摘要：某移动公司需要从技术角度保证系统和安全管理人员可以对支撑系统的用户和各种资源进行集中管理、集中权限分配、集中审计。启明星辰天玥业务堡垒机系统完美满足了用户需求。
随着国内通讯市场的高速发展，各大电信运营商在大力推广内部信息化应用，利用先进的信息化管理系统来改善内部管理。如何实现运营商维护人员安全接入维护网络和内部网络，如何更好保障维护人员对网络内部服务器的权限管理、操作过程的监控及行为审计，成为各大运营商不得不面对的问题。
为了解决企业内部IT运维人员的管控问题，启明星辰自主研发了天玥业务堡垒机系统。这套系统是针对企业内网的运维操作和业务访问行为进行细粒度控制和审计的合规性管理系统。它通过对运维人员和业务用户的身份进行认证，对各类运维操作和业务访问行为进行分析、记录、汇报，以帮助用户事前认证授权、事中实时监控、事后精确溯源，加强内外部网络行为监管，促进核心资产（数据库、服务器、网络设备等）的正常运行。
下面我们通过对天玥堡垒机系统在某移动公司的实际应用进行详细剖析，来了解一下该案例的应用背景、架构细节、方案特色以及试运行后取得的安全防护效果。
明晰主要需求
为应对SOX法案的检查，某移动公司计划建设IT系统用户身份和访问管理平台。在该公司的SOX控制点中，涉及对口令、密码、权限和审计管理的有30多项，涵盖的系统包括：智能网、彩铃、MISC、交换局和部分重要的主机、网络设备，以及公司企业信息化系统。在对相关控制点进行修补的过程中，公司发现，虽然通过管理措施可以达到对相关控制点的修补目标，但由于技术手段的缺乏，需要付出更多人力成本的代价，加重了维护人员的工作负担。而且采用非技术手段实施管理，会因为管理认知角度的不同，造成检查者对相关控制点执行是否有效总是抱有疑虑。
因此需要根据该客户的现状，建设集中统一的安全管理技术和平台，使得系统和安全管理人员可以对支撑系统的用户和各种资源进行集中管理、集中权限分配、集中审计，从技术上保证支撑系统安全策略的实施。用户主要的安全需求如下：
1. 需要针对所有业务支撑系统建立一套统一的认证、授权和审计系统；
2. 需要对所有业务支撑系统中的每个网络设备、主机系统、业务系统、数据库系统的运行、维护以及管理等操作行为进行集中、统一的审计，以便综合关联分析，及时发现违规行为；
3. 需要在多个支撑系统中建立集中统一的资源访问控制平台，集中按照最小权限原则分配权限；
4. 需要统一的用户名和口令在多个支撑系统实现单点登录，同时保证系统的安全性；
5. 需要在技术层面对第三方厂商的运维操作进行高强度的监管；
6. 需要对多人共用账号产生的操作行为进行监控，以便确定安全事故真正责任人。
提供全面方案
本次项目涉及到的部门以及业务系统主要有
