接上文

 

 

 

为了满足海关实际运维过程存在的跨部门运维方式（其他部门的用户访问隶属于本部门管理的设备）支持由设备所属部门的部门管理员，创建并允许其他部门用户访问本部门设备的授权关系。

 

根据海关运维管理要求，访问关键设备时需要双人操作，在双方都同意时才能访问关键设备，可以由操作运维审计系统的双人授权访问功能来实现。

 

根据海关运维管理要求，对关键设备做配置操作时，关键指令需由另一用户确认后才能执行，操作运维审计系统提供的命令审批功能，可以实现该要求。

 

根据海关运维管理要求，在访问关键设备时，需先提交访问申请，待访问申请流程全部通过后，才能对关键设备进行访问，可定义操作运维审计系统中的访问审批链，自定义审批层级和通过投票数即可实现该管理要求。此外，如遇紧急情况，提供紧急运维的功能，先行绕过访问审批流程进行紧急运维，待运维结束后再由相关审批人进行复核。

 

 

实现了用户/用户组对资源、用户/用户组对资源指定账号、用户/用户组对资源组的灵活的访问授权方式。

 

为了满足海关实际运维过程存在的跨部门运维方式（其他部门的用户访问隶属于本部门管理的设备）支持由设备所属部门的部门管理员，创建并允许其他部门用户访问本部门设备的授权关系。

资源A隶属于部门1，但部门2也存在需求，需要访问资源A进行运维；那么部门1的部门管理员可以创建一条访问授权，允许部门2的用户访问资源A即可，跨部门授权用户可以选择单人，也可以先创建用户组，对用户组进行授权访问。

 

根据海关运维管理要求，访问关键设备时需要双人操作，在双方都同意时才能访问关键设备，可以由操作运维审计系统的双人授权访问功能来实现。

根据访问权限功能使用场景，首先创建一个访问授权，再建立访问授权中的用户A、用户B、用户C之间的双人操作关联关系，其中用户A是审批人、用户B是被审批人、用户C即是审批人又是被审批人。

 

用户A访问：用户A是审批人，可以对目标设备直接访问，无需其他人进行授权。

用户B访问：用户B是被审批人，访问目标设备时，需要用户A或用户C在同终端或异终端上授权后才能访问，访问流程如下：

 

用户C访问：用户C既是审批人又是被审批人，根据权限最小化原则，用户C在访问目标设备时，需要用户A授权后才能访问，访问流程如下：

 

根据海关运维管理要求，在访问关键设备时，需先提交访问申请，待访问申请流程全部通过后，才能对关键设备进行访问，可定义操作运维审计系统中的访问审批链，自定义审批层级和通过投票数即可实现该管理要求。此外，如遇紧急情况，提供紧急运维的功能，先行绕过访问审批流程进行紧急运维，待运维结束后再由相关审批人进行复核。

 

根据访问审批功能使用场景，建立访问审批链，其中用户A是运维人员、用户B、用户C是一级审批人、一级审批时需要用户B、用户C同时通过才能进入二级审批状态，用户D是二级审批人，通过二级审批后才能访问目标设备。如果遇到突发事件提供紧急运维功能，先绕过正常访问审批申请，并产生一条紧急运维待确认条目，运维结束后需要相关审批人对本次紧急运维进行确认。访问流程如下：

 

根据海关运维管理要求，对关键设备做配置操作时，关键指令需由另一用户确认后才能执行，操作运维审计系统提供的命令审批功能，可以实现该要求。

 

根据命令复核功能，设计如下场景，创建命令审批策略，设定用户A、用户B对关键设备做命令（reboot、rm）操作时，需要用户C进行命令审批，访问流程下：

 

权限模型内置角色及自定义角色权限存在权限制约关系，不能创建出一个拥有全部权限的角色并赋予用户，使用户角色权限范围控制在最小范围内，最大限度地防止滥权导致的安全事故。

 

为了便于角色权限管理，提供角色权限自定义功能，可以将无制约关系的权限集合形成一个新的角色权限，并允许将该角色赋予需要的用户。能够更为灵活地适应海关各单位的具体运维管理需求。

 

访问授权不仅支持用户-资源、资源账号的授权，还支持用户组、资源组的授权方式，授权更灵活。能够极大地减轻系统管理人员的管理压力，基于资源组和用户组的授权也更利于复制和变更。

 

对目标设备运维前，提供访问审批功能，审批通过后，提供双人授权功能，运维过程中提供命令审批功能。对于核心设备提供更为安全的一次性授权模式。同时留有相应审批记录，使运维审批更安全、更规范。