---
title: "主机账号管理（Host）"
description: "验证 Linux 主机身份并轮转既有操作系统账号密码。"
image: "http://127.0.0.1:4321/docs/og.png"
---

> Documentation Index
> Fetch the complete documentation index at: http://127.0.0.1:4321/docs/llms.txt
> Use this file to discover all available pages before exploring further.

# 主机账号管理（Host）

主机账号管理用于通过安全外壳协议（Secure Shell，SSH）连接 Linux 主机，并轮转已经存在的操作系统账号密码。系统不会创建或删除操作系统用户，也不提供任意远程命令入口。

## 核心对象

| 对象 | 用途 |
| --- | --- |
| 主机（Host） | 记录目标地址、SSH 端口和服务器身份指纹。 |
| 管理身份（Management Identity） | 登录目标主机并执行受控密码修改操作的账号及认证信息。 |
| 受管账号（Managed Account） | 目标主机上已经存在、由系统负责轮转密码的操作系统账号。 |
| 密码版本 | 每次成功轮转产生的不可变记录，可按权限查看当前或历史密码。 |

## 配置流程

1. **核对主机身份**

   从可信渠道获取目标主机的 SSH 身份指纹。不要直接采用首次网络连接返回的未知指纹，否则可能连接到被冒充的服务器。
2. **添加主机**

   打开“主机 → 主机信息”，填写名称、目标地址、SSH 端口和已核对的身份指纹，然后测试连接。
3. **创建管理身份**

   为主机配置专用管理账号和登录凭据。该账号需要具备修改目标受管账号密码的权限，但不应拥有与密码轮转无关的额外权限。
4. **添加受管账号**

   在“主机 → 受管账号”中选择目标主机和管理身份，填写已经存在的操作系统用户名，并选择密码策略。保存后会立即生成并设置首个受管密码。
5. **验证并启用周期轮转**

   使用新密码验证目标账号可以登录，再按业务维护窗口配置自动轮转周期。需要临时变更时，也可以从受管账号页面人工轮转。
6. **审查密码历史**

   定期检查轮转时间和状态。查看历史密码属于敏感读取，只应在故障恢复或审计需要时由授权人员执行。

## 安全边界

- 当前支持 Linux SSH 主机，不适用于 Windows、网络设备或其他远程管理协议。
- 主机身份指纹必须预先核对并固定；指纹变化时应先调查主机重装、密钥更换或网络劫持风险。
- 修改密码时，旧密码可能立即失效，依赖该账号的会话和自动化任务需要同步更新。
- 删除受管账号只会停止系统对该账号的管理并移除本地密码历史，不会删除目标主机上的操作系统用户。
- 密码不会出现在网址、命令参数或普通审计详情中；管理员也不应将密码复制到日志、工单或聊天记录。

> **先验证管理身份的权限范围**
>
> 管理身份权限不足会导致轮转失败；权限过大则会扩大凭据泄露后的影响。建议为每类主机建立专用、可审计的管理身份。

{/* nimbus-rule-disable-next-line nimbus/internal-link */}
在管理端按“主机信息 → 管理身份 → 受管账号”完成配置；业务系统读取当前账号凭据时参见 <a href="/docs/api/hosts/get-by-host-id-managed-accounts-by-account-id-credentials/">读取受管账号当前凭据</a>。

Source: http://127.0.0.1:4321/docs/engines/host/index.mdx