腾讯云国际站的堡垒机产品，对应的是 云堡垒机（Cloud Bastion Host，BH）。它是一款基于运维安全审计的 SaaS/软件服务，用于统一管理对服务器、数据库等资产的远程访问，解决运维过程中的账号、授权、操作审计三大核心问题。

下面为你梳理它的核心功能，并提供一个从零到一的使用教程，兼顾国际站的操作特点。

一、堡垒机核心功能是什么？

简单说，它就是一个“运维入口的监控和审计中心”，核心能力包括：

• 身份认证与单点登录
  支持多种认证方式（密码、手机令牌、双因子等），运维人员只需登录堡垒机一次，即可一键跳转访问被授权的所有服务器，无需记忆多台机器的账号密码。

• 资产与权限统一管理
  将你所有的云服务器（CVM）、数据库等资产纳入堡垒机。可以精细授权：指定某用户/组，能用什么账号，在什么时间，从哪些IP，使用哪种协议（SSH/RDP等）访问哪台资产。

• 操作全程审计（重中之重）
  这是合规的核心。支持对字符命令、图形操作、文件传输等进行全程录像和指令记录，可回放重现所有操作过程，实现事后追溯。

• 高危行为管控
  可预设高危指令（如 rm -rf、drop table），当用户执行时，系统能自动阻断或发起二次审批，防止误操作或恶意破坏。

• 自动改密与账号安全
  支持定期对资产的管理员密码进行自动、随机地修改，确保密码不泄露、不硬编码。

二、国际站堡垒机使用教程（从购买到审计）

以下步骤基于腾讯云国际站控制台，操作逻辑和国内站基本一致，只是入口和界面语言略有不同。

第1步：购买并激活堡垒机实例

1. 登录 腾讯云国际站控制台（console.intl.cloud.tencent.com）。

2. 进入产品列表，找到 云堡垒机（Cloud Bastion Host）。

3. 点击 新建实例。需要选择地域、关联的 VPC（需与管理目标资产网络互通）及规格。

4. 支付后，在实例列表会看到新购的堡垒机，状态显示“未激活”。点击 激活，按照向导设置好堡垒机管理员的初始密码和管理地址（通常是一个独立的内网IP或访问域名）。

网络提示： 为确保堡垒机能管理服务器，需提前做好网络规划，比如通过云联网或对等连接，将堡垒机所在 VPC 与业务服务器所在 VPC 打通。

第2步：登录堡垒机管理后台

1. 实例激活后，在控制台实例列表右侧，点击 进入 或 管理。

2. 将自动跳转到堡垒机自身的 Web 管理界面。使用上一步设置的管理员账号密码登录。

第3步：纳管你的服务器资产

进入 Web 后台后，首先要告诉堡垒机去管理哪些服务器：

1. 在左侧菜单找到 资产管理 > 主机资产。

2. 点击 新建，填入服务器的基础信息：

   • 主机名/IP：服务器的内网IP。

   • 操作系统：如 Linux / Windows。

   • 管理端口：如 SSH 22，RDP 3389。

3. 添加完毕后，需要为该资产绑定一个 托管账号（即服务器上的系统账号，如 root/administrator 及对应密码/密钥）。在主机资产列表点击对应资产的“账号管理”，添加并验证账号密钥，确保堡垒机能成功登录。

第4步：创建运维用户并授权

接下来，为运维人员创建各自的登录账号，并分配他们能管理哪些资产。

1. 创建用户：进入 用户管理 > 用户，新建一个账号，设置密码，可绑定邮箱、手机令牌等双因子认证。

2. 创建授权策略：进入 权限管理 > 访问授权，新建一条策略。

   • 选择用户：勾选上一步创建的用户。

   • 选择资产：勾选第3步添加的主机。

   • 设置权限：指定允许使用的托管账号、协议、访问时间（如仅限工作日9-18点）等。

   • 保存后，这条授权规则立即生效。

第5步：运维人员使用与管理员审计

运维人员视角：

1. 运维人员使用浏览器访问堡垒机的登录地址。

2. 输入你创建给他的用户账号和密码登录，会看到自己被授权的主机列表。

3. 选择目标主机和账号，点击 连接，会在浏览器中直接打开一个 SSH 或 RDP 会话窗口（Web 终端），全程无需再次输入服务器密码，单点登录成功。也可以使用本地客户端工具，通过堡垒机生成的代理地址进行连接。

管理员审计视角：

1. 进入 审计管理 > 会话审计。

2. 可以看到所有在线、已结束的会话记录。

3. 点击某条记录的 回放，就像看视频一样，完整重现运维人员的所有操作画面（包括鼠标移动、窗口切换）。

4. 在 指令审计 中，可以按关键字搜索具体执行过的命令，用于精准定位问题。

总结关键点

• 核心价值：身份统一、权限精细、操作留痕、风险可控。

• 网络互通是前提：确保堡垒机与目标服务器网络可达，这是部署时最容易被忽略的坑。

• 精细授权：建议遵循“最小权限原则”，只授权完成工作所必需的主机和账号，而不是直接给 root 通配授权。

• 国际站文档：如需查阅官方详细文档，可访问腾讯云国际站文档中心，搜索 Cloud Bastion Host，产品编号通常为 1021。