堡垒机买了不用、用了绕得过去，是这类项目最常见的两种失败。它的成败不在设备，而在"所有入口是否只剩一个"。
一、先明确它解决什么问题
- 身份：运维人员用本人账号登录，不再共用 root 或 administrator
- 授权：谁能登哪台机器、能执行什么命令，有清单
- 留痕：会话可回放，命令可检索，出了事能还原
- 管控：高危命令可拦截或二次确认
如果目标只是"合规检查要有"，做完前两条就能过；如果真想防内部风险，第三、四条才是重点。
二、部署形态：三种接法
| 形态 | 原理 | 适用与代价 |
|---|---|---|
| 网关型（推荐） | 运维流量必经堡垒机，由它代理到目标 | 管控最彻底；需规划网络路径与带宽 |
| 旁路型 | 镜像流量做审计，不改变路径 | 部署快；只能看不能拦，绕行无法阻止 |
| Agent 型 | 目标机装 agent 记录操作 | 适合云主机；要维护 agent 版本与资源占用 |
想真正管住，选网关型。旁路只适合作为过渡或补充。
三、账号纳管：特权账号是核心
- 盘点特权账号：服务器 root/administrator、数据库 sa、网络设备 enable、虚拟化管理台
- 改密托管：由堡垒机定期自动改密，运维人员不再知道真实密码
- 一人一账号：堡垒机账号实名，目标机上的共享账号仅作为"执行身份"
- 授权到人：按项目、按环境（生产/测试）分别授权，生产环境单独审批
- 临时提权：需要高危权限时走申请，带时间窗，到期自动收回
外包与厂商支持账号尤其要走这套：给临时账号、限定可登录设备、设到期时间，全程录屏。
四、审计记录怎么用
录屏存下来不是目的，能查才有用。
- 会话回放支持按关键字跳转（如出现
rm、drop、shutdown的位置） - 高危命令实时告警，推送给安全负责人，而不是只记日志
- 留存期至少 6 个月，金融、医疗等行业按监管要求延长
- 每月抽查 5–10 个会话，重点看夜间操作、批量脚本、跨环境登录
录屏之外要有文本日志
视频回放找证据很慢。命令文本日志 + 时间戳 + 操作人，才是能快速检索的那一层。
五、堵住绕行，才算真的上线
堡垒机上线后最常见的漏洞是：还能直连。治理顺序：
- 网络层：服务器网段只允许堡垒机访问管理端口，其他源地址一律拒绝
- 账号层：目标机禁用密码登录，只允许堡垒机的密钥或代填
- 通道层：关闭未纳管的运维通道（远程桌面直连、数据库客户端直连、VPN 直达内网）
- 验证：随机抽三台机器，从办公网直接尝试连接，必须失败
同时留一条应急通道：堡垒机故障时的本地应急账号，封存保管、使用需登记。没有应急通道的方案，出事时会被绕过，反而更危险。
#堡垒机#运维审计#特权账号#网络安全
