## 概念是什么
堡垒机是运维人员访问服务器的统一入口，所有会话经过它建立。会话审计有两种记录形态：屏幕录像回放整个操作过程，命令日志记录每一条输入的命令与时间戳。双轨并行，审计能力才完整，单独依赖任何一种都有盲区。
## 背后原理
两种记录各有盲区，正好互补。录像能呈现命令日志看不到的内容：交互式程序的操作、文件编辑器里的改动、界面上的数据浏览；但录像检索困难，逐段回看成本高。命令日志结构化程度高，可以按关键词检索、按人按时间聚合，适合快速回答谁在何时执行了什么；但交互式会话里部分操作不经过命令行，纯命令记录会漏。两者叠加，举证与复查都有据可依。
## 最小实操
中小团队起步不必上重型系统：统一入口先用跳板机规范起来，操作全部经由堡垒建立，禁用其他直连路径；开启命令记录与可选的会话录像；账号一人一号，杜绝共享。规模扩大后，把命令日志接入告警，高危命令实时通知。顺云控制台的操作日志覆盖了控制台侧操作，与堡垒机的会话记录互补，两侧共同构成完整操作视图。
## 常见错误
堡垒机只管接入不管审计，记录形同虚设没人看。私开直连通道绕过堡垒，审计出现断层。录像保存期过短，事后追溯时已过期。定期抽审记录并公示抽查结果，审计才有威慑力。审计记录的存放也有讲究：日志集中存到独立位置，与被审计系统分开账号管理，防止越权者顺手抹掉自己的痕迹。保留期限按合规要求设定，到期归档而非直接删除，磁盘成本换来的是追溯能力的完整。抽查结果在团队内公示，好的示范与坏的案例同样有教育价值。