堡垒机实现免密登录与凭据自动托管，核心是：一、运维人员通过SSH密钥或统一身份认证直达目标服务器；二、服务器账号密码或密钥对由堡垒机（PAM）集中托管、同步与审计。

堡垒机接入后实现免密登录与凭据自动托管，核心是两件事：一是让运维人员通过 SSH 密钥或统一身份认证直达目标服务器，不输密码；二是把服务器账号、密码或密钥对交由堡垒机（PAM）集中托管和同步，避免人工维护遗漏或泄露。

配置 SSH 免密登录（终端侧）

这是用户本地终端到堡垒机、再跳转到目标主机的体验优化，不依赖堡垒机界面操作，而是靠 SSH 配置文件 + 密钥对完成：

• 在本地生成 SSH 密钥对（如 ssh-keygen -t ed25519），私钥妥善保存，公钥上传至堡垒机用户账户（控制台 → 用户管理 → 编辑用户 → 绑定公钥）
• 编辑本地 ~/.ssh/config，为常用主机添加别名和连接参数。例如：

  Host prod-db
          HostName 10.12.34.56
          User root
          Port 22
          IdentityFile ~/.ssh/id_ed25519
          ProxyJump bastion

• 为跳板机（堡垒机）单独配置一段，启用密钥认证：

  Host bastion
          HostName bastion.example.com
          User ops-user
          Port 60022
          IdentityFile ~/.ssh/id_ed25519

• 保存后执行 ssh prod-db 即可一键穿透登录，全程无需输入密码或端口

在堡垒机中托管主机并添加登录凭据

这是资产侧的凭据集中化管理，确保所有目标服务器的账号密码/密钥由堡垒机保管，并支持审计与自动同步：

• 先确认主机已添加并托管：进入「资产管理 > 主机」，找到目标服务器，在「托管状态」列点击图标完成托管（免费版最多托管 2 台）
• 选中该主机，点击底部「添加登录凭据」，填写以下关键项：
  • 凭据类型：选「密码」或「密钥对」；若选密钥对，需粘贴 PEM 或 OpenSSH 格式私钥（注意：私钥内容需已加密或受控）
  • 资产账号：如 root、admin 或业务专用账号
  • 凭据标签：区分权限等级，例如填「特权账号」或「应用账号」，便于后续授权策略匹配
• 每个主机最多可添加 100 个凭据，建议按角色或用途分标签管理（如「deploy-key」「backup-user」）
• 添加完成后，堡垒机可在运维会话中自动调用对应凭据，用户只需选择主机，无需手动输入账号密码

启用凭据自动发现与同步（可选增强）

避免凭据信息滞后或手工录入错误，可开启 PAM 的凭据发现功能，定期扫描已托管资产上的账号信息：

• 进入「资产管理 > 凭据管理 > 凭据发现」，启用自动扫描任务
• 设置扫描周期（如每周一次）、目标资产范围及账号识别规则（如匹配 /etc/passwd 中非系统账号）
• 发现新账号或密码变更后，PAM 会生成待审凭据条目，管理员审核通过即自动入库，支持一键同步至所有关联授权策略
• 该能力依赖主机上已部署的探针或具备 SSH 执行权限，首次使用前需确认资产网络可达且账号有基础命令执行权限

验证与权限绑定

光有凭据还不够，必须把“谁可以凭哪个凭据访问哪台主机”明确下来：

• 进入「权限管理 > 访问权限」→「新建访问权限」
• 指定运维用户或用户组、目标主机或资产组、以及允许使用的凭据标签（如只允许用「普通账号」标签的凭据登录 Web 服务器）
• 可进一步限制协议（SSH/RDP）、命令白名单、会话时长、双因子触发条件等
• 保存后，用户登录堡垒机 Web 控制台或通过 SSH ProxyJump 方式连接时，系统将自动匹配并注入对应凭据，实现真正免密运维