验证系统配置

变更规格完成后，系统管理员admin需逐个选择CBH系统导航树中的以下节点，验证 变更规格后系统配置信息是否正确。

待验证系统配置信息，包括部门、用户、资源、策略、工单、审计、运维和系统配置

一级节 点

二级或三级 节点

验证内容

系统 安全配置 验证系统登录安全配置信息，包括用户锁定配置、策略密 码配置、Web登录配置、SSH客户端登录配置。

外发配置 验证邮件和短信网关的配置信息。

认证配置 验证AD域、Radius、LDAP认证等配置信息。

工单配置 验证工单基本模式、审批流程等配置信息。

告警配置 验证告警方式、告警等级等配置信息。

存储配置 验证自动删除功能的配置信息。

日志备份 验证远程备份至Syslog服务器、远程备份至FTP/SFTP服务 器的配置信息。

配置备份与 还原

验证自动备份配置信息。

2 数据库运维高危操作的复核审批

云堡垒机专业版支持通过执行命令运维数据库，包括数据删除、修改、查看等运维操 作。为确保数据库敏感信息的安全，避免关键信息的丢失和泄露，本文针对运维用户 访问和运维数据库关键信息，详细介绍了如何设置数据库高危操作的复核审批，以及 如何实现关键信息的重点监控。

本文以管理员admin_A授权运维用户User_A，针对MySQL数据库资源RDS_A高危操 作的二次授权为例。

应用场景

云堡垒机（Cloud Bastion Host，CBH），通过设置数据库控制策略，设置预置命令执 行策略，动态识别并拦截高危命令（包括删库、修改关键信息、查看敏感信息等），

中断数据库运维会话。同时自动生成数据库授权工单，发送给管理员进行二次审批授 权。只有管理员审批工单授权执行操作后，运维用户才能执行该高危操作，继续数据 库运维会话。

约束限制

目前仅支持二次审核MySQL或Oracle数据库的执行命令。

前提条件

● 已购买专业版云堡垒机，且能正常登录云堡垒机系统。

● 云堡垒机所在安全组已放开相应数据库访问端口，数据库与云堡垒机之间网络连 接畅通。

● 资源RDS_A已被纳管为主机运维方式资源，详情请参见如何创建数据库运维？。

● 运维用户User_A已获取资源RDS_A的访问控制权限，详情请参见创建访问控制策 略。

配置二次审核策略

为实现高危操作的复核审批，需在“数据库控制策略”中预置命令规则，并开启“动 态授权”执行方式。

步骤1 admin_A登录云堡垒机系统。

步骤2 选择“策略 > 数据库控制策略”，进入数据库控制策略页面。

步骤3 配置数据库规则集，选择预置高危操作命令。

1. 选择“规则集”页签。

图2-1 规则集管理页面

2. 单击“新建”，创建一个MySQL数据库的规则集。以新建DB-test规则集为例。

图2-2 创建规则集

3. 单击“添加规则”，在DB-test规则集中添加“库”、“表”或“命令”规则。以 添加DELETE删除表内容的命令为例。

说明

– “命令”为必填项，至少需选择一个命令，可同时选择多个命令。

– 设置“库”或“表”，表示对数据库中库或表操作的命令限制。

– 未设置“库”或“表”，表示对数据库中全部操作的命令限制。

图2-3 添加命令规则

步骤4 配置数据库策略。

1. 选择“策略列表”页签。

图2-4 数据库控制策略管理页面

2. 单击“新建”，创建一个“动态授权”的数据库控制策略。以新建DB-ACL策略为 例。

图2-5 配置动态授权

3. 关联规则集DB-test。

图2-6 关联规则集

4. 关联用户User_A和关联资源RDS_A。

图2-7 关联用户和资源

----结束

效果验证

运维用户执行高危操作，触发拦截，申请操作权限。管理员通过对高危操作的二次审 核，加强对数据库核心资产的管控力度。

步骤1 运维用户User_A登录资源RDS_A。

1. 登录云堡垒机系统。

2. 选择“运维 > 主机运维”。

3. 单击“登录”，通过SSO单点登录工具调用数据库客户端，登录数据库资源 RDS_A。

图2-8 登录数据库资源

步骤2 以调用Navicat客户端登录数据库为例。运维用户User_A在资源RDS_A中，执行删除 表内容操作，自动触发拦截DELETE命令，提示无权限删除。

图2-9 触发拦截

步骤3 运维用户User_A提交数据库授权工单，反馈给管理员admin_A审批。

1. 运维用户User_A登录云堡垒机系统。

2. 选择“工单 > 数据库授权工单”，查看因删除操作被拦截而产生的工单。

3. 单击“提交”，提交对资源RDS_A删除操作的授权申请。

图2-10 提交数据库授权工单

步骤4 管理员admin_A审核运维用户User_A的运维操作，根据实际情况批准或驳回申请。

1. 管理员admin_A登录云堡垒机系统。

2. 选择“工单 > 工单审批”，审核User_A数据库授权工单。

3. 单击“批准”或“驳回”，审批工单。

说明

仅管理员“批准”工单后，运维用户才能继续执行被拦截的高危操作。

图2-11 审批工单

----结束

A ^修订记录

发布日期 修改记录

2021-11-03 第八次正式发布。

资料优化。

2021-07-15 第七次正式发布。

原基础版更名为标准版，增强版更名为专业版。

2021-07-05 第六次正式发布。

本次更新说明如下：

修改了变更版本规格，入口修改。

2021-01-25 第五次正式发布。

本次更新说明如下：

● 修改了扩容前必读，新增1000资产规格。

2020-08-07 第四次正式发布。

本次更新说明如下：

● 修改了扩容前必读，新增500资产规格。

2020-06-05 第三次正式发布。

本次更新说明如下：

● 修改了扩容云堡垒机规格，按照变更规格前中后提供操作和说 明指导。

2020-03-27 第二次正式发布。

本次更新说明如下：

● 新增了数据库运维高危操作的复核审批。

2019-07-02 第一次正式发布。

本次更新说明如下：

● 新增了升级云堡垒机规格。