ssh与rdp接入控制是devsecops流水线中必须前置嵌入的访问治理环节，贯穿构建、测试、发布、运行全阶段，目标是让每次远程连接都可验证、可审计、可收敛。
SSH 与 RDP 接入控制不是部署后的补救手段，而是 DevSecOps 流水线中必须前置嵌入的访问治理环节。它贯穿构建、测试、发布、运行全阶段，目标是让每一次远程连接都可验证、可审计、可收敛。
接入策略需在 CI/CD 阶段完成预配置
远程连接能力不应等到服务器上线才启用，而应在基础设施即代码（IaC）模板中声明并验证：
- 使用 Terraform 或 Pulumi 定义云服务器时，直接固化 SSH/RDP 端口、安全组规则和身份认证方式，例如只允许特定 IP 段访问 2222（SSH）或 3390（RDP）端口
- 在流水线测试阶段加入“连接策略合规检查”步骤：调用脚本扫描 IaC 输出，确认未开放默认端口（22/3389）、未启用密码登录、未遗漏 NLA（RDP）或密钥强制策略
- 对 Windows Server 镜像，在 Packer 构建阶段预置注册表项（如 PortNumber=3390）与组策略对象（GPO）模板，确保 RDP 启动即合规
密钥与凭证生命周期必须纳入流水线管控
人工管理私钥或密码极易导致泄露或过期失效，应由流水线统一生成、分发与轮换：
- CI 流水线在部署前自动生成唯一 SSH 密钥对，公钥写入目标服务器 ~/.ssh/authorized_keys，私钥经加密后注入运维平台或 HashiCorp Vault
- RDP 登录凭据不硬编码于脚本中；改用 Azure AD 或企业级 IdP 集成，通过 OIDC 获取短期访问令牌，并在流水线中调用 Microsoft Graph API 动态授权会话
- 所有密钥/证书在流水线中设置自动过期时间（如 90 天），到期前触发告警与自动轮换任务，避免“一次配置、长期有效”的风险惯性
运行时连接行为需实时联动策略引擎
静态配置只是起点，真实环境需要动态响应异常连接事件：
- 在服务器侧部署轻量代理（如 osquery 或 Wazuh agent），持续采集 SSH 登录日志、RDP 会话建立/断开事件，并推送至中央策略引擎
- 策略引擎设定规则：同一账号 5 分钟内失败登录 ≥3 次 → 自动封禁该源 IP 并通知 SOC；非工作时段（如 23:00–06:00）发起的 RDP 连接 → 强制二次验证并记录水印会话录像
- 将连接行为数据反馈回流水线：若某类镜像频繁触发高危登录模式，可在下一轮构建中自动触发 CIS Docker Benchmark 或 Windows Security Compliance Analyzer 扫描，形成闭环治理
审计与追溯能力要覆盖从代码到会话的全链路
每一次远程操作都应能回溯到具体提交、部署任务与责任人：
- SSH 登录时强制要求携带 Git 提交哈希（如通过 SSH_CONNECTION_ID=git_sha_abc123 环境变量注入），使 auditd 日志可关联至代码变更
- RDP 会话开启时，客户端自动上报设备指纹（OS、浏览器、屏幕分辨率）与用户身份（SAML 断言 ID），与 CI 流水线中的 runner ID 绑定
- 所有连接日志统一输出至 ELK 或 Loki，并与 Argo CD / Flux 的部署事件、Prometheus 的服务状态指标交叉分析，支撑根因定位与合规报告生成
