传送奇偶校验：零站立特权访问模型
静态凭证（例如分散在开发人员笔记本电脑和永久管理员角色中的未旋转 SSH 私钥）是帐户泄露后横向移动的主要向量。 BlackShield 使用加密限制的即时 (JIT) 访问请求和临时 OpenSSH 证书取代了常设访问。
1. 零常设特权（ZSP）
工程师默认维护非特权会员帐户。对于有时间限制的窗口，严格按需授予提升的生产访问权限。
2. 临时 OpenSSH 证书颁发机构
使用短期 OpenSSH 证书 (ssh-ed25519-cert-v01) 消除 EC2/Linux 服务器上的静态 SSH 密钥和授权密钥蔓延。
3、双重授权JIT审批
请求访问时必须提供强制性票据参考（例如 INC-9021）和业务理由。管理员实时批准。
4. 自动撤销和到期
活跃补助金不断倒计时。一旦 TTL 失效（30m 到 8h），权限就会自动过期，并且延迟凭证为零。
5. 交钥匙主机入门
Linux 主机仅需要信任 BlackShield CA 的 1 行标准 sshd_config 指令。不需要专有代理守护程序。
6. 防篡改审计链
加密链接的审核日志将每个请求、审查和证书铸造事件直接链接到 SOC 2 CC6.1 和 ISO 27001 证据包。
1.主机配置（OpenSSH sshd_config）
与需要大量客户端守护程序的传统 PAM 解决方案不同，BlackShield 依赖于每个 Linux 发行版中内置的本机 OpenSSH 证书验证。将您的租户 CA 公钥添加到 /etc/ssh/blackshield_user_ca.pub:
# 1. Fetch tenant CA public key from the dashboard or API: curl -s https://api.blackshield.chaplau.com/api/v1/identity/access/ssh/ca | jq -r .ca_public_key > /etc/ssh/blackshield_user_ca.pub # 2. Tell sshd to trust user certificates signed by this CA: echo "TrustedUserCAKeys /etc/ssh/blackshield_user_ca.pub" >> /etc/ssh/sshd_config # 3. Reload OpenSSH daemon: systemctl reload sshd
2. 开发者客户端配置（~/.ssh/config）
开发人员可以将其 OpenSSH 客户端配置为自动对所有内部主机使用签名证书：
Host *.internal IdentityFile ~/.ssh/id_ed25519 CertificateFile ~/.ssh/id_ed25519-cert.pub IdentitiesOnly yes
3. 合规与控制证据
| 标准 | 控制ID | 要求 | 黑盾自动化控制 |
|---|---|---|---|
| SOC 2 类型 II | CC6.1 / CC6.2 | 逻辑访问仅限于授权用户 | 零常设特权；提升角色需要双重授权 |
| SOC 2 类型 II | CC6.3 | 及时撤销逻辑访问凭证 | 具有自动过期功能的限时短期证书（默认 60 分钟） |
| ISO 27001 | A.9.2.6 / A.9.4.2 | 安全身份验证和特权访问控制 | OpenSSH Ed25519 用户证书的硬件支持加密签名 |