2026阿里云国际版堡垒机Bastionhost实战教程：版本选型、VPC启用、命令审批与会话审计计费测算
Meta Description: 阿里云国际版堡垒机 Bastionhost 实战教程：Basic 与 Enterprise 双引擎版本能力差异、分地域分档价格表、资产数与并发会话怎么估算、VPC 内网启用步骤、运维门户白名单与双因子配置、高危命令审批与会话审计，附成本测算与常见问题。
- 先划边界：堡垒机管的不是"攻击面"，而是"自己人"
- 国际版堡垒机有两个版本：Basic 与 Enterprise 双引擎
- 价格表：分地域、分档位、分版本
- 选型方法：资产数和并发会话是两个独立的约束
- 实操：购买实例（七步）
- 实操：启用实例（VPC 与安全组是最容易卡住的一步）
- 实操：打开运维门户的访问方式并配白名单
- 实操：导入资产、创建用户、授权、开双因子
Meta Description: 阿里云国际版堡垒机 Bastionhost 实战教程：Basic 与 Enterprise 双引擎版本能力差异、分地域分档价格表、资产数与并发会话怎么估算、VPC 内网启用步骤、运维门户白名单与双因子配置、高危命令审批与会话审计，附成本测算与常见问题。
关键词：阿里云国际版、堡垒机、Bastionhost、运维审计、命令审批、双因子认证、会话回放、特权访问管理
一、先划边界：堡垒机管的不是"攻击面"，而是"自己人"
安全类产品最容易买错的地方，是把它们当成可以互相替代的"一个安全套件"。实际上它们各自守着完全不同的位置：有的防外网攻击，有的查主机漏洞，有的管密钥，而堡垒机守的是运维人员的连接通道。先看这张边界表，你能一眼看出本篇补齐的是哪一环：
| 站内已有文章 | 守的位置 | 典型问题 |
|---|---|---|
| 云安全中心 | 主机与容器内部 | 这台 ECS 有没有漏洞、基线有没有过、有没有被入侵 |
| 云防火墙 | 网络边界 | 谁在访问我的公网 IP、哪些出站流量可疑 |
| VPC 私网架构 | 网络隔离 | 谁和谁能在内网互通、网段怎么分 |
| 密钥管理 KMS | 密码学材料 | 私钥、凭据、数据密钥放在哪里、谁能用 |
| 本篇：堡垒机 Bastionhost | 人的运维通道 | 谁登上了哪台机器、敲了哪条命令、拿走了哪个文件 |
一句话概括区别：前面几篇解决的是"外人进不来"，堡垒机解决的是"自己人做的事留得下证据、越权动作拦得住"。这在等保、ISO 27001 与金融行业的审计要求里是硬性一环——运维操作必须可追溯、可回放、可阻断，而这三件事靠 SSH 直连服务器是做不到的。
堡垒机的本质是"唯一入口"：把所有 ECS、RDS 的运维登录收口到一个平台上，运维人员不再直接持有服务器密码，改由堡垒机代为登录、全程录像、按策略放行命令。这带来三个直接收益：密码不再散落在每个人的记事本里、危险命令在回车之前被拦下、每一次操作都有录像可查。
二、国际版堡垒机有两个版本：Basic 与 Enterprise 双引擎
阿里云国际版堡垒机（Bastionhost）只有两个版本，但它们的架构不同：Basic 是云化单引擎，Enterprise 是云化双引擎（主备），这也是两者价格差的主要来源。选择时不要只比功能清单，先看架构冗余。
| 能力 | Basic 单引擎版 | Enterprise 双引擎版 |
|---|---|---|
| 架构 | 云化单引擎 | 云化双引擎（冗余更高） |
| 可纳管资产规模 | 最多 500 台 | 50 ~ 5,000 台 |
| 服务器运维（SSH / RDP） | ✅ 支持 | ✅ 支持 |
| 数据库运维（RDS / PolarDB / 自建库） | ❌ 不支持 | ✅ 支持 |
| 应用运维（HTTP / HTTPS） | ❌ 不支持 | ✅ 支持 |
| 多账号管理（资源目录） | ❌ 不支持 | ✅ 支持 |
| 自动改密 / KMS 密钥轮转 | ❌ 不支持 | ✅ 支持 |
| 网络域代理（隔离网络纳管） | ❌ 不支持 | ✅ 支持 |
| 非 RAM 用户的网页版运维门户 | ❌ 不支持 | ✅ 支持 |
| 智能运维（更智能的任务触发与结果分析） | ❌ 不支持 | ✅ 支持 |
| 用户与角色管理、资产导入、细粒度授权 | ✅ 支持 | ✅ 支持 |
| 双因子认证、管控策略、实时会话监控与阻断 | ✅ 支持 | ✅ 支持 |
| 会话审计（日志 + 录像 + 回放）、文件传输审计、运维报表 | ✅ 支持 | ✅ 支持 |
| 日志归档到日志服务（SLS）或本地下载 | ✅ 支持 | ✅ 支持 |
| 控制台语言（简体中文 / 繁体中文 / 英文） | ✅ 支持 | ✅ 支持 |
| 境外手机号短信双因子 | ✅ 支持 | ✅ 支持 |
| OpenAPI（yundun-bastionhost 2019-12-09 版） | ✅ 支持 | ✅ 支持 |
官方给出的选型口径很直白：以 SSH 服务器访问为主、资产不超过 500 台、不需要高并发 RDP 会话 → 选 Basic；RDP 会话占比高、需要管理 50~5,000 台资产、需要数据库或应用运维、需要多账号统一运维 → 选 Enterprise。把这张表换算成一句人话：Basic 是"服务器跳板机 + 审计"，Enterprise 才是完整的"特权访问管理平台"。
需要特别注意的是国际版的国际化能力：控制台可以在简体中文、繁体中文、英文之间切换；短信双因子支持中国大陆以外的多个运营商号码（官方清单覆盖 27 个国家/地区，详见第八节）——这正是跨境团队使用国际站而不是国内站的主要原因之一。
三、价格表：分地域、分档位、分版本
阿里云国际版堡垒机是订阅制（包年包月），不按流量、不按会话数计费，价格由三个维度决定：版本 → 资产规模档位 → 地域。以下为官方定价页与计费文档口径（美元/月），价格可能变动，请以官方为准。
3.1 Basic 单引擎版
| 资产规模 | 并发会话 | 默认带宽与存储 | 中国大陆 | 中国大陆以外 | 阿联酋（迪拜） |
|---|---|---|---|---|---|
| 50 台 | 50（SSH ≤ 50 / RDP ≤ 20） | 8 Mbit/s + 1 TB | 250 USD | 400 USD | 750 USD |
| 100 台 | 100（SSH ≤ 100 / RDP ≤ 30） | 同上 | 400 USD | 600 USD | 1,000 USD |
| 200 台 | 100（SSH ≤ 100 / RDP ≤ 30） | 同上 | 550 USD | 700 USD | 1,300 USD |
| 500 台 | 500（SSH ≤ 500 / RDP ≤ 60） | 16 Mbit/s + 2 TB | 800 USD | 1,100 USD | 2,000 USD |
3.2 Enterprise 双引擎版
| 资产规模 | 并发会话 | 默认带宽与存储 | 中国大陆 | 中国大陆以外 | 迪拜 |
|---|---|---|---|---|---|
| 50 台 | 50（SSH ≤ 50 / RDP ≤ 50） | 12 Mbit/s + 2 TB | 400 USD | 700 USD | 不支持 |
| 100 台 | 100（SSH ≤ 100 / RDP ≤ 60） | 同上 | 700 USD | 1,000 USD | 不支持 |
| 200 台 | 100（SSH ≤ 100 / RDP ≤ 60） | 同上 | 950 USD | 1,300 USD | 不支持 |
| 500 台 | 500（SSH ≤ 500 / RDP ≤ 120） | 24 Mbit/s + 3 TB | 1,400 USD | 1,900 USD | 不支持 |
| 1,000 台 | 1,000（SSH ≤ 1,000 / RDP ≤ 120） | 同上 | 2,500 USD | 3,900 USD | 不支持 |
| 2,000 台 | 1,000（SSH ≤ 1,000 / RDP ≤ 120） | 同上 | 4,000 USD | 6,000 USD | 不支持 |
| 5,000 台 | 2,000（SSH ≤ 2,000 / RDP ≤ 240） | 48 Mbit/s + 4 TB | 5,800 USD | 8,800 USD | 不支持 |
表中"中国大陆以外"包含：中国香港、日本（东京）、新加坡、马来西亚（吉隆坡）、印度尼西亚（雅加达）、菲律宾（马尼拉）、美国（弗吉尼亚）、美国（硅谷）、德国（法兰克福）、英国（伦敦）。迪拜只售 Basic 版，且价格明显更高，如果你的业务落在中东，需要单独算预算。
3.3 带宽扩展包
每个实例自带默认带宽（Basic 8/16 Mbit/s，Enterprise 12/24/48 Mbit/s）。如果运维过程中频繁通过 RDP 传输图形界面、或大量上下传文件，默认带宽会被打满，此时加购扩展包：
| 地域 | 扩展带宽单价 |
|---|---|
| 中国大陆 | 12 USD / (Mbit/s) / 月 |
| 中国大陆以外 | 15 USD / (Mbit/s) / 月 |
| 阿联酋（迪拜） | 20 USD / (Mbit/s) / 月 |
扩展包按 10 Mbit/s 为步长售卖，购买页参数 Extra Bandwidth 的取值区间是 0 ~ 200 Mbit/s，且必须是 10 的整数倍。存储扩展包同理，在购买页的 Extended Storage Plans 里选择。
3.4 计费口径里必须知道的四条
- 计费周期按 UTC+8 计算，从实例激活或续费那一刻起按秒起算，到到期日的次日 00:00:00 结束；周期中的"年/月"指自然年与自然月，不是 30 天。
- 可选周期：1 个月、3 个月、6 个月、1 年、2 年、3 年。建议同时勾选"自动续费"，否则到期停服会直接打断运维。
- 到期策略：到期后 7 天内未续费 → 服务停止，连堡垒机管理界面都登不进去；超过 7 天保留期仍未续费 → 实例释放，所有配置与审计数据永久删除。审计数据的价值恰恰在于"事后回溯"，永久删除意味着合规证据链断裂。
- 退款策略：官方明确说明不支持无条件退款。这是它与 ECS 等可按量即开即停产品最大的习惯差异——买错了不能像 ECS 那样释放止损，所以选型必须在付款前做完。
3.5 单位资产成本：一个自查是否买贵的口径
把月费除以资产档位，得到一个很直观的单位成本（取中国大陆以外价格）：
| 版本 | 50 台 | 100 台 | 200 台 | 500 台 | 1,000 台 | 2,000 台 | 5,000 台 |
|---|---|---|---|---|---|---|---|
| Basic | 8.00 | 6.00 | 3.50 | 2.20 | — | — | — |
| Enterprise | 14.00 | 10.00 | 6.50 | 3.80 | 3.90 | 3.00 | 1.76 |
单位：USD / 月 / 资产（价格可能变动，请以官方为准）
这张表能读出三条不那么显然的结论：
- 规模越大单位成本越低。Basic 从 50 台档的 8.00 降到 500 台档的 2.20，差了 3.6 倍——因为堡垒机的成本主体是平台能力，不是被纳管的机器数。资产少的时候，你付的主要是"平台费"。
- Enterprise 的 1,000 台档（3.90）比 500 台档（3.80）略贵。这不是定价错误：1,000 台档翻倍的是资产容量，并发会话虽然也翻到 1,000，但 500 台档的并发已经是 500，真实并发压力并没有线性增加。按单位资产看它不划算，按单位并发看它其实是降价的。
- 2,000 台档把资产翻倍，并发仍是 1,000。也就是说这一档卖的是"纳管广度"，不是"并发能力"——如果你的痛点是"人太多、会话打满"，买它没有意义，应该看 5,000 台档（并发 2,000）。
📝 小提示：正式下单前可以先申请 7 天免费试用（官方在产品页提供试用申请表单），把真实的连接方式、RDP 占比、并发峰值跑一遍，再决定买哪个档位。堡垒机不支持无条件退款，这 7 天是唯一的"试错窗口"。
四、选型方法：资产数和并发会话是两个独立的约束
官方对这两个词的定义很明确，但很多人是付款时才第一次认真读：
- 资产（Assets）：堡垒机能纳管的服务器资产数量。
- 并发会话（Concurrent Sessions）：运维人员同时在堡垒机上发起的远程连接数，指基于 SSH 与 RDP 的运维会话。
官方给的估算示例是这样的：假设 20 名运维人员，每人平均同时开 5 个会话 → 峰值需要 100 个并发；另一家企业有 80 台资产、50 个并发需求 → 两家企业的"最低规格"都是 100 台资产 + 100 并发。也就是说，档位要按"两个约束里更高那个"来选，而不是只看机器数。
选型时最容易踩的三个坑都在价格表的细节里：
坑一：资产数与并发数在档位之间不同步。 Basic 版的 100 台档和 200 台档，并发都是"100 总数 / SSH ≤ 100 / RDP ≤ 30"。多花 100 USD/月（境外价：600 → 700）只买到"资产容量从 100 变 200"，并发一点没涨。如果你有 150 台机器但只有 10 个人运维，这个升级是值的；如果你有 120 台机器、30 个人轮班，升级到 200 台档对并发毫无帮助，应该直接看 500 台档（并发 500）。
坑二：RDP 的并发上限远低于 SSH。 官方明确说明"RDP 运维比 SSH 消耗更多底层资源，因此同一档位的 RDP 最大并发低于 SSH"。Basic 500 台档的 SSH 可以到 500，但 RDP 只有 60；Enterprise 500 台档的 RDP 是 120，5,000 台档是 240。如果你的运维场景以 Windows 远程桌面为主（例如运维 ERP、财务、开发测试机），按 SSH 的并发数字去选档会严重低估——这是"选了 Basic 版结果 RDP 连不上"的最常见原因。
坑三：数据库运维的一次会话会开多条连接。 官方提示：数据库运维场景下单个会话可能打开多条并发连接，因此实际可用的数据库并发会话数会低于档位标称的并发配额；连接总数过高时，堡垒机自身的过载保护机制会启动并拒绝新的会话连接。若你是为了数据库运维买 Enterprise 版，档位选择要再留一层余量。
把这三条合起来，选型顺序应该是：
- 先数清楚资产：现有 ECS / RDS 数量 × 未来 12 个月增长率，向上取到最近的档位。
- 再估并发：运维人数 × 每人峰值会话数；RDP 场景单独按 RDP 上限校验。
- 看能力需求：需要数据库/应用运维、多账号、自动改密、隔离网络纳管 → 直接进 Enterprise，不要先买 Basic 再后悔（不支持无条件退款）。
- 最后算带宽：默认带宽是否够用，不够就加扩展包（10 Mbit/s 步长）。
五、实操：购买实例（七步）
第一步：打开购买页。 国际站堡垒机的购买页 URL 带商品码参数：
// 阿里云国际版堡垒机购买页（commodityCode 固定为 bastionhost_std_public_intl）
https://common-buy-intl.alibabacloud.com/?&commodityCode=bastionhost_std_public_intl
第二步：填参数。 购买页的参数不多，但每一个都影响后续能不能改：
| 参数 | 示例值 | 说明与坑点 |
|---|---|---|
| 地域（Region） | China (Hangzhou) | 实例地域购买后不可更改。强烈建议与资产同地域，不同地域之间一般无法走内网互通，需要 CEN 或网络域功能打通 |
| 版本（Version） | Basic Edition | Basic / Enterprise 二选一，能力差异见第二节 |
| 资产数（Assets） | 50 台 | 决定档位与价格 |
| 扩展带宽（Extra Bandwidth） | 0 | 取值 0~200，单位 Mbit/s，必须是 10 的倍数 |
| 扩展存储（Extended Storage Plans） | 0 | 会话录像与日志备份会占存储，录像多则要加 |
| 资源组（Resource Group） | Default Resource Group | 用于账单与权限归集 |
| 数量（Quantity） | 1 | — |
| 时长（Duration） | 1 Month | 可选 1/3/6 月、1/2/3 年；建议勾选"自动续费" |
第三步：下单支付。 支付完成后实例进入"未启用"状态，需要手动启用。
📝 小提示：如果还在评估阶段，先在产品页提交 7 天免费试用申请再决定购买。官方计费文档明确写着不支持无条件退款，试用窗口是唯一的低成本试错机会。
六、实操：启用实例（VPC 与安全组是最容易卡住的一步）
启用这一步决定堡垒机"住在哪个网里"，而它不可逆。按下面这六步走，可以避开 90% 的启用失败：
1. 登录堡垒机控制台。 入口是 yundun.console.alibabacloud.com/?p=bastion（注意不是主控制台）。首次登录会被提示创建服务关联角色，这个角色是启用堡垒机功能的必要条件，一定要让它建完。
2. 在城市选择器里选对地域，找到刚购买的实例，点击 Run（启用）。
3. 选择网络。 在"启用堡垒机"面板里选择 VPC 与 vSwitch：
- VPC 启用后不可更改——务必选择包含你要纳管资产的 VPC。
- vSwitch 至少要有 3 个可用 IP。如果选的交换机资源不足，换一个或新建一个。
4. 选择 ECS 安全组。 这里有两个硬性限制：
- 只能加入普通安全组（basic security group），不能用高级安全组（advanced）或托管安全组（managed）。
- 加入后系统会自动生成一条放行规则，允许堡垒机访问该组内所有 ECS 实例。
📝 小提示：如果你的 ECS 都挂在高级安全组里，有两个解法：新建一个普通安全组并把 ECS 加进去；或者把堡垒机的出方向 IP（egress IP）加进原高级安全组的入方向规则。启用后安全组可以再改。
5. 点击 Next → 启动检查通过后点击 Enable。 实例进入初始化，约 10 ~ 15 分钟。初始化完成后状态变为 Running，才表示启用成功。
6. 点击 Manage 进入堡垒机管理控制台。 到这里，"平台"已经有了，但还不能让运维人员连接——默认情况下运维门户的公网与内网访问都是关闭的，这正是下一节的内容。
七、实操：打开运维门户的访问方式并配白名单
这是"买了堡垒机却连不上"的第一大原因：实例创建后，运维门户的公网访问和内网访问默认都是关闭的。你必须显式开启一种访问方式，并配置来源 IP 白名单，否则把地址发给运维同事，他们只会看到连不上。
| 访问方式 | 适用场景 | 网络要求 | 前提 | 费用 |
|---|---|---|---|---|
| 公网访问 | 运维人员从远程办公、移动网络或出差途中访问堡垒机 | 运维终端能上公网，且出网 IP 必须固定（否则没法配白名单） | 已确认运维人员的公网出网 IP | 开启后产生公网带宽费用 |
| 内网访问 | 运维人员从同地域同 VPC 的跳板机、或经专线接入的办公网访问 | 运维网络能到达堡垒机所在 VPC | 已规划同地域 VPC 与 vSwitch，并确认网络连通 | 不产生带宽费，但占用该 VPC 的 IP 资源 |
两种方式可以同时开启，用于服务不同的运维人群；开启后实例概览页会分别显示公网与内网两个运维门户地址。
开启步骤：
- 控制台左侧点击 Overview（概览）。
- 在"堡垒机信息"区域找到 Network Configuration（网络配置）并点击进入。
- 按需开启公网或内网访问：
- 开启公网访问：在"公网访问"区域点击 Enable Public Network，确认带宽与计费信息后点击 OK。系统自动分配公网运维地址，约 1 ~ 3 分钟生效。
- 开启内网访问：在"内网访问"区域点击 Enable Private Network，选择目标 VPC 与 vSwitch 后点击 OK，系统在该 VPC 内创建私网运维地址。
- 配置来源 IP 白名单：
- 公网白名单是必填项。点击 Set Whitelist，填入允许访问运维门户的公网 IP 或 CIDR（例如公司出口 IP）。不在白名单里的 IP 一律无法访问门户。
- 内网白名单为可选项。内网访问默认对该 VPC 内所有 IP 开放，需要进一步收紧时再配白名单。
- 白名单变更约 1 ~ 3 分钟生效。
⚠️ 红线：永远不要把公网白名单设成
0.0.0.0/0。官方文档对此有明确的安全警告——那等于把整个运维门户毫无遮挡地暴露在公网上。只添加运维人员真实使用的出网 IP 或 CIDR。
- 回到实例概览页，查看已开启的运维门户地址（公网与内网地址是分开显示的），按运维人员的网络环境分发对应地址。
连不上时的排查顺序（官方列出的三条最常见原因，按发生概率排序）：
- 公网入口开了，但运维人员的真实出网 IP 不在白名单里——这是最常见的。让他们在当前网络下先确认自己的公网出口 IP，再加进白名单：
// 让运维同事在本人电脑上执行，把输出的 IP 加进公网白名单
curl -s https://ipinfo.io/ip
- 把内网地址发给了远端同事——他们的网络到不了堡垒机所在 VPC。要么改用公网访问，要么先经专线/VPN 打通。
- 白名单刚改完还没生效——等待 1 ~ 3 分钟再试。
顺带验证一下门户可达性（把地址替换成概览页显示的公网运维门户地址）：
// 从已加入白名单的网络执行，期望返回 HTTP 200/302
curl -I -k "https://<堡垒机公网运维门户地址>"
八、实操：导入资产、创建用户、授权、开双因子
平台就绪后，按"资产 → 用户 → 授权 → 加固"四步把运维通道搭起来。
第一步：导入资产并建立主机账户。
- 进入堡垒机管理控制台 → 左侧 资产运维 相关菜单 → 选择导入 ECS 实例。
- 在"选择地域"对话框里勾选 ECS 所在地域 → Next → 勾选要纳管的实例 → Import。
- 在目标资产的 Actions 列点击 创建主机账户（Create Host Account），填写登录参数：
| 配置项 | 说明 |
|---|---|
| 协议（Protocol） | Linux 默认 SSH，Windows 默认 RDP |
| 登录名（Logon Name） | 登录该 ECS 的用户名 |
| 认证方式（Authentication Type） | 选 Password；若 ECS 用密钥认证则选 Private Key 并粘贴私钥。共享密钥（Shared Key）可以一次创建私钥并关联多个主机账户，适合批量纳管 |
| 密码（Password） | 登录 ECS 的密码 |
| 仅 SFTP 权限（Enable Only SFTP Permission） | 默认关闭；开启后该账户不能用 SSH 登录，只能传文件 |
📝 小提示：主机账户创建页有 Verify 按钮，务必点一下验证登录名与密码是否正确——密码在堡垒机里存在，但根本没验证过，等到运维人员登录时才报错的情况很常见。
第二步：创建堡垒机用户。 支持两种路径：
- 本地用户：手动创建或从文件批量导入。
- 同步身份源：同步 RAM 用户、AD 认证用户、LDAP 认证用户；也可从 IDaaS、钉钉、Microsoft Entra ID 导入用户。基础能力（用户角色、账号生命周期、密码与锁定策略）两个版本都支持。
第三步：授权。 在用户列表的 Actions 列点击 Permission on Host → 在"Managed Hosts"页签点击授权 → 选择目标资产 → 在"Authorized Accounts"列点击授权链接 → 选择具体账户 → Update。授权粒度可以细到单个用户 / 用户组 / 资产账户 / 资产组账户级别——这就是"最小权限"在运维场景的落地方式。
第四步：开启双因子认证。 路径：System Settings → Authentication Configuration → Two-Factor Authentication 页签，打开开关，选择认证方式，点击 Save。
| 认证方式 | 要求 |
|---|---|
| 短信（Text Message） | 用户账号需绑定手机号 |
| 邮件（Email） | 用户账号需绑定邮箱 |
| 钉钉（DingTalk） | 账号需绑定手机号；钉钉管理员需创建内部应用并开启"通过手机号与姓名获取成员信息"的 API 权限；需拿到 AppKey、AppSecret、AgentId |
| OTP App | 下载标准 TOTP 认证器（如阿里云 App），从公网端点登入运维门户 → 安全设置 → 开启 OTP → 扫码绑定 |
另外两个参数值得注意：
- 通知语言：可选简体中文或英文。
- "双因子验证通过后，多久内免二次验证"：取值 0 ~ 168 小时（0 ~ 7 天），默认 0 表示每次登录都要验证。该免验是按来源 IP 生效的——同一 IP 在该时间窗内再次登录可跳过。
国际版的重点在这里：境外手机号短信双因子。 官方给出的支持清单覆盖以下国家/地区（括号内为国际区号）：
| 区域 | 支持的国家/地区 |
|---|---|
| 中国区域 | 中国大陆(+86)、中国香港(+852)、中国澳门(+853)、中国台湾(+886) |
| 中国以外 | 澳大利亚(+61)、波兰(+48)、德国(+49)、阿联酋(+971)、俄罗斯(+7)、法国(+33)、菲律宾(+63)、韩国(+82)、马来西亚(+60)、美国(+1)、日本(+81)、瑞典(+46)、瑞士(+41)、西班牙(+34)、新加坡(+65)、以色列(+972)、意大利(+39)、印度(+91)、印度尼西亚(+62)、英国(+44)、沙特阿拉伯(+966)、泰国(+66)、越南(+84)、柬埔寨(+855) |
也就是说，跨境团队用境外手机号也能收到登录验证码。官方 FAQ 同时说明：登录过程中的短信双因子不额外收费（该说明仅覆盖登录场景的短信双因子，不含其他计费场景）。MFA 的全局配置优先级低于针对单个用户的手动配置；RAM 用户的 MFA 需要在 RAM 控制台单独绑定。
九、管控策略：把危险命令拦在回车之前
堡垒机最有价值的两个功能——命令管控和命令审批——都在"管控策略（Control Policy）"里。它的定位是：在运维人员真的敲下命令和真的连上资产之前，加上一道由策略定义的安全边界。
策略的两个全局规则，先记住：
- 优先级 1 ~ 100，1 最高。多个策略优先级相同时，后创建的生效。
- 当"命令管控"与"命令审批"同时命中同一条命令时，执行顺序是 拒绝 > 允许 > 审批。并且命令管控策略优先于命令审批策略——被管控策略拦下的命令根本不会进入审批流程。
第一步：创建策略。 控制台 → Control Policies → Create Control Policy，配置以下四组内容：
① 命令策略（主机命令策略仅对 Linux 主机生效）
- 控制命令（Commands That Require Control）支持两种模式：黑名单（"列表中的命令不允许执行"，可以留空，适合只封禁已知高危操作）与白名单（"只允许列表中的命令"，必填，适合需要严格枚举放行命令的场景）。
- 需审批命令（Commands That Require Approval）：被标记的命令在执行时会被挂起，等管理员在控制台批准或拒绝后才执行。
官方给出的高危命令推荐策略，可以直接抄成初始配置：
| 命令 | 说明 | 推荐策略 |
|---|---|---|
reboot / restart | 重启系统 | 需审批 |
shutdown / halt / poweroff / init 0 | 关机或停机 | 需审批 |
kill / pkill | 结束进程 | 需审批 |
rm -rf | 递归删除目录且不提示 | 需审批 |
mount / umount | 挂载/卸载文件系统（病毒复制风险） | 需审批 |
parted | 磁盘分区 | 需审批 |
format / mkfs.ext3 * | 格式化磁盘 | 黑名单 |
dd if=/dev/zero of=/dev/had | 清空磁盘 | 黑名单 |
dd if=/dev/random of=/dev/* | 向块设备写入随机数据 | 黑名单 |
另外三条含管道的典型危险命令（Fork 炸弹、"下载即执行"、把目录移入 /dev/null），建议直接进黑名单：
:(){ :|:& };:
(mv)(|.*)(/dev/null)
(wget)(|.*)(-O- | sh)
② 数据库命令策略（Enterprise 版的数据库运维场景）：同样支持黑名单/白名单两种模式，匹配方式可选 SQL 解析或正则匹配。
③ 协议控制：分别配置 RDP 选项、SSH 选项、SFTP 选项，定义策略覆盖的会话里允许哪些操作。例如打开"文件上传"才能在做运维时上传文件。
⚠️ 通道锁死风险：SSH Channel 与 SFTP Channel 至少要保留一个。清空 SSH Channel 会让策略覆盖的所有账户都无法通过 SSH 登录；如果某个主机账户本身设了"仅 SFTP 权限"，那么 SSH 与 SFTP 两个通道也不能同时关闭——否则该账户再也无法通过堡垒机访问主机。
④ 访问控制（来源 IP）：白名单（只允许列表中的 IP 连接，必填）或黑名单（列表中的 IP 被禁止，可留空）。
⑤ 登录控制：
- 运维审批（O&M Approval）：开启后，运维人员必须提交运维申请并等管理员审批通过，才能登录资产。
- 登录备注（Logon Remarks）：开启后，运维人员在做网页运维、SSO 运维或申请运维令牌前，必须填写备注。
第二步：关联资产与用户（这一步不做，策略等于没建）。 控制策略必须同时关联资产和用户才会生效。在"策略关联的资产与用户"页：
- 关联资产：可选"对所有资产生效"或"仅对选中资产生效"（再选"关联全部账户"或"关联指定账户"）。要给多台资产批量套策略，先把它们加进资产组，再对资产组关联策略。
- 关联用户：可选"对所有用户生效"或"对选中用户生效"。
十、审计与取证：会话录像、报表、日志归档
堡垒机的另一半价值在"事后"——出了事能不能还原现场。Basic 与 Enterprise 在这一层的能力完全一致，不需要为了审计而升级版本（需要升级的理由是数据库/应用运维、多账号、自动改密这些）。
| 审计能力 | 说明 |
|---|---|
| 会话审计 | 通过日志与视频录像审计全部运维操作，支持会话回放 |
| 文件传输审计 | 审计运维会话中发生的所有文件传输行为 |
| 运维报表 | 生成并以 PDF / HTML / Word 格式导出运维活动报表 |
| 日志归档 | 审计日志可投递到日志服务（SLS），或通过日志备份功能下载到本地 |
| 实时会话监控 | 实时查看进行中的会话，并可立即阻断指定会话 |
| 自动化运维 / 智能运维 | 自动化运维（两版支持）：创建运维任务批量向多台主机分发脚本；智能运维（仅 Enterprise）：更智能的任务触发、编排与结果分析 |
把审计日志投递到 SLS 之后，就与站内的日志体系打通了：可以继续做关键词告警、长期留存与检索。具体开通与采集方式见 日志服务 SLS 实战教程；告警渠道（短信/邮件/钉钉）的配置与 云监控告警 是同一套思路。
如果登录或连接资产出问题，官方从 V3.2.33 版本起提供了自助连接诊断（Self-service Diagnosis），把链路上两段分开诊断：
| 诊断类型 | 检查内容 |
|---|---|
| 堡垒机 → 服务器 的连接 | 堡垒机到资产的连通性，含账户有效性与网络可达性 |
| 客户端 → 堡垒机 的连接 | 你的客户端到堡垒机运维地址的连通性 |
RAM 用户从堡垒机控制台进入（资产运维 → 主机运维/数据库运维 → 点击诊断）；本地用户从运维门户左侧的"自助诊断"进入。诊断需要填写资产 IP、资产账户登录名、资产运维地址（或堡垒机运维地址 + 客户端访问 IP），结果区会直接给出处置建议。
十一、成本测算：三个真实规模下的月账单
下面三个场景全部按中国大陆以外地域价格计算（价格可能变动，请以官方为准），假设条件写在每个场景里，便于替换成你自己的数字。
| 场景 | 假设 | 最低可用档位 | 月费 | 年费 |
|---|---|---|---|---|
| A：小团队、SSH 为主 | 20 人运维、80 台 ECS、纯 SSH、不需要库运维 | Basic 100 台档 | 600 USD | 7,200 USD |
| B：同规模但以 Windows 为主 | 20 人运维、80 台资产、RDP 占一半、需纳管 RDS | Enterprise 100 台档 | 1,000 USD | 12,000 USD |
| C：中型环境 + 公网门户 + 带宽加购 | 500 台 ECS、公网运维门户、默认 16 Mbit/s 不够，加 10 Mbit/s | Basic 500 台档 + 带宽扩展 | 1,250 USD | 15,000 USD |
计算过程（便于你自行替换参数）：
- 场景 B 与场景 A 的差价 =
1,000 − 600 = 400 USD/月，年差4,800 USD。这 400 买的是：双引擎架构 + 数据库运维 + 应用运维 + 多账号管理 + 自动改密/KMS 密钥轮转 + 网络域代理。如果场景里确实要管 RDS，这笔钱省不掉（Basic 版根本没有数据库运维入口）。 - 场景 C 中带宽扩展包 =
15 USD/(Mbit/s)/月 × 10 Mbit/s = 150 USD/月，因此1,100 + 150 = 1,250 USD/月；若加 20 Mbit/s 则为1,100 + 300 = 1,400 USD/月。
一个必须提前知道的"档位断崖"：Basic 版最高只到 500 台，而 Enterprise 版没有 500 ~ 1,000 之间的档位。所以资产数一旦从 500 变成 501，可选的最低档位就直接跳到 Enterprise 1,000 台档：
| 资产数 | 最低可用档位（境外） | 月费 |
|---|---|---|
| 500 台 | Basic 500 台档 | 1,100 USD |
| 501 台 | Enterprise 1,000 台档 | 3,900 USD |
也就是说，资产从 500 增到 501，账单可能跳到 3.5 倍（3,900 ÷ 1,100 ≈ 3.5）。这不是"多管一台机器"的成本，而是被档位结构顶上去的。对应的三个处置动作：
- 收敛纳管范围：如果那 1 台是临时机器或只读节点，把它排除在纳管清单外，就能留在 Basic 500 台档，每月省 2,800 USD（
3,900 − 1,100）。堡垒机纳管的是"需要人工登录运维的资产"，容器化、无登录的机器本就不需要进堡垒机。 - 如果确实会持续增长，那就按 1,000 台档买，但要同时把该档位带来的能力（数据库运维、多账号、自动改密、网络域）用起来，别只把它当"扩容包"。
- 结合真实并发复核：1,000 台档的并发也是 1,000，若你的并发压力反而更大，直接评估 2,000 台 / 5,000 台档的性价比（单位资产成本分别为 3.00 与 1.76 USD）。
省钱的四个动作（按收益排序）：
- 公网入口不用就关掉。公网访问开启后会产生带宽费用；为测试或临时使用开启的访问方式，不需要时应及时关闭。同 VPC 内网访问既省带宽费又更安全。
- 把"关闭不用的访问方式"写进运维例行检查，别让测试期开着的公网入口长期挂着。
- 用 1/2/3 年期锁定价格，并优先勾选自动续费——到期 7 天不续费就停服，超过保留期实例释放、审计数据永久删除，这个代价远大于续费。
- 先跑 7 天免费试用再付款，用真实 RDP 占比与并发峰值验证档位，避免"买大了浪费、买小了 RDP 连不上且不能退款"。
跨境运维的额外一层：用全球加速（GA）优化链路。 如果运维人员分布在不同大洲、跨地域直连堡垒机的公网地址时延高、丢包多，官方推荐的做法是在堡垒机前面挂 Global Accelerator（GA）：用户就近接入最近 GA 加速节点，经阿里云骨干网到堡垒机实例，并可通过自定义域名（例如 bh.yourcompany.com）访问。官方给出的验证方式是网络拨测对比"公网地址"与"自定义域名"两行的最小时延、最大时延、平均时延，并要求所有探测点丢包率为 0%。GA 按量计费，费用由实例费 + 容量单元（CU）费 + 数据传输费三部分构成，可以按加速区域的带宽峰值控制成本。
十二、常见问题 FAQ
- Q: 阿里云国际版堡垒机与国内版有什么区别？
A: 国际版在境外地域售卖、以美元计价，控制台支持简体中文/繁体中文/英文，短信双因子支持 27 个境外国家/地区的手机号；国内版以人民币计价，更贴近中国大陆的等保合规场景。跨境业务的账号、资产、数据地域都在国际站时，建议就地买国际版，避免跨站账号与结算上的额外麻烦。
- Q: 支持纳管哪些资产？
A: Basic 版支持 Linux/Windows 服务器（SSH/RDP）与 SFTP 文件传输；Enterprise 版追加 数据库运维（ApsaraDB RDS 的 MySQL/SQL Server/PostgreSQL、PolarDB 集群、自建数据库）与应用运维（HTTP/HTTPS）。两者都支持手工添加资产与批量导入阿里云及第三方云资产，也支持混合资产（第三方云 + 阿里云 + 本地 IDC）。
- Q: 能跨地域或跨 VPC 纳管吗？
A: 建议实例与资产同地域——不同地域之间一般无法走内网互通。跨地域可用 CEN（云企业网）或 Enterprise 版的网络域功能；跨 VPC 需要先打通网络。基础网络规划可参考 VPC 私网架构。
- Q: 到期不续费，数据会丢吗？
A: 会。到期后 7 天内未续费即停服（连管理界面都登不上）；超过保留期仍未续费，实例释放，所有配置与审计数据永久删除。这也是为什么必须勾选自动续费。
- Q: 支持退款吗？
A: 官方明确不支持无条件退款。购买前请用 7 天试用验证档位。
- Q: 短信双因子要额外付费吗？
A: 官方 FAQ 说明，登录过程中的短信双因子不收费（该说明仅覆盖登录场景的短信双因子，不含其他计费场景）。
- Q: 一定要开公网访问吗？
A: 不必。实例创建后公网与内网访问默认都是关闭的，按需开启其一或两者都开。同 VPC 内网访问不产生带宽费，但会占用该 VPC 的 IP 资源。
- Q: 公网白名单能填
0.0.0.0/0吗？
A: 不能。官方有明确的安全警告：把公网白名单设为 0.0.0.0/0 会把运维门户完全暴露到公网。只添加运维人员真实的出网 IP 或 CIDR。
- Q: 命令管控策略和命令审批同时命中一条命令，谁优先？
A: 执行顺序是拒绝 > 允许 > 审批，且管控策略优先于审批策略——被管控策略拦下的命令不会进入审批流程。多个策略优先级相同时，后创建的生效。
- Q: 有没有 API 或基础设施编排支持？
A: 有。堡垒机提供完整的 OpenAPI（yundun-bastionhost 2019-12-09 版），Basic 与 Enterprise 都支持，可用 SDK/CLI 做批量纳管与自动化。批量运维脚本、密钥与角色配置方式可参考 API/CLI 自动化管理实战。
十三、总结：30 分钟落地上线清单
堡垒机不是"买了就安全"的产品，它的价值全部体现在配置细节上。把本篇压缩成一份可执行清单：
- 数资产、估并发：资产数 × 增长率定档；并发 = 运维人数 × 每人峰值会话数，RDP 场景单独校验上限。
- 选版本：只要服务器运维 → Basic；要数据库/应用运维、多账号、自动改密、隔离网络 → Enterprise。注意 501 台起被迫跳档。
- 买对地域：与资产同地域，地域购买后不可改；必要时加扩展带宽（10 Mbit/s 步长）。
- 启用时选中正确的 VPC 与 vSwitch（至少 3 个可用 IP），安全组必须是普通安全组。
- 开启运维门户访问方式并配白名单，绝不用
0.0.0.0/0。 - 导入资产 → 建主机账户（记得 Verify）→ 建用户 → 到账户级授权。
- 开双因子：境外团队用手机号短信或 OTP App，免二次验证时长按需设 0 ~ 168 小时。
- 建管控策略并同时关联资产与用户：高危命令进审批、格式化类命令进黑名单、SSH/SFTP 通道至少留一个。
- 打通审计：会话录像回放 + 报表导出 + 日志投递 SLS，形成可追溯的证据链。
- 勾选自动续费，并把"关闭临时公网入口"写进例行检查。
至此，站内的四条安全线也齐了：边界（云防火墙）→ 主机与容器（云安全中心）→ 密码学材料（KMS）→ 人的运维通道（堡垒机）。四者不是替代关系，而是从外到内层层收口；堡垒机是唯一一个"连自己人也要留痕"的位置，也正因如此，它在等保与内控审计里几乎是必答题。
⚠️ 免责声明：本文中提到的配置、价格和优惠信息可能随时间变化，请以阿里云国际版官网（alibabacloud.com）的实时信息为准。本文不构成任何投资或购买建议。注册前请确认当地法规合规性。
延伸阅读：
- 云安全中心实战教程：主机漏洞、基线检查与自动隔离
- 云防火墙 CFW 实战教程：互联网边界、VPC 边界与出站管控
- 密钥管理服务 KMS 实战教程：默认密钥/软件/硬件实例选型与凭据管家
- ECS 安全加固实战教程：SSH 密钥、安全组、fail2ban 与审计
- ECS 选购指南：实例类型、流量包与地域选择
本文由 2.chengzicloud.cloud 提供，点击访问首页了解更多