日志类型 日志内容 历史会话 运维会话视频：无需设置，全程录屏记录运维会话操作，可在线播放或下载操作视频。 运维会话详情：用户运维会话详情，可在线查看或导出Excel文件。详情内容包括 资源会话信息 、 系统会话信息 、 运维记录 、 文件传输 、 协同会话 的详细操作记录。 系统日志 以折线图的形式，从多方面呈现用户运维资源随时间变化的趋势，并可生成运维资源综合分析报告。 主要涵盖内容有“运维时间分布”、“资源访问次数”、“会话时长”、“来源IP访问数”、“会话协同”、“双人授权”、“命令拦截”、“字符命令数”和“传输文件数”。 运维报表 系统登录日志：用户登录系统的详细记录，可在线查看或导出Excel文件。 l 系统操作日志：用户系统操作的详细记录，可在线查看或导出Excel文件。 系统报表 以柱状图的形式，从多方面统计用户登录系统和系统操作次数，并可生成系统管理综合分析报告。 主要涵盖内容有“用户控制”、“用户与资源操作”、“用户源IP数”、“用户登录方式”、“异常登录”、“会话控制”和“用户状态”。

前提条件 已获取“命令控制策略”模块操作权限。 新建命令控制策略 1 登录云堡垒机系统。 2 选择“策略 > 命令控制策略 > 策略列表”，进入命令控制策略列表页面。 3 单击“新建”，弹出新建策略窗口。 选择一个策略，单击“更多 > 插入”，亦可新建命令控制策略。配置完成后，在已创建的策略前新建一个策略。 4 配置策略基本信息。 策略基本信息参数说明 参数 说明 策略名称 自定义的命令控制策略名称，系统内“策略名称”不能重复。 执行动作 选择策略控制用户的执行动作。 包括“断开连接”、“拒绝执行”、“动态授权”、“允许执行”。 断开连接：当会话执行策略生效的命令时，直接断开会话。 拒绝执行：当会话执行策略生效的命令时，直接拒绝命令的执行。 动态授权：当会话执行策略生效的命令时，直接拒绝命令的执行，需要向管理员提交审批，管理员通过之后才能执行。 允许执行：当会话执行策略生效的命令时，允许执行。 有效期 策略生效时间和策略的失效时间。 时段限制 限制策略的生效时间段。 5 单击“下一步”，关联命令或命令集。 关联命令：可设置多个命令，每行输入一条命令。详细设置说明请参见4.7.2.4 自定义关联命令。 关联命令集：关联已创建的命令集。详细命令集说明请参见4.7.2.3 管理命令集。 6 单击“下一步”，关联用户或用户组。 当用户组关联策略后，新用户加入到用户组中会自动继承用户组的策略权限。 关联用户 7 关联资源账户或帐户组，选择已创建资源账户或帐户组。 当帐户组关联策略后，新帐户加入到帐户组中会自动赋予帐户组的策略权限。 关联资源账户 8 单击“确定”，返回策略列表页面，查看新建的命令控制策略。 用户在运维过程中，触发策略规则，即会被限制相关操作。 “关联用户”和“关联用户组”中用户需提交命令授权工单权限，即已配置拥有命令授权工单权限的“角色”。否则用户登录系统后无法查看命令授权工单模块，不能提交工单获取权限。

后续管理 若需修改认证信息、关闭认证等，可单击“编辑”，在弹出的RADIUS配置窗口重新配置。 配置Azure AD远程认证 云堡垒机与Azure AD平台对接，认证登录系统的用户身份。 本小节主要介绍如何配置Azure AD认证模式。 前提条件 用户已获取“系统”模块管理权限。 已在Azure AD创建用户和添加企业应用程序，并获取Azure AD平台配置的相关信息。 操作步骤 1. 登录云堡垒机系统。 2. 选择“系统 > 系统配置 > 认证配置”，进入远程认证配置管理页面。 3. 在“Azure AD认证配置”区域，单击“编辑”，弹出Azure AD认证配置窗口。 Azure AD域认证参数说明 参数 说明 :: 状态 选择开启或关闭Azure AD远程认证，默认开启。 关闭表示开启Azure AD认证。在配置信息有效情况下，登录系统时呈现Azure AD认证入口。 开启表示关闭Azure AD认证。 标识符（实体ID） 输入企业名称或URL。 回复URL 自动填写，默认为返回当前云堡垒机的跳转链接。 当云堡垒机IP或域名变更，需同时修改此链接中IP或域名。 应用联合元数据URL 输入在Microsoft Azure中配置SAML签名证书后生成的应用联合元数据URL。 登录URL 输入在Microsoft Azure中配置SAML单一登录后生成的登录URL。 Azure AD标识符 输入在Microsoft Azure中配置SAML单一登录后生成的Azure AD标识符。 4. 单击“确认”，提交配置数据验证可达后，返回Azure AD认证服务器表中，即可查看和管理的Azure AD认证配置信息。

本小节主要介绍纳管资源后，如何添加资源账户。 一个主机或应用可能有多个登录主机或应用的帐户，每个被纳管的主机帐户或应用帐户对应一个资源账户。登录被纳管资源账户时，自动登录无需输入帐号和密码。 当添加主机或应用未纳管帐户和密码时，默认生成一个“Empty”帐户，登录“Empty”资源账户时需手动输入帐户名和相应密码。 约束限制 Edge浏览器应用资源不支持配置自动登录资源账户。 若资源安装了AD域服务，添加的资源账户为 域名 资源账户名 ，例如adadministrator。 前提条件 已获取“资源账户”模块操作权限。 已添加主机或应用资源。 新建单个资源账户 1. 登录云堡垒机系统。 2. 选择“资源 > 资源账户”，进入资源账户列表页面。 3. 单击“新建”，弹出资源账户编辑窗口，配置资源账户的属性。 新建资源账户参数说明 参数 说明 :: 关联资源 选择已添加的主机或应用资源。 登录方式 选择登录方式，可选择“手动登录”、“自动登录”、“提权登录”。 选择“自动登录”，“资源账户”和“密码”为必填项。 选择“手动登录”，可选配置“资源账户”。 仅针对SSH协议类型主机，可选择“提权登录”。选择后，“切换自”和“切换命令”为必填项，可将原资源账户提权为特权帐户。 资源账户 输入资源的帐户名称。创建后不可修改，且系统内“资源账户”名唯一，不能重复。 勾选“特权帐户”，即该帐户可标识为管理资源的特权帐户，拥有改密权限。 密码 资源账户对应的密码。 默认勾选“验证”，配置完成确定后，自动验证资源账户的状态。 验证帐户通过后，直接保存资源相关信息。 验证帐户不通过，根据提示修改配置。 提示验证帐户超时，请修改资源的相关配置信息。 提示帐户密码错误，请返回配置窗口，确认并修改资源账户密码。 SSH Key 针对SSH协议类型主机，可配置登录SSH Key验证。 配置后优先使用SSH Key登录SSH主机资源。 Passphrase 针对SSH协议类型主机，SSH Key对应私钥序列。 切换自 针对SSH协议类型主机，选择已配置SSH主机资源账户，将该帐户提权为特权帐户。 切换命令 针对SSH协议类型主机，配置相应切换命令，例如su root。 帐户描述 对资源账户的简要描述。 4. 单击“确定”，返回资源账户列表页面，看到新建的帐户。

参数 说明 用户组 自定义组名称，系统唯一。 用户组描述 （可选）自定义对用户组的简要描述。

后续管理 运维用户提交工单后，相关管理员即可在“消息中心”收到提醒，查看详细工单内容。并可在工单审批页面收到工单，可对工单进行批准或驳回操作。 相关管理员审批工单通过后，运维用户权限立刻生效，即可在授权范围和时间段拥有操作权限。 相关管理员撤销工单权限后，运维用户权限立刻失效，操作命令会再次被拦截。 审批系统工单 运维用户提交工单申请或者触发命令工单后，工单流转到系统指定的审批人处。审批人可在“消息中心”收到工单审批提醒，此时可在工单审批列表中查看到待审批的工单。 本小节主要介绍如何管理已提交审批工单，包括查看工单详情、审批工单、驳回工单、撤销工单授权等。 前提条件 已获取“工单审批”模块管理权限。 操作步骤 1 登录云堡垒机系统。 2 选择“工单 > 工单审批”，进入审批工单列表页面。 审批工单列表 3 查看工单详情。 单击目标工单“操作”列的“管理”，进入工单详情页面，即可查看工单详细信息，包括工单基本信息、资源账户列表、审批人列表。 查看工单详细信息 4 批准工单。 单击目标工单“操作”列的“批准”，即可通过该工单审批。 勾选多个工单，单击列表左下角批准，即可批量通过 5 驳回工单。 单击目标工单“操作”列的“驳回”，即可取消申请的工单。 6 撤销工单。 工单被批准后，单击目标工单“操作”列的“撤销”，即可收回资源的授权。 系统工单应用示例

参数 说明 库 可选项，支持正则表达式匹配库名。 缺省状态下表示将会拦截所有使用该命令的sql语句。 表 可选项，支持正则表达式匹配表名。 缺省状态下表示将会拦截所有使用该命令的sql语句。 命令 必选项，必须选择一条预置命令。 目前支持选择29种命令，同时可选择多条命令。

参数 说明 系统类型 自定义系统类型名称。 改密参数 修改帐户密码的执行命令和成功返回值。最多添加16条。 password表示旧密码； newpassword表示新密码； changeuser表示需要改密的资源账户； 不支持的字符 ( )。 提权帐户改密参数 获取帐户修改密码权限的执行命令和成功返回值。最多添加16条。 password表示旧密码； newpassword表示新密码； 不支持的字符 ( )。 描述 系统类型简要介绍。

在线会话回放 因登出时间和最后操作时间不同，视频文件的总时长与回放可播放时长可能不一致。 “总时长”是指从登录资源到登出资源的时间段。 “可播放时长”是指从登录资源到最后一次会话操作的时间段。 1 登录云堡垒机系统。 2 选择“审计 > 历史会话”，进入历史会话列表页面。 3 单击目标历史会话“操作”列的“播放”，跳转到历史会话窗口。 历史会话回放 4 回放会话操作全过程。 在会话窗口可查看运维操作的总会话时长，并可拖动播放进度。 在会话窗口右侧，可查看运维操作指令记录、传输文件记录、会话协同参与用户、加入实时会话监控用户等信息。 5 跳过空闲播放。 开启“跳过空闲”，表示播放历史会话时，将跳过无运维操作的会话回放。 默认为关闭。 6 多倍速率播放。 单击“正常速度”，可配置会话多倍速率播放。可分别选择正常速度、2X速度、4X速度、8X速度、16X速度。 7 会话截屏。 单击，可立即截取播放的会话窗口，生成本地PNG格式快照。 8 会话播放列表。 单击，展开会话窗口右侧的播放列表，可选择播放历史会话。 在搜索框输入登录名或资源账户名，搜索目标历史会话。 单击目标会话，即可立即播放。 历史会话播放列表

参数 说明 展示粒度 选择运维报表趋势图呈现粒度。 可以选择“按小时”、“按天”、“按周”、“按月”。 时间 选择运维报表统计数据时间范围。 需同时选择起始时间和结束时间。 最长可选择连续的180天。 报表类型 选择运维报表需呈现统计数据类型。 文件格式 选择报表的文件格式，仅可选择一种格式。 默认导出DOC文件格式。 可选择PDF、DOC、XLS、HTML格式。

前提条件 已获取“系统登录日志”或“系统操作日志”模块管理权限。 导出系统登录日志。 导出系统操作日志 1 登录云堡垒机系统。 2 选择“审计 > 系统日志”，进入系统日志列表页面。 3 选择“系统操作日志”页签，进入系统操作日志列表页面。 4 （可选）勾选一个或多个系统操作日志。 若未勾选日志，默认导出全量历史操作日志。 5 单击右上角“导出”，即可立即下载的CSV格式的文件到本地。

前提条件 已获取“实时会话”模块管理权限。 有正在进行中运维会话。 操作步骤 1 登录云堡垒机系统。 2 选择“审计 > 实时会话”，进入实时会话列表页面。 3 单击目标实时会话“操作”列的“监控”，跳转到运维人员运维会话窗口。 4 可查看运维人员实时运维操作，并可分别在会话窗口栏查看历史运维记录、文件传输记录和协同会话参与用户记录。 中断实时会话 运维人员通过云堡垒机登录资源后，审计管理员将会实时收到会话记录。当监控到有违规或高危运维操作时，可通过实时会话阻断会话，阻止运维人员的进一步操作。 本小节主要介绍如何中断实时会话。 前提条件 已获取“实时会话”模块管理权限。 有正在进行中运维会话。 操作步骤 1 登录云堡垒机系统。 2 选择“审计 > 实时会话”，进入实时会话列表页面。 实时会话列表 3 单击目标实时会话“操作”列的“中断”，强制断开会话连接。 中断会话后，运维人员会话页面将被立即断开，并收到会话断开连接提示。 运维会话断开连接

管理运维任务执行日志 运维任务执行完成后生成执行日志，执行日志中可查看任务执行结果，包括执行结果信息、执行详情等。 本小节主要介绍如何管理执行日志，包括查看执行日志、下载执行日志、删除日志等。 前提条件 已获取“运维任务”模块管理权限。 查看日志详情 1 登录云堡垒机系统。 2 选择“运维 > 运维任务 > 执行日志”，进入任务日志列表页面。 3 查询执行日志。 快速查询：在搜索框中输入关键字，根据运维任务名称快速查询任务。 4 选择目标任务，在相应“操作”列单击“详情”，进入日志详情页面。 在“基本信息”区域，可查看运维任务执行基本信息和简要结果。 在“执行详情”区域，可查看和导出运维任务执行详细结果。 下载执行日志 1 登录云堡垒机系统。 2 选择“运维 > 运维任务 > 执行日志”，进入任务日志列表页面。 3 选择目标任务，在相应“操作”列单击“导出”，立即下载执行日志CSV格式文件保存到本地。 4 单击“查看”，进入“任务详情”页面。 可查看运维任务执行基本信息和简要结果，并可在“执行详情”区域，查看和导出运维任务执行详细结果。 5 单击“导出”，可下载当前执行日志CSV格式文件保存到本地。 6 单击“删除”，可删除该执行日志。 同时勾选多条日志记录，单击列表下方的“删除”，可以批量删除多个执行日志。 删除执行日志 1 登录云堡垒机系统。 2 选择“运维 > 运维任务 > 执行日志”，进入任务日志列表页面。 3 选择目标任务，在相应“操作”列单击“删除”，即可删除该执行日志。 4 同时勾选多条执行日志，单击列表下方的“删除”，可以批量删除多个执行日志。

此小节介绍桌面看板。 系统桌面看板分为统计控制板、活动用户、待审批工单、主机类型统计、应用类型统计、当前活动会话、今日新增会话、登录次数统计、运维次数统计、运维用户Top5、运维资源Top5、系统状态、系统信息、最近登录主机、最近登录应用、可登录主机、可登录应用等共17个信息模块，呈现云堡垒机系统状态、用户活动统计、主机/应用运维统计等信息。 不同用户角色拥有不同模块查看权限，本小节以系统管理员admin为例，介绍系统桌面看板的含义。 操作步骤 1. 登录云堡垒机系统。 2. 在左侧导航树中，选择“桌面”，进入系统桌面看板页面。 统计控制板 呈现当前用户可管理用户、主机、应用、应用服务器的统计数据，以及未处理告警消息的数量。 统计控制板 用户角色需分别获取“用户管理”、“主机管理”、“应用发布”、“应用服务器”模块管理权限，以及开启角色管理权限，即可查看系统控制板统计信息。当角色权限只有其中一个时，默认不显示统计控制板。 用户：呈现当前用户可管理用户数。单击用户模块，跳转到用户列表页面，可管理当前用户列表。 主机：呈现当前用户可管理主机资源数。单击主机模块，跳转到主机列表页面，可管理当前主机资源列表。 应用：呈现当前用户可管理应用发布资源数。单击应用模块，跳转到应用列表页面，可管理当前应用资源列表。 应用服务器：呈现当前用户可管理应用服务器数。单击应用服务器模块，跳转到应用服务器列表页面，可管理当前应用服务器列表。 告警：呈现当前用户未处理告警消息数。单击告警模块，跳转到消息中心页面，可管理当前消息列表。

后续管理 帐户同步策略创建完成后，可在策略列表页面，管理已创建策略，包括管理关联资源、删除策略、启停策略、立即执行策略等。 若需补充关联资源，可单击“关联”，快速关联资源账户、帐户组。 若需删除策略，可选择目标策略，单击“删除”，立即删除策略。 若需禁用策略同步帐户，可勾选一个或多个“已启用”状态的策略，单击“禁用”，策略状态变更为“已禁用”，策略立即失效。 若需立即同步主机帐户，可单击“立即执行”，立即执行帐户同步任务。 查询和修改帐户同步策略 若帐户同步策略有变更，例如需同步方式变化等。可查看和修改已创建的策略配置，包括修改策略基本信息、修改同步方式、修改同步日期、修改同步周期、修改关联资源账户或帐户组等。 修改策略配置，且策略状态为“已启用”时，策略规则才生效。 前提条件 已获取“帐户同步策略”模块操作权限。 查看和修改策略配置 1 登录云堡垒机系统。 2 选择“策略 > 帐户同步策略 > 策略列表”，进入帐户同步策略列表页面。 3 查询账户同步策略。 快速查询：在搜索框中输入关键字，根据策略名称、资源名称、执行帐户等快速查询策略。 高级搜索：在相应属性搜索框中分别关键字，精确查询策略。 4 单击目标策略名称，或者单击“管理”，进入策略详情页面。 5 查看和修改策略基本信息。 在“基本信息”区域，单击“编辑”，弹出基本信息编辑窗口，即可修改策略的基本信息。 可修改信息包括“策略名称”、“执行方式”、“同步动作”等。 “部门”不可修改。 6 查看和修改策略关联的资源账户。 在“执行帐户”区域，单击“编辑”，弹出关联资源账户窗口，可立即添加或移除关联的资源账户。 在相应资源账户行，单击“移除”，可立即取消对该资源账户的同步。 查看关联资源账户 7 查看和修改策略关联的帐户组。 在“执行帐户组”区域，单击“编辑”，弹出关联帐户组窗口，可立即添加或移除关联的帐户组。 在相应帐户组行，单击“移除”，可立即取消对该组中资源账户的同步。

登录方式 登录说明 登录方式配置说明 密码登录 输入云堡垒机系统的用户密码。 默认登录方式。 “AD域认证”、“RADIUS认证”、“LDAP认证”或“Azure AD认证”用户登录密码为远程服务器用户密码。 公钥登录 输入用于验证登录的私钥和私钥密码，登录验证成功后，再次登录时，该用户在SSH客户端可以免密登录。 用户需要先生成用于验证登录的公私钥对，并在云堡垒机系统内的“个人中心”处将SSH公钥添加到云堡垒机系统中。 手机短信 “密码登录”或“公钥登录”验证成功后，选择“短信验证码”方式，输入手机短信验证码。 需已为用户帐号配置可用手机号码。 手机令牌 “密码登录”或“公钥登录”验证成功后，选择“手机令牌OTP”方式，输入手机令牌验证码。 说明 需确保用户登录系统时间与手机时间一致，精确到秒，否则会提示验证码错误。 需用户先绑定手机令牌，再由管理员配置多因子认证，否则用户无法登录系统。 动态令牌 “密码登录”或“公钥登录”验证成功后，选择“动态令牌OTP”方式，输入动态令牌验证码。 需已为用户签发动态令牌。

手机令牌 通过“手机令牌”方式同时验证 登录名 、密码和 手机动态码 ，认证登录用户身份。 在使用手机令牌登录前，用户需通过密码登录系统，配置手机令牌绑定方式，并绑定手机令牌。再由管理员配置用户登录认证方式，选择“手机令牌”多因子认证。 手机短信 通过“手机短信”方式同时验证登录名 、密码和 短信验证码 ，认证登录用户身份。 用户帐号需先配置可使用手机号码，再由管理员配置用户登录认证方式，选择“手机短信”多因子认证。 USBKey 通过“USBKey”方式验证插入的USBKey和 PIN码 ，认证登录用户身份。 需先申购USBKey，签权绑定，再使用USBKey进行身份认证。 动态令牌 通过“动态令牌”方式同时验证登录名 、密码和 动态令牌 ，认证登录用户身份。 需先申购动态令牌，签权绑定，再使用动态令牌进行身份认证。 AD域认证 管理员配置AD系统认证方式，创建AD域认证用户或同步AD域服务器用户。使用“密码登录”方式验证AD域用户账户和密码时，通过Windows AD域服务器对系统用户进行身份认证。 基本原理：通过AD域系统终端代理使用第三方库执行认证业务。 IP：AD域服务器的IP地址。 端口：根据实际情选择，默认选择389端口。 域：AD域的域名。 RADIUS认证 管理员配置RADIUS系统认证方式，并创建RADIUS认证用户。使用“密码登录”验证RADIUS用户账户和密码时，通过RADIUS协议，由第三方认证服务器对系统用户进行身份认证。 基本原理：通过远程网络接入设备的 用户 ，与包含用户认证和配置信息的服务器之间，采用用户服务器模式交换信息标准，执行认证业务。 IP：RADIUS服务器的IP地址。 端口：根据实际情选择，默认选择1812端口。 认证共享密钥：RADIUS的认证密码。 测试：用RADIUS的帐号密码做测试。

本小节主要介绍安装Linux应用服务器。 基础环境要求 系统要求：CentOS release 7.9最小安装系统。 网络要求：服务器需要有公网访问权限（绑定弹性EIP）。 防火墙要求：开放2376（docker服务）端口和3500040000端口。 前提条件 已获取Linux服务器root帐号密码。 操作步骤 1 使用root账号登录Linux服务器。 2 在Linux服务器中，下载Linux环境apppublisherx8664xxx.tar.gz（xxx为版本号）压缩包。 3 在Linux服务器中，执行以下命令，将apppublisherx8664xxx.tar.gz（xxx为版本号）压缩包进行解压。 tar xvf apppublisher.tar.gz cd apppublisher 4 环境之前是否已安装过firefox应用发布服务器 是，执行以下命令，把之前安装的firefox docker镜像删除。 docker rmi 127.0.0.1:5000/psmfirefox:0.2 删除后，继续执行步骤5。 否，执行步骤5。 5 执行以下命令，部署脚本。 /bin/bash install.sh 6 执行以下命令，检查服务状态。 active (running)表示应用发布服务器安装成功。 7 创建share目录（仅针对堡垒机V3.3.26.0版本）。 mkdir /opt/autorun/share 8 （可选）重启应用发布服务器。

参数 说明 执行命令 输入针对主机资源需执行的命令。 执行帐户 “选择”已创建的SSH协议类型资源账户或帐户组。 “重置”已选择的资源账户或帐户组。 说明 每个资源的执行帐户最多一个。 更多选项 （可选）用户对资源账户执行任务权限不够时，需勾选上“提权执行”，用户需在该主机资源的Sudoers文件下执行任务。

参数 说明 申请控制权 可以向会话邀请者发申请控制权，邀请者同意后，可以操作此会话。 退出会话 退出此会话。

操作步骤 1 登录云堡垒机系统。 2 选择“运维 > 脚本管理 ”，进入脚本列表页面。 3 选择目标脚本，在相应“操作”列单击“下载”，即可下载脚本文件保存到本地。 删除脚本 本小节主要介绍如何删除线上脚本，管理脚本列表。 前提条件 已获取“脚本管理”模块管理权限。 操作步骤 1 登录云堡垒机系统。 2 选择“运维 > 脚本管理 ”，进入脚本列表页面。 3 单个删除。 选择目标脚本，在相应“操作”列单击“删除”，弹出删除确认窗口。 单击“确认”，即可删除目标脚本。 4 批量删除。 同时勾选多个脚本，单击列表下方的“删除”，即可批量删除多个脚本。

本节为您介绍云迁移服务CMS服务韧性相关内容。 CMS架构设计采用多组件服务保障及分层架构提供高可用服务。 CMS服务负载使用容器化部署，可灵活调整pod数快速扩缩容；工作负载进行pod级容灾，在部分pod损坏情况下保持服务正常运行。 Redis工作负载对迁移任务的数据进行缓存交互与读写，并对负载进行集群部署提供冗余，应对迁移任务压力峰值波动。 MySQL工作负载采用主备架构，在主服务器宕机或损坏时，保证迁移数据不丢失。 CMS支持断点续传，在迁移过程中出现断网或者迁移出错等故障，故障修复后可支持在之前的进度上继续迁移、同步。

删除帐户组 云堡垒机新建帐户组后，支持删除帐户组。删除帐户组后，通过帐户组授权的资源权限将失效。 前提条件 已获取“资源账户”模块操作权限。 删除帐户组 1 登录云堡垒机系统。 2 选择“资源 > 帐户组”，进入帐户组列表页面。 3 单击帐户组“操作”列的“删除”，即可删除该帐户组。 4 同时勾选多个帐户组，单击列表下方的“删除”，可批量删除多个帐户组。 查询和修改帐户组信息 若帐户组信息有变更需求，可查看和修改帐户组信息，包括查看帐户组基本信息、查看帐户组成员、修改帐户组基本信息、添加成员、移除组成员等。 约束限制 下级部门拥有“资源账户”模块管理权限的用户，查看帐户组详情时，只能查看到帐户组内上级部门资源账户列表，不能查看上级部门资源账户的详情信息。 下级部门拥有“资源账户”模块管理权限的用户，将当前帐户组中的上级部门资源账户移除后，不能再添加移除的上级部门资源账户。 前提条件 已获取“资源账户”模块操作权限。 操作步骤 1 登录云堡垒机系统。 2 选择“资源 > 帐户组”，进入帐户组列表页面。 3 查询帐户组。在搜索框中输入关键字，根据帐户组名称快速查询。 4 单击帐户组名称，或者单击“管理”，进入帐户组详情页面。 5 在“基本信息”区域，可查看帐户组基本信息。 单击“编辑”，弹出基本信息配置窗口，即可修改帐户组名称和简要描述。 6 在“帐户组成员”区域，可查看帐户组所有成员信息。 单击“添加”，弹出资源账户添加窗口，可添加或移除资源账户。 单击资源账户行的“移除出组”，可立即将资源账户移除出组。

接口描述 查询Postgresql实例IP白名单。 请求方法 GET URI /v1/whitelist/query 请求参数 名称 位置 类型 必选 说明 prodInstId query Long 是 实例id 响应参数 名称 类型 说明 message String 消息提示 statusCode Integer 状态码 returnObj List IP白名单列表 示例 请求示例 /v1/whiteList/queryIPWhiteList?prodInstId15 响应示例 { "message": "SUCCESS", "opMessage": "", "returnObj": [ "127.0.0.1", "192.168.174.1" ], "statusCode": 800 } 错误码 访问ErrorCodes说明文档查看更多错误码。

参数 说明 部门管理员 部门的运维管理员，主要负责云堡垒机系统的管理。除用户管理和角色管理模块之外，部门管理员拥有其他全部模块的配置权限。 策略管理员 用户权限策略管理员，负责主机运维的权限策略管理。主要负责策略权限的配置，拥有用户组管理、资源组管理和访问策略管理等模块的配置权限。 审计管理员 运维结果审计管理员，查询管理系统审计数据。主要负责查阅和管理系统的审计数据，拥有实时会话、历史会话和系统日志等模块的配置权限。 运维员 访问系统的普通用户和操作人员。主要负责资源的运维，拥有主机运维、应用运维和工单授权管理的权限。

此小节介绍云堡垒机的系统部门。 “部门”是用于划分组织结构，标识用户和资源的组织。系统默认有一个部门“总部”，仅可在“总部”基础上创建部门分支，且“总部”不可删除。根据部门划分用户组织结构后，下级部门用户不能查看上级部门信息，包括上级部门组织结构、用户、主机资源、应用资源、应用发布服务器、资源账户，以及上级部门配置的策略信息和运维审计数据。 不同部门的用户，仅同部门和上级部门管理员可管理用户。 仅系统管理员admin或拥有“部门”模块权限的用户，可管理系统部门组织结构，包括新建部门、编辑部门、删除部门、查询部门用户和查询部门资源等。 新建部门 云堡垒机默认“总部”为系统最上级部门，仅可在“总部”基础上创建部门分支。 前提条件 已获取“部门”模块操作权限。 操作步骤 1 登录云堡垒机系统。 2 在左侧导航树中，选择“部门”，进入部门管理页面。 3 单击页面右上角的“新建”，弹出“新建部门”窗口。 4 选择“上级部门”，输入待新建的“部门名称”，并根据需要输入简要“部门描述”。 说明 系统内自定义的“部门名称”不能重复； 上级部门仅能在已有部门目录树中选择。 5 单击“确定”，返回部门管理页面，查看新建的部门。

本小节主要介绍如何在任务中心查看任务内容。 任务中心是系统执行任务接收状态提示管理中心。 任务类型：导入用户、导入主机、导入云主机、导入应用、导入应用服务器、导入帐户、帐户改密、AD域同步、系统维护（升级和还原）、生成视频、帐户同步、帐户验证、配置备份、自动运维、导入动态令牌、安装Agent。 任务状态共有3种，分别包括“进行中”、“已完成”、“已停止”。 操作步骤 1. 登录云堡垒机系统。 2. 单击右上角，展开任务中心小窗口，可查看最新三条“执行中”任务。 3. 单击“查看更多”，进入任务中心列表页面。 4. 查询任务。在搜索框中输入关键字，根据任务标题内容快速查询任务。 5. 查看任务列表。在任务列表可以查看到正在进行的任务、已完成的任务和被停止的任务。 6. 查看任务详情。 1. 单击目标任务名称，进入任务详情页面。 2. 可查看任务基本信息和任务执行结果。

修改基本信息 1. 登录云堡垒机系统。 2. 选择右上角用户名，单击“个人中心”，进入个人中心管理页面 3. 单击“编辑”，弹出基本信息修改窗口。 4. 输入用户“姓名”、“手机”或“邮箱”。 5. 单击“确定”，返回个人基本信息页面。修改后用户姓名、手机号码、邮箱地址立即生效。

USBKey登录 使用动态令牌登录 1 选择“动态令牌”方式。 2 依次输入用户登录名、帐户登录密码。 3 在已签发硬件令牌上获取动态口令，输入6位OTP口令。 4 单击“登录”，验证通过后即可登录系统。 Azure AD用户登录 1 单击“使用Azure AD登录”，跳转到Microsoft登录页面。 2 按步骤依次输入用户登录名和密码。 用户登录名需加邮箱后缀，例如zhang@example.com。 3 单击“登录”，验证通过后即可登录系统。

变更规格注意事项 软件版本要求 变更规格到 专业版 ，系统软件版本需在V3.2.16.0及以上，否则变更规格后的专业版功能不能生效。 系统数据备份与还原 变更规格前请务必备份系统重要数据，以免因变更规格失败而导致系统数据丢失。 变更规格后请根据实际需求将备份数据重新载入系统，还原系统配置。 变更规格时间 整个变更规格过程包括变更规格前准备、后台变更规格、变更规格后验证，共需60min左右。后台变更规格全程需30min左右，期间CBH系统需要关闭，会导致业务中断。 为了减少变更规格对系统运行的影响，请尽量选择在业务量较低时进行变更规格操作。

此小节介绍变更堡垒机规格准备事项。 确认变更规格前系统环境 在变更规格前，需确认并记录当前系统版本信息和授权规格，包括“版本号”、“设备系统”、“授权资源数”和“授权资源并发连接数”。 步骤 1 登录云堡垒机系统。 步骤 2 确认和记录系统版本。 选择“系统 > 关于系统”，查看系统版本信息。 记录“版本号”和“设备系统”。 说明 “设备系统”为V3.2.16.0及以上，才能变更规格系统到专业版 ，否则请先升级系统版本。 步骤 3 确认和记录授权信息。 1. 选择“系统 > 系统维护 > 授权许可”，查看当前授权规格。 2. 记录“授权资源数”和“授权资源并发连接数”。 备份系统数据 为避免因变更规格失败而导致系统数据丢失，变更规格前请务必备份重要系统数据，包括系统配置、资源账户、审计日志等重要数据。 备份系统配置 通过备份和还原系统配置数据，可复用变更规格前系统配置数据。 系统配置文件包括部门、用户、资源、策略、工单、运维、审计和系统模块的全部配置数据。 步骤 1 登录云堡垒机系统。 步骤 2 选择“系统 > 系统维护 > 配置备份与还原”。 步骤 3 单击“新建”创建备份，备份系统配置数据。 步骤 4 单击“下载”，导出系统配置文件保存于本地。

创建方式 说明 新建单个用户 单个用户仅能逐一创建，适用于创建单个管理员用户。 Excel文件批量导入用户 按照Excel模板要求配置用户信息，再导入系统。批量添加用户，适用于批量创建运维用户。 同步AD域用户 同步AD域服务器的用户。同步成功后，使用AD域用户帐号和密码登录CBH系统，AD域服务器同时提供认证服务。