关键在于切断直连路径，统一入口强制流量经堡垒机，账号托管+自动改密，五维细粒度授权，全链路视频审计（录像+命令日志+上下文联动）。
要实现所有运维操作的集中管控与视频审计，关键不是“连上堡垒机”就完事，而是让真实运维行为真正流经堡垒机、被识别、被授权、被记录。核心在于切断直连路径，把人、账号、资产、操作四者全部纳入统一策略轨道。
统一入口：强制所有流量过堡垒机
这是集中管控的前提。必须关闭服务器、数据库等资产对运维终端的直接访问权限（如禁用外网SSH端口、数据库监听地址限制为内网或仅堡垒机IP）。所有运维请求——无论是Linux命令行、Windows远程桌面，还是数据库客户端连接——都必须先登录堡垒机，再由堡垒机代理转发到目标资产。公网侧只暴露堡垒机一个接入点，资产本身“隐身”。跳板机或自建脚本无法替代这点，因为它们通常不支持协议级代理和会话录播。
账号托管+自动改密：切断人与原始密码的绑定
运维人员不再持有服务器root、数据库admin等真实账号密码。堡垒机需托管这些真实凭据，并启用自动周期性改密功能。每次登录时，堡垒机用托管账号代为认证，运维人员全程看不到、也无需知道原始密码。这样既防止密码泄露复用，又确保每次操作可关联到具体人——因为登录堡垒机的身份是实名、双因子（如短信+动态口令，或国密USB Key）强认证的。
细粒度权限控制：按“人-时间-资产-账号-动作”五维授权
权限不能只设到“某人能登某台服务器”，而要精确到：
• 某个运维人员
• 在工作日9:00–18:00（可配时间段）
• 访问指定IP的MySQL 5.7实例
• 使用托管的app_readonly账号（非root）
• 仅允许SELECT，禁止UPDATE/DELETE/DROP
这类策略在堡垒机后台配置后实时生效。高危命令如rm -rf /、shutdown、mysqldump --all-databases可设置为实时拦截并告警，而非事后发现。
全链路视频审计：会话录像 + 命令日志 + 操作上下文
真正的审计不是只存一段录像，而是三者联动：
• 会话录像：完整记录终端画面（含字符界面和图形化RDP/VNC），支持按时间轴拖拽回放
• 命令级日志：逐条记录输入命令、执行时间、返回结果（含错误码），不可篡改
• 操作上下文：自动绑定该次会话的登录人、源IP、目标资产、使用账号、起止时间、是否触发审批等元数据
录像与命令日志双向互查——点击某条命令，可跳转到对应录像时间点；拖动录像进度条，下方同步显示当时执行的命令。
不复杂但容易忽略。
