Web界面是运维审计系统最主要的访问入口，管理员、操作员、审计员都需要登录Web界面，并完成在运维审计系统的各项操作。

操作员可以通过RDP的方式登录到运维审计系统，从而直接打开图形会话对设备进行操作。

1. 在Windows系统的运行或搜索框中输入mstsc，打开远程桌面连接。
2. 计算机输入运维审计系统的IP地址，用户名输入操作员在运维审计系统上帐号名称，并单击连接。
   
   
   
   
   
3. 在弹出的Windows安全性对话框中，输入当前操作员在运维审计系统上的密码，并单击确定。
   
   
   
   
   

   Note:

   • 如未弹出该对话框或认证失败，将跳转到运维审计系统的RDP登录界面，请将窗口最大化，并在窗口中央的登录窗口中重新填入用户名和密码，并单击确定。
     
     
     
     
   • 使用其他认证方式时，密码的输入和Web界面类似，请参考使用其他方式登录运维审计系统输入密码并完成登录。其中手机令牌登录，由于首次登录需要扫码绑定，请先在Web页面登录并完成绑定之后再通过RDP登录。
4. 成功连接到运维审计系统之后，会显示所有可以通过RDP连接的设备，选中一台待连接的设备后，双击连接到该设备。
   
   
   
   
   Note: 如配置了HA或者集群，则连接时可以通过虚IP或主机的IP连接，无法通过备机的IP连接。

操作员可以通过SSH的方式登录到运维审计系统交互终端，从而直接建立Telnet/SSH字符会话对设备进行操作。

本文以Xshell为例介绍登录步骤，Putty的配置与Xshell基本相同。

1. 在Xshell主界面，选择文件 > 新建，新建一个SSH连接。
2. 在连接菜单设置会话以下属性：
   • 名称：用户自定义的连接名称
   • 协议：SSH
   • 主机：运维审计系统的IP地址
   • 端口号：22
3. 在连接 > 用户身份验证菜单，配置以下属性：
   • 方法：
     • 当不使用双因子认证和密钥认证时，选择Password。
     • 当使用双因子认证时，选择Keyboard Interactive。
     • 当使用密钥认证时，选择Public Key。
   • 用户名：待登入的操作员的用户名，需要先在Web界面中进行配置，如admin。
   • 密码：在Web界面配置的该用户的登录密码。如使用双因子认证，则输入双因子认证中的第一重认证的密码。如使用密钥认证，则输入用户密钥对应的密码，用户密钥没有密码则不填写。
   • 用户密钥：仅当使用密钥认证时配置，从而不输入密码登录到运维审计系统交互终端。在下拉菜单中选择，或单击浏览选择已添加到运维审计系统 Web界面中的公钥对应的私钥。该密钥对必须已预先通过配置密钥完成添加。
4. 单击连接，连接成功后显示下列菜单，可以选择要访问的资产，并通过SSH/Telnet连接到该资产。
   
   
   
   
   

   Note:

   • 如登录帐号使用双因子认证，当第一重认证成功后，会显示2nd Password：，请输入第二重密码完成登录。
   • 如登录帐号设置了使用手机令牌登录后然后直接通过SSH登录会失败，请先通过Web界面登录并绑定手机令牌。
   • 如登录帐号在Web界面上设置了下次登录时必须修改密码后，然后直接通过SSH登录，登录完成后会提示在Web界面修改密码并退出，请先通过Web界面登录并重设密码。
   • 如登录帐号在AD/LDAP服务器上设置了下次登录时修改密码，然后直接通过SSH登录会失败，请先在AD/LDAP服务器上完成密码的重设。
   • 如登录成功后，界面显示为乱码，请在Xshell的会话属性中，选择终端，修改编码类型，和Web界面的系统设置 > 访问设置 > 字符终端 > 终端字符编码中的编码类型保持一致。该设置只有超级管理员能够查看并修改，其他用户请联系超级管理员获取。
   • 退出登录，在资产分类列表界面，输入q并按回车。如在子菜单中请按先回车键返回资产分类列表界面。

访问运维审计系统的Web界面时，如果提示证书错误，请安装运维审计系统的安全证书。

1. 以Chrome浏览器为例，单击地址栏中的证书错误，然后单击查看证书。
   
   
   
   
   
2. 选择详细信息，单击复制到文件，将证书保存在本地PC。
   
   
   
   
   
3. 双击证书文件名，单击打开。
4. 单击安装证书。
   
   
   
   
   
5. 选择存储位置，单击下一步。
   
   
   
   
   
6. 选中将所有的证书都放入下列存储，单击浏览，选择受信任的根证书颁发机构，单击确定。
   
   
   
   
   
7. 单击下一步，然后单击完成。
   
   
   
   
   
8. 查看安全警告信息，单击是，提示导入成功，单击确定。
   
9. 重启浏览器，访问运维审计系统的Web界面，不再提示证书错误。

在使用运维审计系统访问资产时，除了通过Web方式建立图形会话，其他场景下运维审计系统都会通过AccessClient打开会话。

1. 登录运维审计系统 Web界面。
2. 单击右上角单击帐号名称，在下拉菜单中选择帮助。
   
   
   
   
   
3. 在AccessClient > 下载页面，单击下载，将AccessClient.exe下载到本地。
   
   
   
   
   
4. 双击运行AccessClient.exe，并单击Install进行安装。

在运维审计系统的Web界面可以获取软件版本号和各组件的版本信息。

1. 单击右上角用户帐号（例如admin），选择帮助。
   
   
   
   
   
2. 选择关于 > 软件信息。
3. 在软件版本中查看系统软件的版本。
   
   
   
   
   

在运维审计系统的Web界面上手工设置用户属性，逐个创建用户。

1. 选择用户 > 用户管理 > 用户列表。
   
   
   
   
   
2. 单击新建用户，选择用户角色，单击下一步。
   
   
   
   
   

   超级管理员可以创建所有角色的用户，配置管理员可以创建操作员角色的用户。

3. 配置帐号、姓名和身份验证和Web登录是否验证X.509证书。
   
   
   
   
   

   参数	说明
   帐号	用户的帐号。字符串格式，长度范围是1~200个字符，不能包含"+"、":"、"/"、空格和中文字符。
   姓名	用户的姓名。字符串格式，长度范围是1~200个字符。
   身份验证	用户的身份验证方式，缺省值为本地密码。 如果要修改本地密码的最小长度、复杂程度等参数时，请参见登录认证：配置本地密码参数。
   Web登录是否验证X.509证书	配置X.509证书认证后，新建/修改用户时就可以选择是否验证X.509证书。

4. 根据不同的身份验证方式，选择设置相应的参数。
   • 本地密码或者包含本地密码的双因子身份验证方式：

     参数	说明
     密码类型	设置本地密码的方式，包括： 手工输入：由管理员手工输入密码。 自动设置：由运维审计系统自动生成密码。 自动生成的密码会以邮件的方式发送给用户，请正确配置用户的工作邮箱（见下一步）和配置邮件服务。 本地密码的最小长度、复杂度、有效期限等配置请参见登录认证：配置本地密码参数。
     下次登录时必须修改密码	如果选中，用户首次登录时需要修改密码。缺省为选中。

   • RADIUS和AD/LDAP等第三方服务器身份验证方式：

     以RADIUS为例，如果上一步配置的帐号与RADIUS服务器上的用户名相同，可以不配置RADIUS用户名，运维审计系统缺省以上一步配置的帐号登录RADIUS服务器；如果帐号和RADIUS用户名不同，请在RADIUS用户名输入RADIUS服务器上的用户名，这样就建立起运维审计系统帐号和RADIUS服务器用户名之间的关联关系。用户使用运维审计系统帐号登录后自动使用关联的RADIUS用户名登录RADIUS服务器。

     AD/LADP服务器的LDAP用户名情况与RADIUS相同。

   • 动态令牌或者包含动态令牌的双因子身份验证方式：

     参数	说明
     令牌号	请选择运维审计系统已添加的动态令牌。如何配置动态令牌请参见配置动态令牌。
     PIN1/确认PIN1	用户自己登录运维审计系统使用PIN1码+动态密码。 PIN码的最小长度、复杂度、有效期限与本地密码相同，具体等配置请参见登录认证：配置本地密码参数。
     PIN2/确认PIN2	在会话复核中，包含动态令牌身份验证的用户作为复核人，当操作用户发起会话时，复核人和操作用户都会收到通知消息。如果复核人不方便执行复核操作，可以将PIN2码+动态密码告诉操作用户。操作用户打开通知消息，输入PIN2码+动态密码即可完成复核。具体请参见执行高危操作。
     下次登录时必须修改PIN1码	如果选中，用户首次登录时需要修改PIN1码。

     Note: 使用动态令牌认证时，输入的密码是一个拼接起来的字符串，前半段是“PIN1码”，后半段是绑定的动态令牌生成的6位数字密码。在同一个密码输入框内输入该拼接后的字符串。
   • CAS认证

     创建CAS认证的用户。开启CAS认证功能后，系统默认关闭自动创建CAS用户功能，即只有已经在运维审计系统中存在的用户，才能正常登录。开启自动创建CAS用户功能后，通过CAS认证的用户会自动在运维审计系统中创建（角色为操作员），不需要手工创建。

   • SAML认证

     创建SAML认证的用户。开启SAML认证功能后，系统默认关闭自动创建SAML用户功能，即只有已经在运维审计系统中存在的用户，才能正常登录。开启自动创建SAML用户功能后，通过SAML认证的用户会自动在运维审计系统中创建（角色为操作员），不需要手工创建。

5. 设置其他参数。

   参数	说明
   手机号码	用户的手机号码，长度范围是1~20个字符，仅支持数字、“+”和“-”。
   工作邮箱	用户的邮箱地址，最大长度是200个字符。
   用户组	用户所属的分组。用户组的具体配置请参见配置用户组。
   部门	用户所属的部门，缺省为ROOT。部门的具体配置请参见配置部门。

6. 如果配置了自定义用户属性，请先单击下一步设置各参数，然后单击创建；如果没有配置自定义用户属性，直接单击创建。

运维审计系统支持从Excel文件中批量导入用户。导入运维审计系统的用户缺省角色是操作员，状态是活动。

1. 选择用户 > 用户管理 > 用户列表。
   
   
   
   
   
2. 单击批量导入，请先选择身份验证方式，然后设置各参数，完成后单击下一步。
   
   
   
   
   

   • 本地密码或者包含本地密码的双因子身份验证方式：

     参数	说明
     Web登录是否验证X.509证书	配置X.509证书认证后，导入用户时就可以选择是否验证X.509证书。
     设置密码	不选中设置密码，则运维审计系统自动生成的缺省密码是123456，用户第一次登录时需要修改密码。 选中设置密码，选择以下方法之一来设置密码，用户第一次登录时需要修改密码。 手工输入：由管理员手工输入密码。 自动设置：由运维审计系统自动生成密码。 自动生成的密码会以邮件的方式发送给用户，请正确配置用户的工作邮箱和基本设置：配置邮件服务。
     密码有效期	密码的有效期。取值包括：不限、30天、90天、180天、360天、同系统配置。缺省值为同系统配置。 密码有效期的系统配置和过期处理方式请参见登录认证：配置本地密码参数。
     帐号有效期	帐号在运维审计系统上的有效期限。取值包括： 长期有效 指定日期有效（精确到时/分） 如果选择指定日期有效，请选择生效开始和结束日期、时和分。 用户的帐号到期时，状态显示为帐号过期，在线会话会被切断，用户登录时提示帐号状态异常，无法登录。 对于已经过期的帐号，管理员可以修改帐号的有效期，修改后立即生效。

   • RADIUS和AD/LDAP等第三方服务器身份验证方式：

     参数	说明
     Web登录是否验证X.509证书	配置X.509证书认证后，导入用户时就可以选择是否验证X.509证书。
     帐号有效期	帐号在运维审计系统上的有效期限。取值包括： 长期有效 指定日期有效（精确到时/分） 如果选择指定日期有效，请选择生效开始和结束日期、时和分。 用户的帐号到期时，状态显示为帐号过期，在线会话会被切断，用户登录时提示帐号状态异常，无法登录。 对于已经过期的帐号，管理员可以修改帐号的有效期，修改后立即生效。

   • 动态令牌或者包含动态令牌的双因子身份验证方式：

     参数	说明
     Web登录是否验证X.509证书	配置X.509证书认证后，导入用户时就可以选择是否验证X.509证书。
     PIN1/确认PIN1	用户自己登录运维审计系统使用PIN1码+动态密码。 PIN码的最小长度、复杂度、有效期限与本地密码相同，具体等配置请参见登录认证：配置本地密码参数。 Note: 批量导入时不支持导入pin2码。
     下次登录时必须修改PIN1码	如果选中，用户下次登录时需要修改PIN1码。缺省为选中。
     密码有效期	密码的有效期。取值包括：不限、30天、90天、180天、360天、同系统配置。缺省值为同系统配置。 密码有效期的系统配置和过期处理方式请参见登录认证：配置本地密码参数。
     帐号有效期	帐号在运维审计系统上的有效期限。取值包括： 长期有效 指定日期有效（精确到时/分） 如果选择指定日期有效，请选择生效开始和结束日期、时和分。 用户的帐号到期时，状态显示为帐号过期，在线会话会被切断，用户登录时提示帐号状态异常，无法登录。 对于已经过期的帐号，管理员可以修改帐号的有效期，修改后立即生效。

3. 单击下载模板，将模板文件保存到本地PC。
   
   
   
   
   
4. 打开本地模板文件，设置各参数，完成后保存文件。

   参数	说明
   帐号	用户的帐号，字符串格式，长度范围是1~200个字符，不能包含"+"、":"、"/"、空格和中文字符。帐号全局唯一，如果和已有帐号相同则会导入失败。该项必填。 运维审计系统一次性导入的用户数最多是5000个，用户数大于5000时请分批导入。
   姓名	用户的姓名，字符串格式，长度范围是1~200个字符。该项必填。
   工作邮箱	用户的邮箱地址，最大长度是200个字符。如果用户需要接收通知邮件时，该项必填。 Note: 如果在2中勾选了设置密码，且密码设置方式为自动设置时，必须填写邮箱。
   用户组	用户所属的分组，该项选填。 如果导入的分组不存在，运维审计系统将会创建该分组。同一用户可加入多个用户组，多个用户组之间请使用","分隔。
   手机号码	用户的手机号码。如果身份验证方式中包含短信认证时，该项必填。
   令牌号	如果身份验证方式是动态令牌，运维审计系统上已添加的动态令牌会显示在模板文件中。如何配置动态令牌请参见配置动态令牌。
   自定义用户属性	如果已配置自定义用户属性，这些属性会显示在模板文件中。

5. 单击上传文件，选择编辑好的模板文件，单击开始导入。
   Note: 不需要导入的帐号，请直接单击帐号对应的，从列表中删除该帐号。
6. Optional: 单击下载导入结果，查看导入的帐号。

运维审计系统支持导入LDAP用户。导入运维审计系统的用户的缺省角色是操作员、状态是活动。

1. 选择用户 > 用户管理 > 用户列表。
   
   
   
   
   
2. 单击LDAP导入，设置各参数。
   
   
   
   
   

   参数	说明
   LDAP地址	LDAP服务器的IP地址和端口，缺省端口号是389，如果使用SSL是636。 Note: 如果服务器的端口号是缺省的389或者636，仅输入IP地址即可；如果不是，输入格式为IP地址:端口号。 只支持配置一台LDAP服务器。
   认证方式	如果LDAP服务器允许匿名访问，请选中匿名认证。 如果LDAP服务器不允许匿名访问，请选中密码认证，并设置bindDN和密码。 Note: LDAP服务器上可使用ldapsearch获取bindDN，例如：ldapsearch -h 10.2.232.92 -x -b "ou=exam1,dc=test,dc=com" | grep dn。 AD服务器上可使用dsquery获取bindDN，例如：dsquery user -name test。
   baseDN	登录运维审计系统的用户DN的范围，例如"dc=mydomain,dc=org"。
   objectClass	选择设置LDAP对象类。
   memberOf	选择设置用户所属的分组。
   部门	选择用户所属的部门。
   过滤条件	设置过滤条件来筛选用户，过滤条件的语法请参考RFC4515。

3. （可选）如果是LDAP over SSL (LDAPS)服务器，请选中服务器要求安全连接(SSL)，设置各参数。

   参数	说明
   CA	LDAP服务器的CA证书，单击浏览选择文件上传。
   CERT	运维审计系统的客户端证书CERT，单击浏览选择文件上传。 如果服务器端不要求对客户端认证，可以不提供。
   KEY	运维审计系统的客户端证书对应的KEY，单击浏览选择文件上传。 如果服务器端不要求对客户端认证，可以不提供。
   允许忽略无效证书	如果选中，运维审计系统不对服务器证书中的CN字段进行校验，即服务器地址和证书CN不一致时，仍然可以连通；如果不选中，则服务器地址必须和证书CN字段一致。

4. （可选）单击右下方的设置ldap用户属性关系，设置各参数，完成后单击保存。
   
   
   
   
   

   参数	说明
   帐号	设置将LDAP服务器上的用户的什么属性作为运维审计系统的帐号，缺省值为AD中的用户名字段sAMAccountName。 Note: Open LDAP中用户名对应的字段为uid，如果是Open LDAP服务器且仍使用用户名字段作为帐号，此处就要修改为uid。
   姓名	设置将LDAP服务器上的什么属性作为运维审计系统的姓名，缺省值为displayName。
   工作邮箱	设置将LDAP服务器上的什么属性作为运维审计系统的工作邮箱，缺省值为mail。

5. 单击查询。
6. （可选）单击设置帐号选项，设置各参数，完成后单击保存。
   
   
   
   
   

   参数	说明
   身份验证	用户的身份验证方式。如果运维审计系统已配置LDAP认证或者已配置AD认证，缺省值为AD/LDAP，否则缺省值为本地密码。
   帐号有效期	帐号在运维审计系统上的有效期限。取值包括： 长期有效 指定日期有效（精确到时/分） 如果选择指定日期有效，请选择生效开始和结束日期、时和分。 用户的帐号到期时，状态显示为帐号过期，在线会话会被切换，用户登录时提示帐号状态异常，无法登录。 对于已经过期的帐号，管理员可以修改帐号的有效期，修改后立即生效。

7. 单击开始导入。
   导入时如果运维审计系统上已存在相同的帐号，该帐号导入失败。

   Note: 不需要导入的帐号，请直接单击帐号对应的，从列表中删除该帐号。
8. （可选）单击下载导入结果，查看导入的帐号。

从云平台同步用户信息并导入到系统中。同步的信息包括：用户名、姓名、邮箱，不同步用户密码。对于同步来的用户，需要设置本地密码。本地密码由管理员设置或者使用系统默认值“123456”，用户首次登录时需要修改密码。

1. 选择用户 > 用户同步 > 同步配置。
2. 配置同步规则，完成后单击确定。
   
   
   
   
   

   参数	说明
   自动更新	启用后，会按执行时间和执行间隔，自动同步数据。
   执行时间	下一次自动执行同步操作的时间。
   执行间隔	同步操作的执行间隔。
   同步行为	帐号在云平台上删除后，同步到运维审计系统后的处理动作，包括禁用和删除。默认的同步行为是禁用。
   身份验证	开启后，需要设置新的帐号登录密码，否则采用默认密码123456。用户首次登录后需要修改密码。
   密码有效期	密码有效期，取值包括：同系统配置、不限、7天、14天、30天、90天、180天、1年。缺省值是同系统配置。
   帐号有效期	长期有效或指定日期范围内有效。

   Note: 密码/帐号有效期，仅在第一次数据导入时生效。如果手动修改后，后续再从云平台同步时，密码/帐号有效期仍是手动修改后的值。
3. 执行同步操作。
   • 人工同步：单击立即同步，立即从云平台同步数据，并且将同步后的数据展示。
   • 自动同步：待同步时间到达，系统会自动同步，并且将同步后的数据展示。
4. 选择用户 > 用户同步 > 更新列表，查看同步后的信息。
   
   
   
   
   

   变更类型包括：

   • 新增：该用户名在云平台上存在，在运维审计系统上不存在。
   • 修改：云平台上用户姓名或邮箱发生了信息变更。
   • 删除：该用户名在云平台上已经删除，在运维审计系统上仍然存在。
5. 检查数据并确认操作。需要导入的数据：单击导入，或者选择多条数据后单击批量导入，将数据导入到运维审计系统；不需要导入的数据：单击忽略。

本节介绍如何查看用户的信息和状态。

1. 选择用户 > 用户管理 > 用户列表，查看用户的信息。
   
   
   
   
   
2. 界面上方列出用户的统计信息，单击对应的快捷标签可以查看满足该条件的用户。例如上图中配置管理员有1个，单击配置管理员后用户列表仅显示这一个配置管理员。
   运维审计系统最多支持8个快捷标签，缺省如下。

   • 全部用户
   • 配置管理员
   • 超级管理员
   • 未分组
   • 禁用
   • 帐号过期
   • 密码过期
   • 不活跃：包括近3个月未登录运维审计系统和从未登录运维审计系统的用户。

   用户可以单击右侧的，并勾选一个或多个待移除的快捷项后，单击移除，使该用户的用户列表界面不再显示这些快捷项。

   Note: 默认标签被移除后，一般可以通过保存自定义筛选将标签加回。但未分组和不活跃标签如被移除，将无法再通过自定义筛选将该标签加回；全部用户标签如被移除，可以在自定义筛选时，用户状态选择活动+密码过期+帐号过期达到同样的效果。
3. 单击左上角的筛选，使用用户属性设置筛选条件，完成后单击筛选，可以查看满足条件的用户。
   设置完筛选条件后，还可以单击保存至快捷将该筛选条件保存为快捷标签，方法如下：

   1. 单击保存至快捷。如快捷标签已达到8个，请先移除一个快捷标签，并重新单击保存至快捷。
   2. 输入快捷名称，并单击保存，生成新的快捷标签。
4. 在搜索框中输入帐号或者姓名的关键字，可以查看满足条件的用户。

   设置完搜索条件后，还可以单击保存至快捷将该搜索条件保存为快捷标签。

5. 单击导出全部，将全部用户信息导出为Excel文件保存在本地PC；或者选择帐号对应的复选框单击导出选中。
6. 单击帐号对应的访问权限，查看用户关联的资产访问权限。

用户组是指将具有相同权限的用户划为一组，配置权限时基于组来配置，从而减轻管理员的配置负担。一个用户可以加入多个组。

1. 选择用户 > 用户管理 > 用户组，单击。
   
   
   
   
   
2. 设置各参数，完成后单击创建。
   
   
   
   
   

   参数	说明
   分组名	用户组的名称。字符串格式，长度范围是1~200个字符。
   部门	用户组所属的部门，缺省为ROOT。部门的具体配置请参见配置部门。

3. 单击用户组名称，然后单击关联用户。
   
   
   
   
   
4. Optional: 单击筛选，设置各参数，完成后单击筛选。
   
   
   
   
   

   Note:

   1. 配置筛选条件时，用户的属性都可以作为参数，且支持关键字匹配。例如在帐号中输入ad，则包含ad的帐号都会被筛选出来。
   2. 各筛选条件之间是与的关系，即用户要同时满足设置的所有条件才能被筛选出来。

   参数	说明
   帐号	用户帐号包含的关键字。
   姓名	用户姓名包含的关键字。
   工作邮箱	用户工作邮箱包含的关键字。
   用户组	用户所属的用户组，可以选择多个。
   状态	用户的状态，包括：活动、密码过期、帐号过期和禁用。
   角色	用户的角色。
   最后登录时间	用户的最后登录时间范围。
   部门	用户所属的部门。

5. 选中要关联的用户，单击关联。

配置USB Key认证包括对USB Key进行重置和签发新USB Key。

1. 选择用户 > 用户管理 > 用户列表。
   
   
   
   
   
2. 新建用户或编辑已有用户，将身份验证设置为USBKey认证或包含USBKey认证的双因子认证。
   如果已经启用国密USB Key认证，会显示USBKey证书上传入口。
   
   
   
   

签发新USB Key

3. 选择用户 > 配置 > USB Key管理，单击签发新USB Key。
   
   
   
   
   
4. Optional: 使用IE浏览器首次签发USB Key时，进入USB Key管理界面，会在下方弹出以下提示。请单击允许，启用加载项。
   
   
   
   
   

   Note: 如果未弹出该提示，请在IE浏览器菜单中，选择管理加载项，对加载项ET199MFCPlugin Control，右键单击选择启用，并双击选择在所有站点上允许。
5. 将USB Key设备插入本地PC的USB接口中。
6. 输入相关参数，完成后单击确定。
   
   
   
   
   

   参数	说明
   USBKey序列号	用于在运维审计系统中唯一地标识一个USB Key，仅用于内部管理，可以不使用硬件序列号。例如180101AF02464。
   持有人	必须是已存在的用户，且身份验证方式为USBKey认证或包含USBKey认证的双因子认证，并且不存在已签发的USB Key，才能在此下拉选择。例如选择用户usb。
   有效期	超过该有效期的USB Key将无法使用。取值范围为1-36500，默认值是1095。

7. 输入USB Key的密码，并单击登录，完成USB Key的签发。
   如无法使用键盘直接输入，请勾选使用软键盘，并使用软键盘输入密码。
   
   
   
   

   Note:

   使用Chrome浏览器时，在验证USBkey密码弹框中不会记录用户名；IE浏览器会记录。不记录用户名不会影响使用，输入USB Key密码即可通过认证。

在运维审计系统的Web界面上手工设置资产属性，逐个创建资产。

运维审计系统支持从Excel文件中批量导入资产，导入运维审计系统的资产缺省状态是活动。

在云平台同步主机资产并导入到系统中。同步的信息包括：资产名称、资产类型、资产IP，不会同步资产的密码。

1. 选择资产 > 资产同步 > 同步配置。
2. 配置同步规则，完成后单击确定。
   
   
   
   
   

   参数	说明
   自动更新	启用后，会按执行时间和间隔，自动同步数据。
   执行时间	下一次自动执行同步操作的时间。
   执行间隔	同步操作的执行间隔。
   同步行为	资产在云平台上删除后，同步到运维审计系统后的处理动作，包括禁用和删除。

3. 执行同步操作。
   • 人工同步：单击立即同步，系统立即向云平台同步数据，并且将同步后的数据展示。
   • 自动同步：待同步时间到达，系统会自动同步，并且将同步后的数据展示。
4. 选择资产 > 资产同步 > 更新列表，查看同步后的信息。
   
   
   
   
   

   变更类型包括：

   • 新增：该资产在云平台上存在，运维审计系统上不存在。
   • 修改：云平台上资产的IP或类型发生变更。
   • 删除：该资产在云平台上已经删除，运维审计系统上仍然存在。
5. 检查数据并确认操作。需要导入的数据：单击导入，或者选择多条数据后单击批量导入，将数据导入到运维审计系统；不需要导入的数据：单击忽略。

创建主机和网络资产后，运维审计系统会根据资产类型创建缺省的访问协议，您也可以修改访问协议的参数或者添加新的访问协议。配置方式支持批量和逐条配置两种。

创建资产后，用户可以在运维审计系统上添加访问资产的帐号和密码，即将密码托管在运维审计系统上，这样用户访问目标设备时由运维审计系统代替用户输入帐号和密码。用户也可以只添加帐号或者帐号和密码都不添加，在访问目标设备时由用户手工输入。

运维审计系统支持将多个资产划为一组，这样在配置动态权限、高危操作等时基于组来配置，从而减轻管理员的配置负担。一个资产可以加入多个资产组。

1. 选择资产 > 资产清单 > 资产组。
2. 单击，设置各参数，完成后单击创建资产组。
   
   
   
   
   

   参数	说明
   名称	资产组的名称。字符串格式，长度范围是1~200个字符。
   简要描述	资产组的简要描述。字符串格式，长度范围是0~60个字符。
   部门	资产组所属的部门，缺省为ROOT。部门的具体配置请参见配置部门。

3. 选中资产组，然后单击添加资产。
   
   
   
   
   
4. 选中要添加的资产，单击添加。

   如果资产数量大，可通过以下方式查找满足条件的资产。

   • 在搜索文本框中输入资产名称、IP或者简要说明的关键字。
   • 单击筛选，使用资产的属性设置过滤条件，单击筛选。

本节介绍如何查看资产的信息和状态。

1. 选择资产 > 资产清单 > 主机，查看资产的信息。
   
   
   
   
   

   界面上方列出资产的统计信息，单击对应的快捷标签可以查看满足该条件的资产。例如单击Linux后资产列表仅显示Linux资产。运维审计系统最多支持8个快捷标签，缺省的快捷标签为资产类型。

2. Optional: 单击右侧的，选择待移除的快捷项后，单击移除，使该用户的资产列表界面不再显示这些快捷项。
   Note: 默认标签被移除后，可以通过保存自定义筛选将标签加回。在自定义筛选时，筛选资产类型，并将是否禁用选择为活动，达到同样的效果。
3. 单击左上角的筛选，使用资产属性设置筛选条件，完成后单击筛选，可以查看满足条件的资产。

   设置完筛选条件后，还可以单击保存至快捷将该筛选条件保存为快捷标签。例如筛选条件中将是否禁用设置为禁用，完成后单击保存至快捷，界面上方就会出现禁用的快捷标签，单击该标签可以快速查看所有被禁用的资产。

4. 在搜索框中输入资产名称、IP或者简要说明的关键字，可以查看满足条件的资产。
   Note: 域名不支持多关键字检索。

   设置完搜索条件后，还可以单击保存至快捷将该搜索条件保存为快捷标签。

5. 单击导出全部，将全部资产信息导出为Excel文件保存在本地PC；或者选择资产对应的复选框单击导出选中。
6. 单击资产列表最右侧的，选择需要在列表中显示的资产属性（例如资产创建时间）。

运维审计系统支持动态地展示资产层级结构以及各节点下的资产，并对资产进行查看、新建、编辑、删除、导出等操作。

运维审计系统根据配置视图的层级中的层级结构展示所有资产，视图会根据层级关系的变化动态调整。动态视图的各个层级可以是不同的资产属性，也可以是部门的层级（必须完成了部门层级的配置）。本节以配置为不同的资产属性为例进行介绍。

对于作为动态视图层级节点的属性，如果资产的属性值为空时，运维审计系统自动创建空节点与之对应。例如图4.1 菜单布局的动态视图中视图的层级中定义第1层节点为“责任人”，图中上面两个资产已配置责任人为admin，则这两个资产在admin节点下面，下面两个资产没有配置责任人，则在空节点下面。

动态视图有两种布局方式，一种是菜单，一种是树形。其中树形布局还能以横向或者纵向方式展示。在菜单布局下，单击切换到树形布局；树形布局下单击切换到菜单布局。

表4.5 树形布局动态视图按钮说明

按钮	说明
	收起、展开节点。
	放大视图，从而更清楚地查看局部细节/缩小视图，从而查看视图的总体情况。
	缩小视图，从而查看视图的总体情况。
	切换树形布局的横向、纵向展示方式。

1. 选择资产 > 资产清单 > 动态视图。
   
   
   
   
   
2. Optional: 在动态视图的搜索框中输入节点名、资产名或者资产IP地址的关键字来筛选出特定资产。
3. Optional: 选中节点，查看该节点下所有资产的信息。
   1. 如果资产数量大，可通过以下方式查找满足条件的资产。
      • 在搜索文本框中输入资产名称、IP或者简要说明的关键字。
      • 单击筛选，使用资产的属性设置过滤条件，单击筛选。
   2. 单击资产属性对应的或者，对资产进行排序。
   3. 单击资产列表最右侧的，选择需要在列表中显示的资产属性（例如资产创建时间）。
4. Optional: 单击资产对应的编辑，或者选中多个资产后单击批量编辑，修改资产的属性。
   Note: 编辑资产的时候如果发生切换页签（例如从基本属性切换到访问协议），切换后系统会自动保存当前的数据。
5. Optional: 选中资产后单击批量删除，删除指定资产。
6. Optional: 选中资产后单击导出选中或者直接单击导出全部，将资产信息以Excel格式导出到本地PC。
7. Optional: 单击新建资产来创建各类型资产，具体请参见手工创建资产。
   新创建的资产会按照配置的视图层级展示在动态视图中。

运维审计系统使用资产的属性作为视图的层级节点，并根据视图层级结构动态地生成视图来展示资产。

1. 选择资产 > 配置 > 视图配置。
2. 修改视图的根节点名称和第1层节点使用的资产属性。
   
   
   
   
   

   参数	说明
   根节点名称	根节点的名称，字符串格式，长度范围是1~30个字符。缺省值为root。
   第1层节点	视图的第1层节点，取值为资产的属性，缺省值为系统类型。

3. Optional: 单击新增下级节点，选择剩余的资产属性作为层级节点。

   重复执行本步骤，完成视图各层级节点的配置。

   Note: 除根节点外，视图的层级最多不超过10层，即用户能够配置第1到第10层节点。
4. Optional: 当节点属性选择资产组时，可勾选访问资产页面，按照动态权限的配置，进行资产组展示。，表示访问资产时仅展示动态权限中关联的资产组。
   Note: 如动态权限关联了全部资产，无论是否勾选该选项，在访问资产时所有资产都会展示在根节点下。

   
   
   
   
   
5. 单击保存，完成视图各层级节点的配置。
6. Optional: 单击视图预览，查看按照当前视图层级结构生成的动态视图。
   
   
   
   
   

   Note: 对于没有资产的节点，动态视图汇中不显示该节点。

   表4.6 预览视图按钮说明

   按钮	说明
   	收起、展开视图的节点。
   	放大视图，从而更清楚地查看局部细节。
   	缩小视图，从而查看视图的总体情况。

如果用户希望通过运维审计系统以Windows域的方式登录RDP资产，需要在这里配置Windows域。

1. 选择资产 > 配置 > Windows域。
2. 单击新建域，设置各参数，完成后单击确定。
   
   
   
   
   

   参数	说明
   域名	域的名称。字符串格式，长度范围是1~200个字符。
   域服务器地址	域控主机的IP地址。
   简要说明	域的简要说明。
   部门	域所属的部门。

3. Optional: 如果服务器要求安全连接，请选中服务器要求安全连接(SSL)，设置相应参数。

   参数	说明
   CA	Windows域服务器的CA证书，单击浏览选择文件上传。
   CERT	运维审计系统的客户端证书CERT，单击浏览选择文件上传。
   KEY	运维审计系统的客户端证书对应的KEY，单击浏览选择文件上传。
   允许忽略无效证书	如果选中，不对Windows域服务器的证书进行合法性检查；如果不选，将对Windows域服务器的证书进行合法性检查，对于使用非知名CA签发证书的Windows域服务器，请务必上传CA证书。

4. 单击特权帐号下的，设置特权帐号的相关信息，完成后单击确定。
   
   
   
   
   
   
   
   
   

   Note: 在单击确定前，可以单击测试进行帐号连通性测试。

   参数	说明
   帐号名称	输入域控主机上具有查询权限帐号的用户名。
   bindDN	输入该帐号的DN，例如CN=Administrator,CN=Users,DC=example,DC=com。 通过域控主机执行CMD命令获得：dsquery user -name username
   帐号密码/确认密码	输入该帐号的密码。

5. Optional: 单击帐号过滤条件对应的取值，在弹出的对话框中单击baseDN对应的，选择不同的baseDN，并编辑过滤条件，完成后单击确定。
   过滤条件的格式为(参数=属性)，例如缺省的Windows域帐号过滤条件为(&(objectCategory=person)(objectClass=(objectClass=user))。

管理员可以通过密钥管理功能新建密钥，以支持SSH会话使用密钥方式登录。

对等价资产中任意一个资产进行运维审计系统上的配置修改，配置会自动同步到等价资产中的其他成员。等价资产多用于HA或者集群环境。

1. 选择资产 > 配置 > 等价配置 > 等价资产。
2. 单击新建，设置各参数，完成后单击确定。
   
   
   
   
   

   参数	说明
   名称	等价资产的名称。字符串格式，取值范围是1~30个字符。
   添加资产	单击选择资产。
   责任人	等价资产的责任人。
   简要说明	等价资产的简要说明。

对等价帐号中的任何一个帐号进行运维审计系统上的密码修改，密码都会同步到等价帐号中的其他成员。

1. 选择资产 > 配置 > 等价配置 > 等价帐号。
2. 单击新建，设置各参数，完成后单击确定。
   
   
   
   
   

   参数	说明
   名称	等价帐号的名称。字符串格式，取值范围是1~30个字符。
   资产	单击选择资产。
   帐号名	等价帐号的帐号名。
   简要说明	等价帐号的简要说明。

对于有些比较特殊的登录提示符，通过内置代填提示符无法匹配成功时，需要针对这些资产进行适配。

1. 选择资产 > 配置 > 资产适配。
2. 单击新建，设置各参数后单击确定。
   
   
   
   
   

   参数	说明
   资产分类	取值包括资产类型和资产。如果选择资产类型，请继续选择具体的资产类型；如果选择资产，请单击添加具体的资产。
   部门	资产所属的部门。
   服务选项	协议名：取值包括ssh和telnet。 服务名：指资产的访问协议名称。字符串格式，长度范围是1~30个字符。
   帐号	资产的帐号。如果留空，代表匹配所有帐号。
   普通提示符	普通帐号的提示符，字符串格式，长度范围是1~100个字符，支持正则表达式。默认提示符一般为>，SUSE的默认提示符为:/>。会影响改密中的登录测试和自动化中的执行脚本。 Note: 使用SSH协议的主机登录时不是通过登录提示符来验证的，不会受到影响。
   特权提示符	特权帐号的提示符，字符串格式，长度范围是1~100个字符，支持正则表达式。默认提示符一般为#，SUSE的默认提示符为:~ #。会影响改密中的登录测试和自动化中的执行脚本。 Note: 使用SSH协议的主机登录时不是通过登录提示符来验证的，不会受到影响。
   交互超时时间	运维审计系统对设备进行登录或执行命令等交互操作的超时时间。单位为秒，范围为0~9999秒。缺省值为20秒。 仅影响字符会话、自动化脚本、帐号改密。 Note: 交互超时时间必须小于任务执行超时时间。
   任务执行超时时间	运维审计系统执行脚本任务超时时间。单位为秒，范围为0~9999秒。缺省值为180秒。 仅影响自动化脚本、帐号改密。
   设备网络延迟	用于解决SSH/Telnet会话中可能出现的卡顿现象。SSH/Telnet会话中，当运维审计系统和目标资产之间存在较高的网络延迟，会导致界面显示错误和高危命令匹配失效。 该参数单位为毫秒，范围为1~1000毫秒。仅对使用SSH/Telnet协议的资产生效。建议取值：运维审计系统和资产之间实际网络延迟+50毫秒，实际网络延迟一般可以通过ping 5次取最大值进行估算。 Note: 本参数一般情况下不建议配置，仅在网络延迟较高，引起操作卡顿的情况下，针对部分资产进行设置。 本参数不宜过小或过大。设置过小时，可能会导致审计记录不准确，以及高危命令规则不生效；设置过大时，会影响操作体验，例如连续回车时有明显的卡顿。
   帐号切换命令	帐号的切换命令，字符串格式，长度范围是1~100个字符，支持正则表达式。默认切换命令为su。 当配置了使用切换自的资产，且切换命令非默认切换命令时，需要配置该值。仅影响访问、登录测试和帐号改密。
   切换自失败匹配符	登录切换执行失败时返回的错误提示，字符串格式，长度范围是1~100个字符，支持正则表达式。默认为([Ii]ncorrect)|((?i)su.*(fail|incorrect))|([Dd]eny)|([Dd]enied)。 当配置了使用切换自的资产，且切换失败时显示该值，仅用于帐号改密。
   切换密码提示	切换时的密码提示符，字符串格式，长度范围是1~100个字符，支持正则表达式。通用切换密码提示为Password:。 当配置了使用切换自的资产，且切换密码提示非默认切换命令时，需要配置该值。仅影响访问、登录测试和帐号改密。
   登录名提示	系统的登录名提示符，字符串格式，长度范围是1~100个字符，支持正则表达式。默认登录名提示为login:。 当资产的登录名提示非默认登录名提示时，需要配置该值。仅影响Telnet协议的访问和登录测试。
   登录密码提示	系统的登录密码提示符，字符串格式，长度范围是1~100个字符，支持正则表达式。通用登录密码提示为Password:。 当资产的登录密码提示符非默认登录密码提示符时，需要配置该值。仅影响访问和登录测试。

   Note: 配置正则表达式时，* ( ) + ? \ [ ]{}为特殊字符，需要转义，转义符为\。例如，*转义为\*。

1. 选择资产 > 配置 > 网络环境。
2. 单击新建，配置网络环境参数。
   
   
   
   
   

   参数	说明
   名称	网络环境的名称，不超过200个字符。
   部门	指定网络环境所属的部门。 A部门的管理员，只能给A部门及其子部门创建网络环境。 资产绑定网络环境时，只能选择管理员自身部门（包括其子部门）中的网络环境。
   Socks5代理地址	Socks5代理服务器的IP地址或域名，支持IPv6。
   端口	Socks5代理服务器使用的端口，默认值为1080。
   帐号	登录Socks5代理服务器的帐号，不超过200个字符。
   密码/确认密码	帐号的密码，不超过200个字符。
   简要说明	网络环境的简要说明，不超过200个字符。

3. 单击确定。

在运维审计系统的Web界面上手工设置动态权限属性，逐个创建动态权限。

1. 选择权限 > 权限配置 > 动态权限。
2. 单击新增动态权限，设置各参数，完成后单击保存。
   
   
   
   
   

   参数	说明
   名称	动态权限的名称。字符串格式，长度范围是1~200个字符。
   规则模板	动态权限引用的规则模板，具体请参见配置规则模板。
   部门	动态权限所属的部门，缺省为root（区分大小写）。部门的具体配置请参见配置部门。
   用户	设置能够访问目标资产的用户。 全部用户 用户/用户组：单击选择用户或者用户组。 指定规则：单击添加用户筛选规则。支持匹配的用户属性包括：用户帐号、用户名、工作邮箱、备注、角色、认证方式、用户组和所有自定义用户属性。指定规则的具体配置方法请参考表5.1 动态权限匹配方式说明。
   资产	设置待访问的目标资产。 全部资产 资产/资产组：单击选择资产或者资产组。 指定规则：单击添加资产筛选规则。支持匹配的资产属性包括：资产名、IP、简要说明、责任人、资产组、资产类型和所有自定义资产属性。指定规则的具体配置方法请参考表5.1 动态权限匹配方式说明。 资产帐号：单击选择要访问的目标资产和对应帐号。启用此功能后，帐号设置将被隐藏。 Note: 该界面不显示any帐号和self帐号。
   协议	访问目标资产使用的协议。 全部协议 指定协议：包括ssh、telnet、rdp、xdmcp、vnc、xfwd和sftp Note: sftp仅控制SFTP会话的权限，不影响用户的文件传输（网盘）权限。配置了sftp权限时，规则模板中的文件传输权限也必须至少勾选上传或下载中的一个，才支持启动SFTP会话。 本参数对应用系统和数据库资产不生效。 如果配置了vnc协议，必须添加any帐号。
   帐号	访问目标资产使用的帐号。 全部帐号 指定帐号：输入访问目标资产使用帐号，多个帐号之间用英文逗号","分隔。 Note: 指定帐号时，必须保证权限规则涉及的资产上已创建了对应的系统帐号，否则权限将无法生效，查看权限时也看不到对应的数据。 指定规则：单击设置帐号筛选规则。指定规则的具体配置方法请参考表5.1 动态权限匹配方式说明。配置指定规则后，访问资产时不支持使用any和self帐号。 指定帐号：配置匹配帐号的筛选规则。 帐号类型：配置匹配帐号类型的筛选规则。帐号类型包括特权帐号和普通帐号。