命令控制策略用于控制用户访问资源的关键操作权限，实现Linux主机运维操作的细粒度控制。
新建命令控制策略
针对SSH和Telnet字符协议主机，根据管理员配置的策略限制，Guacd代理对用户运维过程中执行的命令进行审计和过滤，并返回审计的命令、过滤结果和命令返回的内容，用于会话操作记录、动态授权、断开连接等动作。
命令控制策略支持以下功能项：
1 支持按策略列表页策略排序区分优先级，排序越靠前优先级越高。
2 支持控制允许执行、拒绝执行、断开连接、动态授权四种命令动作。
- 允许执行：触发该策略规则后，放行命令操作。默认允许执行所有操作。
- 拒绝执行：触发该策略规则后，拒绝执行该命令，界面提示“命令“xxx”已被拦截”。
- 断开连接：触发该策略规则后，拒绝执行该命令，断开会话连接，界面提示“本次连接已被管理员强制断开！”
- 动态授权：触发该策略规则后，拒绝执行该命令，界面提示“命令“xxx”已被拦截，请提交命令授权工单申请动态授权”，同时生成命令授权工单。用户需提交工单，并审核通过后，才能继续执行该命令。
约束限制
仅SSH和Telnet协议类型的Linux主机，支持命令控制策略设置操作细粒度控制。
前提条件
已获取“命令控制策略”模块操作权限。
新建命令控制策略
1 登录云堡垒机系统。
2 选择“策略 > 命令控制策略 > 策略列表”，进入命令控制策略列表页面。
3 单击“新建”，弹出新建策略窗口。
选择一个策略，单击“更多 > 插入”，亦可新建命令控制策略。配置完成后，在已创建的策略前新建一个策略。
4 配置策略基本信息。
策略基本信息参数说明
| 参数 | 说明 |
|---|---|
| 策略名称 | 自定义的命令控制策略名称，系统内“策略名称”不能重复。 |
| 执行动作 | 选择策略控制用户的执行动作。 包括“断开连接”、“拒绝执行”、“动态授权”、“允许执行”。 断开连接：当会话执行策略生效的命令时，直接断开会话。 拒绝执行：当会话执行策略生效的命令时，直接拒绝命令的执行。 动态授权：当会话执行策略生效的命令时，直接拒绝命令的执行，需要向管理员提交审批，管理员通过之后才能执行。 允许执行：当会话执行策略生效的命令时，允许执行。 |
| 有效期 | 策略生效时间和策略的失效时间。 |
| 时段限制 | 限制策略的生效时间段。 |
5 单击“下一步”，关联命令或命令集。
- 关联命令：可设置多个命令，每行输入一条命令。详细设置说明请参见4.7.2.4 自定义关联命令。
- 关联命令集：关联已创建的命令集。详细命令集说明请参见4.7.2.3 管理命令集。
6 单击“下一步”，关联用户或用户组。
- 当用户组关联策略后，新用户加入到用户组中会自动继承用户组的策略权限。
关联用户
7 关联资源账户或帐户组，选择已创建资源账户或帐户组。
- 当帐户组关联策略后，新帐户加入到帐户组中会自动赋予帐户组的策略权限。
关联资源账户
8 单击“确定”，返回策略列表页面，查看新建的命令控制策略。
用户在运维过程中，触发策略规则，即会被限制相关操作。
“关联用户”和“关联用户组”中用户需提交命令授权工单权限，即已配置拥有命令授权工单权限的“角色”。否则用户登录系统后无法查看命令授权工单模块，不能提交工单获取权限。
后续管理
命令控制策略创建完成后，可在策略列表页面，管理已创建策略，包括管理关联用户或资源、删除策略、启停策略、策略排序等。
- 若需补充关联用户或资源，可单击“关联”，快速关联用户、用户组、资源账户、帐户组。
- 若需删除策略，可选择目标策略，单击“删除”，立即删除策略。
- 若需禁用策略授权，可勾选一个或多个“已启用”状态的策略，单击“禁用”，策略状态变更为“已禁用”，策略授权立即失效。
- 若需排序策略优先等级，可选中策略行上下拖动策略，改变策略排序。
查询和修改命令控制策略
若命令控制策略有变更，例如运维人员有变动，授权资源权限有变化等。可查看和修改已创建的策略配置，包括修改策略基本信息、修改关联密码或命令集。修改关联用户或用户组、修改关联资源账户或帐户组等。
- 修改策略配置，且策略状态为“已启用”时，策略规则才生效。
- 修改策略配置后，若关联用户已登录资源，需退出登录重新连接，相关策略规则在下一次运维操作时才会生效。
前提条件
已获取“命令控制策略”模块操作权限。
查看和修改策略配置
1 登录云堡垒机系统。
2 选择“策略 > 命令控制策略”，进入命令控制策略列表页面。
3 查询命令控制策略。
- 快速查询
在搜索框中输入关键字，根据策略名称、用户、资源名称、主机地址、资源账户、命令集、命令/参数等快速查询策略。
- 高级搜索
在相应属性搜索框中分别关键字，精确查询策略。
高级搜索
4 单击目标策略名称，或者单击“管理”，进入策略详情页面。
查看策略配置
5 查看和修改策略基本信息。
在“基本信息”区域，单击“编辑”，弹出基本信息编辑窗口，即可修改策略的基本信息。
可修改信息包括“策略名称”、“有效期”、“执行动作”、“时间限制”等。
查看策略基本信息
6 查看和修改策略关联的命令。
- 在“命令”区域，单击“编辑”，弹出关联命令窗口，可立即修改命令参数。
- 单击“移除”，可立即删除该关联命令。
查看关联命令
7 查看和修改策略关联的命令集。
- 在“命令集”区域，单击“编辑”，弹出关联命令集窗口，可立即添加或移除关联的命令集。
- 在相应命令集行，单击“移除”，可立即删除该关联命令集。
查看关联命令集
8 查看和修改策略关联的用户。
- 在“用户”区域，单击“编辑”，弹出关联用户窗口，可立即添加或移除关联的用户。
- 在相应用户行，单击“移除”，可立即删除该关联用户，取消授权。
查看关联用户
9 查看和修改策略关联的用户组。
- 在“用户组”区域，单击“编辑”，弹出关联用户组窗口，可立即添加或移除关联的用户组。
- 在相应用户组行，单击“移除”，可立即删除该关联用户组，取消授权。
查看关联用户组
10 查看和修改策略关联的资源账户。
- 在“资源账户”区域，单击“编辑”，弹出关联资源账户窗口，可立即添加或移除关联的资源账户。
- 在相应资源账户行，单击“移除”，可立即删除该资源账户，取消授权。
查看关联资源账户
11 查看和修改策略关联的帐户组。
- 在“帐户组”区域，单击“编辑”，弹出关联帐户组窗口，可立即添加或移除关联的帐户组。
- 在相应帐户组行，单击“移除”，可立即删除该帐户组，取消授权。
查看关联帐户组
管理命令集
为简化添加大量命令的繁琐操作，可查询并添加常见命令参数，包括Linux主机和网络设备常见命令参数。
本小节主要介绍如何新建关联命令集、查看命令集、修改命令集、删除命令集。
前提条件
已获取“命令控制策略”模块操作权限。
新建命令集
1 登录云堡垒机系统。
2 选择“策略 > 命令控制策略 > 命令集”，进入命令集列表页面。
命令集列表页面
3 创建命令集。
单击“新建”，弹出新建命令集窗口。
配置命令集名称。
系统内“命令集名称”不能重复
单击“确定”，返回规则集列表页面，查看新建的命令集。
新建命令集
4 添加命令集规则。
在目标命令集行，单击“操作”列的“添加命令”，弹出添加命令窗口。
选择命令集合或者单条命令。
目前系统预置了“Linux系统”和“网络设备”常见命令和参数。
单击“确定”，命令添加完成。
添加命令
查询和修改命令集
1 登录云堡垒机系统。
2 选择“策略 > 命令控制策略 > 命令集”，进入命令集列表页面。
命令集列表
3 查询命令集。
快速查询：在搜索框中输入关键字，根据命令集名称、命令/参数等快速查询策略。
4 单击命令集名称，或者单击“管理”，进入命令集详情页面。
命令集详情
5 查看和修改命令集基本信息。
在“基本信息”区域，单击“编辑”，弹出基本信息编辑窗口，即可修改命令集的基本信息。
可修改信息包括“命令集名称”，“部门”不可修改。
6 查看和修改命令参数。
- 在“命令”区域，单击“添加”，弹出添加命令窗口，可立即添加预置的命令参数。
- 单击“移除”，可立即删除该命令参数。
查看命令参数
删除命令集
1 登录云堡垒机系统。
2 选择“策略 > 命令控制策略 > 命令集”，进入命令集列表页面。
3 单击指定命令集“操作”列的“删除”，可删除该命令集。
4 同时勾选多个命令集，单击列表下方的“删除”，可以批量删除多个命令集。
自定义关联命令
命令控制策略关联的自定义的命令，关联命令后，在执行相关命令或参数时，触发拦截和允许操作。
自定义关联命令大小写敏感，严格按照设置的关联命令进行审核和过滤，若执行命令与设置命令不一致，则不能触发策略规则。详细设置说明和示例，请参考如下说明：
- 支持单命令格式。如设置拒绝执行查询命令，即设置关联命令为 ls ，执行单命令操作时触发策略规则。
- 支持命令路径格式。如设置动态授权查询日志，即设置关联命令为 ls /var/log/ ，执行命令参数操作时触发策略规则。此时若执行 ls /var/log ，则无法触发策略拦截规则。
- 支持命令带“ ”通配符，“ ”表示任意多个字符。如设置拒绝执行所有删除命令，即设置关联命令为 rm *** ，执行命令加任意参数触发策略拦截，如执行 rm -rf 。 此时若执行rm**命令本身，则不会触发策略拦截规则。
- 支持命令带“?”通配符，“?”表示任意单个字符，输入几个“?”就代表几个未知字符。如设置拒绝执行删除两个字符名称的文件或目录，即设置关联命令为 rm -rf ?? ，执行命令加任意两个字符触发策略拦截，如执行 rm -rf ts 。此时若执行 rm -rf test ，则不会触发策略拦截规则。
- 支持命令带“[]”通配符，“[]”表示框内的任意字符、范围、取反（使用“|”或“^”取反）。如设置动态授权删除带abcd名称的文件或目录，即设置关联命令为 rm -rf [abcd] ，执行命令加任意abcd字符触发策略拦截，如执行 rm -rf cloud 。此时若执行rm -rf test或 rm -rf ABCD ，则不会触发策略拦截规则。
