堡垒机解决什么问题
堡垒机（跳板系统）把分散的运维访问收敛成一条通道：所有运维人员先登录堡垒机，再由堡垒机代理访问目标设备。这样做的收益是身份统一（访问目标设备的不再是散落各处的直连账号）、授权集中（谁能访问哪些设备在一处管理）、行为留痕（命令行与图形会话可录制）、以及便于审计（按人按时间检索操作记录）。在工控场景里，堡垒机的价值更集中体现在「外来人员与本单位人员的所有操作都经过同一个记录点」，这对事后复盘与责任划分尤为关键。
基本信息
| 核心能力 | 统一认证、集中授权、会话录制或命令记录、操作审计与检索 |
|---|---|
| 部署位置 | 管理区或独立管理网内，不直接暴露在办公网与互联网 |
| 覆盖协议 | 命令行登录、图形桌面、以及工控软件类远程操作，具体支持范围以厂商文档为准 |
| 账号策略 | 一人一号，重要设备不做直连账号，或直连口令由堡垒机代管 |
| 审计留存 | 日志集中存储，留存时间满足内控与合规要求，并保证不可被操作人自行清除 |
| 可用性要求 | 堡垒机故障会导致运维中断，需要冗余部署与应急预案 |
部署与审计要点
- 位置受控：部署在管理网内，访问入口限制来源，不把管理界面开在公网或办公网任意可达的位置
- 账号归一：为每个运维人员建立独立账号，删除或封存设备上的直连账号，避免绕过堡垒机
- 授权分明：按设备组与角色授权，临时权限设到期时间
- 会话可溯：命令行记录命令与输出，图形会话录制屏幕，工控软件操作尽量纳入可记录通道
- 审计有节奏：不只录制，还要定期抽查与告警，否则录像只是占空间
- 自身做审计：堡垒机管理员权限最高，其操作也需要被记录与定期复核
能力与落地注意
| 能力 | 作用 | 落地注意 |
|---|---|---|
| 统一认证 | 身份可识别到人 | 多因素认证，禁止共享账号 |
| 集中授权 | 权限一处管理、一处收回 | 与人员变动流程挂钩，离场即回收 |
| 会话录制 | 事后可复盘操作过程 | 存储容量与留存期要提前规划 |
| 命令审计 | 快速检索高风险命令 | 需要配套告警规则，否则无人查看 |
| 代理访问 | 设备侧不暴露直连入口 | 要让设备直连口令失效或被代管 |
堡垒机常见的失效方式是「被绕过」：设备上仍保留着可用的直连账号，有人为了省事直接连设备，绕开录制与授权。上线堡垒机时必须同步处理设备侧账号，并定期核查设备登录记录中是否出现非堡垒机来源的登录。