将快捷方式授权予普通运维人员，即可实现免交密码或密钥予普通运维人员，而将主机的访问权限交给普通运维人员，快捷方式所关联的操作系统账户，可以依据最小化原则设置。 在主机列表界面中，选取某台主机点击“快速访问”，在打开的访问主机框中，指定主机的访问账号及密码，再点击“存为快捷方式”，在保存框中设置快捷方式的授权对象，然后点击“保存”，即可创建访问主机的快捷方式。 在访问主机的快捷方式创建完成后，具有快捷方式使用权限的普通运维人员即可利用该快捷方式进行主机访问，详见后述。 二、 创建凭证快捷访问 在行云管家中，可以统一管理主机的登录凭证（密码凭证、密钥凭证），将凭证与主机进行关联，并将凭证授权予普通运维人员，运维人员即可以以凭证快速访问主机。 在登录凭证管理中，创建好凭证后，点击“添加主机”可以将凭证与主机进行关联，通过指定授权对象，即可将登录凭证授权予普通运维人员。 登录凭证授权予运维人员后，运维人员即可使用凭证直接访问主机，而无需掌握凭证的真实内容（如凭证关联的密码、密钥等）。 三、 快捷访问云主机 运维人员在主机列表中，能够查看到其有权限访问的云主机，在云主机的“接入方式”中，点击“快捷方式”或“凭证访问”，均可直接访问主机。 而点击主机，进入主机详情页后，也会列出快捷访问入口。 点击快捷访问入口后，在打开的访问主机框中，访问主机所需的用户名、密码（或密钥）均已设置好，无需再指定，直接点“打开会话”即可访问主机。 综上，在IT资源运维中，利用行云管家创建主机访问的快捷方式、管理登录凭证，管理员可以免交密码或密钥予普通运维人员，可以有效防止登录凭证扩散，保障主机安全的同时实现高效的IT资源运维。 立即体验： https://yun.cloudbility.com

什么是云管理平台？ 云管理平台（CMP，Cloud Management Platform）是一种管理公有云、私有云和混合云环境的整合性产品，为企业提供管理跨多个云基础设施的云计算产品服务。 目前，企业 IT 基础架构呈现出跨厂商云资源、物理资源及虚拟资源并存的发展趋势。企业为了获得更强的竞争优势，在其原有单一的IT架构基础之上，往往会采用包含公有云、私有云并存的混合云IT架构。在这种情况下，企业的业务数据和应用程序呈现出跨云、多云部署的态势，这对云管理、云安全、云成本等提出了更高的要求。云管理平台的出现，就是帮助企业全面解决混合云IT架构下的跨云、多云管理等问题。 近年来随着云管理平台的需求增多，市面上涌现出不少云管理平台产品，那么对于企业来说，选择一款好的云管理平台来帮助企业提升IT资源利用率和运维效率，降低企业运营成本就变得至关重要了。 如何选择好的云管理平台？ 好的云管理平台往往包含了如下功能： 1、多云纳管、混合式管理 支持业界主流的公有云厂商和OpenStack、VMware等私有云设施，以及物理服务器、虚拟机、网络设备、存储设备等。 2、云资源全生命周期管理 对云资源从申请、创建、交付、运维以及最终的释放销毁，均可在一个主控台中获得全生命周期的管理，而无需分别登录不同的系统。 3、合规运维与审计 承担起用户在管理IT资产时的运维中枢、会诊平台、以及“事前授权、事中监控、事后审计”的黑匣子等职责。 4、成本分析与优化 多维度分析云资源的成本结构，并通过对应用负载进行数据挖掘分析，提供云资源的增减配优化建议 。 5、自动化运维 提供指令/脚本批量执行、批量文件分发与采集等特性。 6、工单系统 申请或销毁资源等业务流程，都能够通过电子工单完成。 好的云管理平台厂商推荐 根据各类云管理平台厂商的综合对比，行云管家云管平台凭借其极致的用户体验、高性价比及强大的多云、混合云管理能力，被数万家企业级客户所信任，用户范围涵盖了包括政府机构、金融、电信、教育、医疗、游戏等各行各业。其产品经过了多年的打磨、迭代，已经成为国内用户体验最佳、客户口碑最好的云管理平台品牌。 立即体验： 行云管家云管平台

企业为了获得更多的竞争优势，其在发展过程中对IT基础设施的建设和投入也在不断增长，在云计算技术高度发展的今天，企业为借助云计算的诸多特性和优势，其IT基础设施已变得日益复杂，这促使企业越来越多地面对了复杂的IT资源运维场景。 在日常的IT资源运维工作中，安全运维和高效运维是倍受关注的话题。本文将介绍通过行云管家来实现安全高效的IT资源运维实践—-使用标签提效主机运维。 在行云管家中，您可以使用标签对主机按不同方式（例如：按用途、所有者或所处位置等）进行分类，这样有助于您根据分配给主机的标签快速的识别主机，对主机进行检索、按类别显示等操作，提升主机的管理和运维效率。 下文将依托行云管家，介绍从创建标签、为主机打标签、使用标签到管理标签的全过程，说明如何利用行云管家的标签功能为IT资源运维工作提速增效。 一、 创建标签 在主机列表界面中，点击“按标签”，进入标签列表界面。 点击“创建新的标签”，显示标签设置框，在标签设置框中输入标签名，例如“系统”再点击“√”即可创建标签。 二、 为主机打标签 为主机打上标签，即可以利用标签将主机进行分组管理和归类，进行主机检索和批量操作等管理动作。 在主机标签列表界面中，选中一个标签，再点击“为主机打标签”，将弹出“批量设置主机标签”框，在“批量设置主机标签”框中，设置标签值，并勾选主机，再点击“添加”，即可以为主机打上标签。 三、 使用主机标签 3.1 按标签检索主机 按标签进行主机检索，方便快捷的以您定义的分类方案进行主机查找，协助您高效的进行主机搜索和管理。 在主机列表中，点击“按标签过滤”，在弹出的标签选择下拉框中，选择您要显示的标签（主机），主机列表中将显示打了相应标签的主机。 3.2 主机列表显示标签 在主机列表中显示标签，允许您以标签对列表中的主机进行排序、检索等操作，方便您以不同分类对主机进行管理和操作。 在主机列表界面中，点击“主机字段方案”下拉框，弹出下拉菜单，点击“主机字段方案管理”，将弹出“主机字段方案管理”对话框。 在“主机字段方案管理”对话框中，于“待显示字段”中选中要显示的标签，加入到“当前显示字段”中。 返回到主机列表中，即会显示标签列，此时您可以对标签进行排序、检索； 四、 管理标签 您还可以对标签进行统一管理，在一个视图中对所有标签进行编辑。 在行云管家的“团队管理”-“数据字典管理”页面中，可以对所有标签进行编辑。 综上，以行云管家作为您的运维平台，您可以使用标签对主机进行标记、分类，方便您进行主机的管理和操作。 立即体验行云管家： https://yun.cloudbility.com