向日葵企业版如何按机房维度快速分组主机？
向日葵企业版机房分组功能，可一键按物理位置批量归类主机，权限隔离、审计留痕，满足等保合规。
功能定位：为什么必须按机房维度分组
在等保 2.0 与关基条例双重压力下，向日葵企业版把传统“扁平主机列表”升级为“物理位置-权限-审计”三维模型。当主机数量>200 台且跨 3 个以上机房时，手动打标签既无法做到权限最小化，也难在审计报告中秒级定位事故节点。经验性观察显示，预分组后权限配置时间从平均 4.3 小时压缩到 20 分钟以内，90 天抽样审计中未出现越权记录。
与相近功能的边界：分组≠标签≠组织架构
向日葵企业版同时提供“分组”“标签”“组织架构”三种归类方式，机房分组独占两条硬规则：
- 一个主机只能属于一个机房分组，杜绝交叉权限漏洞；
- 分组一旦绑定“机房级策略”，其下主机自动继承国密 SM4 链路加密与 90 天录屏留存，不可被单台主机单独关闭。
标签和组织架构允许多对多关系，适合临时项目或跨部门协作，却无法强制继承合规策略。
前置条件与版本要求
企业控制台需 15.3.1 及以上版本才开放“机房分组”模板；被控端须同步升级至 15.x，否则加密策略无法生效。若控制台检测到 13.x 遗留客户端，会在分组向导第一步强制阻断并提供批量升级入口。
最短操作路径：控制台三步入库
桌面端（Windows/macOS）
- 登录企业控制台→左侧导航“主机管理”→右上角“机房分组”→“新建机房”。
- 输入机房名称、选择“物理区域”（下拉已内置国内 34 个省级行政区），并绑定预设策略模板（默认提供“等保三级”与“金融合规”两套）。
- 点击“一键导入主机”，系统按主机上报的公网出口 IP 与内置 IP 地理库初筛；管理员手工校正误差记录后，点“保存并下发策略”，约 30 秒内核服务重启并完成加密升级。
移动端（Android/iOS 企业助手）
打开向日葵企业助手→“控制台”页签→右上角“+”→“机房分组”，后续步骤与桌面端一致；因屏幕限制，IP 地理库匹配结果以折叠列表呈现，建议横屏操作。
批量自动化：CSV+API 双通道
主机数量>1000 台时，可在“机房分组”首页下载“批量模板.csv”，字段包括主机唯一标识（SN 或 UUID）、机房名称、物理区域、策略模板名称；填写后上传，系统返回任务 ID，可在“任务中心”实时查看进度。经验性观察显示，3000 台主机入库平均耗时 6–8 分钟，失败率<0.5%，多因 SN 重复或模板名称拼写错误。
具备 CMDB 的企业可直接调用 REST 接口 POST /api/v2/idc-group/batch，同样需轮询任务状态。接口文档位于控制台右上角“开发者中心”，示例脚本已提供 Python/Go 两种语言。
权限隔离模型：机房→角色→用户三级漏斗
机房分组创建后，系统会在“权限中心”自动生成同名角色，并授予“仅本机房”作用域。把运维、研发、审计用户加入对应角色，即可完成“机房级权限漏斗”：用户先被角色过滤，再被机房分组二次过滤，无法通过主机 IP 或别名跨机房跳转。
提示
若已接入 LDAP/AD，可在“角色映射”里启用“自动同步”，每小时拉取 OU 与机房分组同名匹配，减少人工维护。
审计与合规：一键生成等保证据包
等保测评通常要求提交“资产清单-权限矩阵-操作日志”三件套。向日葵企业版在“机房分组”页面提供“导出证据包”按钮，系统会把该机房内所有主机的硬件指纹、策略版本、用户权限、90 天操作日志自动打包为加密 ZIP，内置国密 SM2 签名防篡改，全程约 3 分钟，文件可直接提交测评机构。
例外与取舍：哪些主机不该进机房分组
- 临时测试机：生命周期<7 天，建议放“临时标签”而非机房分组，避免频繁触发策略下发。
- 跨机房双活数据库：物理上属于 A 机房，逻辑上需被 B 机房访问，可保持“未分组”状态，手动授予跨机房角色。
- 边缘 IoT 网关：CPU 性能低于 J1900，启用国密加密后 CPU 占用可能升至 70% 以上，经验性观察显示远程帧率下降 40%，建议关闭录屏留存或延后分组。
故障排查：分组后主机失联 4 步定位
- 控制台“主机列表”→筛选“离线”→若整组离线，优先检查机房出口防火墙是否放行 TCP 443/UDP 3478。
- 若仅单台离线，查看“事件中心”是否提示“策略冲突 0x8103”，原因多是该主机曾手动绑定旧策略；解决：进入主机详情→“更多”→“重置策略”。
- 仍无法上线，可在被控端安装目录找到
sunlogin_service.log，搜索“SM4 handshake fail”，若连续 3 次，则国密组件未正确安装；运行sm4repair.exe（控制台已推送）即可。 - 极端场景：机房分组误删，系统会将该组主机标记为“未分组”并自动降级为默认策略，此时加密与录屏仍启用，但审计作用域丢失；立即重建同名分组，主机自动回归。
适用/不适用场景清单
| 维度 | 适用 | 不适用 |
|---|---|---|
| 主机规模 | ≥200 台 | <50 台，手动标签更轻量 |
| 合规要求 | 等保、关基、金融行标 | 内部测试环境 |
| 网络环境 | 出口 IP 稳定、IP 地理库可识别 | 全部走 CG-NAT，IP 地理库失效 |
最佳实践 5 条速查表
- 命名统一：机房名称与 CMDB 机房编码保持一致，避免审计时二次映射。
- 策略最小化：先选“等保三级”模板，再逐项关闭与业务无关的审计项，减少存储开销。
- 分级审批：在“流程中心”开启“机房分组变更”审批流，确保删除或移动主机需双人复核。
- 周期校验：每季度运行一次“分组一致性巡检”脚本（控制台内置），自动报告 IP 地理漂移。
- 灾备演练：每半年模拟“分组误删”场景，验证 30 分钟内可恢复完整审计链。
FAQ：机房分组高频疑问
分组后还能不能临时跨机房访问？
可以。管理员可在“权限中心”创建“跨机房角色”，手动授予指定用户，但操作日志会额外标记“cross-idc”，满足审计。
IP 地理库匹配错误如何纠正？
在“主机详情→地理信息”右上角点击“纠正”，输入正确机房名称，系统会更新后台表并同步到审计报告，无需重新分组。
国密加密会降低性能吗？
在 i5-8400 以上 CPU 机型，经验性观察显示 CPU 占用增加 5–8%，远程帧率几乎无感知；低于 J1900 的 IoT 设���建议关闭录屏。
分组误删后数据还能恢复吗？
系统保留 7 天回收站，管理员可在“机房分组”页面→“回收站”一键还原，所有主机与策略配置自动回滚。
能否把旧标签一键转换成机房分组？
控制台提供“标签→分组”迁移向导，但要求标签名称与机房名称完全一致；若存在多对一情况，需先人工合并标签。
总结与下一步行动
机房分组并非简单“文件夹”，而是把物理位置、合规策略、权限漏斗、审计留痕打包成一键模板。主机规模过 200 且需过等保或关基测评的企业，先按机房维度分组再细化角色，是目前可验证的最小权限路径。读完本文，你可以：
- 立即在控制台创建第一个机房分组，用 CSV 批量导入 50 台主机验证流程；
- 开启“分组一致性巡检”脚本，设置季度报告邮件；
- 在下次等保测评前，提前导出证据包，节省第三方审计费用。
若主机规模不足 50 台，建议继续用标签+角色，等突破阈值后再迁移，避免过度设计。未来版本可能引入“动态机房”概念，支持按出口 IP 自动漂移分组，保持关注即可。
