新建命令控制策略]

针对SSH和Telnet字符协议主机，根据管理员配置的策略限制，Guacd代理对用户运维过程中执行的命令进行审计和过滤，并返回审计的命令、过滤结果和命令返回的内容，用于会话操作记录、动态授权、断开连接等动作。

命令控制策略支持以下功能项：

1 支持按策略列表页策略排序区分优先级，排序越靠前优先级越高。

2 支持控制允许执行、拒绝执行、断开连接、动态授权四种命令动作。

• 允许执行：触发该策略规则后，放行命令操作。默认允许执行所有操作。
• 拒绝执行：触发该策略规则后，拒绝执行该命令，界面提示“命令“xxx”已被拦截”。
• 断开连接：触发该策略规则后，拒绝执行该命令，断开会话连接，界面提示“本次连接已被管理员强制断开！”
• 动态授权：触发该策略规则后，拒绝执行该命令，界面提示“命令“xxx”已被拦截，请提交命令授权工单申请动态授权”，同时生成命令授权工单。用户需提交工单，并审核通过后，才能继续执行该命令。

约束限制

仅SSH和Telnet协议类型的Linux主机，支持命令控制策略设置操作细粒度控制。

前提条件

已获取“命令控制策略”模块操作权限。

新建命令控制策略

1 登录云堡垒机系统。

2 选择“策略 > 命令控制策略 > 策略列表”，进入命令控制策略列表页面。

策略列表页面

3 单击“新建”，弹出新建策略窗口。

说明

选择一个策略，单击“更多 > 插入”，亦可新建命令控制策略。配置完成后，在已创建的策略前新建一个策略。

4 配置策略基本信息。

配置策略基本信息

策略基本信息参数说明

5 单击“下一步”，关联命令或命令集。

• 关联命令：可设置多个命令，每行输入一条命令。详细设置说明请参见4.7.2.4 自定义关联命令。l
• 关联命令集：关联已创建的命令集。详细命令集说明请参见4.7.2.3 管理命令集。

关联命令

6 单击“下一步”，关联用户或用户组。

• 当用户组关联策略后，新用户加入到用户组中会自动继承用户组的策略权限。

关联用户

7 关联资源账户或帐户组，选择已创建资源账户或帐户组。

• 当帐户组关联策略后，新帐户加入到帐户组中会自动赋予帐户组的策略权限。

关联资源账户

8 单击“确定”，返回策略列表页面，查看新建的命令控制策略。

用户在运维过程中，触发策略规则，即会被限制相关操作。

说明

“关联用户”和“关联用户组”中用户需提交命令授权工单权限，即已配置拥有命令授权工单权限的“角色”。否则用户登录系统后无法查看命令授权工单模块，不能提交工单获取权限。

后续管理

命令控制策略创建完成后，可在策略列表页面，管理已创建策略，包括管理关联用户或资源、删除策略、启停策略、策略排序等。

• 若需补充关联用户或资源，可单击“关联”，快速关联用户、用户组、资源账户、帐户组。
• 若需删除策略，可选择目标策略，单击“删除”，立即删除策略。
• 若需禁用策略授权，可勾选一个或多个“已启用”状态的策略，单击“禁用”，策略状态变更为“已禁用”，策略授权立即失效。
• 若需排序策略优先等级，可选中策略行上下拖动策略，改变策略排序。

查询和修改命令控制策略

若命令控制策略有变更，例如运维人员有变动，授权资源权限有变化等。可查看和修改已创建的策略配置，包括修改策略基本信息、修改关联密码或命令集。修改关联用户或用户组、修改关联资源账户或帐户组等。

• 修改策略配置，且策略状态为“已启用”时，策略规则才生效。
• 修改策略配置后，若关联用户已登录资源，需退出登录重新连接，相关策略规则在下一次运维操作时才会生效。

前提条件

已获取“命令控制策略”模块操作权限。

查看和修改策略配置

1 登录云堡垒机系统。

2 选择“策略 > 命令控制策略”，进入命令控制策略列表页面。

3 查询命令控制策略。

• 快速查询

在搜索框中输入关键字，根据策略名称、用户、资源名称、主机地址、资源账户、命令集、命令/参数等快速查询策略。

• 高级搜索

在相应属性搜索框中分别关键字，精确查询策略。

高级搜索

4 单击目标策略名称，或者单击“管理”，进入策略详情页面。

查看策略配置

5 查看和修改策略基本信息。

在“基本信息”区域，单击“编辑”，弹出基本信息编辑窗口，即可修改策略的基本信息。

可修改信息包括“策略名称”、“有效期”、“执行动作”、“时间限制”等。

查看策略基本信息

6 查看和修改策略关联的命令。

• 在“命令”区域，单击“编辑”，弹出关联命令窗口，可立即修改命令参数。
• 单击“移除”，可立即删除该关联命令。

查看关联命令

7 查看和修改策略关联的命令集。

• 在“命令集”区域，单击“编辑”，弹出关联命令集窗口，可立即添加或移除关联的命令集。
• 在相应命令集行，单击“移除”，可立即删除该关联命令集。

查看关联命令集

8 查看和修改策略关联的用户。

• 在“用户”区域，单击“编辑”，弹出关联用户窗口，可立即添加或移除关联的用户。
• 在相应用户行，单击“移除”，可立即删除该关联用户，取消授权。

查看关联用户

9 查看和修改策略关联的用户组。

• 在“用户组”区域，单击“编辑”，弹出关联用户组窗口，可立即添加或移除关联的用户组。
• 在相应用户组行，单击“移除”，可立即删除该关联用户组，取消授权。

查看关联用户组

10 查看和修改策略关联的资源账户。

• 在“资源账户”区域，单击“编辑”，弹出关联资源账户窗口，可立即添加或移除关联的资源账户。
• 在相应资源账户行，单击“移除”，可立即删除该资源账户，取消授权。

查看关联资源账户

11 查看和修改策略关联的帐户组。

• 在“帐户组”区域，单击“编辑”，弹出关联帐户组窗口，可立即添加或移除关联的帐户组。
• 在相应帐户组行，单击“移除”，可立即删除该帐户组，取消授权。

查看关联帐户组

管理命令集

为简化添加大量命令的繁琐操作，可查询并添加常见命令参数，包括Linux主机和网络设备常见命令参数。

本小节主要介绍如何新建关联命令集、查看命令集、修改命令集、删除命令集。

前提条件

已获取“命令控制策略”模块操作权限。

新建命令集

1 登录云堡垒机系统。

2 选择“策略 > 命令控制策略 > 命令集”，进入命令集列表页面。

命令集列表页面

3 创建命令集。

单击“新建”，弹出新建命令集窗口。

配置命令集名称。

系统内“命令集名称”不能重复

单击“确定”，返回规则集列表页面，查看新建的命令集。

新建命令集

4 添加命令集规则。

在目标命令集行，单击“操作”列的“添加命令”，弹出添加命令窗口。

选择命令集合或者单条命令。

目前系统预置了“Linux系统”和“网络设备”常见命令和参数。

单击“确定”，命令添加完成。

添加命令

查询和修改命令集

1 登录云堡垒机系统。

2 选择“策略 > 命令控制策略 > 命令集”，进入命令集列表页面。

命令集列表

3 查询命令集。

快速查询：在搜索框中输入关键字，根据命令集名称、命令/参数等快速查询策略。

4 单击命令集名称，或者单击“管理”，进入命令集详情页面。

命令集详情

5 查看和修改命令集基本信息。

在“基本信息”区域，单击“编辑”，弹出基本信息编辑窗口，即可修改命令集的基本信息。

可修改信息包括“命令集名称”，“部门”不可修改。

6 查看和修改命令参数。

• 在“命令”区域，单击“添加”，弹出添加命令窗口，可立即添加预置的命令参数。
• 单击“移除”，可立即删除该命令参数。

查看命令参数

删除命令集

1 登录云堡垒机系统。

2 选择“策略 > 命令控制策略 > 命令集”，进入命令集列表页面。

3 单击指定命令集“操作”列的“删除”，可删除该命令集。

4 同时勾选多个命令集，单击列表下方的“删除”，可以批量删除多个命令集。

自定义关联命令

命令控制策略关联的自定义的命令，关联命令后，在执行相关命令或参数时，触发拦截和允许操作。

自定义关联命令

自定义关联命令大小写敏感，严格按照设置的关联命令进行审核和过滤，若执行命令与设置命令不一致，则不能触发策略规则。详细设置说明和示例，请参考如下说明：

• 支持单命令格式。

如设置拒绝执行查询命令，即设置关联命令为 ls ，执行单命令操作时触发策略规则。

• 支持命令路径格式。

如设置动态授权查询日志，即设置关联命令为 ls /var/log/ ，执行命令参数操作时触发策略规则。此时若执行 ls /var/log ，则无法触发策略拦截规则。

• 支持命令带“ ”通配符，“ ”表示任意多个字符。

如设置拒绝执行所有删除命令，即设置关联命令为 rm *** ，执行命令加任意参数触发策略拦截，如执行 rm -rf 。 此时若执行rm**命令本身，则不会触发策略拦截规则。

• 支持命令带“?”通配符，“?”表示任意单个字符，输入几个“?”就代表几个未知字符。

如设置拒绝执行删除两个字符名称的文件或目录，即设置关联命令为 rm -rf ?? ，执行命令加任意两个字符触发策略拦截，如执行 rm -rf ts 。此时若执行 rm -rf test ，则不会触发策略拦截规则。

• 支持命令带“[]”通配符，“[]”表示框内的任意字符、范围、取反（使用“|”或“^”取反）。

如设置动态授权删除带abcd名称的文件或目录，即设置关联命令为 rm -rf [abcd] ，执行命令加任意abcd字符触发策略拦截，如执行 rm -rf cloud 。此时若执行rm -rf test或 rm -rf ABCD ，则不会触发策略拦截规则。