云堡垒机实例与云堡垒机系统的区别是什么？

一个云堡垒机实例代表了一个独立运行的云堡垒机系统。

用户可以登录管理控制台，选择“安全与合规 > 云堡垒机”，然后在云堡垒机管理控制台申请和管理实例。

云堡垒机系统是云堡垒机实际运维功能核心，后台采用EulerOS操作系统，包含用户管理、资源管理、策略、审计和工单等功能模块，支持对Windows或Linux等操作系统的主机提供安全管控保护。

云堡垒机系统有哪些安全加固措施？

云堡垒机有完整的安全生命周期管理，从系统开发过程的安全编码规范，到经过严格安全漏洞扫描、渗透测试等安全性测试，并通过了公安部门的安全检测，符合“网络安全法”等法律法规，满足合规性规范审查要求，达到信息安全等级评定Ⅲ级标准。

系统数据安全

• 登录安全：镜像加密，SSH远程登录安全加固，内核参数安全加固，系统账户口令使用强密码并且默认登录失败超过3次将锁定登录。
• 数据安全：敏感信息加密存储，系统根密钥独立动态生成。
• 应用安全：防SQL注入攻击、防CSV注入攻击、防XSS恶意攻击、API接口认证机制。

系统安全

• 系统全自动化安装，LUKS加密用户系统数据盘。
• 系统自带防火墙功能，防止常规网络攻击，例如暴力破解等。
• 统一HTML5方式访问入口，仅开放一个系统Web访问端口，减少攻击面。
• 针对SSH登录参数配置加固，提高SSH登录系统的安全性。

资产数是什么？

资产数表示云堡垒机管理的虚拟机等设备上运行的资源数，资源数是同一个虚拟机对应的需要运维的协议和应用总数。

受CBH资产版本规格限制，CBH系统管理的资源总数，不能超过当前版本规格的 资产数 。

资产数不以CBH系统所管理虚拟机等设备的数量计算，而是以所管理虚拟机上资源的数量计算，一个虚拟机内可能有多种资源形式，包括不同协议的主机，不同类型的应用等。

例如，目前有一台虚拟机，在云堡垒机中添加这台虚拟机的资源，分别添加了2个RDP、1个TELNET和1个MySQL协议的主机资源，以及1个Chrome浏览器的应用资源，那么当前管理的资产数即为5，而不是1。

并发数是什么？

并发数是指云堡垒机上同一时刻连接的运维协议连接数。

云堡垒机系统对登录用户数没有限制，可无限创建用户。但是同时刻不同用户连接协议总数，不能超过当前版本规格的并发数 。

例如，10个运维人员同时通过云堡垒机运维设备，假设平均每个人产生5条协议连接（例如通过SSH客户端、MySQL客户端进行远程连接），则并发数等于50。

云堡垒机支持统一管理企业ERP上云、SAP上云等业务吗？

支持。

云堡垒机与云上业务网络通畅情况下，可通过安装应用发布服务器，依赖Windows系统的远程桌面服务，接入ERP生产系统、ERP容灾系统、SAP生产系统、SAP开发/测试系统、SAP Router、SAP Hybris等典型场景的应用、数据库或网页，将ERP和SAP上云业务作为一个网页或应用来审计和录屏操作，实现对企业上云业务的统一管理。

自动化运维包括哪些内容？

云堡垒机“专业版”支持自动化运维功能，可将复杂运维精准化和效率化。自动化运维主要包括资源账户同步、脚本线上管理、多资源快速运维，以及多步骤自动运维。

• 资源账户同步：通过账户同步功能，可以实现对主机上资源账户的有效监管，及时发现僵尸账户或未纳管账户，加强对资产的管控。
• 脚本线上管理：支持管理Python和Shell两种脚本格式，通过导入脚本文件或在线编辑脚本，在云堡垒机系统一体化管理和运行脚本。
• 多资源快速运维：支持快速将命令或脚本在多个SSH协议资源上执行，并根据发起的命令和脚本，返回相应执行结果；此外，还支持将一个或多个文件上传到多个资源上，并返回文件上传结果。
• 多步骤自动运维：支持分步骤同时对多个SSH协议资源批量执行多种运维操作，可同时运维操作包括执行命令、执行脚本、传输文件。运维任务执行后，按照步骤顺序依次自动执行操作，并返回执行结果。

如何获取企业协议号码？

用户在配置云堡垒机安装远程桌面服务，创建一个应用发布服务器时，需要输入企业协议号码授权，企业协议号非免费提供套件。

云堡垒机不提供企业协议号，应用发布服务器为第三方管理插件，企业协议号需要客户自行申购。类似于客户申购了Windows系统，但Office套件并非免费提供，需要客户单独申购。

使用云堡垒机时需要配置哪些端口？

为了能正常使用云堡垒机，实例和资源安全组端口配置可参考表。

入/出方向规则配置参考

云堡垒机可以管理多个子网的资源吗？

可以。

子网是属于VPC的资源，同一VPC内的子网可以进行通信，即云堡垒机可以直接管理同一VPC多个子网内的资源，且同一VPC不同子网下的云堡垒机可以通信。

堡垒机和主机必须要在同一个区域，同一个VPC下。跨VPC的子网默认不能通信，受限于跨VPC场景下网络的复杂性和网段冲突的可能性，不建议跨VPC使用云堡垒机管理资源。

云堡垒机支持管理哪些数据库？

云堡垒机支持通过或两种方式管理数据库，可管理多种协议类型的云上数据库。主机运维方式提供增删改查操作命令审计。应用运维方式提供操作会话视频审计。

• 标准版仅支持应用运维方式，不支持直接运维数据库，需要建立应用发布服务器才可以运维数据库。
• 专业版支持主机运维和应用运维两种方式，支持直接运维数据库。

主机运维方式

目前云堡垒机主机运维，支持管理四种协议类型的云上数据库，包括MySQL、SQL Server、Oracle、DB2协议类型，暂不支持管理PostgreSQL协议类型。云堡垒机支持数据库协议类型、版本，以及支持调用的数据库客户端软件版本，请参见表。

支持数据库协议类型、版本和数据库客户端

应用运维方式

云堡垒机通过应用运维方式管理数据库，支持对以下系统版本的应用进行管理：

支持对Centos7.9系统的Linux服务器的数据库应用进行管理。

Linux服务器仅支持调用达梦数据库V8的应用。

云堡垒机支持直接配置并调用的Linux服务器的数据库客户端如表14-3所示。

支持直接调用的Linux服务器的数据库客户端

云堡垒机支持IAM细粒度管理吗？

支持。

统一身份认证（Identity and Access Management，IAM）是提供权限管理的基础服务。默认情况下，新建的IAM用户没有任何权限，您需要授权IAM用户后，IAM用户才可以基于已有权限对云服务进行操作。CBH服务已开通IAM细粒度权限管理功能，通过IAM权限管理，可对CBH实例的购买、升级、变更规格等关键操作进行细粒度授权。

此外，CBH系统管理和运维资源，在云堡垒机系统内配置“用户登录限制”、“访问控制策略”等，细粒度管理用户访问、操作资源的权限。但该功能是CBH系统本身的权限管理功能，IAM不为CBH系统提供权限管理功能。

云堡垒机是否支持纳管云下服务器？

您购买云下服务器，只要与云堡垒机网络互通并且协议互相支持，就可以通过云堡垒机纳管相应服务器。

通过天翼云控制台创建的ECS，会自动关联到云堡垒机吗？

通过天翼云控制台创建的弹性云服务器（ECS），不会自动关联到云堡垒机。