工单配置管理

配置工单模式

系统工单模式是指用户在申请资源访问权限时，可通过工单申请资源的范围，以及提交工单的方式。

• “基本模式”通过选择资源范围，简单限定访问控制工单申请范围；同时通过选择工单提交方式，可指定命令控制工单的提交方式。
• “高级模式”针对访问授权工单，从用户部门、用户角色、资源部门多维度限定用户可访问资源的范围。

配置用户部门后，该部门内的用户即形成用户池，只有用户池的用户才能申请资源池中的资源。

如果未配置用户角色，则用户池内所有角色的用户均可申请资源池中的资源。

如果配置了用户角色，则用户池中只有相应角色的用户才能申请资源池中的资源。

• 用户池指根据用户部门、用户角色限制的用户范围。关联部门或角色后，该部门或角色的用户能够申请资源池内资源。
• 资源池指根据资源部门限定的资源范围。关联的部门之后，该部门的资源能够被用户池内的用户申请。

前提条件

已获取“系统”模块管理权限。

配置基本工单模式

1 登录云堡垒机系统。

2 选择“系统 > 系统配置 > 工单配置”，进入系统工单配置管理页面。

系统工单配置

3 在“基本模式”区域，单击“编辑”，弹出基本工单模式配置窗口。

设置用户可以查看的资源范围，以及命令授权工单的提交方式。

配置基本模式

基本模式参数说明

4 单击“确认”，返回工单配置管理页面，可查看已配置的基本工单模式配置。

查看基本工单模式配置

配置高级工单模式

1 登录云堡垒机系统。

2 选择“系统 > 系统配置 > 工单配置”，进入系统工单配置管理页面。

3 在“高级模式”区域，单击“添加”，弹出高级工单模式配置窗口。

4 配置用户池。

选择用户部门或用户角色。

5 单击“下一步”，配置资源池。

6 单击“确定”，返回系统工单配置管理页面，查看高级模式配置。

后续管理

• 若需修改高级模式资源池和用户池，可单击“编辑”，在弹出的高级模式编辑窗口重新选择用户或资源范围。
• 若不再需要该高级模式限制 ，可在单击“删除”。删除后认证信息不能找回，请谨慎操作。

配置工单审批流程

系统工单审批流程是指用户提交工单后，工单审批通过的策略。可从审批流程方式、审批形式、审批节点、审批级数、终审节点等维度，自定义系统工单审批流程，加强对工单审批流程的管理。

• 审批流程

包括分级流程和固定流程。分级流程适用于部门内部审批的场景，固定流程适用于跨部门审批的场景。

• 审批形式

审批环节中多名审批人时审批通过方式，包括多人审批和会签审批。多人审批是任意一名审批人同意，即审批通过；会签审批是需所有审批人同意，审批才通过。

• 审批节点

审批环节中审批人的属性，包括部门和角色属性，符合部门和角色要求的部门管理员拥有审批权限。

• 审批级数

审批环节的数量，选择分级流程后必须确定审批级数。

• 终审节点

各级审批环节后，由系统管理员admin进行最终审批的一个环节。

本小节主要介绍如何配置系统工单审批流程。

前提条件

已获取“系统”模块管理权限。

操作步骤

1 登录云堡垒机系统。

2 选择“系统 > 系统配置 > 工单配置”，进入系统工单配置管理页面。

系统工单配置

3 在“审批流程”区域，单击“编辑”，弹出审批流程配置窗口。

配置审批流程的各项参数。

配置审批流程

工单审批流程参数说明

4 单击“确定”，返回系统工单配置管理，可查看已配置的审批流程。

查看审批流程配置

访问授权工单

当运维用户不具备某些资源访问控制权限时，可主动提交工单，申请相应资源访问控制权限。

本小节主要介绍如何创建和管理访问授权工单。

前提条件

已获取“访问授权工单”模块管理权限。

操作步骤

1 登录云堡垒机系统。

2 选择“工单 > 访问授权工单”，进入访问控制工单列表页面。

访问控制工单列表页面

3 单击“新建”，弹出新建访问授权工单窗口。

配置访问授权工单基本信息。

配置工单基本信息

访问授权工单基本信息说明

4 单击“下一步”，选择待访问资源账户。

选择资源账户

5 单击“确定”，提交工单申请，返回工单列表页面。

管理员审批工单后，即可拥有资源的访问控制权限。

后续管理

• 提交工单申请后，相关管理员即可在“消息中心”收到提醒，查看详细工单内容。并可在工单审批页面收到工单，可对工单进行批准或驳回操作。
• 提交工单申请后，若需修改已提交的工单，可单击“撤回”，取消已提交的工单申请，工单状态变为“已撤回”。
• 创建工单后，若需查看工单和修改工单信息，可单击“管理”，进入工单详情页面查看和修改工单信息。

• “审批中”状态的工单仅能查看工单详情信息，不能修改工单内容。“已撤回”和“待提交”状态的工单才能被修改。
• 若已提交的工单已过期，可单击“删除”，管理工单列表。亦可勾选多条工单，单击列表左下角删除，批量删除工单。

• 删除后工单信息不能找回，请谨慎操作。

命令授权工单

云堡垒机支持对Linux主机操作进行“动态授权”管理，加强对敏感操作的限制管理。

当运维用户登录Linux主机进行运维操作时，触发“动态授权”命令控制策略的操作命令，系统会自动拦截操作命令，生成命令授权工单。管理员将会收到工单审批申请。当管理员用户批准工单后，运维用户才有执行该Linux“动态授权”操作命令的权限。

命令被拦截示例

本小节主要介绍如何管理命令控制工单。

约束限制

• 仅SSH和Telnet协议类型的Linux主机，支持拦截敏感操作生成工单。
• 命令授权工单由运维用户触发命令策略，自动创建，不能手动创建。

前提条件

• 已获取“命令授权工单”模块管理权限。
• 已触发命令拦截，生成命令授权工单。

操作步骤

1 登录云堡垒机系统。

2 选择“工单 > 命令授权工单”，进入命令授权工单列表页面。

命令授权工单

3 提交工单。

• 命令授权工单可通过“自动提交”和“手动提交”。工单提交方式说明请参见配置工单基本模式。
• 若为自动提交方式，则由系统自动提交工单给管理员审批。
• 若为手动提交方式，则需运维用户在工单列表页面，单击指定工单“操作”列的“提交”，手动提交工单给管理员审批。
• 若工单被管理员驳回，可修改工单信息后再次提交工单。

已提交工单状态

4 撤回工单。

单击指定工单“操作”列的“撤回”，即可取消已提交的工单申请，工单状态变为“已撤回”。

5 修改工单信息。

• 单击“管理”，进入工单详情页面，即可查看工单基本信息。
• 单击工单详情页面编辑，即可修改工单授权运维时间。
• “审批中”状态的工单仅能查看工单详情信息，不能修改工单内容。“已撤回”和“待提交”状态的工单才能被修改。

6 删除工单。

• 单击指定工单“操作”列的“删除”，可以删除该工单。
• 同时勾选多个工单，单击列表下方的“删除”，批量删除多个工单。

说明

• 删除后工单信息不能找回，请谨慎操作。

后续管理

• 运维用户提交工单后，相关管理员即可在“消息中心”收到提醒，查看详细工单内容。并可在工单审批页面收到工单，可对工单进行批准或驳回操作。

• 相关管理员审批工单通过后，运维用户权限立刻生效，即可在授权范围和时间段拥有命令操作权限。

• 相关管理员撤销工单权限后，运维用户权限立刻失效，操作命令会再次被拦截。

数据库授权工单

云堡垒机支持对数据库操作进行“动态授权”管理，加强对数据库关键操作的限制管理。

当运维用户登录数据库进行运维操作时，触发“动态授权”数据库控制策略的操作命令，系统会自动拦截操作命令，生成数据库授权工单。管理员将会收到工单审批申请。当管理员用户批准工单后，运维用户才有执行该数据库“动态授权”操作命令的权限。

本小节主要介绍如何管理数据库授权工单。

约束限制

• 仅专业版实例支持数据库运维操作审计。

• 仅针对MySQL和Oracle类型数据库，支持拦截敏感操作生成工单。

• 数据库授权工单由运维用户触发命令策略，自动创建，不能手动创建。

前提条件

• 已获取“数据库授权工单”模块管理权限。

• 已触发操作拦截，生成数据库授权工单。

操作步骤

1 登录云堡垒机系统。

2 选择“工单 > 数据库授权工单”，进入数据库授权工单页面。

数据库授权工单列表

3 提交工单。

• 单击指定工单“操作”列的“提交”，手动提交工单给管理员审批。

• 若工单被管理员驳回，可修改工单信息后再次提交工单。

4 撤回工单。

单击指定工单“操作”列的“撤回”，即可取消已提交的工单申请，工单状态变为“已撤回”。

5 修改工单信息。

• 单击“管理”，进入工单详情页面，即可查看工单基本信息。

• 单击工单详情页面编辑，即可修改工单授权运维时间。

说明

“审批中”状态的工单仅能查看工单详情信息，不能修改工单内容。“已撤回”和“待提交”状态的工单才能被修改。

6 删除工单。

• 单击指定工单“操作”列的“删除”，可以删除该工单。

• 同时勾选多个工单，单击列表下方的“删除”，批量删除多个工单。

说明

删除后工单信息不能找回，请谨慎操作。

后续管理

• 运维用户提交工单后，相关管理员即可在“消息中心”收到提醒，查看详细工单内容。并可在工单审批页面收到工单，可对工单进行批准或驳回操作。

• 相关管理员审批工单通过后，运维用户权限立刻生效，即可在授权范围和时间段拥有操作权限。

• 相关管理员撤销工单权限后，运维用户权限立刻失效，操作命令会再次被拦截。

审批系统工单

运维用户提交工单申请或者触发命令工单后，工单流转到系统指定的审批人处。审批人可在“消息中心”收到工单审批提醒，此时可在工单审批列表中查看到待审批的工单。

本小节主要介绍如何管理已提交审批工单，包括查看工单详情、审批工单、驳回工单、撤销工单授权等。

前提条件

已获取“工单审批”模块管理权限。

操作步骤

1 登录云堡垒机系统。

2 选择“工单 > 工单审批”，进入审批工单列表页面。

审批工单列表

3 查看工单详情。

单击目标工单“操作”列的“管理”，进入工单详情页面，即可查看工单详细信息，包括工单基本信息、资源账户列表、审批人列表。

查看工单详细信息

4 批准工单。

• 单击目标工单“操作”列的“批准”，即可通过该工单审批。

• 勾选多个工单，单击列表左下角批准，即可批量通过

5 驳回工单。

单击目标工单“操作”列的“驳回”，即可取消申请的工单。

6 撤销工单。

工单被批准后，单击目标工单“操作”列的“撤销”，即可收回资源的授权。

系统工单应用示例

实例一：按用户所属部门申请资源，建立分级流程工单

前提条件

• 已完成部门、用户、角色和资源等项的规划和设置。部门设置请参考 部门概述，用户和角色设置请参考用户概述，资源设置请参考资源概述。

• 工单审批流程设置如表所示，具体操作请参考配置工单审批流程。

工单配置参数说明

审批流程

用户提起工单电子流，按用户所属部门申请访问资源，工单审批流程如图所示。

大队管理员User A和User B均拥有审批权，只要任意一人批准，则该环节审批通过，任意一人驳回，则该环节审批不通过。大队管理员审批通过后，下一环节将由村管理员User C进行审批。以此类推，直到镇管理员User D审批通过后，用户即可获得相应的权限。审批过程中任意一个环节驳回，则该工单审批不通过，用户不能获得相应的权限。

工单审批流程

实例二：按资源所属部门申请资源，建立分级流程工单

前提条件

• 已完成部门、用户、角色和资源等项的规划和设置。部门设置请参考 部门概述，用户和角色设置请参考 用户概述，资源设置请参考 资源概述。

• 工单审批流程设置如表所示，具体操作请参考 配置工单审批流程。

工单配置参数说明

审批流程

用户提起工单电子流，按资源所属部门申请访问资源，审批流程如图所示。

镇管理员User D进行审批，审批通过则由县管理员User E进行下一环节的审批，审批不通过则工单被驳回。以此类推，直到市管理员User

F审批通过后，用户即可获得相应的权限。审批的过程中任意一个环节驳回，则该工单审批不通过，用户不能获取相应的权限。

审批流程

实例三：建立固定流程的会签审批工单

前提条件

• 已完成部门、用户、角色和资源等项的规划和设置。部门设置请参考 部门概述，用户和角色设置请参考 用户概述，资源设置请参考 资源概述。

• 工单审批流程设置如表所示，具体操作请参考 配置工单审批流程。

工单配置参数说明

签核流程

用户提起工单电子流，申请访问非用户所属部门的资源，审批流程如图所示。

工程部管理员User B和User C均拥有审批权，两者都批准则该环节审批通过，任意一人驳回则该环节审批不通过。工程部管理员审批通过后，下一环节将由财务部管理员User D进行审批，以此类推，直到财务部管理员User E审批通过后，用户即可获得相应的权限。审批过程中任意一个环节驳回，则该工单审批不通过，用户不能获取相应的权限。

会签审批流程