堡垒机在安全运维中的主要功能是，通过堡垒机进行事前资源授权，事中录像监控，事后指令审计，来保障自身数据安全，那么我们要如何使用堡垒机？

从安全运维的角度来看，资源授权满足了主机层面的安全管理需求，但是一旦登录到主机后，团队成员便可对该台主机进行任何的操作，所以团队成员在登录主机前、后，都处于行云管家堡垒机安全监管之下。在行云管家中，把这些安全性更高的主机叫做关键设备，展开菜单选择“安全审计/关键设备运维策略”，进入【相应的策略】功能设置。

关键配置

审计录像： 访问运维策略里的关键设备时，是否强制进行审计录像。这里需要注意，在云账户中也存在该项设置，而一台主机访问时是否强制录像，同时受到它所在的云账户和运维策略的设置影响，只要其中有一个设置为“强制录像”，那么访问时即会进行强制录像；

会话水印：行云管家堡垒机会话水印功能，是将访问该服务器的运维人员的账号等信息，以半透明水印的方式印在服务器远程桌面会话窗口上，当远程桌面会话窗口被录像、截屏、拍照，运维人员的信息也会被一并记录，方便事后回溯追责。

双因子认证：也叫多重身份认证，开启后，在执行重启主机、停止主机、修改主机操作系统密码、修改管理终端密码、创建主机会话、快照回滚、更换系统盘、初始化磁盘、卸载数据盘、挂载数据盘等操作时，会要求以微信或短信接收验证码的方式进行二次身份确认，确保访问者的身份合法性；

指令审计：

指令审计规则：您可以指定该条运维策略是启用指令白名单还是黑名单，如果是白名单，那么将只允许指令规则中的指令执行。如果是黑名单，团队成员在操作中执行的指令只要被敏感指令规则匹配，即执行相应的响应动作。

指令审计角色：敏感指令如果触发的是审核操作，那么将推送审核消息给指令审计角色成员，由他们审核通过后，敏感指令才能在主机上执行； 指令审核超时时长：敏感指令触发审核操作时，如果在超时时长内未处理，指令将因超时被取消执行。

运维时段： 指定运维策略中的主机，只有在规定的运维时段内才允许访问，支持多个不连续的时段。 设置完以上内容后，点击“创建”即成功创建一条关键设备运维策略，但要生效，您还需要添加关键设备，只有在关键设备列表中的主机，才会受该条运维的影响。

创建策略

运维策略创建成功，是否立即进行设置？--》立即设置

大家在设置策略匹配规则的时候，推荐大家使用正则匹配的方式（因为我们使用完全匹配的方式就会绕过/bin/rm等命令）

添加需应用本策略管理的主机

新增登录凭证

这个功能类似于记住密码，登录凭证是一种保存某台主机访问凭证的访问方式, 但如果主机数量过多时，为了方便管理，一般我们会为主机设置相同的用户名密码。这种场景下， 我们就需要一种批量为主机设置访问凭证的方法；至此我们便无需重复输入密码。

您可以在主机登录凭证中指定访问主机的用户名、密码（密钥），并关联相应的主机，同时可以指定该登录凭证是仅限自己使用还是分享给团队使用，从而约束并规范当前团队访问主机的接入方式

1、点击主机 --》安全审计

2、创建登录凭证

登录凭证管理 --》创建新的主机登录凭证 --》选择远程连接方式 --》自定义凭证名称 ——》在主机登录凭证中指定访问主机的用户名、密码（密钥）--》确认

2.1、使用密码登录

2.2、使用密钥的方式登录

方式1、从本地上传密钥对

方式2、选择使用密钥对

接下来需要进行微信的绑定，因为我们在新增关键设备运维策略里设置了双因子认证（并选择的是微信认证）。

绑定完毕，再次登录，可以看到双因子验证已经生效。

打开微信（输入验证码即可登录）

敏感指令的审计

行云管家提供体系化的指令审计规则，尤其针对rm 等敏感指令可以进行阻断响应或触发审核操作，审核不通过的敏感指令将会被拦截，以实现安全监管的目的，保障运维操作的合规、安全、可控。

大家在设置策略匹配规则的时候，推荐大家使用正则匹配的方式（因为我们使用完全匹配的方式就会绕过/bin/rm等命令）

如果设置成完全匹配（用户可以绕过 /bin/rm 和 /usr/bin/rm 等命令）

如果设置成正则匹配只要有 rm 就会被拦截（大家根据自己的需要来设置）

至此，我们便实现了管理不同云厂商主机并通过登录策略实现快捷登录并全程审计录像和高危指令的拦截审核、远程协作、文件上传下载。以上就是行云管家堡垒机的使用方法，作为企业用户来讲，使用运维堡垒机是必然选择，行云管家堡垒机是国内领先的运维堡垒机品牌，在IT运维领域长达10年的沉淀和积累，同时也是市面上首款也是唯一一款支持Windows2012/2016系统操作指令审计的运维堡垒机。