前提条件

  1. 已完成阿里云账号注册、实名认证、金融云认证。

  2. 已完成安全组创建、ECS实例创建。
  3. 已完成配置VPN且VPN正常登录。

背景信息

配置规划

根据金融云在经典网络下的金融云推荐架构（经典网络）及安全策略，您需要在华东1地域购置两台堡垒机，分别用于两个区域的VPN接入。详细规划如下。

地域 数量 堡垒机名称 所属安全域 关联安全组 凭据
华东1 2
  • Bastion_01
  • Bastion_02
 G1 sg_g1_02

ecs_web_01

ecs_web_02

操作步骤

  1. 登录阿里云官网并单击右上方的控制台进入控制台页面。
  2. 在左侧导航栏中选择安全（云盾） > 堡垒机（安全管理），进入堡垒机页面。
  3. 购买堡垒机。
    1. 左侧导航栏中选择实例列表，单击购买堡垒机，进入购买页面。
    2. 配置堡垒机基本参数：地域：华东1；网络：经典网络；数量：2；其他参数根据实际需求配置。
    3. 单击立即购买，根据界面提示完成支付、购买。
  4. 启用堡垒机。
    1. 在实例列表中找到购买的堡垒机，修改堡垒机名称，并单击启用。
    2. 弹出的窗口中配置堡垒机的网络参数。


      • 安全组：选择用于堡垒机接入ECS的安全组sg_g1。

        此处选择完成安全组后，系统自动在ECS的此安全组中创建一条安全规则，允许堡垒机接入此安全组中的ECS。

      • 内网访问控制：将VPN所有客户端IP地址添加进来；
      • 公网访问控制：经典网络的金融云场景下，禁止公网直接接入堡垒机管理ECS，所以这里请选择不对公网开放。
    3. 单击确定。
    4. 堡垒机启动需要约10分钟，请10分钟后刷新页面，堡垒机正常启动后进行管理配置。
  5. 添加待管理ECS。
    1. 在实例列表中找到购买的堡垒机，单击管理。
    2. 在弹出的页面中单击内网接入。
    3. 在弹出的页面左侧导航栏中选择资产 > 服务器，并单击同步阿里云ECS。
    4. 在弹出的页面中搜索用于堡垒机访问的ECS，勾选后单击加入云堡垒机。
    5. 关闭同步阿里云ECS页面，在堡垒机的服务器页面出现上述步骤勾选的ECS服务器。
  6. 添加管理凭据。
    1. 在堡垒机页面的左侧导航栏中选择资产 > 凭据，单击新建凭据。
    2. 在弹出的页面中配置凭据参数。


      • 登录名为root。
      • 凭据类型选择密码，密码为ECS操作系统root用户登录的密码。
    3. 单击确定。
    4. 重复上述步骤，完成另一个用于Web接入的ECS的管理凭据。
  7. 新建用户。
    1. 在堡垒机页面的左侧导航栏中选择用户 > 用户管理，单击新建本地用户。
    2. 在弹出的页面中填写运维人员的用户信息。后续SSH运维等操作可由此用户操作。
    3. 单击确定。
  8. 配置管理授权。
    1. 在堡垒机页面的左侧导航栏中选择授权 > 授权组，单击新建授权组。
    2. 在弹出的窗口中自定义授权组名称。
    3. 在授权组页面单击服务器列、用户列、凭据列，将上述步骤添加的服务器、用户、凭据添加至此授权组中。

执行结果

经典网络下，用户通过拨入VPN接入堡垒机管理ECS。完成上述安全组配置、ECS配置、VPN配置、堡垒机配置后，您可通过连接ECS服务器、上传下载文件等操作验证上述配置是否正确。

通过堡垒机远程登录ECS请参考SSH协议运维或RDP协议运维章节。