半知半懂給大家帶來堡壘機入門系列内容，這裡是第二篇，《堡壘機解決了什麼問題？設計理念是什麼？》。

1、堡壘機能解決共享賬号與密碼管理隐患問題

堡壘機會為每一個運維人員創建唯一的賬号，并與主機賬号進行關聯，确保堡壘機的所有運維行為審計記錄均可定位至自然人，能夠有效解決賬号共用問題。另外，在執行主機重啟、密碼修改、會話創建、快照回滾、磁盤更換等各種重要操作時，堡壘機可通過多因子身份确認，解決密碼管理隐患問題，确保訪問者身份的合法性。

2、堡壘機能解決資源授權不清晰問題

堡壘機采用基于角色的訪問控制模型來實現權限控制，把功能權限賦予角色，再把角色賦予團隊成員，團隊成員擁有的功能權限等于他所有的角色持有功能權限之和。在堡壘機的資源授權中，資源是指導堡壘機的主機、服務器等資源。在授權時，用戶可以非常靈活的方式進行資源授權，如雲賬戶授權、物理網絡授權、虛拟分組授權等。

3、堡壘機能解決訪問控制不嚴格問題

解決操作者合法訪問操作資源的問題，堡壘機為運維人員統一訪問入口，隻有登錄堡壘機才能訪問服務器，防止越權登錄。同時，堡壘機還可以設置運維時段，提供多因子認證，确保用戶使用安全。

4、堡壘機能解決運維操作不透明問題

用戶可以通過堡壘機創建不同的運維策略，并在運維策略中指定是否開啟雙因子認證、會話水印以及指令黑白名單等審計規則。即使運維人員登錄了主機，其在主機中執行的操作，依然處于安全監管之下，提前防範運維風險。并且針對敏感指令，堡壘機可以進行阻斷響應或觸發審核操作，審核不通過的敏感指令将會被攔截，以實現安全監管的目的，保障運維操作的合規、安全、可控。

5、堡壘機能解決運維操作無法審計問題

對運維事故進行回溯追責時，用戶通過堡壘機不僅可以高清錄像回溯，更可以直接進行事件查詢，根據訪問時間、目标會話 ID、目标 IP 地址、用戶名（運維、主機）、操作指令、指令類型等條件對曆史數據進行查詢，可完整重現運維、外包人員對遠程主機的整個操作過程，從而真正實現對操作内容的完全審計。

堡壘機主要是有4A理念。即認證（Authen）、授權（Authorize）、賬号（Account）、審計（Audit）為核心。

堡壘的建設目标可以概括為5“W”，主要是為了降低運維風險。具體如下：

• 審計：你做了什麼？（What）
• 授權：你能做哪些？（Which）
• 賬号：你要去哪？（Where）
• 認證：你是誰？（Who）
• 來源：訪問時間？（When）

堡壘機通過事前權限授權、事中敏感指令攔截外，還提供了事後運維審計的特性，用戶堡壘機中所進行的運維操作均會以日志的形式記錄下來。

安全産品入門-堡壘機，堡壘機解決了什麼問題？設計理念是什麼？

下一個章節，給大家帶來、堡壘機主要實現功能及架構等。