2018










适用范围：内部







运维人员使用手册




天玥运维安全网关 V6.0


适用范围：天玥运维安全网关 V6.0 系列

精细控制合规审计

北京启明星辰信息安全技术有限公司

目录

1 概述 …………………………………………………………. 1
2 用户登录 ……………………………………………………… 1
2.1 WEB 方式 ……………………………………………….. 1
2.1.1 WEB 访问方式 ………………………………………… 1
2.1.2 相关资料下载 ………………………………………… 2
2.2 运维客户端 …………………………………………….. 2
2.3 登录认证 ………………………………………………. 3
3 环境准备 ……………………………………………………… 5
3.1 环境检测 ………………………………………………. 5
3.2 安装 JAVA 控件 ………………………………………….. 7
3.3 浏览器设置 …………………………………………….. 9
3.4 配置本地工具 ………………………………………….. 11
3.5 修改密码 ……………………………………………… 13
4 运维说明 …………………………………………………….. 14
4.1 RDP/VNC 访问 …………………………………………… 14
4.2 Telnet/SSH/Rlogin 访问 ………………………………….. 15
4.3 FTP 访问 ………………………………………………. 16
4.4 数据库访问 ……………………………………………. 17
4.5 批量登录主机 ………………………………………….. 18
4.6 工单操作 ……………………………………………… 19
4.6.1 工单申请 ………………………………………….. 19
4.6.2 工单运维 ………………………………………….. 22
4.7 最近访问资源 ………………………………………….. 23
4.8 高级搜索 ……………………………………………… 23
4.9 菜单模式 ……………………………………………… 24
4.9.1 命令行方式 …………………………………………. 24
4.9.2 图形方式 ………………………………………….. 28
5 FAQ …………………………………………………………. 30
5.1 登录提示应用程序被阻止 ………………………………….. 30
5.2 提示 Java 过时需要更新 …………………………………… 31
5.3 调用应用发布工具失败 ……………………………………. 32
5.4 使用 dbvis 提示 JAVA 环境变量 ……………………………… 32

1 概述

启明星辰天玥运维安全网关 V6.0，是启明星辰综合内控系列产品之一。 本手册详细介绍了天玥运维安全网关 V6.0 进行运维操作过程的使用方法，用户可参考
本手册，通过天玥运维安全网关 V6.0 进行各种运维操作。

2 用户登录

运维用户可选择通过以下方式使用天玥运维安全网关 V6.0 进行运维操作：（1）WEB 方式

（依赖 JAVA 环境）；（2）运维客户端方式（不依赖 JAVA 环境）；（3）客户端工具直连模式（不 依赖浏览器和 JAVA 环境，目前支持运维 SSH、TELNET、RDP、VNC，使用方法参见本手册 4.9 章节）。

2.1 WEB 方式

2.1.1 WEB 访问方式

通过浏览器访问天玥运维安全网关 V6.0 系统，如图 2.1.1 所示：（默认 URL：https:// 天玥 OSM 系统的 IP，如果 web 服务端口不是默认的 443，登录 URL 地址需要加上 web 服务当 前的端口号，例如：https://172.16.67.201:10443）。浏览器推荐：IE8 及以上版本浏览器、 谷歌 44 及以下版本浏览器和火狐 52 以下版本或火狐 ESR 版本浏览器。

图 2.1.1：WEB 访问方式

登录后的界面。

2.1.2 相关资料下载

运维用户在天玥运维安全网关 V6.0 系统主登录界面下方或运维界面右上方可以看到

【相关下载】按钮，点击【相关下载】，系统会跳转到下载页面，提供运维所需的的证书、 JAVA 运行环境、用户手册、离线播放器、运行环境监测助手下载和运维客户端，如下图所 示：

2.2 运维客户端

图 2.1.2 相关下载

使用天玥运维安全网关 V6.0 运维客户端方式需要先通过 WEB 方式登录管理页面，在“相 关下载”中下载运维客户端，并进行安装。安装完成后，在桌面或【开始】程序栏中选择运 维客户端图标，打开运维客户端输入天玥运维安全网关 V6.0 系统 IP 地址（如果 web 服务端 口不是默认的 443 ， 登 录 时 需 要 在 IP 后 面 加 上 web 服 务 当 前 的 端 口 号 ， 例 如 ： 172.16.67.201:10443），点击“确定”即可进入主登录界面。

图 2.2.1 运维客户端

2.3 登录认证

图 2.2.2 运维客户端-登录界面

天玥运维安全网关 V6.0 使用 WEB 方式和运维客户端方式访问时，用户登录认证分为： 单因素认证登录和双因素认证登录。由管理员进行设置，运维人员需要从管理员处获取登录 的相关信息。

图 2.3.1：系统登录界面
n 用户名密码登录：输入用户名、密码即可登录（包括静态账号密码认证、LDAP 认证、 windowsAD 认证和 Radius 认证）。
n USB 令牌认证登录：用户需要在运维客户机上插上管理员为用户颁发的 USB 令牌，输入 用户名、密码后，点击“登录”，会提示进行 USB 令牌认证，输入管理员为此用户设置 的令牌密码，即可登录运维界面，如图 2.3.2 所示：



















图 2.3.2 用户登录-USB 令牌认证
n 动态口令卡认证登录：管理员为用户提供账号和对应的动态口令卡，用户在输入用户名、 密码后，点击“登录”，会提示进行动态口令卡认证，用户输入登录账号对应的动态口 令卡上获取的动态密码，即可登录成功，如图 2.3.3 所示：

图 2.3.3 用户登录-动态口令卡认证
n 吉大正元电子证书认证登录：用户在输入用户名、密码后，点击“登录”，会提示进行 吉大正元电子证书认证，证书认证成功后即可登录成功，如图 2.3.4 所示：


图 2.3.4 用户登录-吉大正元电子证书认证

3 环境准备

3.1 环境检测

用户在使用天玥运维安全网关 V6.0 系统 WEB 方式进行运维操作时（天玥运维安全网关 V6.0 运维客户端方式不依赖 JAVA 环境，首次使用也需要运行环境检测助手），所使用的客 户端必须满足以下环境要求：
1.客户端操作系统要求：windows XP SP3、windows7、windows8、windows10 2.客户端 RDP 版本要求：通过天玥运维安全网关 V6.0 使用 RDP 运维 windows 主机需要
客户端 RDP 版本 6.0 及以上、通过天玥运维安全网关 V6.0 系统使用应用发布工具需要客户

端 RDP 版本 6.1 及以上；

3.WEB 运维方式浏览器的要求：IE8 及以上版本浏览器、谷歌 44 及以下版本浏览器和火 狐浏览器（建议使用火狐 52 以下版本或火狐 ESR 版本浏览器和最新版本 JRE）；
4.JAVA 环境：JRE 6 及以上版本；

5.导入根证书（运行首页下载的环境检测助手自动完成根证书导入）；

6.天玥运维安全网关 V6.0 系统的本地运行组件（运行首页下载的环境检测助手自动完 成本地运行组件的加载）。
运维终端首次使用天玥运维安全网关 V6.0 进行运维操作，需要手动运行环境检测助手 对本机环境进行检测，环境检测助手会自动完成导入根证书和更新天玥运维安全网关 V6.0 系统的本地运维组件。在登录天玥运维安全网关 V6.0 主界面时，下载环境检测助手。

图 3.1.1 下载环境检测助手 运行环境检测助手，检测本机环境。

图 3.1.2 运行环境检测助手

3.2 安装 JAVA 控件

如果使用 WEB 方式进行运维操作，当环境检测助手检测到 JAVA 缺失，则需要安装 JAVA

控件。可以选择在运维登录页面中的相关下载中进行下载。如图 3.2.1 所示，注意：windows

操作系统是 32 位的用户，下载安装“Java 运行环境 32 位”；windows 操作系统是 64 位的用 户，需要下载安装“Java 运行环境 32 位”和“Java 运行环境 64 位”。

图 3.2.1 Java 软件下载
下载 JRE 并在本地计算机安装。安装完成后，进入 JAVA 控制面板，确认已勾选“启 用浏览器中的 Java 内容”，如下图所示。

图 3.2.2 Java 控制面板安全设置
在 JAVA 控制面板高级属性中，确保“对以下项执行已签名代码证书撤销检查”和“对以 下执行 TLS 证书撤销检查”两项为不检查，如图 3.2.3 所示。

图 3.2.3 Java 控制面板高级属性

3.3 浏览器设置

在 IE 浏览器中 internet 选项-安全-可信站点中加入天玥运维安全网关 V6.0 系统的 URL 地址，如图 3.3.1 所示。

图 3.3.1 internet 选项信任站点 用户使用火狐浏览器登录天玥运维安全网关 V6.0 系统时，需要进行如图 3.3.2-3.3.4

设置:


图 3.3.2 火狐浏览器-例外站点

图 3.3.3 火狐浏览器-安全设置 1

图 3.3.4 火狐浏览器-安全设置 2
如果是谷歌内核的浏览器，在地址栏输入 chrome://flags/#enable-npapi，启用 NANPI 插件，如图 3.3.5 所示（注意：谷歌浏览器 45 及以上版本不支持调用 JAVA 控件）。

图 3.3.5 谷歌浏览器启用 NANPI 插件 进入设置>>高级设置>>隐私设置>>内容设置>>插件>>停用单个插件，找到“Java(TM) ”，
勾选“始终允许”。如图 3.3.6 所示。

3.4 配置本地工具

图 3.3.6 谷歌浏览器设置

在运维界面中，点击【配置工具】，进入本地客户端工具路径配置界面。如图 3.4.1 所 示：

图 3.4.1 配置工具 1

各运维工具推荐版本如下表所示：

操作说明：

1、 选择待保存路径的工具，点击其右侧“修改”按钮，填入本地工具路径信 息，点击保存即可；
2、 此页面列表中的客户端工具，均支持用户调用时，代填连接参数以实现直 接登录目标主机；
3、 如通过不同本地计算机在不同时间使用用户账号登录的情况下，需要重新 配置本地工具路径。

3.5 修改密码

在运维界面中，点击【修改密码】，修改用户的登录密码，如图 3.5.1 所示：

图 3.5.1 运维账号密码修改

n 修改密码：修改本账号的登录密码。[每次修改密码后请用户牢记密码]（如用户被 设置为需要通过令牌认证，可修改令牌登录密码）

4 运维说明

4.1 RDP/VNC 访问

运维用户成功登录天玥运维安全网关 V6.0 后，选择需要通过 RDP/VNC 协议实现远程访 问的资源，点击服务图标，右侧会显示该资源下 RDP 或 VNC 的所有从账号，选择从账号后， 再选择运维工具（V6.0.3 及以后版本 VNC 的运维都通过 mstsc 工具进行，本地工具不需要 再配置 VNC 的工具路径，如图 4.1.2 所示），使用 RDP 服务时可选择屏幕大小、RDP 剪切板 功能、磁盘映射功能和访问方式，最后点击“连接服务”，如图 4.1.1 所示：

图 4.1.1 RDP 访问

n 查询：查询可访问的资源
图 4.1.2 VNC 访问

n 选择资源：选择待访问的资源名称

n IP 地址：若该资源有多个 IP 地址，请选择待访问的 IP 地址

n 服务名称：显示当前选择要访问的服务名

n 选择账号：选择该服务的系统账号进行访问

n 自定义账号：在运维操作界面登录目标资源前，可选择自行输入登录资源的账号和 密码
n 选择工具：选择本地工具、应用发布访问该服务

n 屏幕大小：选择远程桌面连接目标服务器时屏幕的大小

n 开启 RDP 剪切板：选择远程桌面连接目标主机后是否启用剪切板功能

n 开启磁盘映射：选择远程桌面登录连接目标主机后是否启用磁盘映射功能和具体映 射哪些磁盘
n 访问方式：当使用远程桌面服务时，可选择 NORMAL 和 CONSOLE。NORMAL：为普通 的远程桌面连接模式；CONSOLE：等同于本地终端显示器登录
n 连接服务：单击后通过客户端连接至目标主机

4.2 Telnet/SSH/Rlogin 访问

运维用户成功登录天玥运维安全网关 V6.0 后，选择需要通过 Telnet/SSH/Rlogin 协议 实施远程访问的资源，点击服务图标，右侧会显示该资源下待访问服务的所以从账号，选择 从账号后，再选择运维工具，最后点击“连接服务”，如图 4.2.1-4.2.2 所示：

图 4.2.1 telnet 访问

n 查询：查询待访问的资源
图 4.2.2 SSH 访问

n 选择资源：选择待访问的资源名称

n IP 地址：若该资源有多个 IP 地址，请选择待访问的 IP 地址

n 服务名称：显示当前选择要访问的服务名

n 选择账号：选择该服务的系统账号进行访问

n 自定义账号：在运维操作界面登录目标资源前，可选择自行输入登录资源的账号和 密码
n 选择工具：选择本地工具、应用发布或者 WEB 控件访问该服务

n WEB 控件：选择 WEB 的控件访问该服务

n 连接服务：单击后通过 Web 控件或者客户端连接至目标主机

4.3 FTP 访问

运维用户成功登录天玥运维安全网关 V6.0 后，选择需要通过 FTP 协议实施远程访问的 资源，点击服务图标，右侧会显示该资源下待访问服务的所以从账号，选择从账号后，再选

择运维工具，最后点击“连接服务”，如图 4.3.1 所示：


图 4.3.1FTP 访问
n 选择资源：选择待访问的资源名称

n 查询：查询待访问的资源

n IP 地址：若该资源有多个 IP 地址，请选择待访问的 IP 地址

n 服务名称：显示当前选择要访问的服务名

n 选择账号：选择该服务的系统账号进行访问

n 自定义账号：在运维操作界面登录目标资源前，可选择自行输入登录资源的账号和 密码
n 选择工具：选择本地工具、应用发布或者 WEB 控件访问该服务（支持 Winscp 和 FlashFXP 客户端工具）
n WEB 控件：选择 WEB 的控件访问该服务

n 连接服务：单击后通过 Web 控件或者其它客户端连接至目标主机

4.4 数据库访问

运维用户成功登录天玥运维安全网关 V6.0 后，选择需要通过数据库 Oracle、Sybase、 DB2 等协议进行远程访问的资源，点击服务图标，右侧会显示该资源下待访问服务的所以从 账号，选择从账号后，再选择运维工具，最后点击“连接服务”，如图 4.4.1 所示：

图 4.4.1 数据库访问
n 选择资源：选择待访问的资源名称

n 查询：查询待访问的资源

n IP 地址：若该资源有多个 IP 地址，请选择待访问的 IP 地址

n 服务名称：显示当前选择要访问的服务名

n 选择账号：选择该服务的系统账号进行访问

n 自定义账号：在运维操作界面登录目标资源前，可选择自行输入登录资源的账号和 密码
n 选择工具：选择本地工具、应用发布访问该服务

n 连接服务：单击后通过本地客户端连接至目标主机

4.5 批量登录主机

批量登录主机功能用于使用 SecureCRT 工具通过 SSH 或者 TELNET 协议一次使用多个账 号或登录多台主机。
选择需要访问的 SSH 或 TELNET 服务的资源，选择 SecureCRT 工具后，如图 4.5.2 所示 可看到【添加到批量连接】图标，选择后可将此资源添加到【批量连接】组中。

图 4.5.1 运维操作界面

图 4.5.2 添加批量连接 在添加好批量连接组后，选择【批量连接】，选择本次需要批量连接的主机，从账户，

和连接方式后，选择【批量连接】进行批量登录主机，如图 4.5.3-4.5.4 所示


















图 4.5.3 批量连接

4.6 工单操作

4.6.1 工单申请

图 4.5.4 批量连接成功

运维人员如果需要对某个资源申请临时访问权限可通过“工单信息”中的“申请工单” 功能进行操作。在运维操作界面选择“工单信息”，如下图。

图 4.6.1 进入工单信息

在工单信息界面选择“申请工单”进入申请工单界面。



图 4.6.2 进入申请工单

在运维用户申请工单界面，如下图填入对应信息：工单名称（自定义）、高级属性（如 果有 RDP 类型可根据需要进行选择）、运维时间范围（根据实际需求选择申请操作的时间段）、 申请访问资源信息（必须写明需要访问的资源服务及账号信息，便于管理员审核）、操作说 明（可选设置）和审批人（选择对应的审批人）。
如果配置了短信接口，审批人和运维人员也正确设置了手机号码，审批人可以接收到 工单申请提示的短信，运维人员可以接收到工单申请通过后的提示短信。

图 4.6.3 申请工单内容 1



图 4.6.4 申请工单内容 2

工单申请信息填写好确认无误后提交，等待管理员审批。

图 4.6.5 申请工单-等待审批

4.6.2 工单运维

当运维人员申请的工单通过审批或管理员为运维用户下发了工单后，运维用户登录堡垒 机，可以在“消息中心”查看到工单提醒信息，通过“工单信息”窗口进入并执行工单。如 下图所示：



图 4.6.6 申请审批通过提醒


图 4.6.7 运维界面 工单申请通过后工单状态变为“生效”状态，选择“连接”可进入工单资源列表界面

进行工单资源的运维操作。

图 4.6.8 申请工单-工单生效

4.7 最近访问资源

图 4.6.9 工单运维

运维用户最近访问的 10 个运维资源会在运维菜单左侧目录树“最近访问资源”选择中 列出，方便用户在此访问该资源(天玥运维安全网关 V6.0 系统 V6.0.3 及以后版本具备该功 能)，如图 4.7.1 所示：

4.8 高级搜索

图 4.7.1 最近访问资源

当运维资源较多的情况下，要快速定位运维资源主机，除了普通搜索之外还可以进行高 级搜索，对资源名称、所属组、IP 地址、服务等进行关联搜索(天玥运维安全网关 V6.0 系 统 V6.0.3 及以后版本具备该功能)，如图 4.8.1 所示：

4.9 菜单模式

4.9.1 命令行方式

图 4.8.1 高级搜索

当运维终端是 Linux、MAC 等系统，或是该终端本地环境不满足我们基本要求，可以无 需登录天玥运维安全网关 V6.0web 运维界面，而使用 SSH 工具直连天玥运维安全网关 V6.0 来进行安全运维，目前此种菜单模式支持的运维方式有 SSH 和 telnet。(天玥运维安全网关 V6.0 系统 V6.0.3 及以后版本具备该功能)
首先通过 SecureCRT 工具连接天玥运维安全网关 V6.0，主机名为天玥运维安全网关 V6.0 管理 IP 地址，端口号为 5107，如图 4.9.1 所示：

图 4.9.1 连接天玥运维安全网关 V6.0 登录账号密码和该运维用户从 web 界面登录的账号密码一致，如图 4.9.2 所示：


图 4.9.2 登录天玥运维安全网关 V6.0 进入菜单管理界面后，运维用户可以开始选择运维资源。其中“Enter”键为确定，“Esc”

键为返回，如图 4.9.3-4.9.7 所示：


图 4.9.3 选择资源组

图 4.9.4 选择资源主机

图 4.9.5 选择服务

图 4.9.6 确认连接

图 4.9.7 开始安全运维
注意事项：SSH 连接必须保证终端类型为 VT100 或 xterm，字符编码：UTF-8（如目标设 备字符编码为非 UTF-8，需用户在成功登录目标设备后，再自行调整字符编码），如图 4.9.8-4.9.9 所示：

图 4.9.8 终端类型

4.9.2 图形方式

图 4.9.9 终端编码

运维用户若希望通过 RDP、VNC 协议远程访问主机资源，可以启用 Windows 系统默认的 远程桌面连接工具（RDP：mstsc.exe）进入图形化访问资源菜单。如图 4.9.10 所示，直接 输入天玥运维安全网关 V6.0 系统 IP 地址，端口为 5106，然后选择连接，如果需要映射磁
盘，请展开选项卡进行设置，如图 4.9.11 所示。

图 4.9.10 图形方式访问菜单登录



图 4.9.11 开启磁盘映射
输入运维账号、密码，如图 4.9.12 所示。


图 4.9.12 运维用户身份认证

运维账号认证通过后，展现出用户可访问的资源列表，如图 4.9.13 所示，选择对应的

资源和账号后，选择“连接”，便会登录到目标服务器上，如图 4.9.14 所示。



图 4.9.13 资源菜单

图 4.9.14 连接到服务器

5 FAQ

5.1 登录提示应用程序被阻止

问题：登录时提示如图 5.1.1 所示，应用程序被安全设置阻止时 解决方式：在控制面板中的 JAVA 安全设置中，将访问天玥运维安全网关 V6.0 的 URL

地址添加到例外站点列表，如图 5.1.2 所示。





















图 5.1.1 应用程序被安全设置阻止

图 5.1.2 JAVA 安全设置-添加例外站点

5.2 提示 Java 过时需要更新

问题：通过天玥运维安全网关 V6.0 访问资源连接服务时，浏览器提示“Java(TM)已被 阻止，因为它已过时并且需要更新”，正在加载控件…，如果此时不做操作会造成无法成功 调用 JAVA 控件，一直读秒超时。
解决方式：（1）选择这次运行，已保证本次浏览器能正常调用 Java 控件，如图 5.2.1 所示；（2）在浏览器中 internet 选项-安全-可信站点中加入堡垒机的 URL 地址，如图 5.2.2 所示。

图 5.2.1 正在加载控件



图 5.2.2 internet 选项信任站点

5.3 调用应用发布工具失败

问题：运维用户使用应用发布程序发布的运维工具连接资源长时间没有反应，即没有调 用到运维工具，也没有报错。
解决方式：有可能是运维用户的 RDP 客户端（mstsc）版本低于 6.1。具体方法：通常 XP(SP3) 默认 mstsc 的 版 本 低 于 6.1 ，安装 windows 的 RDP 更 新 补 丁 ： 链 接 ： http://pan.baidu.com/s/1skPDgc9 密码：lejw

5.4 使用 dbvis 提示 JAVA 环境变量

问题：使用 dbvis 运维工具访问资源时，提示“未安装 JRE 或未配置 JAVA_HOME 环境变 量”，如图 5.4.1 所示。

图 5.4.1 dbvis 调用提示
解决方式：因为 dbvis 需要基于 JRE 环境，需要设置 dbvis 工具所在终端的环境变量 JAVA_HOME 的值为 JRE 的实际路径（如果调用应用发布工具，需要管理员设置应用发布 服务器上的环境变量 JAVA_HOME），如下图所示。



图 5.4.2 设置环境变量 JAVA_HOME