堡垒机通过统一入口、账号隔离、ssh密钥可信链路、细粒度授权与命令控制、操作全程审计，实现linux系统用户权限集中管控。
Linux 系统中结合堡垒机实现用户登录权限的集中管控，核心是把“人—目标服务器”的直连关系切断，改由堡垒机统一承接、分发和记录所有访问行为。关键不在于禁用哪些命令或关闭哪些端口，而在于重构权限流转路径：用户只对堡垒机有身份，堡垒机对目标服务器有授权，且全程可审计。
统一入口 + 账号隔离
所有运维、开发人员不再持有目标服务器的密码或私钥，而是通过唯一堡垒机账号登录。这个账号与真实服务器账号完全解耦——例如，用户 zhangsan 在堡垒机上登录后，只能看到被授权的 3 台 Web 服务器和 1 台数据库服务器；他点击其中一台，系统自动以预设的 webapp 或 dbadmin 账号连接过去，他自己并不知道这些账号密码。
这样做的好处：
- 同一台目标服务器上的 root 账号可以被多个运维共享，但操作日志能精确归属到各自的堡垒机账号
- 人员离职时，只需在堡垒机禁用其账号，无需逐台服务器改密
- 新员工入职，只需在堡垒机创建用户、分配资产组和权限策略，5 分钟完成开通
基于 SSH 密钥的免密可信链路
堡垒机与目标 Linux 服务器之间必须建立免密、可信的连接通道，这是集中管控落地的前提。标准做法是：
linux-performance-analyzer
下载
Linux 性能分析与调优专家，覆盖 CPU、内存、磁盘 I/O、网络、内核参数、编译优化、容器/K8s。适用场景：系统卡顿/高负载、内存不足/OOM/Swap 高、CPU 异常/iowait 高。
- 在堡垒机上执行 ssh-keygen 生成密钥对（私钥保留在堡垒机，不导出）
- 用 ssh-copy-id 将公钥推送到每台目标服务器的指定运维账号（如 ops）的 ~/.ssh/authorized_keys
- 目标服务器上禁用 root 密码登录（PermitRootLogin no），并关闭密码认证（PasswordAuthentication no）
这样，堡垒机就能以普通用户身份无感登录服务器，后续再通过 sudo 提权执行必要操作，整个过程无需人工输密，也杜绝了密码泄露和暴力破解风险。
细粒度授权 + 命令控制
权限不是“能登”或“不能登”的二选一，而是按需分配。在堡垒机后台可配置：
- 资产分组：如 “生产Web集群”、“测试DB池”、“网络设备区”，不同团队只看到自己组内资产
- 账号映射：对同一台服务器，给 A 用户映射 appuser（仅读日志），给 B 用户映射 deployer（可执行发布脚本）
- 命令过滤：对高危命令（如 reboot、rm -rf、chmod 777）设置黑名单；或只放行白名单命令（如 systemctl status、tail -f）
- 时间/IP 控制：例如开发人员只能在北京时间 9:00–18:00、且仅限公司出口 IP 段登录测试环境
操作留痕 + 实时审计
所有通过堡垒机发起的 SSH 会话都会被完整录像（字符流+时序）并记录命令行输入。审计人员可在后台按以下维度快速检索：
- 用户账号（如 zhangsan）、目标资产（如 192.168.5.22）、时间段
- 执行过的任意命令（支持模糊搜索，如搜 mysql 可查出所有含 mysql 的操作）
- 是否触发告警（如执行了黑名单命令、超时未操作、异常退出等）
日志默认持久化存储在堡垒机本地或对接外部 SIEM 系统，不可篡改、不可删除，满足等保 2.0 和 ISO 27001 对操作审计的合规要求。
