关于数据中心的运维安全管理，客户最关心哪些问题？齐治客服（400电话、在线服务）将过去一年中被问及最多的10个堡垒机相关问题及解答进行整理，与客户、合作伙伴分享。

1. MAC升级至13.0无法调起accessclient。

解决方法：

• 安装3311-sp6版本以上的accessclient插件；

• 在terminal终端执行“xcode-select –install” ，重新安装xcode。

2.Web页面告警提示：当前节点后台root账号仍使用默认密钥，请及时修改。

解决方法：

•登录堡垒机Web界面，确保系统设置 > 系统状态处，sshd外部访问参数已开启，并获取用户登录RIS的默认私钥；

•打开Xshell或其他支持SSH协议的工具，设置协议为SSH，主机为RIS IP，端口为8022，方法选择Public Key，用户名为root，用户密钥选择已获取的私钥，点击连接，输入console的登录密码后按回车，即可进入console主菜单；

•在主菜单输入S并按下回车键，进入SSHD Management，输入2并按回车，进入Generate root key；

•在收到Enter passphrase (empty for no passphrase):提示后，输入该密钥的密码并按回车，如果不设置密码，直接按回车，再次输入passphrase值并按回车，如果不设置密码，直接按回车；

•输入2并按回车，执行Download root key，下载登录私钥；

•输入3，执行Delete root key并按回车，删除旧的密钥；

•再次登录并刷新堡垒机Web界面，告警消失，后续系统管理员只能通过新生成的私钥登录Console控制台。

3.使用文件传输功能传输某一文件报错：资产认证超时。

解决方法：

检查目标资产的/etc/ssh/sshd_config中的UseDNS设置，可以尝试设置成NO，并重启sshd服务。

4.更换堡垒机IP地址需要重新做授权吗？

回答：

软件部署的授权是通过IP控制的，如果更换IP需要重新申请授权。

5.如何配置本地密码+手机令牌方式登录堡垒机Web？

回答：

• 使用超级管理员登录堡垒机Web，点击右上角账号选择“系统设置”，点击登录认证选择双因素；

• 定义双因素名称为xxx，第一重选择本地密码，第二重选择手机令牌；

• 编辑对应用户，选择身份验证方式为刚定义过的双因素名称xxx；

• 用户在微信关注小程序“TOTP动态验证”，登录堡垒机Web输入第一重本地密码后，会弹出二维码，用小程序扫码完成后单击“完成绑定”，在RIS输入手机令牌（6位数字），单击提交即可登录进Web界面。

6.MAC13访问字符会话报错：add ‘HostkeyAlgorithms+ssh-dss’to ~/.ssh/config。

解决方法：

在terminal终端”~/.ssh/config”文件中添加”HostkeyAlgorithms +ssh-dss”字段，注意需加到首行，若加到末尾会导致不生效。

7.发布Firefox闪退。

解决方法：

• 确认appserver中Firefox的路径是否拖入正确，正确路径为“WebDriver安装路径\bin\rdpapp.bat”；

• 安装对应的Firefox版本，RIS3311-SP及以下版本支持 55-59版本，RIS3311-F及3312以上支持88版本。

8.使用sftp协议传输文件，超过1GB后无法正常传输。

解决方法：

编辑规则模板，调整SFTP上传单文件限制值，可调整范围为1-50G。

9.如何更换字符会话访问方式？

回答：

• 全局：超级管理员登录web界面，点击右上角账号，下拉选中“系统设置”，在访问设置处，修改字符终端的访问方式；

• 个人：用户登录web界面，点击右上角账号，下拉选中“账号管理”，在会话访问处，修改字符终端的访问方式。

10.如何使用用户自己的安全证书？

回答：

•通过知名CA或者自建CA为RIS生成SSL证书；

•使用超级管理员登录堡垒机web界面，点击右上角账号选择“系统设置”，选择安全证书，上传的证书私钥对应的密码，无密码则留空，上传扩展名为crt的RIS服务器证书及扩展名为key的服务器证书对应的私钥；

•重启RIS，使系统可以正常运行 （注意：HA部署模式下，需分别重启主、备节点）。

1. 检查不合规问题。账号密码管理过程中，人工参与环节较多，技术管控能力不足。

2. 管理不集中问题。账号密码管理使用了不同的平台，无法控制管理成本和后期维护成本。

3. 密码未定期修改。密码未按照规章制度和要求进行定期修改。

4. 密码保管不完善。密码通过密码信封保管过程中，依赖管理员人工参与进行密码备份和存储。

为了解决账号管理方面的风险，兴业银行启动了账号密码统一安全管理项目，实现对主机、网络设备、数据库账号密码的统一、集中、安全管理。

账号密码统一安全管理方案

针对兴业银行账号密码管理所带来的安全风险，齐治科技设计了一套完整的账号安全管理方案，涵盖了如下的实际场景：

1. 密码集中管理，一套系统统管主机、网络设备、数据库的密码并定期改密。

2. 建立密码使用流程，实现明文密码线上申请、发放、回收等全流程统一管理。

3. 账号密码安全存储，采用硬件级别的国密加密存储技术，安全存储账号密码。

通过齐治堡垒机+齐治特权账号管理系统+密码保险箱实现账号密码的统一管理，部署完成之后Z银行具备了如下能力：

1. 实现了针对主机、网络设备、数据库资产的定期自动改密能力。具备针对Windows、Linux、AIX等操作系统的定期改密，包含root级别的特权账号和运维账号；具备针对所有网络设备、数据库的定期自动改密能力。

2. 实现了对明文密码申请、获取、使用、回收全流程的线上闭环管理。建立了明文密码的申请、使用、回收制度，保障了明文密码的管理与使用安全。

3. 实现了密码集中安全统一的管理。通过硬件级别的密码保险箱，实现密码的统一安全存储，密码保险箱采用独立硬件、独立安全系统、精简服务的方式提升安全性；通过硬件加密卡对数据进行国密算法的加密存储，进一步提升密码存储的安全性。

账号密码统一安全管理收益

系统实施后，Z银行取得了如下收益。

1.减少管理成本，提升管理效率。账号密码管理由原先三套系统分散管理的方式，升级为集中安全管理的方式，减少了管理人员的投入和各部门平台的维护成本。

2. 密码电子化保管，降低泄露风险。由原先密码管理过程中人工参与，升级为密码电子化全流程自动化管理，降低密码泄露的风险。

3. 满足专项审计，管理章程合规。账号密码的统一管理与流程平台结合，符合了Z银行对密码使用的专项审计要求，为进一步合规管理提供了必要的基础平台。

齐治特权账号管理系统（Privileged Account Management, PAM），齐治特权账号管理PAM经过超过五年的开发、应用与实践，紧紧抓住“账号”这个关键，通过建立账号安全台账，实时、动态帮助用户实现数据中心的账号管理。

在账号安全台账的建设和管理过程中，首先要做的是，将所有账号及数据全部纳入，并进行安全、高效、合理的管理、分析，也就是建立全量的账号安全台账。

全量账号安全台账的前提

——搞清楚账号都在哪，什么数量级

要想做账号安全台账，先要搞清楚数据中心的账号都在哪，有哪些类别，大概是个什么数量级。

1．账号都在哪？

数据中心账号众多，存放及管理的设备也很多，包括主机内部的本地账号，集中在目录服务器或者域控（AD）的账号，应用或中间件的代码及配置文件内也有相应账号，第三方工具（比如监控、自动化）等都有账号。这些账号，通过本地文件、数据库或者目录服务等形式进行存放。

2．账号分哪些类？

账号并不是按照一种维度分类的，其实它分类方式有很多。

按使用主体来分：人、设备或者应用。一个账号，是管理员或者普通使用者用的，还是主机、网络、存储等设备用的，或者是OA、ERP、CRM等应用系统用的，不同使用者的管理方式并不完全相同。

按用途来分：不同账号的用途不一样，一个账号是超级管理员，还是用来日常维护，亦或是做应用服务、API访问、自动化等等的。

按平台来分：这个比较好理解，账号是在哪个平台上使用的——主机、数据库、网络、虚拟机甚至是云等。

3. 账号规模有多大？

用户在全量管理账号前，先有大概一个概念，到底数据中心有多少账号。

如果按照资产的规模统计，一台新装的Linux，默认出厂就有10-15个账号，加上日常维护、服务、应用运行等实际生产场景会新增更多的账号。可以说，账号数量是资产规模的几十倍，是常见现象。

如果按照应用统计，应用与应用、应用与数据库之间通讯可能都会用到账号凭据，按照应用数量乘以一定系数也可大致估算出应用账号的规模。

齐治科技拥有超过17年的数据中心管理经验，最近十年来，在账号管理方面，与超大规模客户持续探讨，齐治特权账号管理PAM把账号台账的支撑数量级定位在千万级别，基本上能够涵盖绝大多数客户生产环境内的全部账号。

 

建立全量账号安全台账的三个能力要素

 

账号安全台账的核心就是找到、整合以及分析账号相关数据，这就是账号管理系统建立全量安全台账的三个能力。

1.数据的获取能力

数据获取的广度。账号管理系统是否能够在最大范围内获取账号及相关数据，一方面账号数量多，另一方面，不同资产和不同业务场景下，账号数据来源各不相同，有的是在脚本中出现，有的是在过程中出现，账号管理系统需要从大量的系统、资产中找到这些账号和数据，并将之纳管。

数据获取的深度。和账号安全管理有关的数据，采集的越丰富越频繁，越能帮助用户及早发现问题，不同类型的账号数据可能不一样，采集方式也不一样。

2．数据的整合能力

归档分类。几万甚至几十万数量级的账号，几十种账号类型，每个账号里还有那么多相关的数据，不做分层分类管理，只简单堆在一起，杂乱无章，基本没法用。

查询检索。账号管理系统需要提供不同维度的查询能力，而且支持批量操作和自动化统计。

3. 数据的分析能力

管理的维度。用户进行账号统一管理之后，必然会出台相应的管理规范，那么，通过分析数据、总结原因，就可以观察到这些规范是否被有效执行，规范是否需要持续改进，如何改进等等。

攻防的维度。通过分析账号数据，可以抽取“可疑”账号，看这些账号是否有被恶意利用的风险，或者已经被恶意利用。

建立大规模全量账号安全台账的挑战

 

量变决定质变，管理几百个账号和管理几百万个账号所用到的思想、工具、技术完全不一样，管理的复杂度也有着天壤之别。

在建立全量账号安全台账的过程中，有三点必须考虑。

安全性。账号密码这种高敏感信息数据做集中存放，一定要把安全放到第一位考虑。齐治特权账号管理PAM有密码保险箱功能，存放账号密码，让别有用心者看不到、取不出、拿不走。

 

并发性。如何高效地去海量资产（比如1万+资产）上采集账号数据，也是账号管理系统要考虑的关键点。齐治特权账号管理PAM支持多并发，也支持总分、多站点等各种应用场景，满足用户的多并发需求。

冗余性。账号台账需要作为生产者为其他业务或者管理系统提供账号数据，所以业务的稳定性极其重要，不能因为自身故障等问题影响业务。齐治特权账号管理支持高可用、两地三中心多种部署方式，全方位保障用户账号资产的安全可靠。

实践出真知，实践也是检验理论的最好标准。齐治特权账号管理PAM推出5年来，在500+大型客户处进行应用、提升，在某银行的10万+资产、96万+账号中，实现了统一高效管理，得到了用户的充分认可和好评。

手机铃声响后提示忙音：对不起，您拨打的电话正在通话中？8个原因