关键在于构建人、机、权、行、审五维闭环：统一身份认证（ldap/ad/saml+totp）、分级权限收敛（按标签细粒度授权）、全链路审计阻断（双录+实时告警+会话冻结）、传输层加固（ssh不暴露公网、rdp限源+tls加密）。
要让SSH和RDP两种协议真正纳入统一、可控、可审计的运维安全体系，关键不在“连得上”，而在“管得住”——身份可信、权限精准、行为可溯、风险可阻。这不是简单地把两个连接入口塞进一个平台，而是围绕人、机、权、行、审五个维度构建闭环。
身份统一认证：一次登录，双协议通行
跳过各自维护账号密码的混乱局面。在Jumpserver或类似堡垒机中，所有Windows资产必须绑定同一套用户体系：支持LDAP/AD同步、支持TOTP动态口令、支持SAML单点登录。Windows主机本身无需额外创建本地账户，全部由堡垒机代理认证。RDP登录时，堡垒机将用户身份透传至目标主机；SSH登录时，则通过Windows OpenSSH服务的AuthorizedKeysCommand机制对接堡垒机API，实现密钥动态签发与吊销。
重点提醒：
- Windows启用OpenSSH服务后，禁用密码登录，仅保留公钥认证，避免弱口令绕过堡垒机策略
- RDP必须强制开启NLA（网络级身份验证），确保认证发生在会话建立前，防止未授权连接消耗资源
- 所有用户登录凭据（含动态口令拼接规则）统一由堡垒机生成和分发，不落地、不复用
权限分级收敛：按需开放，最小够用
不能让一个“运维组”角色同时拥有所有Windows服务器的RDP全屏控制权和SSH root执行权。应基于资产标签（如环境：prod/staging；业务线：finance/cms；角色：dbadmin/webops）组合定义细粒度授权策略：
- RDP权限仅开放给需要GUI操作的人员，且默认限制剪贴板共享、驱动器映射、音频重定向等高风险功能
- SSH权限严格区分命令白名单：普通运维只能执行
systemctl status、tail -n 50等只读命令；发布人员可执行scp和指定部署脚本路径；禁止交互式shell（/bin/bash）直连，改用受限shell或命令通道 - 同一用户对不同主机可配置不同协议权限：例如对域控服务器仅开放RDP（禁SSH），对应用服务器则SSH+RDP双开但RDP仅限查看模式
会话全链路审计与阻断
真正的安全防护不是“事后查”，而是“事中控”。SSH和RDP会话都必须满足：
- 实时录像（RDP图形流+SSH字符流双录），支持按命令关键词、时间范围、用户ID快速检索
- 关键操作实时告警：如SSH中执行rm -rf /、net user administrator /active:yes，或RDP中打开注册表编辑器、启动任务管理器等敏感行为
- 支持人工干预中断：管理员可在堡垒机后台一键冻结正在运行的任意会话，立即终止远程控制
- 所有会话日志同步推送至SIEM平台（如ELK/Splunk），与Windows事件日志（4624/4625）、OpenSSH auth.log联动分析
传输层加固与暴露面收敛
协议本身的安全基线必须拉齐：
- SSH端口不暴露公网：所有SSH访问必须经堡垒机跳转，Windows主机自身防火墙关闭22端口入向规则
- RDP端口非必要不改，但必须收敛访问源：通过云安全组或硬件防火墙，仅允许堡垒机IP段访问3389（或自定义端口），严禁0.0.0.0/0开放
- Windows主机启用TLS加密RDP通信（通过RD Gateway或自签名证书配置），避免明文凭证在网络中传递
- 定期轮换堡垒机与Windows主机之间的信任证书和SSH主机密钥，防止长期密钥泄露导致会话解密
