堡垒机需按“纳管资产→定义用户→配置权限→审计”四步分角色部署。管理员完成5步基础配置，运维人员通过Web/RDP/SFTP/隧道4种方式登录，必须启用MFA、命令过滤和全量审计，支持Web应用代填、数据库细粒度授权及国密合规接入。
堡垒机不是“装完就能用”的工具，而是需要按角色、分阶段配置的运维中枢。核心逻辑是：先纳管资产、再定义人、然后配权限、最后做审计。整个过程不依赖复杂编码，但每一步错位都会导致后续无法登录或审计失效。
一、管理员视角：5步完成基础部署与资产纳管
管理员负责搭建入口和划定边界。关键动作必须严格按顺序执行：
- 开通并登录控制台：访问 http://服务器IP:80，用默认账号 admin/admin 登录，首次登录强制修改密码
- 同步主机资产：进入【资产管理 > 主机资产】→ 点击【同步资产】，支持北京、上海、广州等主流地域的云服务器自动拉取；同步后需手动【托管资产】绑定堡垒机服务
- 添加资产账号与密码：在主机列表中选中目标服务器 → 点击【账号】→ 【添加资产账号】（如 root、administrator）→ 在【未托管密码】处设置并保存密码（明文密码由堡垒机加密托管）
- 创建运维用户：进入【用户管理 > 用户】→ 【新建用户】，填写用户名、姓名、邮箱等；可选加入用户组，便于批量授权
- 配置访问权限：进入【权限管理 > 访问权限】→ 【新建访问权限】，明确指定：哪些用户（或用户组）、能访问哪些主机、使用哪个系统账号、允许什么连接方式（SSH/RDP/SFTP/Web CLI）
二、运维人员视角：4种主流登录方式实操要点
运维人员不直连服务器，所有操作必须经堡垒机中转。不同场景对应不同协议，选错就无法建立连接：
- Web终端直连（最简）：浏览器访问 https://堡垒机地址 → 登录 → 进入【工作台】→ 点击目标服务器 → 选择“Web CLI”或“RDP Web” → 自动调起浏览器内终端或远程桌面
- RDP协议登录（Windows服务器常用）：本地打开 mstsc.exe → 输入 堡垒机IP:63389 → 登录堡垒机账号 → 在资产列表双击目标 Windows 主机 → 若已托管凭据，无需再输主机密码
- SFTP文件传输（Linux传文件）：用 Xftp/WinSCP → 协议选 SFTP，端口填 60022 → 登录堡垒机账号 → 右侧出现已授权主机列表 → 双击目标主机（如 root@web01）即可拖拽上传/下载
- 客户端工具隧道（数据库/高级运维）：如用 Navicat 连 MySQL，需先在堡垒机【数据库】页面获取运维令牌，再在 Navicat 中配置 SSH 隧道，指向堡垒机 IP 和端口，由堡垒机代理转发至真实数据库
三、安全与审计：不可跳过的刚性配置
堡垒机的价值不在“能连上”，而在“连得清、管得住、查得明”。以下三项必须启用：
- 双因子认证（MFA）：进入【系统设置 > 双因子认证】启用；管理员和高权限用户建议强制开启，防止密码泄露导致越权
- 命令过滤与会话阻断：在【资产管理 > 命令过滤】中预设敏感命令（如 rm -rf /、drop database），匹配即告警或实时中断会话
- 全量操作审计：所有行为自动记录在【审计台 > 会话审计】，支持回放完整终端操作、检索命令关键字、导出文件传输日志；审计日志不可删除、不可篡改
四、进阶能力：应用与数据库统一管控
现代运维不止管服务器，还要管 Web 应用和数据库。堡垒机已支持深度集成：
- Web 应用代填登录：在【资产管理 > 应用】中新建应用，关联 Chrome/Firefox 客户端 → 托管 Web 账号密码 → 运维时自动填充登录表单（验证码类网站需人工补录）
- 数据库细粒度授权：支持 MySQL、PostgreSQL、Oracle、SQL Server；可限制用户仅能执行 SELECT，禁用 DROP/ALTER；审计精确到 SQL 语句级别
- 国密合规接入（金融/政务场景）：使用国密版堡垒机 + SM2 USB Key + 国密浏览器 → 所有通信走 TLCP 协议 → 满足等保三级、密评要求
