工单配置管理
配置工单模式
系统工单模式是指用户在申请资源访问权限时，可通过工单申请资源的范围，以及提交工单的方式。
- “基本模式”通过选择资源范围，简单限定访问控制工单申请范围；同时通过选择工单提交方式，可指定命令控制工单的提交方式。
- “高级模式”针对访问授权工单，从用户部门、用户角色、资源部门多维度限定用户可访问资源的范围。
前提条件
已获取“系统”模块管理权限。
配置基本工单模式
1 登录云堡垒机系统。
2 选择“系统 > 系统配置 > 工单配置”，进入系统工单配置管理页面。
系统工单配置
3 在“基本模式”区域，单击“编辑”，弹出基本工单模式配置窗口。
设置用户可以查看的资源范围，以及命令授权工单的提交方式。
基本模式参数说明
| 参数 | 说明 |
|---|---|
| 访问授权工单申请范围 | 选择访问控制工单可申请资源范围。 默认为本部门。 部门：申请访问控制工单时，运维人员可申请本部门资源的访问控制权限，不包括下级部门的资源。 本部门及下级部门：申请访问控制工单时，运维人员可申请本部门及下级部门资源的访问控制权限。 全部：运维人员可申请系统全部资源的访问控制权限。 |
| 命令授权工单提交方式 | 选择命令授权工单提交方式，可选择手动提交或自动提交。 默认为手动提交。 手动提交：触发生成命令控制工单后，需运维人员提交工单至管理员处审批。 自动提交：触发生成命令控制工单后，自动提交至管理员处审批。 |
4 单击“确认”，返回工单配置管理页面，可查看已配置的基本工单模式配置。
查看基本工单模式配置
配置高级工单模式
1 登录云堡垒机系统。
2 选择“系统 > 系统配置 > 工单配置”，进入系统工单配置管理页面。
3 在“高级模式”区域，单击“添加”，弹出高级工单模式配置窗口。
4 配置用户池。
选择用户部门或用户角色。
5 单击“下一步”，配置资源池。
6 单击“确定”，返回系统工单配置管理页面，查看高级模式配置。
后续管理
- 若需修改高级模式资源池和用户池，可单击“编辑”，在弹出的高级模式编辑窗口重新选择用户或资源范围。
- 若不再需要该高级模式限制 ，可在单击“删除”。删除后认证信息不能找回，请谨慎操作。
配置工单审批流程
系统工单审批流程是指用户提交工单后，工单审批通过的策略。可从审批流程方式、审批形式、审批节点、审批级数、终审节点等维度，自定义系统工单审批流程，加强对工单审批流程的管理。
- 审批流程：包括分级流程和固定流程。分级流程适用于部门内部审批的场景，固定流程适用于跨部门审批的场景。
- 审批形式：审批环节中多名审批人时审批通过方式，包括多人审批和会签审批。多人审批是任意一名审批人同意，即审批通过；会签审批是需所有审批人同意，审批才通过。
- 审批节点：审批环节中审批人的属性，包括部门和角色属性，符合部门和角色要求的部门管理员拥有审批权限。
- 审批级数：审批环节的数量，选择分级流程后必须确定审批级数。
- 终审节点：各级审批环节后，由系统管理员admin进行最终审批的一个环节。
本小节主要介绍如何配置系统工单审批流程。
前提条件
已获取“系统”模块管理权限。
操作步骤
1 登录云堡垒机系统。
2 选择“系统 > 系统配置 > 工单配置”，进入系统工单配置管理页面。
系统工单配置
3 在“审批流程”区域，单击“编辑”，弹出审批流程配置窗口。
配置审批流程的各项参数。
配置审批流程
工单审批流程参数说明
| 参数 | 说明 |
|---|---|
| 审批流程 | 选择审批流程方式，可选择“分级流程”和“固定流程”。 配置工单审批流程后，工单将由各级审批人进行逐级审批。若其中一级审批环节没有符合要求的审批人，则默认此环节已批准，工单流转至下一审批环节。 默认为分级流程方式。 分级流程：按照审批级数逐级进行审批。 固定流程：按照固定审批节点进行审批。 |
| 审批形式 | 选择审批形式，可选择“多人审批”和“会签审批”。 默认为多人审批形式。 多人审批：同级节点仅需一个审批人进行批准，即可通过审批。审批通过后，同级其他审批人也不会看到该工单。如果同级的任意一个审批人驳回，则审批不通过。 会签审批：同级节点所有审批人都审批通过，工单才进入下一级审批。任意一个审批人驳回，则审批不通过。 |
| 审批节点 | 设置节点审批人属性，需同时设置部门属性和角色属性。 设置完成后，符合部门和角色要求的用户自动成为节点审批人。如果没有符合部门和角色要求的用户，则自动向上级部门内寻找，直到找到“总部”为止。 部门属性：“用户所属部门”为工单申请人所属部门的管理员；“资源所属部门”为工单申请资源所属部门的管理员。 角色属性：需要拥有管理员和工单审批权限的角色，默认为部门管理员。 |
| 审批级数 | 设置审批环节数量，选择“分级流程”后必须配置工单通过审批所需的最大级数。 最多可设置5层审批节点。 默认为1，则需要一个审批环节进行审批。 |
| 终审节点 | 选择开启或关闭系统管理员admin终审，默认 。表示关闭admin终审环节。表示启用admin终审环节，所有环节审批人通过审批后，还需admin进行最终审批。 极端情况下，所有审批环节都没有符合要求的审批人，那么无论是否开启终审，都需admin审批工单。 |
4 单击“确定”，返回系统工单配置管理，可查看已配置的审批流程。
查看审批流程配置
访问授权工单
当运维用户不具备某些资源访问控制权限时，可主动提交工单，申请相应资源访问控制权限。
本小节主要介绍如何创建和管理访问授权工单。
前提条件
已获取“访问授权工单”模块管理权限。
操作步骤
1 登录云堡垒机系统。
2 选择“工单 > 访问授权工单”，进入访问控制工单列表页面。
访问控制工单列表页面
3 单击“新建”，弹出新建访问授权工单窗口。
配置访问授权工单基本信息。
配置工单基本信息
访问授权工单基本信息说明
| 参数 | 说明 |
|---|---|
| 运维时间 | 选择访问资源的时间段，生效时间和失效时间均必须配置。 |
| 文件传输 | 在运维过程中文件传输权限，包括上传和下载文件权限。 |
| 更多选项 | 在Web浏览器运维过程中，会话窗口功能选项。 文件管理：管理文件或文件夹的权限。若需文件上传下载权限，必须同时配置文件管理权限。 上行/下行剪切板：运维会话RDP剪切板的功能。 显示水印：运维会话窗口显示用户登录名水印的功能。 |
| 工单备注 | （可选）简要描述申请资源访问控制权限的原因或其他信息。 |
4 单击“下一步”，选择待访问资源账户。
选择资源账户
5 单击“确定”，提交工单申请，返回工单列表页面。
管理员审批工单后，即可拥有资源的访问控制权限。
后续管理
- 提交工单申请后，相关管理员即可在“消息中心”收到提醒，查看详细工单内容。并可在工单审批页面收到工单，可对工单进行批准或驳回操作。
- 提交工单申请后，若需修改已提交的工单，可单击“撤回”，取消已提交的工单申请，工单状态变为“已撤回”。
- 创建工单后，若需查看工单和修改工单信息，可单击“管理”，进入工单详情页面查看和修改工单信息。
- “审批中”状态的工单仅能查看工单详情信息，不能修改工单内容。“已撤回”和“待提交”状态的工单才能被修改。
- 若已提交的工单已过期，可单击“删除”，管理工单列表。亦可勾选多条工单，单击列表左下角删除，批量删除工单。
- 删除后工单信息不能找回，请谨慎操作。
命令授权工单
云堡垒机支持对Linux主机操作进行“动态授权”管理，加强对敏感操作的限制管理。
当运维用户登录Linux主机进行运维操作时，触发“动态授权”命令控制策略的操作命令，系统会自动拦截操作命令，生成命令授权工单。管理员将会收到工单审批申请。当管理员用户批准工单后，运维用户才有执行该Linux“动态授权”操作命令的权限。
命令被拦截示例
本小节主要介绍如何管理命令控制工单。
约束限制
- 仅SSH和Telnet协议类型的Linux主机，支持拦截敏感操作生成工单。
- 命令授权工单由运维用户触发命令策略，自动创建，不能手动创建。
前提条件
- 已获取“命令授权工单”模块管理权限。
- 已触发命令拦截，生成命令授权工单。
操作步骤
1 登录云堡垒机系统。
2 选择“工单 > 命令授权工单”，进入命令授权工单列表页面。
命令授权工单
3 提交工单。
- 命令授权工单可通过“自动提交”和“手动提交”。工单提交方式说明请参见配置工单基本模式。
- 若为自动提交方式，则由系统自动提交工单给管理员审批。
- 若为手动提交方式，则需运维用户在工单列表页面，单击指定工单“操作”列的“提交”，手动提交工单给管理员审批。
- 若工单被管理员驳回，可修改工单信息后再次提交工单。
已提交工单状态
4 撤回工单。
单击指定工单“操作”列的“撤回”，即可取消已提交的工单申请，工单状态变为“已撤回”。
5 修改工单信息。
- 单击“管理”，进入工单详情页面，即可查看工单基本信息。
- 单击工单详情页面编辑，即可修改工单授权运维时间。
- “审批中”状态的工单仅能查看工单详情信息，不能修改工单内容。“已撤回”和“待提交”状态的工单才能被修改。
6 删除工单。
- 单击指定工单“操作”列的“删除”，可以删除该工单。
- 同时勾选多个工单，单击列表下方的“删除”，批量删除多个工单。
- 删除后工单信息不能找回，请谨慎操作。
后续管理
- 运维用户提交工单后，相关管理员即可在“消息中心”收到提醒，查看详细工单内容。并可在工单审批页面收到工单，可对工单进行批准或驳回操作。
- 相关管理员审批工单通过后，运维用户权限立刻生效，即可在授权范围和时间段拥有命令操作权限。
- 相关管理员撤销工单权限后，运维用户权限立刻失效，操作命令会再次被拦截。
数据库授权工单
云堡垒机支持对数据库操作进行“动态授权”管理，加强对数据库关键操作的限制管理。
当运维用户登录数据库进行运维操作时，触发“动态授权”数据库控制策略的操作命令，系统会自动拦截操作命令，生成数据库授权工单。管理员将会收到工单审批申请。当管理员用户批准工单后，运维用户才有执行该数据库“动态授权”操作命令的权限。
本小节主要介绍如何管理数据库授权工单。
约束限制
- 仅专业版实例支持数据库运维操作审计。
- 仅针对MySQL和Oracle类型数据库，支持拦截敏感操作生成工单。
- 数据库授权工单由运维用户触发命令策略，自动创建，不能手动创建。
前提条件
- 已获取“数据库授权工单”模块管理权限。
- 已触发操作拦截，生成数据库授权工单。
操作步骤
1 登录云堡垒机系统。
2 选择“工单 > 数据库授权工单”，进入数据库授权工单页面。
数据库授权工单列表
3 提交工单。
- 单击指定工单“操作”列的“提交”，手动提交工单给管理员审批。
- 若工单被管理员驳回，可修改工单信息后再次提交工单。
4 撤回工单。
单击指定工单“操作”列的“撤回”，即可取消已提交的工单申请，工单状态变为“已撤回”。
5 修改工单信息。
- 单击“管理”，进入工单详情页面，即可查看工单基本信息。
- 单击工单详情页面编辑，即可修改工单授权运维时间。
“审批中”状态的工单仅能查看工单详情信息，不能修改工单内容。“已撤回”和“待提交”状态的工单才能被修改。
6 删除工单。
- 单击指定工单“操作”列的“删除”，可以删除该工单。
- 同时勾选多个工单，单击列表下方的“删除”，批量删除多个工单。
删除后工单信息不能找回，请谨慎操作。
后续管理
- 运维用户提交工单后，相关管理员即可在“消息中心”收到提醒，查看详细工单内容。并可在工单审批页面收到工单，可对工单进行批准或驳回操作。
- 相关管理员审批工单通过后，运维用户权限立刻生效，即可在授权范围和时间段拥有操作权限。
- 相关管理员撤销工单权限后，运维用户权限立刻失效，操作命令会再次被拦截。
审批系统工单
运维用户提交工单申请或者触发命令工单后，工单流转到系统指定的审批人处。审批人可在“消息中心”收到工单审批提醒，此时可在工单审批列表中查看到待审批的工单。
本小节主要介绍如何管理已提交审批工单，包括查看工单详情、审批工单、驳回工单、撤销工单授权等。
前提条件
已获取“工单审批”模块管理权限。
操作步骤
1 登录云堡垒机系统。
2 选择“工单 > 工单审批”，进入审批工单列表页面。
审批工单列表
3 查看工单详情。
单击目标工单“操作”列的“管理”，进入工单详情页面，即可查看工单详细信息，包括工单基本信息、资源账户列表、审批人列表。
查看工单详细信息
4 批准工单。
- 单击目标工单“操作”列的“批准”，即可通过该工单审批。
- 勾选多个工单，单击列表左下角批准，即可批量通过
5 驳回工单。
单击目标工单“操作”列的“驳回”，即可取消申请的工单。
6 撤销工单。
工单被批准后，单击目标工单“操作”列的“撤销”，即可收回资源的授权。
系统工单应用示例
实例一：按用户所属部门申请资源，建立分级流程工单
前提条件
- 已完成部门、用户、角色和资源等项的规划和设置。部门设置请参考 部门概述，用户和角色设置请参考用户概述，资源设置请参考资源概述。
- 工单审批流程设置如表所示，具体操作请参考配置工单审批流程。
工单配置参数说明
| 参数 | 值 |
|---|---|
| 审批流程 | 分级流程 |
| 审批形式 | 多人审批 |
| 审批节点 | 用户所属部门-部门管理员 |
| 审批级数 | 3 |
审批流程
用户提起工单电子流，按用户所属部门申请访问资源，工单审批流程如图所示。
大队管理员User A和User B均拥有审批权，只要任意一人批准，则该环节审批通过，任意一人驳回，则该环节审批不通过。大队管理员审批通过后，下一环节将由村管理员User C进行审批。以此类推，直到镇管理员User D审批通过后，用户即可获得相应的权限。审批过程中任意一个环节驳回，则该工单审批不通过，用户不能获得相应的权限。
工单审批流程
实例二：按资源所属部门申请资源，建立分级流程工单
前提条件
- 已完成部门、用户、角色和资源等项的规划和设置。部门设置请参考 部门概述，用户和角色设置请参考 用户概述，资源设置请参考 资源概述。
- 工单审批流程设置如表所示，具体操作请参考 配置工单审批流程。
工单配置参数说明
| 参数 | 值 |
|---|---|
| 审批流程 | 分级流程 |
| 审批形式 | 多人审批 |
| 审批节点 | 用户所属部门-部门管理员 |
| 审批级数 | 3 |
审批流程
用户提起工单电子流，按资源所属部门申请访问资源，审批流程如图所示。
镇管理员User D进行审批，审批通过则由县管理员User E进行下一环节的审批，审批不通过则工单被驳回。以此类推，直到市管理员User
F审批通过后，用户即可获得相应的权限。审批的过程中任意一个环节驳回，则该工单审批不通过，用户不能获取相应的权限。
审批流程
实例三：建立固定流程的会签审批工单
前提条件
- 已完成部门、用户、角色和资源等项的规划和设置。部门设置请参考 部门概述，用户和角色设置请参考 用户概述，资源设置请参考 资源概述。
- 工单审批流程设置如表所示，具体操作请参考 配置工单审批流程。
工单配置参数说明
| 参数 | 内容 |
|---|---|
| 审批流程 | 固定流程 |
| 审批形式 | 会签审批 |
| 审批节点 | 3 |
签核流程
用户提起工单电子流，申请访问非用户所属部门的资源，审批流程如图所示。
工程部管理员User B和User C均拥有审批权，两者都批准则该环节审批通过，任意一人驳回则该环节审批不通过。工程部管理员审批通过后，下一环节将由财务部管理员User D进行审批，以此类推，直到财务部管理员User E审批通过后，用户即可获得相应的权限。审批过程中任意一个环节驳回，则该工单审批不通过，用户不能获取相应的权限。
会签审批流程
