银行堡垒机实施方案报告书

《银行堡垒机实施方案报告书》由会员上传分享，免费在线阅读，更多相关内容在工程资料-天天文库。

1、银行运维审计平台实施方案文档密级：内部资料银行分行运维审计平台实施方案文档版本3.4(2021-08-17)银行总行科技开发部运维中心第39页,共39页银行运维审计平台实施方案文档密级：内部资料修订记录/ChangeHistory日期修订版本描述作者2016-2-16V1.0独立实施方案，完善测试部分麒麟文档版本3.4(2021-08-17)银行总行科技开发部运维中心第39页,共39页银行运维审计平台实施方案文档密级：内部资料目录1文档说明51.1概述51.2运维操作现状52物理部署规划62.1设备硬件信息62.2软件信息72.3系统LOGO72.4地址规划72.5

2、部署规划73应用部署实施83.1堡垒机上线说明83.2设备初始化83.2.1上架加电93.2.2网络配置93.3堡垒机配置修改方式93.3.1目录树调整103.3.2设备类型添加及修改113.3.3堡垒机用户导入及用户配置113.3.4主机设备帐号导入143.3.5系统帐号赋权183.3.6应用发布服务器添加203.4堡垒机应用发布配置223.4.1应用发布用户配置223.4.2应用用户组授权233.5数据留存配置243.5.1审计数据留存243.5.2设备配置留存253.5.3定时任务配置263.5.4动态令牌使用手册27文档版本3.4(2021-08-17)银行

3、总行科技开发部运维中心第39页,共39页银行运维审计平台实施方案文档密级：内部资料1、证书导入272、证书绑定283、运维人员使用283.6应急方案304系统测试314.1TELNET访问操作管理314.2SFTP访问操作管理314.3SSH访问操作管理324.4RDP访问操作管理324.5FTP访问操作管理325集中管控平台335.1集中管控平台功能335.2设备硬件信息335.3软件信息335.4地址规划335.5部署规划345.6集中管控平台部署345.7系统上线需求355.8系统安装356双机部署模式366.1双机部署模式功能366.2上线条件366.3地址

4、规划376.4上线步骤37文档版本3.4(2021-08-17)银行总行科技开发部运维中心第39页,共39页银行运维审计平台实施方案文档密级：内部资料1文档说明1.1麒麟开源堡垒机使用概述随着我行业务范围和营业网点的不断延伸扩大，各类特色业务系统和基础网络设备随之上线运行，切实有效的保障了各分行业务的稳定性、安全性和灵活性。但与此同时，随着业务系统应用范围越来越广、数据越来越多，所需日常维护的系统和设备也在日益增长，科技运维部门面临的网络、系统安全稳定运行的压力也随之增加。当前运维管理中存在的主要问题是，技术人员和维护人员的日常管理和维护都是直接登录业务系统、设备进

5、行操作，没有针对运维操作进行统一管理、统一审计、统一分析的系统，造成运维操作没有办法进行监控分析，进而造成内部数据信息泄露、违规操作、恶意操作、密码外泄等一系列重大安全隐患。随着监管对于日常运维工作审计记录的监管需求以及XX银行本身运维规范化管理的需求，实现分行骨干设备的运维操作的审计需求迫在眉睫。本次堡垒机项目使用麒麟开源堡垒机，麒麟开源堡垒机产品功能强大稳定性高，经过测试可以完全满足银行的使用需要。1.2运维操作现状当前分行均已部署了ACS设备，实现了网络帐号统一管理、权限控制、及命令记录功能。但因为缺少专业的运维管理系统，对于运维操作的监控，还存在一定的盲区，

6、主要表现为：Ø运维操作方式多样、分散，缺乏有效集中管理；Ø运维操作缺乏技术手段来约束；Ø对运维操作行为的审计方式不直观；Ø共享账号的情况普遍，给访问者定位带来难题。文档版本3.4(2021-08-17)银行总行科技开发部运维中心第39页,共39页银行运维审计平台实施方案文档密级：内部资料1物理部署规划1.1设备硬件信息运维审计系统包括堡垒机和应用发布服务器两台设备，物理参数如下：设备型号硬件参数堡垒机麒麟开源堡垒机CPU64位3G/16G内存/2T硬盘/交流电/2U文档版本3.4(2021-08-17)银行总行科技开发部运维中心第39页,共39页银行运维审计平台实施

7、方案文档密级：内部资料应用发布服务器麒麟应用发布模块CPU64位3G/32G内存/2T硬盘/交流电/2U1.1软件信息设备操作系统软件版本Licenses数堡垒机CentosV1.1100000个应用发布服务器Windowsserver2008V1.31.2系统LOGO堡垒机LOGO在安装时，都已经被设置为XX银行运维审计平台，以与其它系统进行区分。1.3地址规划参照分行部署规范，运维审计堡垒机及应用发布平台，需要分行分配在基础服务器区域，分配【199.XX.XX.XX】的地址，两台设备分别需要分配IP地址，且两个地址需要在一个子网。示例如下设备名称所属区域产品