目录目录 1 产品概述产品定义术语产品规格功能特性用户登陆 WEB 方式 WEB 访问方式相关资料下载运维客户端

Size: px

Start display at page:

Download "目录目录 1 产品概述产品定义术语产品规格功能特性用户登陆 WEB 方式 WEB 访问方式相关资料下载运维客户端"

隐姻沃
5 years ago
Views:

1 天翼云云堡垒用户使用指南中国电信股份有限公司云计算分公司

2 目录目录 1 产品概述产品定义术语产品规格功能特性用户登陆 WEB 方式 WEB 访问方式相关资料下载运维客户端登录认证环境准备环境检测安装 JAVA 控件浏览器设置配置本地工具修改密码运维说明 RDP/VNC 访问 I

3 目录 4.2 TELNET/SSH/RLOGIN 访问 FTP 访问数据库访问批量登录主机工单操作工单申请工单运维最近访问资源高级搜索菜单模式命令行方式图形方式常见问题网络环境类通过堡垒机连接资源, 在操作过程中, 随机时间与资源断开连接通过堡垒机调用本地工具连接资源, 长时间挂机后, 有发现连接断开的情况系统设置类 - 服务端远程 RDP 黑屏运维登录远程桌面主机提示连接失败运维登录远程桌面提示账号密码错误系统设置类 - 堡垒机...49 II

4 目录删除用户组失败创建报表报错系统设置类 - 客户端运维登录远程桌面主机提示安全设置错误运维登录远程桌面主机提示连接失败未正确设置 ORACLE 连接参数运维 DB2 数据库时提示创建节点失败登录资源报错 Error Windows server2003 客户端通过堡垒机使用远程桌面服务问题登录资源报错 cannot run programcreateprocess error-2 系统找不到指定的文件提示谷歌浏览器登录提示应用程序已被安全设置阻止提示 Java 过时需要更新火狐浏览器调用 JAVA 无响应...59 III

5 产品概述 1 产品概述 1.1 产品定义云堡垒机是一款针对云主机云数据库网络设备等的运维权限运维行为进行管理和审计的工具主要解决云上 IT 运维过程中操作系统账号复用数据泄露运维权限混乱运维过程不透明等难题云堡垒机对整个运维过程从事前预防事中控制和事后审计进行全程参与事前预防 : 建立自然人 - 资源 - 资源账号关系, 实现统一认证和授权事中控制 : 建立自然人 - 操作 - 资源关系, 实现操作审计和控制事后审计 : 建立自然人 - 资源 - 审计日志关系, 实现事后溯源和责任界定 1.2 术语本地工具 : 堡垒机使用过程中需要调用安装在运维用户终端的工具, 如 SSH 类 (xshell,securecrt) FTP 类 (WinSCP) 等单点登陆 : 运维用户只需经过一次认证, 就可以直接访问多种目标设备单点登录系统采用与访问授权相结合方式进行, 用户登录云堡垒系统后, 只能够访问已获得管理授权的目标设备单点登录功能能够有效地提高运维人员的工作效率, 运维人员无需记忆繁多的目标服务器 IP 账号密码信息, 而只需要记住自己的云堡垒系统账号密码即可 1.3 产品规格云堡垒机的授权从用户数资产数和时间上进行控制, 采用按月租用模式按月租用模式模式 ( 在授权期间内提供软件维保升级服务 ) 产品授权型号 ( 单位 : 套 / 月 ) 描述 OSM-CLOUD-L20-C10 最大资产数 20, 最大用户数 10 OSM-CLOUD-L50-C25 最大资产数 50, 最大用户数 25 OSM-CLOUD-L100-C50 最大资产数 100, 最大用户数 50 4

6 产品概述 OSM-CLOUD-L200-C100 最大资产数 200, 最大用户数 100 OSM-CLOUD-L400-C200 最大资产数 400, 最大用户数 200 OSM-CLOUD-L800-C400 最大资产数 800, 最大用户数 400 云主机配置决定云堡垒机的并发性能, 推荐配置如下 : 最大资产数最大用户数最低云服务器推荐配置最低数据盘推荐大小并发会话数核 CPU-2G 内存 -1M 带宽 100G 核 CPU-4G 内存 -2M 带宽 200G 核 CPU-4G 内存 -4M 带宽 400G 核 CPU-8G 内存 -6M 带宽 800G 核 CPU-8G 内存 -10M 带宽 1000G 核 CPU-16G 内存 -10M 带宽 2000G 800 注意 : 1. 并发会话数是指堡垒机同一时间能代理的 TCP 连接会话总数, 如一个 SSH 或 RDP 连接即一个会话数 ; 2. 并发会话数取决于客户的硬件配置, 可以通过提高硬件配置来提高并发会话数 1.4 功能特性运维协议全面性云堡垒机支持多种运维访问协议, 能够充分满足日常运维需要字符协议 :SSHv1 SSHv2 TELNET 图形协议 :RDP VNC 文件传输协议 :FTP SFTP 数据库访问 :Oracle SQL Server DB2 Sybase Informix Teradata MySQL PostgreSQL 认证方式多样性 5

7 产品概述云堡垒机系统包括多样认证方式内置动态口令认证系统, 从而使用户实现无需额外购置动态口令牌认证系统服务器即可完成用户口令动态认证模式云堡垒机系统支持对不同用户设置不同认证方式组合的双因素认证, 更具灵活性认证方式包括 : 静态口令认证 USB-key 认证动态口令卡短信认证 ( 支持短信中间表和短信网关标准, 短信网关包括中国移动 CMPP2.0 中国联通 SGIP1.2 标准和中国电信 SMGP3.0) 数字证书认证 ( 包括吉大正元证书认证北京数字证书认证格尔证书认证 ) Radius 认证 LDAP 认证 AD 域认证审计效果精细化支持字符协议和文件传输协议的协议审计, 审计详细的操作语句和操作语句的执行结果支持 RDP VNC 图形操作过程中键盘输入操作记录鼠标点击行为记录和窗口标题审计数据库协议深度解析数据库返回行数记录 Oracle 数据库变量绑定解析支持通过应用发布实现数据库字符协议文件传输协议命令和录像的双重审计效果管控方式严格性云堡垒机系统提供严格的管控方式以保证运维过程的规范性命令限制与复核 : 对于高危命令实现实时告警或阻断, 对于特别重要的命令实现多人审核应用发布防跳转 : 防止通过应用发布服务器进行跳转登录未授权资源, 进行 http/https 访问过程时运维人员仅允许访问授权地址, 保证运维的规范性运维账号 IP MAC 限制 : 通过绑定运维账号 IP MAC 地址, 避免用户在不安全的工作岗位进行重要的运维操作操作使用便捷性云堡垒机系统提供多种功能以保证运维过程的自动和快捷性多种运维方式 : 浏览器调用运维工具访问浏览器内嵌 WEB 控件访问客户端 (SSH TELNET RDP VNC) 直连菜单模式方式 C/S 运维客户端 : 安全性高通用性强效率更高, 避免了安装和调试 Active 和 JAVA 控件的繁琐工作资源批量登录 : 支持 TELNET SSH 协议使用 SecureCRT 工具批量登录目标资源, 避免进行多次连 6

8 产品概述接的重复工作量命令批量执行 : 在资源批量登录的基础上, 通过 SecureCRT 实现命令的多资源批量执行功能, 减少同类型设备上重复的操作工作设备自动改密 : 支持对目标设备自动定期修改密码, 特别是数据库协议 ( 包括 Oracle SQL Server DB2 Sybase Informix MySQL PostgreSQL) 7

2 用户登陆运维用户可选择通过以下方式使用云堡垒机进行运维操作 :(1)WEB 方式 ( 依赖 JAVA 环境 ); (2) 运维客户端方式 ( 不依赖 JAVA 环境 );(3) 客户端工具直连模式 ( 不依赖浏览器和 JAVA 环境, 目前支持运维 SSH TELNET RDP VNC) 2.1 WEB 方式 2.1.1 WEB 访问方式通过浏览器访问云堡垒机系统, 如图 2.1.1 所示 :( 默认 URL:https:// OSM 系统的 IP, 如果 web 服务端口不是默认的 443, 登录 URL 地址需要加上 web 服务当前的端口号, 例如 : https://172.

9 2 用户登陆运维用户可选择通过以下方式使用云堡垒机进行运维操作 :(1)WEB 方式 ( 依赖 JAVA 环境 ); (2) 运维客户端方式 ( 不依赖 JAVA 环境 );(3) 客户端工具直连模式 ( 不依赖浏览器和 JAVA 环境, 目前支持运维 SSH TELNET RDP VNC) 2.1 WEB 方式 WEB 访问方式通过浏览器访问云堡垒机系统, 如图所示 :( 默认 URL: OSM 系统的 IP, 如果 web 服务端口不是默认的 443, 登录 URL 地址需要加上 web 服务当前的端口号, 例如 : 浏览器推荐:IE8 及以上版本浏览器谷歌 44 及以下版本浏览器和火狐 52 及以下版本或火狐 ESR 版本浏览器图 2.1.1:WEB 访问方式相关资料下载运维用户在云堡垒机系统主登录界面下方或运维界面右上方可以看到相关下载按钮, 点击相关下载, 系统会跳转到下载页面, 提供运维所需的的证书 JAVA 运行环境用户手册离线播放器运行环境监测助手下载和运维客户端, 如下图所示 : 8

10 图相关下载 2.2 运维客户端使用云堡垒机运维客户端方式需要先通过 WEB 方式登录管理页面, 在相关下载中下载运维客户端, 并进行安装安装完成后, 在桌面或开始程序栏中选择运维客户端图标, 打开运维客户端输入云堡垒机系统 IP 地址 ( 如果 web 服务端口不是默认的 443, 登录时需要在 IP 后面加上 web 服务当前的端口号, 例如 : :10443), 点击确定即可进入主登录界面图运维客户端 9

11 图运维客户端 - 登录界面 2.3 登录认证云堡垒机使用 WEB 方式和运维客户端方式访问时, 用户登录认证分为 : 单因素认证登录和双因素认登录由管理员进行设置, 运维人员需要从管理员处获取登录的相关信息图 2.3.1: 系统登录界面用户名密码登录 : 输入用户名密码即可登录 ( 包括静态账号密码认证 LDAP 认证 windowsad 认证和 Radius 认证 ) USB 令牌认证登录 : 用户需要在运维客户机上插上管理员为用户颁发的 USB 令牌, 输入用户名密码后, 点击登录, 会提示进行 USB 令牌认证, 输入管理员为此用户设置的令牌密码, 即可登录运维界面, 如图所示 : 10

12 图用户登录 -USB 令牌认证动态口令卡认证登录 : 管理员为用户提供账号和对应的动态口令卡, 用户在输入用户名密码后, 点击登录, 会提示进行动态口令卡认证, 用户输入登录账号对应的动态口令卡上获取的动态密码, 即可登录成功, 如图所示 : 图用户登录 - 动态口令卡认证 11

3 环境准备 3.1 环境检测用户在使用云堡垒机系统 WEB 方式进行运维操作时 ( 云堡垒机运维客户端方式不依赖 JAVA 环境, 首次使用也需要运行环境检测助手 ), 所使用的客户端必须满足以下环境要求 : 1. 客户端操作系统要求 :windows XP SP3 windows7 windows8 windows10 2.

13 3 环境准备 3.1 环境检测用户在使用云堡垒机系统 WEB 方式进行运维操作时 ( 云堡垒机运维客户端方式不依赖 JAVA 环境, 首次使用也需要运行环境检测助手 ), 所使用的客户端必须满足以下环境要求 : 1. 客户端操作系统要求 :windows XP SP3 windows7 windows8 windows10 2. 客户端 RDP 版本要求 : 通过云堡垒机使用 RDP 运维 windows 主机需要客户端 RDP 版本 6.0 及以上通过云堡垒机系统使用应用发布工具需要客户端 RDP 版本 6.1 及以上 ; 3.WEB 运维方式浏览器的要求 :IE8 及以上版本浏览器谷歌 44 及以下版本浏览器和火狐浏览器 ( 建议使用火狐 52 及以下版本或火狐 ESR 版本浏览器和最新版本 JRE); 4.JAVA 环境 :JRE 6 及以上版本 ; 5. 导入根证书 ( 运行首页下载的环境检测助手自动完成根证书导入 ); 6. 云堡垒机系统的本地运行组件 ( 运行首页下载的环境检测助手自动完成本地运行组件的加载 ) 运维终端首次使用云堡垒机进行运维操作, 需要手动运行环境检测助手对本机环境进行检测, 环境检测助手会自动完成导入根证书和更新云堡垒机系统的本地运维组件在登录云堡垒机主界面时, 下载环境检测助手图下载环境检测助手 12

14 运行环境检测助手, 检测本机环境 3.2 安装 JAVA 控件图运行环境检测助手如果使用 WEB 方式进行运维操作, 当环境检测助手检测到 JAVA 缺失, 则需要安装 JAVA 控件可以选择在运维登录页面中的相关下载中进行下载如图所示, 注意 :windows 操作系统是 32 位的用户, 下载安装 Java 运行环境 32 位 ;windows 操作系统是 64 位的用户, 需要下载安装 Java 运行环境 32 位和 Java 运行环境 64 位 13

15 图 Java 软件下载下载 JRE 并在本地计算机安装安装完成后, 进入 JAVA 控制面板, 确认已勾选启用浏览器中的 Java 内容, 如下图所示图 Java 控制面板安全设置 14

16 在 JAVA 控制面板高级属性中, 确保对以下项执行已签名代码证书撤销检查和对以下执行 TLS 证书撤销检查两项为不检查, 如图所示 3.3 浏览器设置图 Java 控制面板高级属性在 IE 浏览器中 internet 选项 - 安全 - 可信站点中加入云堡垒机系统的 URL 地址, 如图所示 15

17 图 internet 选项信任站点用户使用火狐浏览器登录云堡垒机系统时, 需要进行如图设置 : 图火狐浏览器 - 例外站点图火狐浏览器 - 安全设置 1 16

图 3.3.4 火狐浏览器 - 安全设置 2 如果是谷歌内核的浏览器, 在地址栏输入

3.5 所示 ( 注意 : 谷歌浏览器 45 及以上版本不支持调用 JAVA 控件 ) 图 3.3.5 谷歌浏览器启用

18 图火狐浏览器 - 安全设置 2 如果是谷歌内核的浏览器, 在地址栏输入 chrome://flags/#enable-npapi, 启用 NANPI 插件, 如图所示 ( 注意 : 谷歌浏览器 45 及以上版本不支持调用 JAVA 控件 ) 图谷歌浏览器启用 NANPI 插件进入设置 >> 高级设置 >> 隐私设置 >> 内容设置 >> 插件 >> 停用单个插件, 找到 Java(TM), 勾选始终允许如图所示 17

图 3.3.6 谷歌浏览器设置 3.4 配置本地工具在运维界面中, 点击配置工具, 进入本地客户端工具路径配置界面如图 3.4.1 所示 : 图 3.4.1 配置工具 1 各运维工具推荐版本如下表所示 : 服务本地运维工具推荐版本说明 Oracle PLSQLDev 7 8 9 10 版本 Toad4Oracle v11.

19 图谷歌浏览器设置 3.4 配置本地工具在运维界面中, 点击配置工具, 进入本地客户端工具路径配置界面如图所示 : 图配置工具 1 各运维工具推荐版本如下表所示 : 服务本地运维工具推荐版本说明 Oracle PLSQLDev 版本 Toad4Oracle v SQLPlus 9i 10g 11g 应用发布推荐使用 11g ImpExp Navicat

20 Premium Dbvis SQL server SSMS Navicat Premium SqlService2008R sybase SqlAdvantage inform ix Sqleditor 4.0 Dbvis db2 Db2cmd Dbvis SqlDbx SqlDbxPro QuestCentral mysql Navicat Premium Mysql Dbvis terada ta Teradata SQL Assistant postgr esql PgAdmin Dbvis

21 Telnet Putty 只能使用系统自带版本, 运行环境检测助手即可下载到本地 SecureCRT 及以上版本 Xshell 3.0 及以上版本 2.0 版本无法连接资源主机 SSH Putty 只能使用系统自带版本, 运行环境检测助手即可下载到本地 SecureCRT 及以上版本 Xshell 3.0 及以上版本 2.0 版本无法连接资源主机 WinSCP FlashFXP SSH Secure Shell Client http IE IE8 只能使用应用发布 Firefox 35 及以下版本只能使用应用发布 FTP WinSCP FFFTP 1.97 FlashFXP RDP mstsc 6.1 及以上版本 20

22 VNC mstsc 6.1 及以上版本如果目标资源服务为 RealVNC 5.x Server, 需对 VNC Server 做如下配置方能运维 : (1) 配置 Security 为 Encryption 为 prefer on; (2) 配置 Security 为 Authentication 为 VNC password 或者 None rlogin Putty 只能使用系统自带版本, 运行环境检测助手即可下载到本地操作说明 : 1 选择待保存路径的工具, 点击其右侧修改按钮, 填入本地工具路径信息, 点击保存即可 ; 2 此页面列表中的客户端工具, 均支持用户调用时, 代填连接参数以实现直接登录目标主机 ; 3 如通过不同本地计算机在不同时间使用用户账号登录的情况下, 需要重新配置本地工具路径 3.5 修改密码在运维界面中, 点击修改密码, 修改用户的登录密码, 如图所示 : 21

图 3.5.1 运维账号密码修改修改密码 : 修改本账号的登录密码 [ 每次修改密码后请用户牢记密码 ]( 如用户被设置为需要通过令牌认证, 可修改令牌登录密码 ) 4.

23 图运维账号密码修改修改密码 : 修改本账号的登录密码 [ 每次修改密码后请用户牢记密码 ]( 如用户被设置为需要通过令牌认证, 可修改令牌登录密码 ) 4.1 RDP/VNC 访问 4 运维说明运维用户成功登录云堡垒机后, 选择需要通过 RDP/VNC 协议实现远程访问的资源, 点击服务图标, 右侧会显示该资源下 RDP 或 VNC 的所有从账号, 选择从账号后, 再选择运维工具 (V6.0.3 及以后版本 VNC 的运维都通过 mstsc 工具进行, 本地工具不需要再配置 VNC 的工具路径, 如图所示 ), 使用 RDP 服务时可选择屏幕大小 RDP 剪切板功能磁盘映射功能和访问方式, 最后点击连接服务, 如图所示 : 22

24 图 RDP 访问图 VNC 访问查询 : 查询可访问的资源选择资源 : 选择待访问的资源名称 IP 地址 : 若该资源有多个 IP 地址, 请选择待访问的 IP 地址服务名称 : 显示当前选择要访问的服务名选择账号 : 选择该服务的系统账号进行访问自定义账号 : 在运维操作界面登录目标资源前, 可选择自行输入登录资源的账号和密码选择工具 : 选择本地工具应用发布访问该服务屏幕大小 : 选择远程桌面连接目标服务器时屏幕的大小 23

25 开启 RDP 剪切板 : 选择远程桌面连接目标主机后是否启用剪切板功能开启磁盘映射 : 选择远程桌面登录连接目标主机后是否启用磁盘映射功能和具体映射哪些磁盘访问方式 : 当使用远程桌面服务时, 可选择 NORMAL 和 CONSOLE NORMAL: 为普通的远程桌面连接模式 ;CONSOLE: 等同于本地终端显示器登录连接服务 : 单击后通过客户端连接至目标主机 4.2 Telnet/SSH/Rlogin 访问运维用户成功登录云堡垒机后, 选择需要通过 Telnet/SSH/Rlogin 协议实施远程访问的资源, 点击服务图标, 右侧会显示该资源下待访问服务的所以从账号, 选择从账号后, 再选择运维工具, 最后点击连接服务, 如图所示 : 图 telnet 访问 24

26 图 SSH 访问查询 : 查询待访问的资源选择资源 : 选择待访问的资源名称 IP 地址 : 若该资源有多个 IP 地址, 请选择待访问的 IP 地址服务名称 : 显示当前选择要访问的服务名选择账号 : 选择该服务的系统账号进行访问自定义账号 : 在运维操作界面登录目标资源前, 可选择自行输入登录资源的账号和密码选择工具 : 选择本地工具应用发布或者 WEB 控件访问该服务 WEB 控件 : 选择 WEB 的控件访问该服务连接服务 : 单击后通过 Web 控件或者客户端连接至目标主机 4.3 FTP 访问运维用户成功登录云堡垒机后, 选择需要通过 FTP 协议实施远程访问的资源, 点击服务图标, 右侧会显示该资源下待访问服务的所以从账号, 选择从账号后, 再选择运维工具, 最后点击连接服务, 如图所示 : 图 4.3.1FTP 访问选择资源 : 选择待访问的资源名称 25

查询 : 查询待访问的资源 IP 地址 : 若该资源有多个 IP 地址, 请选择待访问的 IP 地址服务名称 : 显示当前选择要访问的服务名选择账号 : 选择该服务的系统账号进行访问自定义账号 : 在运维操作界面登录目标资源前, 可选择自行输入登录资源的账号和密码选择工具 : 选择本地工具应用发布或者 WEB 控件访问该服务 ( 支持 Winscp 和 FlashFXP 客户端工具

27 查询 : 查询待访问的资源 IP 地址 : 若该资源有多个 IP 地址, 请选择待访问的 IP 地址服务名称 : 显示当前选择要访问的服务名选择账号 : 选择该服务的系统账号进行访问自定义账号 : 在运维操作界面登录目标资源前, 可选择自行输入登录资源的账号和密码选择工具 : 选择本地工具应用发布或者 WEB 控件访问该服务 ( 支持 Winscp 和 FlashFXP 客户端工具 ) WEB 控件 : 选择 WEB 的控件访问该服务连接服务 : 单击后通过 Web 控件或者其它客户端连接至目标主机 4.4 数据库访问运维用户成功登录云堡垒机后, 选择需要通过数据库 Oracle Sybase DB2 等协议进行远程访问的资源, 点击服务图标, 右侧会显示该资源下待访问服务的所以从账号, 选择从账号后, 再选择运维工具, 最后点击连接服务, 如图所示 : 图数据库访问选择资源 : 选择待访问的资源名称查询 : 查询待访问的资源 26

IP 地址 : 若该资源有多个 IP 地址, 请选择待访问的 IP 地址服务名称 : 显示当前选择要访问的服务名选择账号 : 选择该服务的系统账号进行访问自定义账号 : 在运维操作界面登录目标资源前, 可选择自行输入登录资源的账号和密码选择工具 : 选择本地工具应用发布访问该服务连接服务 : 单击后通过本地客户端连接至目标主机 4.

28 IP 地址 : 若该资源有多个 IP 地址, 请选择待访问的 IP 地址服务名称 : 显示当前选择要访问的服务名选择账号 : 选择该服务的系统账号进行访问自定义账号 : 在运维操作界面登录目标资源前, 可选择自行输入登录资源的账号和密码选择工具 : 选择本地工具应用发布访问该服务连接服务 : 单击后通过本地客户端连接至目标主机 4.5 批量登录主机批量登录主机功能用于使用 SecureCRT 工具通过 SSH 或者 TELNET 协议一次使用多个账号或登录多台主机选择需要访问的 SSH 或 TELNET 服务的资源, 选择 SecureCRT 工具后, 如图所示可看到添加到批量连接图标, 选择后可将此资源添加到批量连接组中图运维操作界面 27

29 图添加批量连接在添加好批量连接组后, 选择批量连接, 选择本次需要批量连接的主机, 从账户, 和连接方式后, 选择批量连接进行批量登录主机, 如图所示图批量连接 28

6.2 进入申请工单在运维用户申请工单界面, 如下图填入对应信息 : 工单名称 ( 自定义 ) 高级属性( 如果有 RDP 类型可根据需要进行选择 ) 运维时间范围(

30 图批量连接成功 4.6 工单操作工单申请运维人员如果需要对某个资源申请临时访问权限可通过工单信息中的申请工单功能进行操作在运维操作界面选择工单信息, 如下图图进入工单信息在工单信息界面选择申请工单进入申请工单界面图进入申请工单在运维用户申请工单界面, 如下图填入对应信息 : 工单名称 ( 自定义 ) 高级属性( 如果有 RDP 类型可根据需要进行选择 ) 运维时间范围( 根据实际需求选择申请操作的时间段 ) 申请访问资源信息 ( 必须写明需要访问的资源服务及账号信息, 便于管理员审核 ) 操作说明( 可选设置 ) 和审批人 ( 选择对应的审批人 ) 如果配置了短信接口, 审批人和运维人员也正确设置了手机号码, 审批人可以接收到工单申请 29

31 提示的短信, 运维人员可以接收到工单申请通过后的提示短信图申请工单内容 1 30

32 图申请工单内容 2 工单申请信息填写好确认无误后提交, 等待管理员审批图申请工单 - 等待审批申请的工单审批通过后, 消息中心会有新消息提醒运维人员图申请审批通过提醒工单申请通过后工单状态变为生效状态, 选择连接可进入工单资源列表界面进行工单资源的运维操作图申请工单 - 工单生效 31

: 9 运维界面进入工单信息页面后, 运维用户可以看到管理员下发给他的所有工单信息,

33 图工单运维工单运维当管理员为运维用户下发工单后, 运维用户登录云堡垒机, 可以查看工单信息, 并执行工单运维用户登录云堡垒机, 选择工单信息, 如下图所示 : 图运维界面进入工单信息页面后, 运维用户可以看到管理员下发给他的所有工单信息, 当运维用户进行工单操作时, 需要选择相应工单后的连接选项, 如下图所示 : 图工单信息进入工单操作页面后, 运维用户可以看到该工单授权给运维用户的运维资源, 并提供连接运维资源主机通道, 如下图所示 : 32

34 图工单操作 4.7 最近访问资源运维用户最近访问的 10 个运维资源会在运维菜单左侧目录树最近访问资源选择中列出, 方便用户在此访问该资源, 如图所示 : 4.8 高级搜索图最近访问资源当运维资源较多的情况下, 要快速定位运维资源主机, 除了普通搜索之外还可以进行高级搜索, 对资源名称所属组 IP 地址服务等进行关联搜索 ( 云堡垒机系统 V6.0.3 及以后版本具备该功能 ), 如图所示 : 33

35 图高级搜索 4.9 菜单模式命令行方式当运维终端是 Linux MAC 等系统, 或是该终端本地环境不满足我们基本要求, 可以无需登录云堡垒机 web 运维界面, 而使用 SSH 工具直连云堡垒机来进行安全运维, 目前此种菜单模式支持的运维方式有 SSH 和 telnet ( 云堡垒机系统 V6.0.3 及以后版本具备该功能 ) 首先通过 SecureCRT 工具连接云堡垒机, 主机名为云堡垒机管理 IP 地址, 端口号为 5107, 如图所示 : 34

36 图连接云堡垒机登录账号密码和该运维用户从 web 界面登录的账号密码一致, 如图所示 : 图登录云堡垒机进入菜单管理界面后, 运维用户可以开始选择运维资源其中 Enter 键为确定, Esc 键为 35

37 返回, 如图所示 : 图选择资源组图选择资源主机 36

38 图选择服务图确认连接 37

39 图开始安全运维注意事项 :SSH 连接必须保证终端类型为 VT100 或 xterm, 字符编码 :UTF-8( 如目标设备字符编码为非 UTF-8, 需用户在成功登录目标设备后, 再自行调整字符编码 ), 如图所示 : 图终端类型 38

40 图终端编码图形方式运维用户若希望通过 RDP VNC 协议远程访问主机资源, 可以启用 Windows 系统默认的远程桌面连接工具 (RDP:mstsc.exe) 进入图形化访问资源菜单如图所示, 直接输入云堡垒机系统 IP 地址, 端口为 5106, 然后选择连接, 如果需要映射磁盘, 请展开选项卡进行设置, 如图所示图图形方式访问菜单登录 39

图 4.9.11 开启磁盘映射输入运维账号密码, 如图 4.9.12 所示图 4.

41 图开启磁盘映射输入运维账号密码, 如图所示图运维用户身份认证运维账号认证通过后, 展现出用户可访问的资源列表, 如图所示, 选择对应的资源和账号后, 选择连接, 便会登录到目标服务器上, 如图所示 40

42 图资源菜单图连接到服务器 41

43 5 常见问题 5.1 网络环境类通过堡垒机连接资源, 在操作过程中, 随机时间与资源断开连接检查堡垒机部署的网络中是否有其它安全产品 ( 例如 WAF 等 ) 对堡垒机的连接进行干扰, 在安全产品的审计日志中查询是否有对堡垒机 IP 的阻断日志, 如确实有将堡垒机添加为信任放行, 再次测试验证通过堡垒机调用本地工具连接资源, 长时间挂机后, 有发现连接断开的情况用户网络层面针对某些业务 ( 例如 :80 和 8080 端口业务 ) 做了长会话断开连接策略, 而堡垒机在调用本地工具运维时需要基于 8080 端口, 这就造成用户使用堡垒机运维操作时, 挂机时间多长, 被网络上的策略给断开了会话处理方法 : 在堡垒机版本中支持修改堡垒机默认端口功能, 可将堡垒机的运维通道默认的 8080 端口改为其它非敏感端口 5.2 系统设置类 - 服务端远程 RDP 黑屏有可能是远程服务器做了 RDP 限制具体方法 ( 以 Windows 2008 系统为例 ): 控制面板 -- 管理工具 --- 远程桌面服务 --- 远程桌面会话主机配置 --- 在 RD 会话主机配置 :... 中选择 " 连接 ": RDP-TCP ( 双击 ): 1. 确保安全层为协商或 RDP 安全层加密级别为客户端兼容模式 ; 2. 确保不要勾选 : 仅允许运行使用网络级别身份验证的 42

44 图目标 windows2003 设备 RDP 服务设置图目标 windows2008 设备 RDP 服务设置运维登录远程桌面主机提示连接失败通过堡垒机使用 RDP 连接到服务器, 提示连接失败, 错误 : 安全协议协商失败 43

45 1) 堡垒机或应用发布服务器无法访问 windows 主机的远程桌面端口, 先从网络层面检查问题原因, 调用本地工具就检查堡垒机到 windows 主机的网络情况 ( 可通过堡垒机资源管理界面服务中的连通检测进行验证 ), 调用应用发布工具就核实应用发布服务器到 windows 主机的网络情况 (2) 检查登录目标主机的账号密码是否正确 ; 设置 (3) 登录到目标主机上检查下远程桌面会话主机配置, 修改下 RDP-Tcp 属性中的安全性 44

46 图目标 windows2008 设备 RDP 服务设置 (4) 检查堡垒机或者应用发布服务器到目标资源中间是否受 IPS 等安全设备限制, 如果之前好用现在突然不能使用, 且系统配置没有修改过应重点检查下安全设备日志及策略是否针对堡垒机的行为有阻断 45

$通过堡垒机登录资产时, 资产账号请使用计算机名 \administrator 确认方法为: 在目标资产上查看计算机属性, 域$

47 5.2.3 运维登录远程桌面提示账号密码错误 1 检查账号密码是否录入错误, 并通过自定义账号进行手动输入验证通过直连方式验证 ; 2 检查目标资产是否加入到 windows AD 域中, 如果是加入了 AD 域, 通过堡垒机登录资产时, 资产账号请使用计算机名 \administrator 确认方法为: 在目标资产上查看计算机属性, 域部分有值表示已经加入了 AD 域, 计算机名见计算机名部分 ( 如下图 ), 那么资产账号使用 WIN-6C99F5N2BHO\administrator 46

3 检查资源侧 rdp 配置是否为 RDP 安全层, 如果不是改成 RDP 安全层 6.2.3.1VNC 连接提示错误问题 : 如图所示, 通过堡垒机使用 VNC 访问基于 VNC 服务器时提示错误 Tcp 已经建立连接, 但是加密等级是 0 解决方式 : 如果目标资源服务为 RealVNC 5.

48 3 检查资源侧 rdp 配置是否为 RDP 安全层, 如果不是改成 RDP 安全层 VNC 连接提示错误问题 : 如图所示, 通过堡垒机使用 VNC 访问基于 VNC 服务器时提示错误 Tcp 已经建立连接, 但是加密等级是 0 解决方式 : 如果目标资源服务为 RealVNC 5.x Server, 需对 VNC Server 做如下配置方能运维 : (1) 配置 Security 为 Encryption 为 prefer on;(2) 配置 Security 为 Authentication 为 VNC password 或者 None 47

49 使用外部 AD 域认证源进行登录时提示 WindowsAD 域认证失败, 请检查您的用户和密码是否正确问题 : 用外部 AD 域认证源进行登录时提示 WindowsAD 域认证失败, 请检查您的用户和密码是否正确, 如下图所示 : 解决方式 : (1) 首先必须确保外部 AD 域工作正常, 堡垒机外部认证源中配置的 AD 域参数正确 (2) 检查下 AD 域中账号是否做了登录限制, 如果做了登录限制, 请将 AD 域服务器的计算机名添加到登录限制名单中, 如下图所示 48

50 5.3 系统设置类 - 堡垒机删除用户组失败问题 : 已经情况运维组下的所有运维帐号, 再删除该运维组, 依然失败图删除组织机构失败解决方式 : 有可能是堡垒机的域中数据没有清空具体方法 : 可以开启, 再关闭堡垒机的双机热备功能, 这样可以清空堡垒机的 AD 域, 如部署方式为双机热备, 数据正常后再按照正常流程使用双机热备功能 49

51 5.3.2 创建报表报错问题 : 创建报表时, 提示未找到所选模板, 报表元素项为空, 报表模板界面版面如图所示创建报表 - 提示未找到所选模板图解决方式 : 查看浏览器的兼容性视图设置是否添加堡垒机 IP 地址, 如果有请删除 ( 如图所示 ), 正常的审计报表模板界面如图所示图兼容性视图设置 50

1 运维登录远程桌面主机提示安全设置错误问题 : 如图所示, 用户通过堡垒机连接远程桌面主机时, 提示

52 图 5.4 系统设置类 - 客户端正常的审计报表模板界面运维登录远程桌面主机提示安全设置错误问题 : 如图所示, 用户通过堡垒机连接远程桌面主机时, 提示由于安全设置错误, 客户端无法连接到远程计算机确定你已登录到网络后, 再重新连接图远程桌面连接提示由于安全设置错误解决方法 : 在客户端上运行 secpol.msc, 找到安全设置 -> 本地策略 -> 安全选项 -> 系统加密 : 将 FIPS 兼容算法用于加密哈希和签名, 禁用该选项 51

53 图本地安全策略 - 系统加密设置运维登录远程桌面主机提示连接失败问题 : 如图所示, 用户通过堡垒机连接远程桌面主机时, 提示连接失败, rdp_check_fds 错误图远程桌面连接错误解决方法 : 从以下几方面排查问题 52

(1) 堡垒机或应用发布服务器无法访问 windows 主机的远程桌面端口, 先从网络层面检查问题原因, 调用本地工具就检查堡垒机到 windows 主机的网络情况 ( 可通过堡垒机资源管理界面服务中的连通检测进行验证 ), 调用应用发布工具就核实应用发布服务器到 windows 主机的网络情况 (2) 检查登录目标主机的账号密码是否正确 ; (3) 检查目标主机上是否有安全策略限制 ;

54 (1) 堡垒机或应用发布服务器无法访问 windows 主机的远程桌面端口, 先从网络层面检查问题原因, 调用本地工具就检查堡垒机到 windows 主机的网络情况 ( 可通过堡垒机资源管理界面服务中的连通检测进行验证 ), 调用应用发布工具就核实应用发布服务器到 windows 主机的网络情况 (2) 检查登录目标主机的账号密码是否正确 ; (3) 检查目标主机上是否有安全策略限制 ; (4) 检查 windows 主机的终端服务配置 RDP-Tcp 属性中网卡选项最多连接数是否是 1, 如果是 1 改成 2 或无限制的连接数试试未正确设置 ORACLE 连接参数问题 : 如图所示, 在连接 oracle 资源时, 提示未正确设置 Oracle 连接参数解决方法 : 检查运维界面上 oracle 相关参数 SERVICE_NAME 或 SID 是否正确设置运维 DB2 数据库时提示创建节点失败问题 : 如图所示, 通过堡垒机使用 DB2 客户端工具 Quest Central 时调用失败, 报错创建 db2 节点失败 53

$解决方式 : 将运维终端上的 C:\Users\ 用户名 \AppData\Local\Temp\DB2COPY1$ 5 登录资源报错 Error 问题 : 如图所示, 用户使用堡垒机使用本地工具连接资源设备时候, 出现类似的提示 :

55 解决方式 : 将运维终端上的 C:\Users\ 用户名 \AppData\Local\Temp\DB2COPY1 这个文件夹删掉, 在尝试通过堡垒机运维登录资源报错 Error 问题 : 如图所示, 用户使用堡垒机使用本地工具连接资源设备时候, 出现类似的提示 : 图登录资源错误提示 1 解决方式 : 可能由于本地计算机安装的 360 安全卫士引起的冲突造成, 请关闭 IE 浏览器, 关闭 360 安全卫士后 ( 如图 ), 再打开 IE 浏览器登录堡垒机运维登录资源设备 54

56 图关闭 Windows server2003 客户端通过堡垒机使用远程桌面服务问题问题 : 运维客户端操作系统是 windows server2003 时, 通过堡垒机使用远程桌面服务无法连接到目标主机, 如图所示 55

microsoft.com/zh-cn/download/details.aspx?

57 图客户端通过堡垒机使用远程桌面解决方式 : 查看远程桌面服务的版本, 外壳版本在 6.1 以下, 请升级 RDP 服务 ( 升级包下载地址 : 升级后查看版本为 6.1, 再次验证通过堡垒机使用远程桌面服务图查看本地远程桌面服务版本 56

5.4.7 登录资源报错 cannot run programcreateprocess error-2 系统找不到指定的文件提示问题 : 如图用户使用堡垒机使用本地工具连接资源设备时候, 出现 cannot run programcreateprocess error-2 系统找不到指定的文件提示

58 5.4.7 登录资源报错 cannot run programcreateprocess error-2 系统找不到指定的文件提示问题 : 如图用户使用堡垒机使用本地工具连接资源设备时候, 出现 cannot run programcreateprocess error-2 系统找不到指定的文件提示解决方法 : 请检查此客户端电脑登录操作系统的账号是否包括了中文或空格等特殊字符, 建议使用不带中文和特殊字符的账号登录客户端操作系统再使用堡垒机图登录资源报错谷歌浏览器登录提示应用程序已被安全设置阻止问题 : 使用谷歌浏览器登录时, 提示应用程序已被安全设置阻止, 如图所示 57

图谷歌浏览器登录 - 应用系统已被安全设置阻止解决方式 : 如果是谷歌内核的浏览器, 进入设置 >> 高级设置 >> 隐私设置 >> 内容设置 >> 插件 >> 停用单个插件, 找到 Java(TM), 勾选始终允许如图 2.7.2 所示图谷歌浏览器设置 5.4.

59 图谷歌浏览器登录 - 应用系统已被安全设置阻止解决方式 : 如果是谷歌内核的浏览器, 进入设置 >> 高级设置 >> 隐私设置 >> 内容设置 >> 插件 >> 停用单个插件, 找到 Java(TM), 勾选始终允许如图所示图谷歌浏览器设置提示 Java 过时需要更新问题 : 通过堡垒机访问资源连接服务时, 浏览器提示 Java(TM) 已被阻止, 因为它已过时并且需要更新, 正在加载控件, 如果此时不做操作会造成无法成功调用 JAVA 控件, 一直读秒超时解决方式 :(1) 选择这次运行, 已保证本次浏览器能正常调用 Java 控件, 如图所示 ; 58

(2) 在浏览器中 internet 选项 - 安全 - 可信站点中加入堡垒机的 URL 地址, 如图 2.22.

10 火狐浏览器调用 JAVA 无响应问题 : 使用堡垒机进行运维操作连接服务时, 火狐浏览器调用 JAVA 出现 JAVA 崩溃解决方式 :

60 (2) 在浏览器中 internet 选项 - 安全 - 可信站点中加入堡垒机的 URL 地址, 如图所示图正在加载控件图 internet 选项信任站点火狐浏览器调用 JAVA 无响应问题 : 使用堡垒机进行运维操作连接服务时, 火狐浏览器调用 JAVA 出现 JAVA 崩溃解决方式 : 遇到此问题的解决方式 ( 以下方式任选一种 ) 为 :1. 使用 Firefox 42 以下或 Firefox ESR 38 以下的版本 ;2. 如果一定要使用 Firefox 42 或 Firefox ESR 38 版本请将 java 版本升级到最新版本 59

61 60

目录 1 概述用户登录 WEB 方式 WEB 访问方式相关资料下载运维客户端登录认证环境准备环境检测安装 JAVA 控件..

目录 1 概述用户登录 WEB 方式 WEB 访问方式相关资料下载运维客户端登录认证环境准备环境检测安装 JAVA 控件.. 2016 适用范围 : 内部运维人员使用手册天玥网络安全审计系统 V6.0 运维安全管控系统适用范围 : 天玥 OSM 系列精细控制合规审计北京启明星辰信息安全技术有限公司目录 1 概述... 1 2 用户登录... 1 2.1 WEB 方式... 1 2.1.1 WEB 访问方式... 1 2.1.2 相关资料下载... 2 2.2 运维客户端... 2 2.3 登录认证... 3 3

目录 目 录 1 产品概述 产品定义 术语 产品规格 功能特性 用户登陆 WEB 方式 WEB 访问方式 相关资料下载 运维客户端

目录目录 1 产品概述产品定义术语产品规格功能特性用户登陆 WEB 方式 WEB 访问方式相关资料下载运维客户端