格尔软件 NDS 终端安全登录系统
立即咨询
首页
三种
客户端登录方式
三级
全局部门主机策略
SYSLOG
日志标准外发
双因子
智能卡指纹组合
⚠️行业痛点与挑战
🔍开机口令人人能猜
办公PC的系统口令规律性强，同事之间互相知道，离开座位不锁屏，文档谁路过谁都能看。办公室里几乎人尽皆知。
⏱️人走机器不锁
会议室与工位上的电脑常常挂着登录态，保洁与外来人员也能操作，泄密事件查无实据。事后想定责无从查起。
🧠终端登录没有台账
谁在哪台机器上登过、试了几次口令，系统里没有记录，等保检查时拿不出登录审计证据。报表要人工翻机器凑。
🔗策略一刀切
涉密岗位与普通办公用同一套口令策略，想给重点部门收紧，却改一台要登一台，管不动。重点岗位与普通岗位拉不开差距。
📉钥匙设备丢了慌
USB Key丢失后只能重装系统或等管理员处理，期间机器用不了，业务停摆等恢复。恢复期间这台机器完全不可用，影响当天业务。
🚧域账号被冒用
共享工位的域账号多人共用，登录行为分不清人，出了违规操作只能全部门背责任。违规操作最后追不到具体人。
🎯产品定位与核心价值
NDS面向内网PC集中管控，开机凭硬件证书设备强认证，拔卡即锁屏，服务端分级下发策略并审计全部登录行为。
💡灵活扩展路径
业务增长带来的开机强认证与离座锁屏方案新需求，在既有架构上按模块扩展承接。
🔁能力可度量
终端登录认证系统的各项输出均有可核验的记录，开机强认证与离座锁屏方案的成效不依赖主观判断。
🧷实施可复制
开机强认证与离座锁屏方案的部署步骤被固化为标准动作，终端登录认证系统能力可跨项目平移。
⚙️核心能力详解
🧮硬件设备开机认证
Windows启动时校验证书设备持有者是否有权登录该机，凭设备解密登录信息进入本机或域，无设备不予登录。
🧱三种登录方式组合
支持微软智能卡域登录、CSP绑定的USB Key与口令方式，可单独或组合启用，并可扩展指纹等生物识别设备。生物设备作为补充手段。
⚡拔卡即锁离座无忧
使用中拔出证书设备计算机立即锁定，重新插入并验证口令解锁，另有空闲若干时间自动锁屏兜底。解锁后桌面原样保留。
📊三级策略下发
服务端按全局、部门、主机三级配置登录策略，重点部门单独收紧，策略经客户端注册通道下发生效。
🌐三员分权管理
系统管理、安全管理与审计分属不同管理员，相互制约，管理员自身也用证书设备登录管理界面。分权方案上线前评审。
🔧日志外发与备份
操作日志经SYSLOG标准输送到指定服务器，系统数据与配置加密备份，故障后快速恢复，审计记录不丢。外发失败本地兜底。
📐技术规格
| 产品名称 | NDS终端安全登录系统 |
| 所属厂商 | 格尔软件 |
| 产品分类 | 终端安全·终端登录认证系统 |
| 核心能力 | 硬件设备开机认证、三种登录方式组合、拔卡即锁离座无忧 |
| 应用场景 | 办公区开机强认证、离座拔卡锁屏、域环境统一登录 |
| 协同机制 | 智能卡登录系统与终端登录认证系统的接口在实施阶段一并确认，避免后续返工 |
| 运维归属 | 终端登录认证系统的日常运维责任可在实施阶段明确并交接 |
| 适用阶段 | 开机强认证与离座锁屏方案场景的不同阶段均有对应配置，无需整体重建 |
| 投资视角 | 终端登录认证系统投入的规模与开机强认证与离座锁屏方案的收益节奏可分阶段对应 |
🏭典型应用场景
✈️办公区开机强认证
员工早上插Key开机，客户端验证设备与持有人绑定关系后放行登录，无Key或非本人设备直接拒绝进系统，替代共享口令。衡量口径：冒用登录拦截数与口令重置工单量。
🚗离座拔卡锁屏
财务与涉密岗位离开工位随手拔Key，机器立即锁屏，回来插卡输口令继续，不再依赖手动锁屏习惯，桌面敏感文档不会被路过的人翻看。衡量口径：未锁屏事件数与泄密隐患排查量。
🔋域环境统一登录
部署域的办公室用智能卡登录域账户，域策略与本机保护同时生效，员工换工位插自己的卡即可登录，不必记本机口令。衡量口径：域账户共用率与帮助台解锁请求量。
🌊重点部门策略收紧
研发与档案部门单独配置部门策略，强制双因子登录并缩短空闲锁屏时间，普通办公区维持基础策略，一台一台改配置的旧做法停掉。衡量口径：策略生效覆盖率与配置变更工时。
🏗️登录审计迎检
等保检查前管理员导出各客户端登录记录与在线情况报表，含安装、反注册与异常登录事件，连同策略配置一起作为核查证据。衡量口径：迎检材料准备工时与缺项数。
🚢日志上送SOC
安全运营中心要收终端登录事件，服务端把操作日志按SYSLOG标准格式推给日志平台，与网络设备日志同屏关联分析。衡量口径：日志上送完整率与关联告警条数。
🏆典型应用案例
📦
Key与指纹双因子
涉密岗位同时启用证书设备与指纹认证，设备丢失后指纹仍可临时登入并触发补办流程，管理员侧冻结旧证书重发新Key，机器不停用；收益按设备丢失造成的停机时长核对。台账与补卡流程同步。
🛫
部门策略分级落地
先给全公司下发全局基线策略，再对财务、研发单独下发部门级收紧项，主机级只处理特殊工位，三级叠加后逐台核验生效状态；收益按策略覆盖台数与配置差错数核对。台账季度核对。
🏭
SYSLOG接入日志平台
把服务端日志输出对接到SOC平台，定义事件字段与转发频率，登录成功、失败与锁定事件进入统一告警，异常时段集中登录触发核查；收益按登录类告警的处置时长核对。字段字典同步给SOC。
📦
批量部署走向导
客户端用部署向导批量安装注册，服务端内置Web管理界面免额外装环境，先在试点楼层跑通注册与策略下发，再按楼层分批推广；收益按单台部署工时与返工台数核对。批次表随推广更新。
🔌接入方式
🖥️Windows域环境
智能卡按证书信息直接登录域，域账户与本机保护并行生效，部署前确认域控版本与证书链，多级证书链场景提前验证。域控侧先留测试账户验证。
☁️SYSLOG日志平台
操作日志按SYSLOG标准输出到指定日志服务器，与防火墙、上网行为等设备日志汇聚，字段与转发频率在对接时约定。日志平台侧按来源分区入库。转发失败告警接值班。
🤝证书基础设施
客户端证书设备依赖证书签发体系，证书的签发、更新与吊销流程由证书设施承担，系统侧只做绑定校验与策略执行。证书到期前统一安排换发。到期前提前换发。
🧩生态协同与能力底座
🧩党政军与保密检查
涉密单位终端保护有明确核查项，登录强认证与审计记录是检查重点，产品配合保密测评与等保测评的证据准备。证据清单按检查口径整理。
🔗集成商与驻场服务
终端类项目通常随桌面运维一起由集成商交付，驻场团队负责发卡、补卡与策略调整，服务台账与设备台账要对应。设备库存留备件应对补卡。
🌱认证设备供应商
智能卡、USB Key与指纹设备由硬件厂商供货，选型时确认CSP兼容性，设备批次与驱动版本统一，减少客户端适配问题。批次到货后先抽检再发放。驱动版本统一打包。
🚀产品差异化特点
🌟锁在开机环节
客户端嵌入Windows登录流程，无证书设备无法进系统，保护发生在开机前；仅做桌面管控的产品拦得住锁屏，拦不住安全模式与离线破解。关机重启同样生效。
🆚拔卡即锁
设备拔出立即锁屏，物理离场与权限离场同步；靠空闲超时锁屏的方案，人走后到触发前的空窗期桌面仍然可操作。空窗期缩短到秒级。
🧬三级策略到主机
全局、部门、主机三级叠加，特殊工位单独收紧不动全公司基线；只有全局开关的产品，重点部门想收紧只能整公司陪跑。策略版本可回溯对比。
✅最佳实践
📝
证书链先理顺
部署前确认内部证书签发与多级证书链，客户端校验依赖证书有效性与链路，链路不理顺会出现整批发卡后登录失败。先在一台机器上试通。逐台复验后放量。
🔄
发卡与台账绑定
设备发放要登记持有人、机器与部门，人岗变动同步换绑，台账滞后时会出现前员工设备仍能登录旧机器的情况。台账与发卡记录按月对。
🎯
锁屏策略先试点
空闲锁屏与拔卡锁屏的灵敏度先在试点部门试运行，窗口过短频繁锁屏会引发投诉，按岗位性质分级设置更平稳。试点期收集岗位反馈。
📈
恢复流程写进制度
设备丢失、人员离职与机器重装的处置流程要写进终端管理制度，明确管理员响应时限，避免事后各自补手续。流程卡片随工牌一并下发。
🗺️企业落地路径
1️⃣
范围与策略设计
确定纳管楼层与部门，按岗位风险定三级策略草案与登录方式组合，输出发卡计划与管理员分权方案。策略草案先过评审。含锁屏灵敏度初值。
2️⃣
服务端部署
按部署向导安装服务端，配置网络接口与日志外发，完成备份策略，验证管理员证书登录与三员分权。部署后做一轮备份演练。
3️⃣
试点楼层运行
试点部门批量装客户端并注册，验证开机认证、拔卡锁屏与策略下发，收集锁屏灵敏度反馈并调整，形成推广基线。反馈问题当周处理。
4️⃣
分批推广移交
按楼层分批安装注册，逐批核对策略生效与登录审计，交付发卡流程与补卡预案，移交日常终端管理岗。移交时附设备台账。
💬常见问题 FAQ
支持哪些登录设备？
支持微软智能卡按证书信息域登录，支持基于CSP证书的USB Key等硬件加密设备，并兼容指纹等生物识别新型认证设备。生物设备需确认驱动版本。
设备丢了怎么处理？
管理员在服务端注销该设备的绑定并重发，设备不在时按策略可启用口令兜底方式，处理流程与时效要在管理制度里写明。补发时限写进制度。补办期间可开临时口令。
拔卡锁屏会打断工作吗？
使用中拔出设备即锁定，插回并输入设备口令即解锁，桌面状态保留；如需短暂离开又保持解锁，可在策略里权衡锁屏灵敏度。会议场景可临时放宽。
服务端有什么部署要求？
服务端内嵌Web管理界面，基于B/S结构，部署向导引导安装，专用网络接口只保留服务端口，关闭不需要的服务以减少攻击面。部署前先做端口核对。
策略能按部门区分吗？
支持全局、部门与主机三级策略，部门策略覆盖本部门全部客户端，主机策略处理特殊机器，三级叠加时按就近优先生效。跨部门迁移时策略跟随。
登录日志能保留多久？
日志留存时长按存储容量与制度要求配置，支持存储告警与导入导出，操作日志同时经SYSLOG外发到指定服务器留存。外发失败有本地留存兜底。
客户端离线还能登录吗？
客户端本机校验设备与持有者绑定关系，网络中断时本机登录保护仍生效，策略与事件在恢复连接后同步到服务端。恢复上线后补传事件队列。补传记录去重入库。
管理员怎么管？
支持多管理员与三员模式，管理员用证书设备登录管理界面，自身操作留痕，与客户端审计报表分开展示。管理员分权方案上线前评审。
📄信息来源与免责声明
本页面由云巴巴基于格尔软件官方公开渠道信息整理发布，内容覆盖终端登录认证系统等产品能力。
页面描述基于公开资料，开机强认证与离座锁屏方案相关功能的最新状态请以官方发布为准。
云巴巴提供NDS终端安全登录系统的选型对比、方案咨询与实施对接服务，助力企业高效决策。
产品推荐
磐玉蜂巢服务器是为企业级数据中心和边缘计算场景面临的空间制约与节能要求而“量身设计”的高密服务器，基于ARM架构打造具有仿生算力、高性价比、高能效比、高密设计的云边协同算力矩阵，相较于市面已有的服务器产品，磐玉蜂巢服务器具备明显的技术优势，目前广泛应用于安卓云算力和通用算力场景！
轻流智慧校园低代码开发解决方案，轻流智慧校园解决方案，一键加载即可使用。针对学校与家长之间的联动，提供线上的解决方案，管理标准化、流程在线化，在线解决奖项登记、请假、出差、用章、经费申报等一系列行政问题，真正实现无纸化办公。
数字化社区
视频
文章
