查看主机运维列表并设置资源标签
运维用户获取主机资源访问操作权限后，即可在主机运维列表查看已授权资源，并设置资源标签。
约束限制
每个用户可自定义资源标签，资源标签仅能个人帐号使用，不能与系统内用户共用。
前提条件
- 已获取“主机运维”模块管理权限。
- 已获取资源访问控制权限，即已被关联访问控制策略或访问授权工单已审批通过。
操作步骤
1 登录云堡垒机系统。
2 选择“运维 > 主机运维”，进入主机运维列表页面。
主机运维列表
3 查询主机资源。
快速查询：在搜索框中输入关键字，根据自动识别、主机名称、主机地址等快速查询主机资源。
4 添加标签。
选择目标资源，在相应“标签”列单击
，弹出标签编辑窗口。
输入标签类型回车选定标签，或选择已有标签类型。
单击“确认”，返回主机运维列表，即可查看已添加的标签。
5 批量添加标签。
选择多个目标资源，单击列表左下角“添加标签”，弹出标签编辑窗口。
输入标签类型回车选定标签，或选择已有标签类型。
单击“确认”，返回主机运维列表，即可查看已添加的标签。
6 删除标签。
选择一个或多个目标资源，单击列表左下角“删除标签”，弹出删除标签确认窗口。
确认信息无误后，单击“确认”，返回主机运维列表，标签已删除。
通过Web浏览器登录资源进行运维
通过Web浏览器登录主机，提供“协同分享”、“文件传输”、“文件管理”和“预置命令”等功能。用户在主机上执行的所有操作，被云堡垒机记录并生成审计数据。
“协同分享”指会话创建者将当前会话链接发送给协助者，协助者通过链接登录创建者的会话中参与运维，实现运维协同操作。
“文件管理”指参与会话的用户获取操作权限后，可对云主机和主机网盘中文件或文件夹进行管理。
- 支持新建文件夹。
- 支持修改文件或文件夹名称。
- 支持批量删除。
“文件传输”指参与会话的用户获取操作权限后，可对云主机和主机网盘中文件进行上传或下载。
- 支持上传/下载文件。
- 支持上传文件夹。
目标地址为“云主机文件”，支持上传多个本地或网盘文件到云主机，支持从云主机下载多个文件到本地或网盘保存。
目标地址为“主机网盘”，支持上传多个文件或一个文件夹到主机网盘，支持从主机网盘下载文件到本地保存。
约束限制
- 仅字符协议类型（SSH、TELNET）和图像类协议类型（RDP、VNC）主机支持通过Web浏览器登录。
- TELNET协议类型主机不支持“文件传输”和“文件管理”功能。
- 支持复制/粘贴大量字符不乱码，本地到远端最多8万字符，远端到本地最多100万字节。
- 文件管理
不支持批量编辑文件或文件夹。
- 文件传输
系统默认支持上传最大100G的单个文件，但实际上传单个文件大小，受“个人网盘空间”大小和使用浏览器限制。
不支持下载文件夹。
RDP协议类型主机的目标地址只有“主机网盘”。
前提条件
- 已获取“主机运维”模块管理权限。
- 已获取资源访问控制权限，即已被关联访问控制策略或访问授权工单已审批通过。
- 资源主机网络连接正常，且资源账户登录帐号和密码无误。
操作步骤
1 登录云堡垒机系统
2 选择“运维 > 主机运维”，进入主机运维列表页面。
3 单击“登录”，登录会话进行操作。
- RDP/VNC协议类型主机会话窗口
- SSH/TELNET协议类型主机会话窗口
4 通过协同分享，可邀请同事参与此会话，一同参与操作，详细说明请参见10.1.8 协同分享。
单击“协同分享”，展开协同会话界面。
邀请同事参与会话，单击“邀请好友进入此会话”。
链接可复制发送给多人。
拥有该云堡垒机帐户访问权限的用户，才能正常打开连接，否则将会上报连接错误，提示“由于服务器长时间无响应，连接已断开，请检查您的网络并重试（Code：T_514）”。
复制链接，发送给拥有云堡垒机帐户权限的用户，登录云堡垒机，打开新的浏览器窗口，粘贴链接。
单击“立即进入”参与会话操作。
会话操作参数说明
| 参数 | 说明 |
|---|---|
| 申请控制权 | 向会话邀请者发申请控制权，邀请者同意后，可以操作此会话。 |
| 退出会话 | 退出此会话。 |
5 通过文件传输，可对云主机或主机网盘中文件进行上传或下载，详细说明请参见文件传输。
单击“文件传输”，展开文件传输界面。
默认为“云主机文件”，单击“云主机文件”可切换目标地址到“主机网盘”。
切换目标地址
单击
上传图标，上传文件。
- “主机网盘”属于云堡垒机用户个人空间，其他用户不可见，用户可以将“主机网盘”文件上传到多个主机。
- Windows服务器文件存放的默认路径在G盘，Linux服务器文件存放的默认路径在根目录。
- Windows服务器上传下载文件，需打开服务器的磁盘目录，对NetDisk的G盘上文件复制/粘贴，实现对文件的上传/下载。
6 通过文件管理，可对云主机或主机网盘中文件或文件夹进行管理。
单击“文件传输”，展开文件传输界面。
单击
可以新建文件夹。
勾选一个或多个文件或文件夹，单击
删除图标，可删除文件或文件夹。
勾选一个文件或文件夹，单击
编辑图标，可修改文件或文件夹名称。
单击
刷新图标，可刷新全部文件目录。
SSH/TELNET协议类型主机会话
Linux运维操作说明
| 参数 | 说明 |
|---|---|
| 中文编码 | 字符协议支持多种中文编码。 |
| 复制/粘贴 | 选中字符，按“Ctrl+C”进行复制，按“Ctrl+V”进行粘贴。 |
| 预置命令 | 对于字符较长，且经常输入的命令，可以提前预置。 |
| 终端类型 | 字符协议支持切换终端类型，包括Linux和Xterm两种类型。 |
| 群发键 | 开启群发可同时对多个会话进行命令输入。 |
| 字体大小 | 设置字体大小：大、中、小。 |
| 复制窗口 | 可复制当前会话窗口。 |
| 全屏 | 可开启窗口全屏。 |
Windows主机运维操作说明
| 参数 | 说明 |
|---|---|
| 复制/粘贴 | 远程文本：选中字符， 需按两次“Ctrl+C”复制，按“Ctrl+V”粘贴。 远程机器文件：选中文本或图像，“Ctrl+B”复制，“Ctrl+G”粘贴。 说明 Web浏览器运维支持复制/粘贴大量字符不乱码，本地到远端最多8万字符，远端到本地最多100万字节。 |
| 分辨率 | 可切换当前操作界面分辨率，切换途中会重新创建连接。 |
| 切换鼠标 | 可分别切换为本地鼠标和远程鼠标。 |
| Windows键 | 适用于Win快捷键操作。 |
| 锁屏键 | “Ctrl+Alt+Delete” |
| 复制窗口 | 可复制当前会话窗口。 |
| 全屏 | 可开启窗口全屏。 |
RDP主机会话窗口
通过SSH客户端登录资源进行运维
通过SSH客户端登录云堡垒机纳管资源，在不改变用户原来使用SSH客户端习惯的前提下，对授权云主机资源进行运维管理，并且支持系统的命令拦截策略和运维审计功能。
本小节以Xshell登录SSH协议类型资源为例，介绍如何通过SSH客户端登录资源进行运维，以及如何下载登录资源的配置文件。
约束限制
- 仅SSH、TELNET和Rlogin协议主机支持通过SSH客户端登录，其中Rlogin协议主机仅支持SSH客户端登录。
- 支持SSH协议客户端工具：SecureCRT 8.0及以上版本、Xshell 5及以上版本、PuTTY、MAC Terminal 2.0及以上版本。
前提条件
- 已获取“主机运维”模块管理权限。
- 已获取资源访问控制权限，即已被关联访问控制策略或访问授权工单已审批通过。
- 已在本地安装客户端工具。
- 资源主机网络连接正常，且资源账户登录帐号和密码无误。
操作步骤
1 打开本地Xshell客户端工具，选择“文件 > 新建”，新建用户会话。
2 配置会话用户连接。
方式一
a. 选择协议类型SSH，输入云堡垒机实例弹性IP地址，端口号配置为2222，单击“确认”。
配置会话属性
b. 连接到会话，输入云堡垒机用户名，单击“连接”。
连接会话
方式二
在新的空白会话窗口，执行登录命令：协议类型 用户登录名 @系统登录IP端口，例如执行ssh admin@10.10.10.10 2222。
方式三
在正在运行的Linux主机会话窗口，执行登录命令：协议类型 用户登录名 @系统登录IP -p端口，例如执行ssh admin@10.10.10.10 -p 2222。
3 云堡垒机用户身份验证。
选择密码登录，输入云堡垒机用户密码，单击“确定”。
选择公钥登录，在“浏览”中选择用户密钥，输入密码，单击“确定”。
登录验证成功后，再次登录时该用户在SSH客户端可以免密登录。
云堡垒机用户身份验证
4 登录到云堡垒机系统。
SSH客户端登录认证支持密码登录、手机短信、手机令牌和动态令牌方式。其中手机短信、手机令牌和动态令牌方式，需配置用户多因子认证，详情请参考3.4 配置多因子认证。
- 手机短信：本地密码方式登录后，选择“短信验证码”，输入手机短信验证码。
- 手机令牌：本地密码方式登录后，选择“手机令牌OTP”，输入手机令牌验证码。
- 动态令牌：本地密码方式登录后，选择“动态令牌OTP”，输入动态令牌验证码。
5 批量导入云堡垒机资源账户。
解压配置文件压缩包，打开“readme.txt”文件，并参考指导导入资源账户。
配置文件指导说明
6 登录资源账户。
选择需登录的资源账户，输入系统用户密码，登录资源账户进行运维操作。
下载登录配置
为在SSH客户端批量导入运维资源，用户需下载资源配置文件。
1 通过Web浏览器登录云堡垒机系统。
2 选择“运维 > 主机运维”，进入主机运维列表页面。
3 单击“登录配置下载”，弹出配置下载窗口。
4 勾选相应客户端的配置文件，单击“确定”下载配置文件到本地。
下载配置文件
通过FTP/SFTP/SCP客户端登录文件传输类资源
通过文件传输客户端登录云堡垒机纳管资源，在不改变用户原来使用客户端习惯的前提下，对授权云主机资源进行远程文件传输管理。用户在主机上执行的所有操作，被云堡垒机记录并生成审计数据。
本小节主要介绍如何获取客户端登录信息，并登录文件传输类资源。
约束限制
仅FTP、SFTP、SCP协议主机支持通过Web浏览器登录，且登录资源的客户端工具的版本要求如下：
| 协议主机 | 登录资源的客户端工具的版本要求 |
|---|---|
| SFTP协议 | Xftp 6及以上、WinSCP 5.14.4及以上、FlashFXP 5.4及以上 |
| FTP协议 | Xftp 6及以上、WinSCP 5.14.4及以上、FlashFXP 5.4及以上、FileZilla 3.46.3及以上 |
| SCP协议 | WinSCP 5.14.4及以上 |
前提条件
- 已获取“主机运维”模块管理权限。
- 已获取资源访问控制权限，即已被关联访问控制策略或访问授权工单已审批通过。
- 已在本地安装客户端工具。
- 资源主机网络连接正常，且资源账户登录帐号和密码无误。
操作步骤
1 获取登录信息。
登录云堡垒机系统
选择“运维 > 主机运维”，进入主机运维列表页面。
选择FTP/SFTP/SCP协议类型的主机，单击“登录”，弹出登录配置信息窗口。
获取登录配置信息
2 通过客户端工具登录。
打开本地SFTP、FTP或SCP客户端工具。
填写服务器地址、端口、用户名，输入登录密码。
3 支持使用API的登录方式登录FTP、SFTP或SCP协议类型的主机。
登录参数说明
| 参数 | 说明 |
|---|---|
| 登录IP | 配置信息的服务器地址，即云堡垒机登录IP地址。 |
| 登录端口 | 配置信息的端口，默认端口号2222。 |
| 登录用户名 | 配置信息的用户名，即“用户登录名@资源帐号名@主机地址”，例如admin@root@192.100.100.100。 |
| 登录密码 | 用户登录系统密码。 |
通过SSO单点客户端登录和运维数据库资源
通过SSO单点客户端调用本地数据库工具，登录和运维数据库资源，实现对数据库的运维审计。用户需先在本地安装SSO单点登录工具和数据库客户端工具，然后配置数据库客户端工具路径。
本小节主要介绍如何配置SSO单点客户端，以及如何通过SSO单点客户端登录数据库资源。
约束限制
- 仅专业版实例支持数据库运维操作审计。
- 仅支持MySQL、SQL Server、Oracle、DB2类型数据库的运维管理，暂不支持PostgreSQL协议类型数据库。
- 仅支持通过SsoDBSettings单点登录工具调用客户端。
- 仅支持调用部分数据库客户端，详情请参见下表。
支持数据库协议类型、版本和数据库客户端
| 数据库类型 | 版本 | 支持调用客户端 |
|---|---|---|
| MySQL | 5.5，5.6，5.7，8.0 | Navicat 11、12 MySQL Administrator 1.2.17 MySQL CMD |
| Microsoft SQL Server | 2017 | Navicat 11、12 SSMS 17.6 |
| Oracle | 10g，11g，12c | Toad for Oracle 11.0、12.1、12.8、13.2 Navicat 11、12 PL/SQL Developer 11.0.5.1790 |
| DB2 | DB2 Express-C | DB2 CMD命令行11.1.0 |
| PostgreSQL | 暂不支持 | - |
堡垒机支持的数据库及版本，需您自行前往产品官网搜索相关版本下载。
前提条件
- 已获取“主机运维”模块管理权限。
- 已获取资源访问控制权限，即已被关联访问控制策略或访问授权工单已审批通过。
- 已在本地安装客户端工具。
- 资源主机网络连接正常，且资源账户登录帐号和密码无误。
操作步骤
1 登录云堡垒机系统。
2 选择“运维 > 主机运维”，进入主机运维列表页面。
3 选择数据库协议类型的主机，单击“登录”，弹出客户端工具选择窗口。
首次登录数据库资源，弹出SsoDBSettings下载窗口，可下载SsoDBSettings工具。
选择客户端工具
4 选择本地已安装客户端工具，单击“确定”。
自动调用本地数据库客户端工具。
5 登录数据库资源进行操作。
配置SSO单点客户端
以Navicat客户端为例，示例配置客户端路径。
1 打开本地SsoDBSettings单点登录工具。
单点登录工具界面
2 在“Navicat路径”栏后，单击路径配置。
3 根据本地Navicat客户端安装的绝对路径，选中Navicat工具的exe文件后，单击“打开”。
查找本地工具绝对路径
4 返回SsoDBSettings单点登录工具配置界面，可查看已选择的Navicat客户端路径。
确认配置路径
5 单击“保存”，返回云堡垒机“主机运维”列表页面，即可登录数据库资源。
批量登录主机进行运维
通过Web浏览器支持批量登录主机，提供“文件传输”、“文件管理”和“预置命令”等功能。用户在主机上执行的所有操作，被云堡垒机记录并生成审计数据。
本小节主要介绍如何通过Web浏览器批量登录主机。
约束限制
- FTP、SFTP、SCP协议类型资源，不支持批量登录。
- 手动登录帐户和双人授权帐户，不支持批量登录。
- 批量登录的多运维会话窗口，不支持“协同分享”功能。
前提条件
- 已获取“主机运维”模块管理权限。
- 已获取资源访问控制权限，即已被关联访问控制策略或访问授权工单已审批通过。
操作步骤
1 登录云堡垒机系统
2 选择“运维 > 主机运维”，进入主机运维列表页面
3 勾选多个目标运维资源，单击“批量登录”，跳转到运维会话窗口。
批量登录会话窗口
4 切换资源会话窗口。
单击批量登录列表中资源名称，可将切换到目标会话窗口。
5 会话窗口操作说明，请分别参见如下说明。
- RDP/VNC协议类型主机会话窗口
- SSH/TELNET协议类型主机会话窗口
6 通过文件传输，可对云主机或主机网盘中文件进行上传或下载，详细说明请参见 文件传输。
7 通过文件管理，可对云主机或主机网盘中文件或文件夹进行管理，详细说明请参见通过Web浏览器登录资源进行运维。
文件传输
通过Web运维支持“文件传输”功能，在Web浏览器会话窗口上传/下载文件。不仅可实现本地与主机之间文件的传输，同时可实现不同主机资源之间文件的相互传输。CBH系统详细记录传输文件的全过程，可实现对文件上传/下载的审计。
“主机网盘”是为CBH用户定义的系统个人网盘，可作为不同主机资源间文件的“中转站”，暂存用户上传/下载的文件，且个人网盘中文件内容对其他用户不可见。
“主机网盘”与系统用户直接匹配，删除用户后，个人网盘中文件将被清空，个人网盘空间将被释放。
约束限制
- 目前仅SSH、RDP协议主机，支持通过Web运维上传/下载文件。
- Web运维不能通过执行 rz /sz命令等方式上传/下载文件，仅能通过“文件传输”操作上传/下载文件。
Linux主机资源支持在客户端执行命令方式传输文件，例如在SSH客户端执行rz /sz命令上传/下载文件。但该方式不能被CBH系统记录上传/下载的具体文件，不能达到对全程安全审计的目的。
- 支持下载一个或多个文件，不支持下载文件夹。
- 不支持断点续传，文件上传或下载过程请勿终止或暂停。
- 不支持传输大小超过1G的超大文件，建议分批次上传/下载文件，或10.1.4 通过FTP/SFTP/SCP客户端登录文件传输类资源。
前提条件
- 已获取主机资源文件上传/下载权限。
- 已获取主机资源运维的权限，能通过Web浏览器正常登录。
Linux主机中文件的上传/下载
Linux主机资源上传/下载文件不依赖个人网盘，可直接实现与本地的文件传输。个人网盘可“中转”来自其他主机资源的文件。
1 登录云堡垒机系统。
2 选择“运维 > 主机运维”，选择目标Linux主机资源。
3 单击“登录”，跳转到Linux主机资源运维界面。
4 单击“文件传输”，默认进入Linux主机文件列表。
5 上传文件到Linux主机。
单击上传图标，可选择“上传本地文件”、“上传本地文件夹”、“上传网盘文件（夹）”，可分别上传一个或多个来自本地或个人网盘的文件（夹）。
上传文件到Linux主机
6 下载Linux主机中文件。
选中一个或多个待下载文件。
单击下载图标，可选择“下载到本地”、“保存到网盘”，可分别下载一个或多个文件到本地或个人网盘。
下载Linux主机中文件
7 上传文件到个人网盘。
单击“云主机文件”，选择“主机网盘”，切换到个人网盘文件列表。
单击上传图标，可选择“上传本地文件”、“上传本地文件夹”，可上传一个或多个来自本地的文件或文件夹。
上传文件到个人网盘
8 下载个人网盘中文件。
选中一个或多个待下载文件。
单击下载图标，直接下载一个或多个文件到本地。
下载个人网盘中文件
Windows主机中文件的上传/下载
通过CBH运维Windows主机资源，个人网盘在Windows主机上的默认路径为NetDisk G盘，该磁盘即为当前用户的个人网盘。
Windows主机资源不能直接与本地进行文件传输，必须依赖于个人网盘的“中转”才能实现文件的传输。
1 登录云堡垒机系统。
2 选择“运维 > 主机运维”，选择目标Windows主机资源。
3 单击“登录”，跳转到Windows主机资源运维界面。
4 单击“文件传输”，默认进入个人网盘文件列表。
5 上传文件到Windows主机。
单击上传图标，可选择“上传本地文件”、“上传本地文件夹”，可上传一个或多个来自本地的文件或文件夹。
打开Windows主机的磁盘目录，查找G盘NetDisk。
打开NetDisk磁盘目录，鼠标右键复制目标文件（夹），并将其粘贴到Windows主机目标目录下，实现将文件上传到Windows主机。
6 下载Windows主机中文件。
打开Windows主机的磁盘目录，鼠标右键复制目标文件（夹）。
打开NetDisk磁盘目录，鼠标右键粘贴文件（夹）目录下，实现将Windows主机文件下载到个人网盘。
7 下载个人网盘中文件。
选中一个或多个待下载文件。
单击下载图标，直接下载一个或多个文件到本地。
协同分享
云堡垒机系统Web运维“协同分享”功能，支持通过分享URL，邀请系统其他用户共同查看同一会话，并且参与者在会话控制者批准的前提下可对会话进行操作，可应用于远程演示、对运维疑难问题“会诊”等场景。
约束限制
- 创建协同分享前，需确保系统与资源主机网络连接正常，否则受邀用户无法加入会话，且邀请人会话界面上报连接错误，提示“由于服务器长时间无响应，连接已断开，请检查您的网络并重试（Code：T_514）”。
- 邀请URL链接可复制发送给多个用户，拥有该资源账户策略权限的用户才能正常打开链接。
- 受邀用户需在链接有效期前或会话结束前才能有效加入会话。
前提条件
- 已获取主机资源运维的权限。
- 已通过Web浏览器正常登录。
操作步骤
1 登录云堡垒机系统。
2 选择“运维 > 主机运维”，进入主机运维列表页面。
3 选择待运维主机资源，单击“登录”，登录会话进行操作。
4 单击会话框右侧“协同分享”，邀请用户参与会话，一同进行操作。
5 单击“邀请好友进入此会话”，获取邀请链接。复制链接，发送给拥有云堡垒机资源账户权限的用户。
6 受邀用户登录云堡垒机，打开邀请链接，查看邀请信息。
受邀用户查看会话协同邀请信息
7 受邀用户单击“立即进入”，加入会话操作。
- 单击“申请控制权”，向当前控制者发送控制申请，申请控制会话的权限。
- 单击“释放权限”或“退出会话”，会话权限将返给邀请人控制。
- 单击“退出会话”，用户退出当前会话。当邀请链接未过期且邀请人未结束会话时，用户可再次加入会话。
受邀用户协同会话界面
8 邀请人或当前控制者可对会话进行管理操作。
- 邀请人单击“取消分享”或退出会话，将结束协同分享会话，受邀用户将被强制退出会话，且不能通过链接再次进入。
- 当受邀用户申请会话控制权限时，会话控制者可单击“同意”或“拒绝”，转交会话控制权限。
开启RDP强制登录
当Windows远程桌面连接数超过最大限值时，用户将无法登录。云堡垒机通过开启“admin console”，在远程桌面连接用户超限时，用户可挤掉已登录的用户，强制登录。
本小节主要介绍如何开启admin console配置。
约束限制
仅对RDP协议类型主机生效。
前提条件
已获取“主机运维”模块管理权限。
操作步骤
1 登录云堡垒机系统
2 选择“运维 > 主机运维”，进入主机运维列表页面。
3 单击“Web运维配置”，弹出Web运维配置窗口。
4 勾选“admin console”连接模式。
5 单击“确认”，返回主机运维列表。
配置成功后，用户登录RDP协议类型主机时，若连接数已超过最大限值，会挤掉已登录用户，强制登录。
