2. 堡垒机核心概念与术语

堡垒机的所有功能，几乎都可以用一组术语串起来理解。如果只记住一个框架，那就是 4A 模型：认证（Authentication）、授权（Authorization）、账号（Account）、审计（Audit）。它描述的是“谁、以什么身份、能做什么、做了什么”这条完整链路。堡垒机不是简单的跳板机，而是把这条链路从“事后翻日志”变成“事前可控、事中可拦、事后可查”的集中管控平台。

4A 模型：四个动作，一条闭环

先看四个 A 各自解决什么问题。

• 认证（Authentication）：确认“你是你”。堡垒机通常不直接信任本地密码，而是对接 LDAP、AD、OAuth、短信/OTP、USB Key 等，形成多因素认证。认证的对象是运维人员，不是目标服务器。
• 授权（Authorization）：确认“你能去哪、能干什么”。授权决定某用户能否访问某资产、以哪个账号登录、在什么时间段、从哪个来源 IP、能执行哪些命令。授权是策略，不是账号本身。
• 账号（Account）：确认“你用什么身份登录目标设备”。这里要区分两类账号：堡垒机账号（运维人员登录堡垒机用的身份）和资产账号（堡垒机代运维人员登录目标服务器/数据库/网络设备用的身份）。资产账号通常由堡垒机集中托管，运维人员不需要知道真实密码。
• 审计（Audit）：确认“你做了什么”。审计记录会话、命令、文件传输、登录时间、来源 IP、操作结果等，并支持回放、检索、告警和取证。

4A 不是四个孤立模块，而是有先后依赖的闭环：没有认证就无法授权，没有授权就无法确定可用账号，没有账号就无法产生可审计的会话，没有审计就无法验证前三者是否有效。下图把这条关系画成一条“身份—策略—凭据—证据”的链路，同时标出每个环节的关键输入与输出。

协议代理：堡垒机“看得见”的前提

如果运维人员直接 SSH 到目标服务器，堡垒机只能看到一条 TCP 连接，看不到里面敲了什么命令。协议代理解决的就是这个问题：运维人员先连堡垒机，堡垒机再以目标资产账号连目标设备，中间所有交互都经过堡垒机解析和转发。

不同协议的代理深度不同。以 SSH 为例，堡垒机通常以“中间人”方式终结 SSH 会话，解析出命令文本，再按策略决定放行、告警或阻断。RDP 则通过图形协议代理，录制屏幕画面并提取键盘输入。数据库协议（如 MySQL、Oracle）代理可以解析 SQL 语句，实现“禁止 DROP TABLE”“禁止全表删除”这类细粒度规则。协议代理带来的直接价值是：命令级控制和完整会话录像；代价是兼容性和性能需要评估，例如某些加密协议或自定义客户端可能无法被完整解析。

会话审计：从“录像”到“可检索证据”

会话审计不只是录屏。一个可用的审计系统至少包含四类数据：

• 会话元数据：谁、从哪个 IP、什么时间、登录了哪台资产、用了哪个资产账号、会话持续多久。
• 操作内容：命令文本、SQL 语句、文件上传下载记录、剪贴板内容（视策略而定）。
• 会话录像：可回放的完整操作过程，通常按时间轴定位。
• 告警与标记：命中高危命令、异常时间登录、频繁失败等事件，支持人工标记和导出取证。

审计的价值在于“可检索”。例如，安全事件发生后，需要回答“过去 7 天内谁执行过 rm -rf”或“谁在凌晨 2 点登录过核心数据库”。如果只有录像文件，检索成本极高；如果命令文本已结构化入库，就可以直接查询。因此，协议代理的解析能力和审计数据的结构化程度，是评估堡垒机实用性的两个关键指标。

资产、账号与权限：三者的关系

这三个词最容易混淆，用一句话区分：资产是“被管的对象”，账号是“登录对象的凭据”，权限是“允许谁用哪个账号访问哪个资产”。

实际配置时，通常先录入资产（IP、协议、端口），再绑定资产账号（密码或密钥由堡垒机托管），最后通过角色或策略把“用户—资产—账号”三者关联起来。这样运维人员登录堡垒机后，只能看到自己被授权的资产列表，点击即自动代填凭据登录，全程不需要知道真实密码。

工单：临时权限的“审批凭证”

日常权限可以长期授予，但生产环境更常见的是临时授权：某次故障处理需要临时访问核心数据库，或外部厂商需要短期登录。工单就是这类场景的载体。典型流程是：申请人选择资产、账号、时间窗口和事由，提交审批；审批人确认后，堡垒机自动开通限时权限；到期后权限自动回收，并保留完整审计记录。

工单的关键字段通常包括：申请人、目标资产、目标账号、申请时间段、操作事由、审批人、审批状态、实际使用记录。它的价值不只是“走流程”，而是把临时权限变成有期限、有审批、有审计的受控行为。没有工单，临时权限很容易变成永久权限，审计时也无法解释“为什么这个账号在非工作时间登录了核心系统”。