行云管家

4.19版本中，我们支持了SNMP自定义监控、MongoDB数据库运维审计等用户极力呼吁的功能，同时对私有部署版本的登录认证相关功能做了大幅增强。4.19版本更新包括但不限于以下内容： 1.私有部署版 增加系统参数设置： 在过去版本中，例如图形验证码强度、是否启用FTP协议会话等参数配置都没有在界面端向用户暴露，导致用户一旦需要修改十分繁琐；在v4.19版本中，通过管理控制台–系统设置–基础配置模块新增的“系统参数”设置，可对OTP偏移、敏感操作二次认证有效期等系统参数信息进行配置。 管理控制台用户支持双因子认证： 为了提高管理控制台登录及使用的安全性，在新版中我们新增了针对管理控制台用户登录的双因子认证功能，目前支持OTP动态令牌及手机短信验证；需要开启的用户请在个人资料中绑定OTP动态令牌或手机号码。 门户登录支持RADIUS认证： 在v4.19版本中，我们在AP/LDAP认证服务的基础上支持了RADIUS认证服务，添加对应RADIUS认证服务器后即可通过RADIUS认证协议来登录门户。 同时针对RADIUS认证服务，不仅可用于直接登录门户的认证方式，也可用于登录门户后的二次认证方式。 syslog备份服务增强： 新版本中针对日志备份至syslog服务器功能，我们新增了两种备份日志类型：主机会话指令审计日志、主机告警记录。 AD/LDAP认证服务支持添加备用服务器 针对使用AD/LDAP集群的用户，在v4.19版本中可以在AD/LDAP配置中添加集群中的备用服务器地址，当主服务器断开连接后，系统会和备用服务器进行通信以保证认证服务的正常运行。 支持ACC统一认证和单点登录 ACC是电信行业的统一认证和单点登录的解决方案，开启配置后将通过行云管家门户进行登录，并由ACC服务器进行用户的身份认证。 团队管理与用户管理增强 为方便更好的在管理控制台对团队中的用户进行管理，现在新版本中我们提供了在团队信息详情中直接添加、移除成员的功能；同时，在租户用户管理中我们提供了批量删除用户功能。 2.主机 支持SNMP自定义监控 行云管家过去版本中只支持标准的监控来源（云厂商监控和行云管家Agent监控），但是客户有许多网络设备、存储设备的监控信息是无法通过标准监控来源进行获取的；因此在新版本中我们支持了第三方监控平台SNMP，用户可以根据SNMP的配置规范自定义监控项和监控指标；未来我们将持续的对接更多的第三方监控平台，如果您有相关诉求可以与我们进行联系。 主机字段方案增强 在新版本中为方便用户对主机的管理，我们针对主机列表中展示方案新增了两个字段：主机描述、活跃会话数。 监控方案优化 V4.19中我们针对监控方案做了以下优化： 1）UI优化：优化告警项和告警条件的展示及添加样式，主机列表中新增主机监控概览视图； 2）支持导出单个监控源下CPU、内存、磁盘使用率的监控报告。 新增访问协议设置 在过去版本中，用户通过行云管家访问主机时，各协议的默认值如：用户名、端口及字符集等，都是由我们内置好的；为应对用户的各种使用场景，我们在数据字典中增加了“协议管理”的功能，用户可以根据需要自定义设置各协议的默认值。 3.数据库 支持MongoDB数据库 需要MongoDB数据库运维审计的用户有福了，在新版本中我们对接了MongoDB数据库，至此行云管家数据库运维模块已支持了9种数据库，如果您仍有新的数据库种类的需求可与我们联系，支持速度超出您想象~ 数据库工具访问优化 在过去版本中，使用数据库工具打开数据库会话时无法调整分辨率信息也无法选择访问时使用的数据库代理IP，因此在新版中我们对此进行了优化。 4.工单中心 支持工单流程分支 V4.19中，针对工单流程我们支持了在流程中定义分支条件的功能以应对用户不同条件触发不同审批流程的场景，如： a)文件上传审批时，需要根据文件类型进入不同的审批分支； b)创建主机时，根据主机价格进入不同的审批分支。

一、 为什么企业需要数据库运维审计？ 数据库作为现代IT业务系统中必不可少的核心组成部分，对于企业来说，数据库通常都保存着内部至关重要的信息，随着互联网的急速发展，企业数据库信息的价值及可访问性得到了很大提升，导致数据库的安全风险大大增加，企业在对数据库日常运维的过程中经常会面临如下一些问题： 运维工程师以怎样的账号身份访问哪些数据库？这些访问信息一旦泄露如何处理？ 如何避免工程师在执行SQL语句时出现误操作或者恶意操作？ 如何在不影响工程师正常工作的基础上对核心业务的敏感数据进行脱敏？ 如何将每个工程师的所有操作全部记录下来，以供日后出现问题时可以回溯追责？ 由此，企业急需一套数据库运维审计产品以保证企业内部数据库信息安全。 二、 行云管家数据库运维审计解决方案 针对以上痛点问题，行云管家为企业提供了完整的数据库安全运维解决方案。 2.1 行云管家数据库运维审计的主要特性 支持云端与本地数据库 行云管家支持业界所有主流数据库，包括本地数据库与公有云的云端数据库； 访问信息托管 可在行云管家中托管数据库的访问信息，杜绝非法访问并避免真实访问信息的泄露； SQL指令拦截 支持SQL指令拦截，可设置敏感指令拦截规则，避免误操作与非法操作 敏感数据脱敏 支持对数据量的敏感业务数据进行脱敏，避免信息泄露 SQL指令审计 支持云端录像与SQL指令审计记录，出现啊问题可回溯追责 2.2 行云管家数据库运维审计实现原理 本质上，行云管家数据库运维审计是一种基于协议代理与拦截的机制。在行云管家中，用户并不会访问到真实数据库，而是通过访问行云管家数据库代理服务（内置在行云管家proxy和会话中转服务模块）从而完成SQL指令拦截、数据脱敏、指令审计等特性。 2.3 数据库协议代理与拦截 基于数据库协议进行代理与拦截，意味着我们需要非常了解数据库的底层通讯协议，但大部分商业数据库的通讯协议是私有的，经过行云管家研发团队的不懈努力，目前我们已经支持的主流数据库如下表所示； 2.4 支持SSL加密通信 运维工程师通过行云管家运维管理数据库时，支持SSL加密通信，这意味着即便在企业内部通过互联网运维管理公有云环境中的云端数据库时（如阿里云RDS）,也不会产生信息泄露。 2.5 数据库访问串 用户访问的是行云管家数据库代理服务而不是真实的数据库，行云管家会为每个用户生成一个特定的数据库访问串，数据库访问串包括IP地址、端口、用户名、密码等基础的数据库连接信息。 用户通过数据库访问串而不是真实的数据库访问信息，如果访问串泄露直接更换新的即可，不会产生数据库真实访问信息的泄露。 2.6 不限制客户端工具 用户通过数据库访问串使用哪种客户端工具访问数据库，行云管家没有任何限制，同时，行云管家还支持在web浏览器中对本地客户端工具的一键唤醒，并支持客户端供给的密码代填。 2.7 访问方案 可在行云管家中定义不同的访问方案，对数据库进行访问。 2.7.1 访问方案之访问规则 可在行云管家访问规则中定义允许用户访问数据库时的访问时段、客户端IP限制，以及允许使用的数据库工具；可对数据进行脱敏，定义针对哪些表格的那些特定字段进行脱敏；定义敏感指令规则； 2.7.2 访问方案之数据脱敏 可在行云管家“数据脱敏”中定义针对哪些表格的那些特定字段进行脱敏，一旦设置生效，当用户检索该字段信息时，将会以“**MASKED**” 代替真实内容； 2.7.3 访问方案之SQL指令拦截 可在行云管家“SQL拦截”中定义敏感指令规则，当用户的SQL操作触发拦截规则时，可以中断用户的操作并予以提醒，甚至可以强行中断用户当前的数据库连接并禁止后续访问； 2.8 数据库活跃会话 可在行云管家中查看生成的所有访问串并可决定是否予以禁用，从而禁止用户的继续访问，可在行云管家中查看当前数据库的所有活跃会话，并可决定是否强制结束； 2.9 SQL指令记录 通过行云管家运维管理数据库时，用户所有的SQL操作均会被全程记录，另外，行云管家还支持云端录像功能，可以满足用户对运维过程全程云端录像需求。这意味着一旦出现问题，可随时回溯追责。 数据库运维审计的核心价值不仅是在发生数据库安全事件后，为追责、定责提供依据，还可以针数据库操作的风险行为进行实时告警。行云管家为企业提供完整的数据库安全运维解决方案，帮助企业有效规避数据库的安全风险，保障资源安全。 直接体验： yun.cloudbility.com

随着互联网和云计算的发展及企业业务创新的需要，企业的IT资产越来越多，参与运维的岗位也越来越多样，当IT资产和运维团队达到一定规模时，对IT资产的日常管理和运维过程都会变得复杂且混乱。由此，海量资产的运维成为了企业急需解决的问题。 本文将通过一个具体的实例，介绍面对海量资产运维的行云管家应对之道。 案例介绍： 某知名银行的金融科技公司，下设架构部、基础运维组以及100多个FT项目组，架构部与基础运维组合合计20多人，100多个FT项目组共有800多人。其中，架构部与基础运维组负责云计算IaaS的选型与基础运维，FT项目组负责具体IT业务系统的研发工作，如手机银行、微信小程序等。 该银行IaaS基础设施采用的是私有云与公有云的混合云模式，私有云包括一套基于OpenStack的实例，和一套基于微软Azure的私有实例（以下简称微软落地云），共计3000多台主机资源，公有云主要采购了阿里云、华为云、腾讯云三家公有云厂商，共计2000多台主机资源。 痛点分析： 如此海量的IT资产和用户给该银行的运维造成了非常大的困扰。其运维过程中主要的业务痛点分析如下： 主机来源多样性： 如何做到不同云厂商的统一纳管，并做到云资源的自动发现？ 主机类型多样性： 如何根据主机的类型与用途快速的定位主机？ 主机资源数量多： 如何按照用户的业务视角展现主机资源并做到快速的查找主机？ 数据隔离： 如何做到不同FT项目组之间的业务数据有效隔离？ 权限管理： 如何做到针对主机资源的精细化授权与动态授权？ 因此，该银行希望采购一套 堡垒机 产品，以使得面对海量IT资产和用户，既能保证运维管理云资源过程合规、安全，又能达到轻松运维，提高运维效率。 行云管家解决方案 面对海量IT资产的运维和众多用户的管理，行云管家研制了一套针对性的解决方案，既满足了安全管理需求，也实现了高效运维，在安全与效率之间取得了平衡。 针对上述银行所面临的痛点，行云管家给出了如下解决方案： 如何 应对 主机来源多样性，做到不同云厂商的统一纳管，并做到云资源的自动发现？ 行云管家支持业界所有的主流的公有云厂商及OpenStack、VMware、ZStack等私有云厂商，这意味着针对这些云厂商可通过OpenAPI完成一键导入、自动纳管； 针对普通的局域网主机、网络设备、存储设备等，行云管家支持通过IP扫描或者Excel表格方式完成批量导入； 针对可通过OpenAPI对接的云资源，行云管家支持按照一定的时间周期扫描云资源的变化，并进行自动同步。 如何应对主机类型多样性，根据主机的类型与用途快速的定位主机？ 在行云管家中，可通过标签完成对主机信息的自定义扩充，这意味着可以灵活地展现主机的类型、用途、归属部门、所属区域等各个用户自定义信息； 当用标签对主机进行标注后，在行云管家内可通过标签完成对主机的筛选与快速定位。 如何应对 主机资源数量多，按照用户的业务视角展现主机资源并做到快速的查找主机？ 针对主机列表，行云管家提供了“按网络”、“按标签”、“按分组”三种视角进行展现； 所谓“按分组”进行展示，本质上是按照用户期望的业务视角构建一棵业务树，并将主机资源挂到业务树相应的节点； 同时，行云管家提供了一键唤醒的主机全文检索能力。 如何做到不同FT项目组之间的业务数据有效隔离？ 当主机数量与用户数量过多时，再好的授权模型也很难克服日常管理的复杂度； 此时，对主机与用户进行“基于租户的数据隔离”是一种最直接、最有效的手段； 行云管家运营班支持在一个行云管家运行实例中创建多个租户（团队）的能力，每个租户之间的业务数据是完全隔离的。 如何做到针对主机资源的精细化授权与动态授权？ 行云管家的授权模型是“基于角色权限控制系统”，但在此基础上做了大幅优化与增强 在行云管家中，可对组织单元授权、对角色授权、或直接对用户授权； 从功能权限上来说，行云管家现有22个功能模块，130多个功能权限，这意味着在行云管家中能够控制的功能颗粒度是足够精细的； 从云资源授权上来说，对云资源进行授权本质上是一种动态授权； 从分组授权上来说，分组授权既构建了基于用户视角的业务树，也完成了对资源进行分组，并通过分组进行授权。 总结： 面对海量IT资产的运维及众多用户的管理，行云管家堡垒机为IT管理者提供更高、更全面而细致的安全管理视角，为IT运维工程师授予合适粒度权限，更为运维工程师带来了丰富便捷的运维手段和极致的操作体验。 直接体验： yun.cloudbility.com

4.18版本中，行云管家针对数据库审计模块进行了大幅优化与增强；优化了主机文件传输的相关限制逻辑；同时在管理控制台中支持了针对行云管家服务的备份与还原功能。4.18版本更新包括但不限于以下内容： 1.私有部署版 系统备份及还原： 在过去版本中，用户是通过在其部署行云管家的服务器上手动执行脚本来实现系统备份及还原的；新版本中，我们在管理控制台提供了备份还原服务的界面，同时也支持用户定义相应的策略对行云管家数据进行备份。 CAS单点登录支持： 行云管家在之前版本中支持了基于OpenID Connect的单点登录认证服务；4.18版本中，在此基础上，我们支持了基于CAS的单点登录认证服务，在配置好CAS Server的相关信息后,即可通过统一门户登录至行云管家。 2.主机 对接金山云、ZStack： 在新版本中,行云管家支持了金山云和ZStack资源的导入与管理，至此行云管家已支持了11家公有云平台与3家私有云平台，如果您在使用过程中有其他云厂商的对接需求，可以与我们联系。 云账户管理优化： 在4.18版本中，我们对云账户管理进行了以下优化：1、支持修改公有云API凭证信息2、增加云账户排序功能：在云账户管理模块中可对云账户进行排序设置；设置后，在主机、网络等模块中，将根据已设置的排序对云账户及其对应信息进行展现。 3.堡垒机 运维策略优化： 有用户反馈，我们针对主机文件传输的相关限制由于在功能授权的基础上再通过运维策略进行限制，十分复杂；因此在新版本中，我们针对文件传输限制的逻辑进行了统一的梳理，将所有限制规则都移动至“运维策略–文件传输”中；同时我们支持了文件上传与下载的审批功能，需要注意的是传输审批仅在“网盘”模块中的“主机文件”功能下支持，主机WEB会话与本地会话中暂不支持。 数据库优化： 在新版本中我们针对数据库模块进行了以下优化与增强：1、更多数据库支持：PostgresSql、Redis、Vertica、Hive、RedShift；2、更多数据库本地工具的支持：DataGrip、Redis Desktop Manager、beeline、DBeaver、SQLyog、MySQL-Front；3、数据库授权与方案优化：在过去版本中数据库的账户授权与运维策略都只能针对单台数据库进行设置，因此当用户的数据库特别多时，将无法方便的进行批量的账户授权与策略限制；在新版本中，我们将数据库账户与运维策略从原有数据库方案中剥离：即通过“账户凭证”对数据库账户进行统一的管理与授权；通过“访问方案”对多个数据库账户进行统一的运维策略限制；4、数据库支持全局检索；5、针对数据库审计日志的系统操作支持自定义设置：我们针对审计日志中数据库系统本身产生的操作预置了一些规则，使审计日志只展示用户操作过的SQL，但是会有一些系统操作没有被我们的规则所覆盖，因此在新版本中我们支持用户自定义添加系统操作，同时支持一键将审计日志中的SQL操作标记为系统操作。 应用宿主机优化： 应广大用户需求，在新版本中应用宿主机的操作系统将支持WinServer2012、2016、2019三个版本。 活跃会话管理优化： 4.18版本中，针对首页的活跃会话管理中，我们将分别展示主机、数据库及应用的活跃会话记录，同时支持了对活跃会话的批量关闭功能。 跳板机优化 ： 有用户反馈，希望通过跳板机访问主机时可以不通过快捷方式或登录凭证，而是直接输入用户名密码进行访问，安排！

随着云计算的发展大潮，企业（组织）利用云计算、上云已成事实，同时，企业出于安全、成本等原因，通常会采用结合本地资源与多家公有云资源的混合云架构，这种情形下企业面临的IT资源运维环境更加复杂、安全形势更加严峻。出于 运维安全 考量，企业在日常的IT资源运维工作中，通常要求遵循几个“最小化原则”，例如：操作命令最小化、登录用户最小化和普通用户授权权限最小化。 本文将介绍在混合云环境下，通过行云管家来实现以最小化原则对主机进行访问和运维，从而保障IT资源运维操作安全高效的实践方案。 在行云管家中，您可以使用快捷方式及登录凭证对主机进行快速访问，利用此类快捷方式访问主机，管理员可以免交密码予普通运维人员，而普通运维人员无需掌握密码即可对主机进行快速访问，避免主机的访问凭证扩散，保障运维安全。 下文将描述在行云管家中如何创建主机访问快捷方式、管理登录凭证并授权予运维人员以及运维人员使用快捷方式和登录凭证访问主机的全过程，说明如何利用行云管家进行免交访问凭证式的快捷运维。 一、 创建访问快捷方式 创建访问快捷方式操作通常由管理员执行，管理员通过将快捷方式授权予普通运维人员，即可实现免交密码或密钥予普通运维人员，而将主机的访问权限交给普通运维人员，快捷方式所关联的操作系统账户，可以依据最小化原则设置。 在主机列表界面中，选取某台主机点击“快速访问”，在打开的访问主机框中，指定主机的访问账号及密码，再点击“存为快捷方式”，在保存框中设置快捷方式的授权对象，然后点击“保存”，即可创建访问主机的快捷方式。 在访问主机的快捷方式创建完成后，具有快捷方式使用权限的普通运维人员即可利用该快捷方式进行主机访问，详见后述。 二、 创建凭证快捷访问 在行云管家中，可以统一管理主机的登录凭证（密码凭证、密钥凭证），将凭证与主机进行关联，并将凭证授权予普通运维人员，运维人员即可以以凭证快速访问主机。 在登录凭证管理中，创建好凭证后，点击“添加主机”可以将凭证与主机进行关联，通过指定授权对象，即可将登录凭证授权予普通运维人员。 登录凭证授权予运维人员后，运维人员即可使用凭证直接访问主机，而无需掌握凭证的真实内容（如凭证关联的密码、密钥等）。 三、 快捷访问云主机 运维人员在主机列表中，能够查看到其有权限访问的云主机，在云主机的“接入方式”中，点击“快捷方式”或“凭证访问”，均可直接访问主机。 而点击主机，进入主机详情页后，也会列出快捷访问入口。 点击快捷访问入口后，在打开的访问主机框中，访问主机所需的用户名、密码（或密钥）均已设置好，无需再指定，直接点“打开会话”即可访问主机。 综上，在IT资源运维中，利用行云管家创建主机访问的快捷方式、管理登录凭证，管理员可以免交密码或密钥予普通运维人员，可以有效防止登录凭证扩散，保障主机安全的同时实现高效的IT资源运维。 立即体验： https://yun.cloudbility.com