访问控制

1 功能简介

访问控制用于在授权之外再限制用户如何登录系统、连接资产、执行命令、使用剪贴板以及选择连接方式。路径：登录后选择 控制台 > 授权管理 > 访问控制，再选择具体子菜单。

子菜单包括：

• 用户登录： 按登录 IP 与时段审核是否允许登录系统（全局生效）。
• 命令过滤： 按用户、资产、账号与命令组匹配会话中的命令。
• 资产连接： 按登录 IP 与时段审核是否允许连接资产。
• 数据脱敏： 连接数据库资产时对查询结果遮盖敏感列。
• 剪贴板： 按用户、资产、账号控制复制与粘贴。
• 连接方式： 限制用户可用的连接方式（全局生效）。

图 1 用户登录控制

2 前提条件

• 已使用具备授权管理权限的账号登录 JumpServer（如系统管理员或组织管理员）。
• 命令过滤需先准备命令组，再绑定到过滤器。

全局生效

用户登录 与 连接方式 页面提示为全局生效，组织切换器显示为 全局组织。其余子菜单按当前组织显示规则。

3 用户登录

页面标题为 用户登录控制。提示：登录系统时，可以根据用户的登录 IP 和时间段进行审核，判断是否可以登录系统（全局生效）。

1. 选择 访问控制 > 用户登录，单击 创建。
2. 在 创建用户登录控制 中填写信息。
3. 单击 提交。若需连续添加，单击 保存并继续添加。

图 2 创建用户登录控制

表 1 用户登录控制字段说明

分组	字段	说明
基本设置	名称	必填。规则名称。
基本设置	优先级	默认 50。
用户	用户	全部用户、指定用户 或 属性筛选。
规则	IP	限制用户登录来源 IP。* 表示匹配所有。示例：192.168.10.1、192.168.1.0/24、10.1.1.1-10.1.1.20 及 IPv6。按 Enter 继续输入。
规则	时段	按星期与小时拖动选择。未选择等同全选。可 清空选择 或 全选。
动作	动作	拒绝、接受、审批 或 通知。
其它设置	激活中	勾选后规则生效。
其它设置	备注	选填。

列表列字段包括名称、优先级、激活中、动作及操作。未激活时 激活中 显示为否。

4 命令过滤

选择 访问控制 > 命令过滤。页签包括 命令过滤 与 命令组。

图 3 命令过滤

4.1 创建命令过滤

1. 在 命令过滤 页签单击 创建。
2. 在 创建命令过滤 中填写信息并选择命令组。
3. 单击 提交。

图 4 创建命令过滤

表 2 命令过滤字段说明

分组	字段	说明
基本设置	名称	必填。过滤器名称。
基本设置	优先级	默认 50。
用户	用户	全部用户、指定用户 或 属性筛选。
资产	资产	全部资产、指定资产 或 属性筛选。
账号	账号	所有账号 或 指定账号。
命令组	命令组	选择已创建的命令组。
动作	动作	匹配后的处理方式，默认 拒绝。
其它设置	激活中	勾选后规则生效。
其它设置	备注	选填。

列表列字段包括名称、命令组、优先级、激活中、备注及操作。

4.2 创建命令组

命令组定义要匹配的命令内容，可被命令过滤引用。

1. 选择 命令组 页签，单击 创建。
2. 在 创建命令组 中填写信息。
3. 单击 提交。

图 5 创建命令组

• 名称： 必填。
• 类型： 命令 或 正则表达式。
• 内容： 必填。每行一条规则。界面示例为 rm、reboot。
• 忽略大小写： 勾选后不区分大小写。
• 备注： 选填。

先建命令组

创建命令过滤前请先在 命令组 中准备规则，否则过滤器中 请选择命令组 无可用项。

5 资产连接

选择 访问控制 > 资产连接。提示：登录资产时，可以根据用户的登录 IP 和时间段进行审核，判断是否可以登录资产。

1. 单击 创建。
2. 在 创建资产连接 中填写信息。
3. 单击 提交。

图 6 创建资产连接

表 3 资产连接字段说明

分组	字段	说明
基本设置	名称	必填。
基本设置	优先级	默认 50。
用户	用户	全部用户、指定用户 或 属性筛选。
资产	资产	全部资产、指定资产 或 属性筛选。
账号	账号	所有账号 或 指定账号。
规则	IP	限制连接来源 IP，格式与用户登录相同，* 表示全部。
规则	时段	可拖动选择；未选择等同全选。
动作	动作	下拉选择，默认 拒绝。
其它设置	激活中	勾选后规则生效。
其它设置	备注	选填。

6 数据脱敏

选择 访问控制 > 数据脱敏。提示：连接数据库资产时，可以根据此规则对查询结果进行脱敏。

1. 单击 创建。
2. 在 创建数据脱敏 中填写信息。
3. 单击 提交。

图 7 创建数据脱敏

表 4 数据脱敏字段说明

分组	字段	说明
基本设置	名称	必填。
基本设置	优先级	默认 50。
用户	用户	全部用户、指定用户 或 属性筛选。
资产	资产	全部资产、指定资产 或 属性筛选。
账号	账号	所有账号 或 指定账号。
规则	遮盖列名	要遮盖的列名，界面示例为 password。
规则	遮盖方法	固定字符替换、隐藏中间字符、保留前缀 或 保留后缀。
规则	遮盖字符	固定字符替换时使用的字符，界面默认为 ######。
其它设置	激活中	勾选后规则生效。
其它设置	备注	选填。

7 剪贴板

选择 访问控制 > 剪贴板。页面标题为 剪贴板控制。提示：连接资产时，可以根据用户、资产、账号和剪贴板操作控制是否允许复制或粘贴。

1. 单击 创建。
2. 在 创建剪贴板控制 中填写信息。
3. 单击 提交。

图 8 创建剪贴板控制

表 5 剪贴板控制字段说明

分组	字段	说明
基本设置	名称	必填。
基本设置	优先级	默认 50。
用户	用户	全部用户、指定用户 或 属性筛选。
资产	资产	全部资产、指定资产 或 属性筛选。
账号	账号	所有账号 或 指定账号。
剪贴板	操作	勾选 复制、粘贴。
限制	复制文本字符限制	限制复制文本长度，默认 0。
限制	粘贴文本字符限制	限制粘贴文本长度，默认 0。
限制	下载文件大小限制	限制下载文件大小，默认 0。
限制	上传文件大小限制	限制上传文件大小，默认 0。
动作	动作	同意 或 拒绝。
其它设置	激活中	勾选后规则生效。
其它设置	备注	选填。

8 连接方式

选择 访问控制 > 连接方式。提示：通过连接方式过滤，您可以控制用户是否可以使用某种连接方式登录到资产上。根据您设定的规则，某些连接方式可以被放行，而另一些连接方式则被禁止（全局生效）。

1. 单击 创建。
2. 在 创建连接方式 中填写信息。
3. 单击 提交。

图 9 创建连接方式

• 名称： 必填。
• 用户： 全部用户、指定用户 或 属性筛选。
• 连接方式： 在下拉框中选择要控制的连接方式。
• 动作： 拒绝 或 接受。
• 激活中： 勾选后规则生效。
• 备注： 选填。

拒绝将阻断

用户登录、资产连接、命令过滤 或 连接方式 的动作为 拒绝，且规则已激活时，匹配的登录、连接、命令或连接方式会被阻止。请先确认范围与优先级再启用。