1 文檔說明
1.1 麒麟開源堡壘機方案概述
隨著銀行范圍和營業網點的不斷延伸擴大，各類特色業務系統和基礎網絡設備隨之上線運行，切實有效的保障了各分行業務的穩定性、安全性和靈活性。但與此同時，隨著業務系統應用范圍越來越廣、數據越來越多，所需日常維護的系統和設備也在日益增長，科技運維部門面臨的網絡、系統安全穩定運行的壓力也隨之增加。
當前運維管理中存在的主要問題是，技術人員和維護人員的日常管理和維護都是直接登錄業務系統、設備進行操作，沒有針對運維操作進行統一管理、統一審計、統一分析的系統，造成運維操作沒有辦法進行監控分析，進而造成內部數據信息洩露、違規操作、惡意操作、密碼外洩等一系列重大安全隱患。
隨著監管對於日常運維工作審計記錄的監管需求以及銀行本身運維規范化管理的需求，實現分行骨干設備的運維操作的審計需求迫在眉睫。
1.2 銀行行業運維操作現狀
一般銀行行業都部署有AAA設備，實現了網絡帳號統一管理、權限控制、及命令記錄功能。但因為缺少專業的運維管理系統，對於運維操作的監控，還存在一定的盲區，主要表現為：
? 運維操作方式多樣、分散，缺乏有效集中管理;
? 運維操作缺乏技術手段來約束;
? 對運維操作行為的審計方式不直觀;
? 共享賬號的情況普遍，給訪問者定位帶來難題。
2 需求分析
2.1 需求分析
為改善銀行分行運維審計的現狀，落實監管需求，強化運維操作管理，部署一套運維審計平台成為解決這些問題的最優方案。
運維審計平台需要能滿足如下功能：
? 提供集中、有效的運維操作管理;
? 具備技術手段來實現對運維操作的約束;
? 提供可視化的運維操作行為的審計方式;
? 通過審計信息來完善賬號的操作管理;
? 運維審計記錄保存一年以上。
2.2 實施范圍
? 一級分行本部內網網絡設備
? 二級分行內網網絡設備
? 支行內網網絡設備
? 社區銀行內網網絡設備
? 自助銀行網絡設備
? 基礎服務器
? 其他服務器及設備(按需)
3 項目目標
通過建設統一的運維管理平台，實現對人員、設備、操作的統一管理，及運維管理的白盒透明化，實現認證、權限、審計、口令的集中管理，最終形成一個完整安全的運維環境，有效防止信息洩露、密碼丟失、惡意及誤操作、不按規范操作等安全事件的產生。同時將各項運維管理規章制度，能以可監控的方式進行管理落地。
3.1 麒麟開源堡壘機集中帳號管理
n 實現對用戶帳號的統一管理和維護
在實現集中帳號管理前，每一個新上線應用系統均需要建立一套新的用戶帳號管理系統，並且分別由各自的管理員負責維護和管理。這種相對獨立的帳號管理系統不僅建設前期投入成本較高，而且後期管理維護成本也會成倍增加。而通過堡壘主機的集中帳號管理，可實現對IT系統所需的帳號基礎信息(包括用戶身份信息、機構部門信息、其他公司相關信息，以及生命周期信息等)進行標准化的管理，能夠為各IT系統提供基礎的用戶信息源。通過統一用戶信息維護入口，保證各系統的用戶帳號信息的唯一性和同步更新。
n 解決用戶帳號共享問題
主機、數據庫、網絡設備中存在大量的共享帳號，當發生安全事故時，難於確定帳號的實際使用者，通過部署內控堡壘主機系統，可以解決共享帳號問題。
n 解決帳號鎖定問題
用戶登錄失敗五次，應對帳號進行鎖定。網絡設備、主機、應用系統等大都不支持帳號鎖定功能。通過部署內控堡壘主機系統，可以實現用戶帳號鎖定、一鍵刪除等功能。
3.2 麒麟開源堡壘機集中身份認證和訪問控制
n 提供集中身份認證服務
實現用戶訪問IT系統的認證入口集中化和統一化，並實現高強度的認證方式，使整個IT系統的登錄和認證行為可控制及可管理，從而提升業務連續性和系統安全性。
n 實現用戶密碼管理，滿足SOX法案內控管理的要求
多數企業對主機、網絡設備、數據庫的訪問都是基於“用戶名+靜態密碼”訪問，密碼長期不更換，密碼重復嘗試的次數也沒有限制，這些都不能滿足SOX法案內控管理的需求。僅通過制度要求用戶在密碼更換、密碼設定等方面滿足SOX相關要求，無法在具體執行過程中對用戶進行有效監督和檢查。內控堡壘主機系統通過建設集中的認證系統，並結合集中帳號管理的相關功能，實現用戶密碼管理，密碼自動變更，提高系統認證的安全性。
n 實現對用戶的統一接入訪問控制功能
部署堡壘主機前，維護人員接入IT系統進行維護操作具有接入方式多樣、接入點分散的特點。而維護人員中很多是代維人員，這些代維人員來自於各集成商或設備供應商，人員參差不齊，流動性大。由於維護人員對系統擁有過大權限，缺乏對其進行訪問控制和行為審計的手段，存在極大的安全隱患。內控堡壘主機系統統一維護人員訪問系統和設備的入口，提供訪問控制功能，有效的解決運維人員的操作問題，降低相關IT系統的安全風險。
3.3 麒麟開源堡壘機集中授權管理
n 實現統一的授權管理
各應用系統分別管理所屬的資源，並為本系統的用戶分配權限，若沒有集中統一的資源授權管理平台，授權管理任務隨著用戶數量及應用系統數量的增加越來越重，系統的安全性也無法得到充分保證。內控堡壘主機系統實現統一的授權管理，對所有被管應用系統的授權信息進行標准化的管理，減輕管理員的管理工作，提升系統安全性。
n 授權流程化管理
通過內控堡壘主機系統，管理層可容易地對用戶權限進行審查，並確保用戶的權限中不能有不兼容職責，用戶只能擁有與身份相符的權限，授權也有相應的工作流審批。
3.4 麒麟開源堡壘機單點登錄
n 單點登錄
內控堡壘主機提供了基於B/S的單點登錄系統，用戶通過一次登錄系統後，就可以無需認證的訪問包括被授權的多種基於B/S和C/S的應用系統。單點登錄為具有多帳號的用戶提供了方便快捷的訪問途經，使用戶無需記憶多種登錄用戶ID和口令。它通過向用戶和客戶提供對其個性化資源的快捷訪問來提高生產效率。同時，單點登錄可以實現與用戶授權管理的無縫連接，這樣可以通過對用戶、角色、行為和資源的授權，增加對資源的保護，和對用戶行為的監控及審計。
n 規范操作流程
規范操作人員和第三方代維廠商的操作行為。通過內控堡壘主機系統的部署，所有系統管理人員，第三方系統維護人員，都必須通過內控堡壘主機系統來實施網絡管理和服務器維護。對所有操作行為做到可控制、可審計、可追蹤。審計人員定期對維護人員的操作進行審計，以提高維護人員的操作規范性。
內控堡壘主機系統規范了運維操作的工作流程，將管理員從繁瑣的密碼管理工作中解放出來，投入到其他工作上，對第三方代維廠商的維護操作也不再需要專門陪同，從而有效提高了運維管理效率。
3.5 麒麟開源堡壘機實名運維審計
n 實現集中的日志審計功能
各應用系統相互獨立的日志審計，無法進行綜合日志分析，很難通過日志審計發現異常或違規行為。內控堡壘主機系統提供集中的日志審計，能關聯用戶的操作行為，對非法登錄和非法操作快速發現、分析、定位和響應，為安全審計和追蹤提供依據。
n 輔助審查
通過集中的日志審計，可以收集用戶訪問網絡設備、主機、數據庫的操作日志記錄，並對日志記錄需要定期進行審查，滿足內部控制規范中關於日志審計的需求，真正實現關聯到自然人的日志審計。
4 應用部署規劃
4.1 麒麟開源堡壘機訪問流程
堡壘機接入方式為物理旁路、連接串行方式，堡壘機上線後，為了實現審計功能，要求所有的運維人員的運維操作都必須經過堡壘機跳轉，因此，運維人員操作方式會有所改變，從原來的運維終端直接登錄管理設備改為從運維終端通過堡壘機跳轉登錄。
接入堡壘機以後，ssh、telnet、rdp等運維操作改由PC運維終端先連接到堡壘機，在從堡壘機跳轉到業務服務器，https、http、數據庫等應用協議，改為由PC運維終端先通過堡壘機連接到應用發布服務器，在應用發布服務器上打開IE、數據庫客戶端等連接到業務服務器。
運維人員使用堡壘機方式主要包括WebPortal方式和工具直接登錄方式二種。
WebPortal方式，用戶希望進行運維操作時，需要先使用IE，在URL裡輸入:
https://堡壘機IP
打開堡壘機界面，輸入主帳號用戶名,密碼為堡壘機主帳號密碼+令牌產生的6位動態密碼後打開WebPortal，在WebPortal中可以列出用戶可以登錄的所有設備，用戶點擊設備後面的工具時即可以直接登錄到目標系統。
工具直接登錄方式，用戶通過WEB登錄到堡壘機後，在設備管理-列表導出裡，點擊後面的提交按鈕，可以將制作好的Session文件下載，並且導入相應的運維工具中，用戶使用時，不需要修改過去的運維習慣，只需要打開運維工具，在運維工具中點擊希望登錄的設備後，輸入堡壘機用戶名，密碼為堡壘機主帳號密碼+令牌產生的6位動態密碼即可以登錄到目標系統。
工具登錄方式sessions導入界面如下：
4.2 麒麟開源堡壘機設備組分級
分行設備組采用樹狀分級至上而下為一級、二級、三級、四級、五級，整體設備組分級圖如下：
4.3 麒麟開源堡壘機賬戶分級
4.3.1 賬戶分類
? 主賬號：用於登陸堡壘機，即堡壘機的登陸賬號
? 從賬號：用於登陸賬號使用，即網絡設備及服務器的登陸賬號
4.3.2 主賬號分類
運維堡壘機設置了五個用戶角色：超級管理員、審計管理員、配置管理員、分組管理員、和普通用戶，各角色具體權限如下表所示：
序號用戶角色用戶權限作用對象備注
1超級管理員賬號管理、資產管理、系統級配置管理、運維審計策略配置、運維操作審計堡壘機
2審計管理員運維操作審計、運維審計報表堡壘機
3分組管理員所屬組內資產管理、運維操作審計堡壘機
4普通用戶設備運維堡壘機
用戶角色說明
序號用戶角色角色說明使用者備注
1超級管理員Admin分行科技部指定專人
2審計管理員審計信息查看分行科技部指定專人不能與超級管理員為同一個人
3分組管理員分支機構管理分支機構運維管理員
4普通用戶普通運維總行運維人員、外包運維人員、分行運維人員
用戶權限說明
? 賬號管理：用於添加、刪除、編輯主帳號
? 資產管理：添加、刪除、編輯設備和從帳號
? 系統配置管理：設置堡壘機自身的管理配置，比如監控參數、SYSLOG、服務起停、存儲備份、網絡配置等
? 運維審計策略配置：可登錄來源IP、時間列表、運行命令黑白名單等
? 運維操作審計：查看審計運維人員操作過程
? 設備運維：通過堡壘機主帳號，登錄運維設備從帳號進行運維操作
4.3.3 普通用戶分組
序號組名可管理設備
1總行附屬及海外機構運維中心全部分行網絡設備、總行管理的基礎服務器
2分行管理員組所轄所有網絡設備
3二級分行管理員組所轄所有網絡網絡設備(除上聯)
4分行監控組所轄所有網絡設備
5總行合作公司運維組全部分行網絡設備、總行管理的基礎服務器
6分行外包運維組所轄社區銀行網絡設備
7總行網管組二台網管服務器
8服務器運維分行人員組基礎服務器、生產服務器、開發服務器、辦公服務器
9服務器運維總行人員組總行管理的基礎服務器
4.4 麒麟開源堡壘機認證方式
主賬號采用雙因素認證的方式，本次主要采用以下方式：
? 方式一: 實名帳號，密碼+硬件令牌動態口令：
? 方式二: 實名帳號，密碼+手機令牌動態口令：
堡壘機上線會自帶200個手機令牌(支持安卓和IOS系統)和5個USBKEY硬件令牌，處於方便性考慮，建議優先使用手機令牌，如果遇到特殊情況在使用硬件令牌。
4.5 麒麟開源堡壘機密碼規則
?用戶必須更改首次登錄的初始密碼
用戶密碼符合復雜度要求(8～32 個字符，含大小寫字符，特殊字符和數字)
?用戶密碼有效期設置為強制90天更改，80天後提醒修改
用戶密碼不能包含4個以上連續的相同字符
用戶密碼不能和之前設置的5次歷史密碼相同
‘用戶密碼惡意嘗試3次後賬戶將自動禁用
4.6 麒麟開源堡壘機目標設備管理
1.堡壘機對於設備帳號的管理方式：
堡壘機對於設備帳號的管理方式主要包括托管方式和空用戶方式，要求使用空用戶方式。
托管方式是指將目標設備上的帳號和密碼都錄入到堡壘機上，運維人員通過堡壘機登錄設備時，由堡壘機代替填寫目標設備上的賬號和密碼，直接登錄到系統。
空用戶方式是指不把目標設備的帳號和密碼錄入到堡壘機，只是在堡壘機上為設備建立一個空用戶的從帳號，運維人員通過堡壘機登錄設備時，需要自己手工輸入目標設備上的帳號和密碼才能登錄
空用戶方式相比托管方式，安全性要高，堡壘機上不需要存貯用戶名和密碼，但是使用起來較托管方式麻煩。
2.堡壘機支持的設備類型：
堡壘機支持telnet/ftp/sftp/ssh/rdp/vnc/x11協議，只要使用這些協議進行遠程登錄的系統，都可以使用堡壘機進行管理。
對於一些使用B/S和C/S進行管理的應用，需要使用應用發布服務器，即將C/S安裝在應用發布服務器後，當運維人員想登錄系統進行操作時，先通過遠程桌面連接到應用發布服務器，從應用發布服務器上打開相應B/S或C/S程序連接到系統進行操作。因此，對於應用的支持，如果應用可以安裝在2008R2 64位系統上，即可使用。
4.7 麒麟開源堡壘機數據留存策略
1.需要將日志留存策略設置為1年
2.同時需要使用外接存貯進行日志備份。堡壘機可以使用ftp或SFTP的方式將日志外發到外接存貯上，外發方式為增量備份，每天凌晨2點將前一天的審計數據上發到外接存貯上。
3.堡壘機具有FTP/SFTP上傳下載文件審計(記錄功能)為了不至堡壘機被FTP/SFTP審計文件占光存儲，FTP/SFTP上傳下載文件記錄設置為10M以內，即，只記錄10M以內的上傳下載文件，10M以上的只記錄文件名，不保存文件。
4.如果硬盤已滿，將策略設置為覆蓋舊文件(當系統空間滿了以後，系統會自動刪除文件，將系統硬盤留出5%的空間進行記錄)
注：堡壘機系統內置2T的存儲空間，通常情況下，可以保存25個運維人員一年的操作記錄(以每個運維人員一天工作8小時計算)，計算公式如下：
系統大約需要留500G做為系統使用，其余1.5T用於存貯審計日志。
每個人使用運維系統一小時平均大約占20M左右的空間，因此 20*8*365*25=1.46T
4.8 麒麟開源堡壘機配置備份
1.配置備份分為手工備份和自動備份二種方式，自動備份可以備份在分行提供的外接存貯服務器上，使用SFTP或FTP協議，手工備份由堡壘機管理員登錄到前台，在堡壘機界面上進行配置備份。
2.自動配置備份要求每天備份一次，時間為每天凌晨2點。
3.手工配置備份要求每周備份一次。
4.9 麒麟開源堡壘機訪問策略
由於運維審計設備需要與網絡設備、服務器等設備進行交流，因此需要在相關防火牆上開通如下訪問策略：
訪問策略需求明細
源地址目的地址端口方向描述
堡壘機/應用發布NTP-ServerNTP單向時鐘同步
運維終端堡壘機Tcp443、2288單向堡壘機運維管理
運維終端堡壘機TCP 20，21單向FTP服務使用
運維終端堡壘機TCP 22單向TERLNET、SSH服務
運維終端堡壘機Tcp 3389,3390單向RDP及審計使用
堡壘機分行網絡設備、服務器帶外、帶內管理區TCP 20、21、22、23、 3389、590X單向訪問目標服務器ftp、ssh、telnet、rdp、vnc、x11，如果沒有相應的服務可以關閉相應的端口
堡壘機應用發布服務器TCP 3389單向堡壘機連接應用發布桌面
應用發布服務器堡壘機TCP 3306單向堡壘機連接應用發布數據庫
應用發布服務器堡壘機TCP 8888單向帳號同步端口
應用發布服務器IP分行網絡設備、服務器帶外、帶內管理區相關端口(根據實際情況)單向相關對應用發布服務器發布的應用端口，比如如果發布了http，則開放80，如果發布了https 則開放443等
4.10 麒麟開源堡壘機開發環境策略規劃
開發環境主要為了保證代碼安全，因此開發環境帳號需要做如下策略：
1.采用跳板機方式，即為分行開發人員建立若干Windows服務器做為跳板機，開發人員登錄到跳板機進行開發
2.開發人員登錄到跳板機時，不允許使用RDP剪切板、不允許使用RDP磁盤映射
3.如果開發人員還有運維權限，為開發人員建立二個帳號，一個用於運維，一個用於開發，以避免誤操作
4.以保證代碼安全，另外應用發布服務器因為涉及對象並不針對代碼保護，因此開發人員不要將代碼保存在應用發布服務器上。
5.跳板機上需要安裝殺毒軟件，以避免病毒傳遞
4.11 麒麟開源堡壘機訪問控制
堡壘機上線正式運行後，需要屏蔽運維人員直接訪問目標設備。訪問運維目標設備時，必須通過堡壘機跳轉登錄，因此，需要對運維人員的訪問進行策略限制。
1. 網絡設備使用ACS 對運維人員登錄的來源IP進行限制，只允許堡壘機和應用發布IP來源才能登錄網絡設備
2.飛塔防火牆采用VTY限制方式，只允許堡壘機和應用發布IP才能訪問飛塔防火牆進行管理運維
3.服務器管理通過防火牆策略限制，只允許堡壘機、應用發布服務器IP才能進行運維管理
訪問策略完成後，運維人員必須通過堡壘機才能進行運維操作。
4.12 麒麟開源堡壘機集中管理規劃
1.部署模式：
集中管理服務器共計二台，部署在總部，用於監管和管理各分行堡壘機，二台集中管理服務器采用HA模式，二台之間相互備份，采用VRRP協議，當主用服務器出問題時，從服務器將啟動服務IP接替主服務器提供服務。
部署圖如下：
2.使用人員
集中管理服務器使用人員為總行維護和管理人員，總行管理人員通過集中管理服務器可以監控各分行的堡壘機的狀態，並且生成各堡壘機的報表，也可以設置堡壘機上的權限。
總行運維人員可以通過集中管理服務器直接到各分行堡壘機上進行運維，不需要再次登錄各分行的堡壘機。
3.集中管理服務器主要功能
集中管理服務器可以對分行堡壘機進行集中管理、單點登錄、密碼策略設置、監控堡壘機狀態監控、統一生成各堡壘機的分析報表。
集中管理功能：
l 集中管理功能主要是總行管理人員管理各分行堡壘機，主要包括如下功能列表為：
l 堡壘機帳號管理：可以在各分行堡壘機上添加、修改、刪除主帳號，修改主帳號密碼、鎖定和解鎖主帳號;
l 服務器資源管理：可以在各分行堡壘機上添加、修改、刪除服務器及從帳號
l 堡壘機權限管理：可以設置各堡壘機上的權限，進行權限綁定、解鎖，並且可以設置權限上的授權列表，比如來源IP、黑白名單名單等
l 系統管理：可以對堡壘機的服務、認證模式、網絡、證書等配置進行設置，可對堡壘進行配置備份和恢復
l 策略管理：可以設置各堡壘機的主帳號密碼策略、監控策略等
l 集中權限管理：可以設置集中管理服務器上的用戶具有哪些堡壘機上的用戶的權限，經過將各堡壘機上的帳號映射給集中管理服務器上的帳號，集中管理服務器上的帳號就可以得到堡壘機上的相應權限
單點登錄功能：
通過將若干分行堡壘機用戶映射給相應的集中管理平台帳號，使用集中管理平台帳號登錄時，即可以直接使用已經給予映射的堡壘機帳號權限，運維人員不再需要登錄到各台堡壘機上進行操作，實現了堡壘機的單點登錄。
密碼策略設置：
集中管理平台上可以對堡壘機的主帳號密碼進行密碼策略設置，並且可以設置分行堡壘機是否可以修改密碼策略，本次將設置分行可以對本地堡壘機進行策略修改，本次集中管理服務器上設置的堡壘機密碼策略如下：
l 用戶必須更改首次登錄的初始密碼
l 用戶密碼符合復雜度要求(8～32 個字符，含大小寫字符，特殊字符和數字)
l 用戶密碼有效期設置為強制90天更改，80天後提醒修改
l 用戶密碼不能包含4個以上連續的相同字符
l 用戶密碼不能和之前設置的5次歷史密碼相同
l 用戶密碼惡意嘗試3次後賬戶將自動禁用
報表功能：
集中管理服務器上可以實現報表打印，報表打印功能只能生成不同堡壘機上的報表，不能生成多個堡壘機的聯合報表。報表輸出格式包括堡壘機上所有的報表格式。
集中監控：
集中管理服務器還可以監控堡壘機、應用發布服務器當前狀態，並且設置閥值，當系統超過閥值時，進行告警，設置閥值如下：
CPU 80%
內存 85%
硬盤 85%
SWAP 70%
SSH並發 600個
RDP並發 500個
或堡壘機、應用發布不能監控
當系統運行時，如果某項指標超過上述閥值將進行告警。
監控告警方式采用郵件方式，需要開通分行堡壘機到郵件服務器的TCP 25端口策略。
4.13 麒麟開源堡壘機雙機部署規劃
雙機部署模式說明：
雙機模式中，二台堡壘機一台主機一台備機，二台機器的配置數據和審計錄相實時自動同步，二台堡壘機使用VRRP協議監聽一個熱備份IP，默認情況下，熱備份IP在主服務器上，當主服務器出現軟、硬件問題時，熱備份IP會自動切到從機上，從機接替主機進行服務。
雙機模式可以共同使用同一台或多台應用發布服務器。
雙機模式邏輯拓樸圖如下：
環境要求：
主、從堡壘機需要在同一個網段，共計需要三個IP，主堡壘機管理IP一個、從堡壘機管理IP一個、浮動IP一個，主從之間通過VRRP協議進行監控
同步參數：
主帳號、主帳號口令、主帳號所有信息、設備信息、從帳號、從帳號口令、權限綁定關系、各種策略為實時同步，即修改一台堡壘機後立即同步到另一台
審計錄相 每5分鐘同步一次
同步模式為主、從雙向，即無論配置主服務器、從服務器，都會立即同步到對端
支持延遲同步，即當二台服務器之間網絡不通，當網絡恢復後，會立即同步網絡不通時期的配置數據和審計數據
切換參數：
切換時間：當一台主機出現問題時，切換時間不超過1秒
切換狀態：二台主機不支持sessions同步，當發生切換時，所有的連接都會斷開，需要重新連接
切換條件：當從機在VRRP中找不到主機時會啟動切換、主機重要服務down機時會發生切換
搶占配置：系統默認為搶占模式，即主機下線修理恢復後，上線時會自動將主用搶占回來
堡壘機位置：
為了盡量減少單點故障，因此雙機模式堡壘機位置需要盡可能多考慮冗余。
如果災備機房與主機房之間可以實現同一個VLAN接入，並且兩邊帶寬較高或可以波分帶寬，則主堡壘機安裝在主機房，從堡壘機安裝在災備機房
如果災備機房沒有安裝條件，則從堡壘機與主堡壘機同時安裝在主機房，但是必須安裝在不同的交換機上。
主從堡壘機進行錄相同步時，最多可能占用網絡帶寬為12M，如果采用災備機房安裝模式，需要考慮堡壘機錄相同步占用帶寬是否會影響業務，如果錄相同步時流量可能影響業務，則需要在交換機接口設置CAR進行限速，前提以堡壘機同步流量不會影響業務為准。
5 物理部署規劃
5.1 麒麟開源堡壘機硬件信息
運維審計系統包括堡壘機和應用發布服務器兩台設備，物理參數如下：
設備型號硬件參數
服務器一DELLCPU 64位 3G/16G內存/2T硬盤/交流電/2U
服務器二DELLCPU 64位 3G/32G內存/2T硬盤/交流電/2U
5.2 麒麟開源堡壘機軟件信息
設備軟件系統軟件版本
堡壘機服務器麒麟堡壘機V1.1
應用發布服務器麒麟應用發布V1.3
5.3 麒麟開源堡壘機系統LOGO
堡壘機LOGO在安裝時，都已經被設置為銀行運維審計平台，以與其它系統進行區分。
5.4 麒麟開源堡壘機地址規劃
參照分行部署規范，運維審計堡壘機及應用發布平台，需要分行分配在基礎服務器區域，分配【177.XX.XX.XX】的地址，兩台設備分別需要分配IP地址，且兩個地址需要在一個子網。
示例如下
設備名稱所屬區域IP
堡壘機內網177.1.1.1
應用發布平台內網177.1.1.2
5.5 麒麟開源堡壘機部署規劃
n 堡壘機、應用發布平台各需要2U的機櫃空間位置
n 堡壘機、應用發布平台需要部署在基礎服務器接入區
n 堡壘機、應用發布平台個需要2*10A電源
