堡垒机，即在一个特定的网络环境下，为了保障网络和数据不受来自外部和内部用户的入侵和破坏，而运用各种技术手段监控和记录运维人员对网络内的服务器、网络设备、安全设备、数据库等设备的操作行为，以便集中报警、及时处理及审计定责。
用一句话来说，堡垒机就是用来控制哪些人可以登录哪些资产（事先防范和事中控制），以及录像记录登录资产后做了什么事情（事后溯源）。
1、身份认证：用户统一身份认证，支持外部AD，LDAP，Radius,支持动态口令卡，USkey等。
2、角色授权：支持基于资源角色授权，授权用户，特权账户临时限制，授权时间规则，登录规则，命令规则；
3、监控审计：实时监控所有的用户的运维操作，随时阻断高危会话，运维操作完整审计，集中存储，异地备份。
所以堡垒机很多时候也叫运维审计系统，它的核心是可控及审计。
堡垒机的一个特点是集中管理，它的投入使用能满足2级等保测评和3级等保测评“安全管理中心”多个测评控制点的合规性。
在等级保护2.0“安全管理中心”章节中，“系统管理”、“审计管理”和“安全管理”三小节中对分别对系统管理员、计管理员和安全管理员的管理主体、权限控制和管控过程提出明确要求，同时要求安全管理中心内的管理系统符合“三权分立”权限管理模式，并在“集中管控”小节中对集中管控功能进行了规定。
1、系统管理（2级以上等保要求）
2、审计管理（2级以上等保要求）
3、安全管理（3级以上等保要求）
4、集中管控（3级以上等保要求）
运维人员在操作过程中首先连接到堡垒机，然后向堡垒机提交操作请求；该请求通过堡垒机的权限检查后，堡垒机的应用代理模块将代替用户连接到目标设备完成该操作，之后目标设备将操作结果返回给堡垒机，最后堡垒机再将操作结果返回给运维操作人员。
通过这种方式，堡垒机逻辑上将运维人员与目标设备隔离开来，建立了从“运维人员->堡垒机用户账号->授权->目标设备账号->目标设备”的管理模式。
1、运维平台
RDP/VNC运维；SSH/Telnet运维；SFTP/FTP运维；数据库运维；Web系统运维；远程应用运维；
2、管理平台
三权分立；身份鉴别；主机管理；密码托管；运维监控；电子工单；
3、自动化平台
自动改密；自动运维；自动收集；自动授权；自动备份；自动告警；
4、控制平台
IP防火墙；命令防火墙；访问控制；传输控制；会话阻断；运维审批；
5、审计平台
命令记录；文字记录；SQL记录；文件保存；全文检索；审计报表；
堡垒机主要就是为了做统一运维入口，所以登录堡垒机必须支持灵活的身份认证方式。
1、本地认证
2、远程认证
3、双因子认证
4、第三方认证系统
B/S运维：通过浏览器运维。
C/S运维：通过客户端软件运维，比如Xshell，CRT等。
H5运维：直接在网页上可以打开远程桌面，进行运维。无需安装本地运维工具，只要有浏览器就可以对常用协议进行运维操作，支持ssh、telnet、rlogin、rdp、vnc协议
网关运维：采用SSH网关方式，实现代理直接登录目标主机，适用于运维自动化场景。
1、单机部署
堡垒机主要都是旁路部署，旁挂在交换机旁边，只要能访问所有设备即可。
部署特点：旁路部署，逻辑串联；不影响现有网络结构。
2、HA高可靠部署
旁路部署两台堡垒机，中间有心跳线连接，同步数据。对外提供一个虚拟IP。
部署特点：
两台硬件堡垒机，一主一备/提供VIP。
当主机出现故障时，备机自动接管服务。
3、异地同步部署
通过在多个数据中心部署多台堡垒机。堡垒机之间进行配置信息自动同步。
部署特点：
多地部署，异地配置自动同步
运维人员访问当地的堡垒机进行管理
不受网络/带宽影响，同时达到灾备目的
4、集群部署（分布式部署）
当需要管理的设备数量很多时，可以将n多台堡垒机进行集群部署。其中两台堡垒机一主一备，其他n-2台堡垒机作为集群节点，给主机上传同步数据，整个集群对外提供一个虚拟IP地址。
部署特点：
1、堡垒机种类
硬件堡垒机：这是一种物理设备，需要部署在网络中，通常由专业的网络安全公司提供。
软件堡垒机：这是一种软件解决方案，可以安装在现有的服务器上，提供与硬件堡垒机类似的功能。
云堡垒机：这是一种基于云的服务，用户可以通过互联网访问云堡垒机，而无需在自己的网络中部署任何硬件或软件。
2、堡垒机产品
JumpServer：JumpServer是一个开源的堡垒机系统，支持多种认证方式，如LDAP/AD、OAuth等，并且提供了审计、授权、认证和自动化等功能。
麒麟堡垒机：麒麟堡垒机是国内较为知名的堡垒机产品，提供了包括身份认证、授权管理、操作审计等功能。
安恒信息堡垒机：安恒信息的堡垒机产品提供了全面的安全管理功能，包括资产管理、用户管理、会话管理、审计管理等。
阿里云堡垒机：阿里云提供的云堡垒机服务，支持多种云服务器的管理，提供了安全审计、权限控制等功能。
腾讯云堡垒机：腾讯云的堡垒机服务同样提供了云环境下的安全管理，包括会话管理、操作审计等。
