系统设置_运维安全中心（堡垒机）(Bastionhost)-阿里云帮助中心

本文介绍特权访问管理中心（堡垒机开发者版、轻量版）的基础设置、认证设置以及存储设置。

释放PAM实例

若PAM实例已到期且后期不再使用，您可以手动释放实例；若实例未到期，则不能释放。PAM实例到期说明，请参见到期说明。

警告

实例释放后，在特权访问管理中心托管的登录凭据、运维策略以及特权访问产生的运维审计图形、字符数据均会被清除，且不可恢复，请谨慎操作。

登录特权访问管理中心控制台。
在左侧导航栏，单击系统设置。
在基础设置页签，单击系统实例ID后的释放。
在弹出的对话框，确认信息后，单击释放。

开启自动启用网络域

网络域用于统一管理使用PAM进行资产运维时所涉及的网络资源配置。如果您想要运维资产，必须先通过PAM创建网络域，并将资产加入到启用的网络域中。

在资产同步过程中，PAM会自动统计ECS资产的VPC，并根据资产的VPC自动创建相应的网络域，但是不会自动启用。如需同步资产的同时自动启用网络域，请参见如下步骤：

登录特权访问管理中心控制台。
在左侧导航栏，单击系统设置。
在基础设置页签，单击自动启用网络域 后的图标。

说明

自动创建网络域将会根据VPC信息自动选择符合要求的配置。若未能找到合适的配置，将会导致网络域初始化失败。此时您可以在资产运维页面的网络域页签，查看网络域详情，并根据提示更改网络域配置。
启用网络域将会占用网络域配额，若网络域的配额不足，将无法自动启用网络域，此时您可以在网络域页面禁用其他网络域、或升级网络域配额。具体操作，请参见升级PAM实例。
如需手动创建并启用网络域，请参见手动创建网络域并关联资产。

开启双因子认证（全局配置）

双因子认证是在用户名和密码验证之后，额外增加了一层安全保护，用于登录运维员工作台或客户端工具完成密码认证之后进行的二次身份验证。PAM支持通过短信、邮件或TOTP令牌认证发送动态验证码进行双因子认证，有效降低用户密码泄露带来的安全风险。

重要

配置全局多因子认证的优先级低于单个用户手动配置，即用户如果在用户授权页面手动关闭或开启双因子认证，则会保持该用户原有配置。具体操作，请参见用户授权。

登录特权访问管理中心控制台。
在左侧导航栏，单击系统设置。
在认证设置页签，单击图标开启双因子认证。
配置TOTP令牌认证，您需要下载标准TOTP认证软件，例如阿里云App。在通过Web方式或客户端方式运维时，需根据界面提示使用阿里云App扫描二维码获取安全码进行登录。
1. Web运维认证方式：支持短信认证、邮箱认证和TOTP令牌认证。
2. 客户端运维认证方式：仅支持TOTP令牌。

存储设置

登录特权访问管理中心控制台。
在左侧导航栏，单击系统设置。

在存储设置页签，设置录像、日志存储时长等。

场景	说明	操作
查看录像存储状态	查看当前PAM录像总存储空间和剩余存储空间。如果当前存储容量无法满足您的需求，您可以进行扩容。具体操作，请参见升级PAM实例。说明开发者版录像默认存储空间为200 GB；轻量版录像默认存储空间为20 GB。	在存储设置区域，查看录像存储状态。
设置录像存储时长	您可以增加或减少录像存储时长。开发者版本最大录像存储时长可设置为180天；轻量版本最大录像存储时长可设置为365天。警告当您设置存储时长后，在您存储即将占满时，该时间段前的数据将会在24h内自动执行删除任务，请谨慎操作。例如您2023年08月10日将存储时间设置为6天，在您存储即将占满时，系统会自动清理2023年08月04日之前的所有数据，2023年08月04日至2023年08月10日的数据会保留。	在存储设置区域，单击图标。在编辑录像存储时长对话框，确认提示信息，并设置录像时长。
日志投递到SLS	开发者版或轻量版支持将审计日志归档到日志服务 SLS（Simple Log Service）。审计日志归档到SLS后，您可以对审计日志进行查询和分析，同时支持将日志通过SLS转发到Splunk等第三方平台。更多信息，请参见查询与分析或阿里云日志服务Splunk Add-on。	在存储设置区域，单击投递设置。在中心项目Project所在区域下拉列表中，选择日志中心化存储的目标地域。在云产品列表中，打开PAM操作日志开关并设置存储方式列的存储时间。查看PAM审计日志。在左侧导航栏，单击图标。选择中心化 > PAM，查看审计日志。 SLS日志字段说明，请参见开启双因子认证（全局配置）。

运维审计日志字段说明

SLS日志字段	字段说明
user_id	用户ID
instance_id	实例ID
operator_id	运维员ID
user_type	用户类型。包括： RAM_ROOT：阿里云账号（主账号） RAM_SUB_USER：RAM用户（子账号） BUILTIN：PAM本地账号
system_account	运维员的系统账户名
asset_ip	资产IP
asset_name	资产名称
asset_port	资产端口
asset_region_id	资产所在地域
asset_id	资产ID
asset_type	资产类型。包括： Ecs：ECS资产 Ack：ACK资产
content	指令内容
credential_name	凭据名称
event_time	事件时间
intercepted	是否被拦截
protocol_type	协议类型。包括： ssh：SSH协议 rdp：RDP协议 k8s：SPDY协议
region_id	会话发生所在地域
session_id	会话唯一标识符ID
source_ip	源IP
event_type	事件类型。包括： session：会话类型 cmd：命令类型
event_sub_type	事件子类型。包括： close：会话关闭 open：会话开始 command：指令执行 update_asset_fingerprint：更新指纹
video_size	录像大小

操作审计日志字段说明

SLS日志字段	字段说明
user_id	用户ID
instance_id	实例ID
event_sub_type	事件类型。包括： FILE_Upload：文件上传 FILE_Download：文件下载
event_type	事件大类。包括： FILE：文件相关操作
event_detail	事件详情
event_content	事件内容
event_id	事件ID
user_name	操作用户名
user_type	操作用户类型。包括： RAM_ROOT：阿里云账号（主账号） RAM_SUB_USER：RAM用户（子账号） BUILTIN：PAM本地账号
operator_id	操作人ID
start_time	事件开始时间
end_time	事件结束时间

设置用户密码策略

登录特权访问管理中心控制台。
在左侧导航栏，单击系统设置。

在用户密码策略页签，参考下表，设置与用户相关的密码策略，单击保存。

配置项	说明
安全设置	首次登录改密：开启后，用户首次登录运维员工作台或首次通过客户端登录PAM时，必须修改初始密码。重置密码改密：开启后，管理员重置用户密码后，用户在下次密码登录时，需要修改密码。密码泄漏检测：PAM支持对弱密码及公开泄漏密码的检测。开启后，在用户修改密码时，会触发对新密码的安全检查，并在页面上进行提示，如下图所示。如果系统提示您输入的新密码存在泄露记录，这意味着该密码可能会受到恶意攻击，不建议您继续使用该密码。
复杂度	设置用户密码强度，包括密码长度和复杂度。PAM提供了密码长度和复杂度的预设模板，您可直接选择其中一个模板，或在此基础上调整配置，保存后即可生效。密码长度：取值范围8~64。复杂度：默认必须包含大写字母、小写字母和数字。说明变更复杂度后，既有密码不受影响，新密码需遵守复杂度限制。
定期改密	开启：您可以设置密码的有效时长，密码过期前是否提醒及强制改密配置。说明密码一旦过期，将无法登录，只能通过找回密码或管理员重置密码。密码有效时长：设置密码的有效期，取值范围1~365天。过期前提醒：开启后，在密码过期之前，用户登录PAM时会进行提醒，用户看到即可在当次改密，也可以当次跳过。过期提醒周期取值范围为1~30天，例如，设置1天表示在用户密码过期前1天开始提醒。强制改密配置：设置用户密码过期前N天，用户登录必须改密，不能跳过。取值范围为1~30天。不开启：密码将永久不过期。
密码历史	开启密码历史检测：开启后，PAM会记录账户历史使用的密码，在用户修改密码时，将禁止用户重复使用近N次已使用过的密码。记录历史密码数：设置PAM记录的历史密码数，取值范围为1~10。例如，设置为1表示新密码不能与该用户的前1个密码重复。
忘记密码	PAM支持通过忘记密码功能进行密码更新。开启后，登录流程中允许用户使用忘记密码功能，并支持设置通过短信或邮箱方式找回密码。手机号、邮箱皆为空时，账户的密码无法找回，请联系管理员重新设置。