简介：奇安信天擎终端安全管理系统管理员手册面向企业终端安全运维人员与系统管理员，帮助其系统掌握天擎V10.0的部署、配置与日常管理方法，解决终端防护策略落地与安全运维中的实际问题。资源包共1个文件，为PDF格式的官方管理员手册，压缩包约23.07MB，内容完整、结构清晰，便于按章节检索查阅。目前已有3888人学习下载，具备较高的参考价值。手册围绕产品简介、主要功能、典型部署场景与部署形态展开，涵盖终端安全管理、恶意代码检测、网络攻击防护、数据加密与身份验证等核心能力，并详细说明互联网络、隔离网络、多级级联及高级版EDR等部署方案，以及单机与集群两种部署形态，同时涉及更新管理等运维要点。读者可据此快速理解产品架构、规划部署方案并规范日常管理操作，适合作为终端安全项目落地与运维排障的案头参考。
1. 装天擎 V10.0 之前，先把这套环境的底摸清
上周帮一个朋友看他们内网的天擎控制台，登录进去终端列表一片灰，策略下发全部超时，管理员急得团团转。翻了下版本，控制台是 V10.0 早期小版本，终端却混着好几个不同批次的安装包，通信端口还被中间一台防火墙拦了一半。这种场面在终端安全管理系统的落地里太常见了——不是软件本身难装，而是环境没摸清就急着点下一步，装完才发现终端连不上、策略推不下去、更新包传不进去。奇安信天擎终端安全管理系统 V10.0 这套东西，管理员手册有 400 页，真到部署现场，最耗时间的往往不是功能配置，而是装之前的版本对齐、端口规划和部署形态选择。这篇笔记按我实际装这套系统的顺序来写：先列环境、再走安装、然后配通信和更新、最后落到怎么验证终端真的被管住了。适合第一次接手天擎控制台的管理员，也适合装过但被通信和更新坑过的熟手对照排查。
2. 环境准备与版本选择：装之前必须定下来的四件事
天擎 V10.0 的安装包拿到手，别急着双击。我一般会先花半小时把下面四件事定下来，后面能省掉大量返工。这四件事分别是：部署形态选单机还是集群、控制台操作系统和数据库版本、终端通信地址怎么规划、许可证容量对不对得上终端数量。手册第 1 章把典型部署场景分成互联网络、隔离网络、多级级联和高级版 EDR 四种，部署形态又分单机和集群，这些不是让你随便挑的，而是由你的网络边界和终端规模决定的。
2.1 单机还是集群：按终端数量和管理边界来定
单机部署适合终端数量在几千以内、只有一个管理域的场景，控制台和数据库装在同一台服务器上，结构简单，出问题好排查。集群部署则是控制台多节点加独立数据库，适合终端上万、或者需要跨区域管理的情况。我一般的判断标准是：终端超过 5000 台，或者管理后台需要多人同时操作且不能接受单点停机，就上集群；否则单机足够，别为了“看起来专业”硬上集群，集群的数据库和节点间通信配置复杂度是单机的两三倍。
手册里单机部署和集群部署都归在“典型部署形态”下，实际安装时两者的差别主要在数据库连接和节点注册。单机部署的数据库可以跟控制台同机，集群则要求数据库独立且网络延迟稳定。下面这张表是我整理的环境对照，装之前照着填一遍：
| 项目 | 单机部署 | 集群部署 |
|---|---|---|
| 控制台服务器 | 1 台 | 2 台及以上 |
| 数据库 | 可同机 | 独立服务器 |
| 适用终端规模 | 数千以内 | 上万 |
| 通信地址规划 | 单 IP 即可 | 需负载均衡或统一入口 |
| 更新方式 | 在线或离线工具 | 需考虑节点间同步 |
2.2 操作系统与数据库版本：别拿“能装上”当“能跑稳”
控制台所在服务器的操作系统，常见做法是选主流 Linux 发行版的稳定版本，内核不要太新，避免驱动和依赖库的兼容问题。数据库方面，天擎 V10.0 支持多种数据库，具体版本要求以安装包内附的说明为准，我一般会选官方明确列出的版本区间中间那档，不选最新也不选最旧。这里有个血泪经验：有人图省事用了系统自带的旧版数据库，装完控制台能起来，但一到策略下发和日志写入就报连接超时，查了半天是数据库连接池参数和版本不匹配。
安装前把这几项确认好：
# 查看操作系统版本，确认在支持列表内 cat /etc/os-release # 查看内存和磁盘，控制台服务器建议内存不低于 8G，数据盘留足日志空间 free -h df -h # 确认数据库服务已启动且端口可达（以实际数据库端口为准） ss -lntp | grep 3306这几条命令不是走形式。/etc/os-release确认发行版和版本号，避免装到不支持的系统上；free -h看内存，控制台加数据库同机时内存吃紧会直接拖慢策略下发；df -h看数据盘，终端日志和更新包很占空间，日志清理策略没配好之前，磁盘写满是最常见的“控制台打不开”原因。数据库端口那条是确认数据库真的在监听，而不是装完没启动。
2.3 通信地址规划：终端认的是这个地址，不是服务器主机名
天擎控制台和终端之间靠通信地址联系，手册第 3 章专门讲了“管理中心的通信地址”和“通信 IP 地址”。这个地址在装控制台时就要定，装完再改要动终端配置，很麻烦。我一般会用一个终端能稳定访问的内网 IP，不用主机名，不用临时地址，也不要用 NAT 后面的地址——除非你确认终端侧能正确解析。
规划时注意两点：一是这个地址在所有终端所在网段都可达，跨网段的话提前确认路由和防火墙放行；二是如果后面可能上集群或换服务器，尽量用能平滑迁移的地址方案。手册里“自动切换服务器”功能就是为控制台地址变化准备的，但那是补救手段，不是让你一开始就随便填。
2.4 许可证容量：装完才发现不够，只能重来
许可证管理在手册第 3 章有专门一节，包括许可证概况、使用情况和帮助文档。安装前先确认手里的许可证覆盖的终端数量大于等于实际要管的终端数，并且功能模块对得上——比如你要用 EDR 相关能力，许可证里得有对应授权。我见过装完控制台、终端也注册上了，结果许可证容量超了，新终端全部无法正常受管，只能先清理再补授权。这一步在环境准备阶段花两分钟确认，比装完再处理省事得多。
3. 控制台安装与初始配置：从安装包到能登录
环境定下来之后，进入控制台安装。天擎 V10.0 的控制台安装包一般是一个可执行安装程序或脚本，具体形式以拿到的包为准。安装过程本身不复杂，容易出问题的是安装前的依赖检查、安装中的数据库连接配置，以及装完第一次登录时的初始设置。这一章按“装控制台 → 配数据库 → 首次登录 → 基础设置”的顺序走。
3.1 安装前的依赖检查与目录规划
安装程序跑起来之前，先确认依赖库齐全、安装目录有足够空间、运行账号权限够。常见做法是把控制台装在独立的数据盘下，不要塞进系统盘根目录，方便后面备份和扩容。手册第 3 章有“系统数据备份与还原”一节，备份路径最好和安装目录分开规划。
# 创建独立安装目录，避免和系统文件混在一起 mkdir -p /opt/tianqing/console # 确认安装包可执行权限 chmod +x ./tianqing_console_installer.run # 检查关键依赖库是否存在（以实际安装包要求为准） ldd ./tianqing_console_installer.run | grep "not found"mkdir那条是给控制台一个干净的家，后面备份、升级、排查都围绕这个目录；chmod确保安装包能执行，从某些渠道拿到的包权限可能被改过；ldd检查动态库依赖，输出里有not found就说明缺库，先补依赖再装，别硬装完再回头找问题。安装目录的磁盘空间建议单独确认，df -h /opt看一眼剩余容量。
3.2 安装过程中的数据库连接配置
安装程序走到数据库配置那一步，会要求填数据库地址、端口、库名、账号密码。这里几个参数要留意：数据库地址填实际可达的 IP，不要填localhost除非数据库真在同机；连接数上限按终端规模给足，终端多的时候连接池不够会表现为策略下发慢；字符集选安装说明里推荐的，别用默认值碰运气。
# 安装前先用命令行验证数据库连通性和账号权限 mysql -h 192.168.10.20 -P 3306 -u tianqing -p -e "SHOW DATABASES;" # 确认数据库最大连接数，终端规模大时这个值要调高 mysql -h 192.168.10.20 -P 3306 -u root -p -e "SHOW VARIABLES LIKE 'max_connections';"第一条命令验证账号能连上、能看到库，避免安装程序里填完才发现账号权限不对；第二条看数据库最大连接数，天擎控制台加终端注册会占用不少连接，max_connections太低时安装能过、运行起来才报错。这两步在安装前做，比装到一半失败再回滚省时间。数据库账号建议单独建，不要直接用 root，权限给到需要的库即可。
3.3 首次登录与基础设置
安装完成后通过浏览器访问控制台地址，用初始管理员账号登录。第一次登录后我一般先做三件事：改默认密码、确认系统时间、检查许可证状态。系统时间不准会影响日志时间线和策略生效判断，许可证状态在“许可证管理”里看，确认容量和功能模块都对。
# 确认服务器时间与标准时间偏差，偏差大时先校时 timedatectl status # 查看控制台服务进程是否正常 ps -ef | grep tianqing | grep -v greptimedatectl看时区和时间同步状态，时间偏差大会让终端日志和告警时间对不上，排查问题时误导判断；ps确认控制台相关进程都在，装完服务没起来的情况多半是数据库连接或端口占用，去安装日志里找具体报错。首次登录后别急着批量推终端，先把“系统设置”里的通用设置过一遍，尤其是日志清理和数据外发相关项，手册第 3 章系统设置一节有说明。
3.4 终端安装包的准备与分发方式
控制台装好后，终端侧要装客户端才能被管。天擎的终端安装包一般从控制台生成或下载，分发方式有手动安装、域推送、脚本批量等。我一般先在一台测试终端上手动装一遍，确认能注册到控制台、策略能下发，再批量推。终端安装时最关键的是通信地址填对——就是第 2 章规划的那个地址，填错了终端会一直显示离线。
# Linux 终端静默安装示例，参数以实际安装包为准 ./tianqing_agent_installer.run --server 192.168.10.10 --port 8083 --silent # 安装后确认终端服务状态 systemctl status tianqing-agent--server和--port指向控制台通信地址和端口，这两个值错了终端就注册不上；--silent静默安装适合批量脚本。装完用systemctl status看服务是否 active，服务没起来先看终端本地日志，常见原因是端口被本地防火墙拦了或者安装包架构不对。批量分发前一定先拿一台机器验证，别一次推几百台然后集体离线。
4. 更新管理与通信配置：让控制台和终端持续在线
装完能登录只是开始，天擎这类终端管理系统真正考验配置的是更新和通信。手册第 2 章整章讲更新管理，包括在线更新、离线更新、P2P、版本更新、自动更新、手动更新、定时更新、覆盖安装，还有隔离网和孤岛终端的更新场景。第 3 章又讲了通信地址、自动切换服务器、终端兼容配置里的网络访问白名单。这一章把更新和通信放在一起讲，因为实际排障时这两件事经常纠缠在一起：终端更新失败，查到最后是通信端口不通；通信看着正常，更新包却传不下去。
4.1 在线更新与离线更新的选择
在线更新适合控制台能访问更新源的场景，配置好更新地址和更新计划即可。离线更新适合隔离网络，用离线工具把更新包导入控制台，再由控制台分发给终端。手册第 2 章把管理系统更新和终端更新分开讲，管理系统更新有在线更新、离线工具更新、覆盖安装更新三种，终端更新有在线和离线两种。
我一般的做法是：控制台能出网就配在线更新加定时任务，出不了网就固定走离线工具，别混着来。混着来容易出现控制台版本和终端更新包版本不一致，终端更新完反而出兼容问题。更新计划的时间窗选业务低峰，手册里“如何降低更新带来的风险”和“如何减小更新时占用带宽对业务的影响”两节讲的就是这个，P2P 分发能减轻带宽压力，但前提是终端之间网络可达。
# 查看控制台更新相关服务日志，确认更新任务是否正常触发 tail -f /opt/tianqing/console/logs/update.log # 检查更新包存放目录空间 df -h /opt/tianqing/console/update更新日志是排查更新失败的第一现场，任务没触发、包下载失败、校验不通过都会在这里留痕；更新包目录空间不足会导致下载中断，df提前看比更新到一半失败强。离线更新时注意更新工具的版本要和控制台版本匹配，手册里“离线工具更新”一节有对应说明。
4.2 终端更新配置与 P2P 分发
终端更新在控制台侧配置更新策略，指定哪些终端组、什么时间、用在线还是离线源。P2P 的作用是让终端之间互相分发更新包，减少控制台出口压力。配置 P2P 时要注意终端之间的网络策略，如果终端分在不同 VLAN 且互相不通，P2P 反而会拖慢更新。
# 终端侧确认更新服务状态和最近更新记录 systemctl status tianqing-update tail -n 50 /var/log/tianqing/update.log终端更新服务没起来或者日志里有校验失败，先确认终端到控制台的通信正常，再看更新包版本是否匹配。P2P 开启后如果更新变慢，检查终端间端口是否放行，必要时先关掉 P2P 用纯控制台分发验证基线速度。
4.3 通信地址与网络访问白名单
通信地址在第 2 章规划过，这里要落到配置上。控制台的通信地址在系统设置里配，终端侧安装时指定。网络访问白名单在手册第 3 章“终端兼容配置”下有“网络访问白名单”一节，用于放行必要的网络访问，避免安全软件误拦业务流量。配置白名单时按业务实际需要加，别一上来全放行，也别一个不加导致业务系统被拦。
# 从终端侧验证到控制台通信端口的连通性 telnet 192.168.10.10 8083 # 或用 nc 验证，适合脚本化检查 nc -zv 192.168.10.10 8083telnet和nc都是验证端口通不通的常用手段，终端显示离线时先跑这条，通了再查终端服务，不通就查网络和防火墙。通信端口以实际部署配置为准，别照搬示例。自动切换服务器功能在手册第 3 章有讲，配置备用通信地址后，主地址不可达时终端会尝试切换，但切换有延迟，别把它当成高可用方案的全部。
5. 避坑与常见问题：装天擎最容易翻车的五个地方
这一章是我自己踩过和帮别人处理过的坑，按“现象 → 原因 → 解决”写。天擎 V10.0 的安装和配置问题，大部分不是软件 bug，而是环境细节没对齐。下面五条覆盖了通信、更新、许可证、终端注册和日志空间，装的时候对照着看能少走弯路。
5.1 终端一直显示离线，但网络是通的
现象：终端装完客户端，控制台终端列表里一直离线，终端本地网络正常，能 ping 通控制台。
原因：最常见的是终端安装时填的通信地址或端口不对，其次是终端到控制台的通信端口被防火墙或安全组拦了，还有一种是控制台通信地址配的是主机名而终端解析不了。
解决：先在终端上telnet 控制台IP 通信端口验证端口通不通；通了再看终端安装参数里的地址是否和控制台配置一致；不一致就重装终端或改终端配置。防火墙策略按实际端口放行，别只放 ICMP。
5.2 更新任务显示成功，终端版本却没变
现象：控制台更新任务状态是成功，但抽查终端发现版本号没更新。
原因：更新任务下发成功不等于终端安装成功，终端侧可能因为更新包校验失败、磁盘空间不足、或者更新服务没起来而没实际执行。
解决：去终端本地看更新日志，确认包是否下载完整、校验是否通过、服务是否正常。控制台侧看任务执行统计，手册第 3 章“任务执行统计”能看出哪些终端失败。磁盘空间不足的先清理再重推。
5.3 许可证容量超限，新终端无法受管
现象：新装终端注册不上，或者注册上了但策略不下发，控制台提示许可证相关错误。
原因：许可证覆盖的终端数量小于实际注册终端数，或者功能模块授权不匹配。
解决：在“许可证管理”里看使用情况，清理已卸载但未删除的终端记录（手册第 3 章“如何手动删除已卸载的终端”），确认容量后再补授权。装之前就该确认的事，装完才发现只能先清理腾位置。
5.4 控制台登录变慢甚至打不开，磁盘写满
现象：控制台页面加载极慢，严重时直接打不开，服务器上df -h显示磁盘满。
原因：终端日志、系统日志、更新包长期不清理，日志清理策略没配或配得太宽松。
解决：先清理日志和临时文件恢复访问，再在“系统设置”的日志清理里配合理的保留周期，更新包目录也纳入定期清理。手册第 3 章“日志清理”和“系统数据备份与还原”两节配合看，备份和清理别互相打架。
5.5 策略下发后部分终端不生效
现象：策略在控制台显示已下发，大部分终端生效，少数终端行为没变化。
原因：终端分组或策略优先级问题，强制策略和用户策略冲突，或者终端本地有兼容配置拦截。
解决：先确认终端在正确的分组里，再看策略优先级，手册第 3 章“策略管理”和“强制策略”“用户策略”的概念要分清。终端侧检查兼容配置里的 HOOK 白名单、SSL 证书替换白名单是否影响了策略执行。个别终端排查用终端排障日志，别全局改策略。
6. 装完怎么验证：三条命令确认终端真的被管住了
装完控制台、配完通信和更新，最后一步是验证。我不看控制台首页的“终端总数”就下结论，那个数字只能说明注册过，不代表策略生效、更新正常、通信稳定。我一般用三条命令加一个控制台检查来收尾，每条都对应一个实际能力。
第一条，终端侧确认客户端服务在跑：
systemctl status tianqing-agent服务状态是active (running)才算客户端正常工作。inactive或failed先看终端本地日志，常见原因是安装不完整或依赖缺失。
第二条，终端侧确认到控制台通信端口可达：
nc -zv 192.168.10.10 8083输出succeeded说明通信链路通。这一步和终端在线状态互相印证，在线但端口不通的情况极少，离线但端口通的情况多半是终端服务或注册信息问题。
第三条，控制台侧确认策略和更新任务有实际执行记录：
# 控制台服务器上查看任务和策略相关日志 tail -n 100 /opt/tianqing/console/logs/task.log grep -i "policy" /opt/tianqing/console/logs/console.log | tail -n 50日志里有终端实际执行记录，才说明策略真的下去了。只看控制台页面上的“已下发”不够，页面状态和终端实际执行之间可能隔着通信失败或终端本地拦截。
控制台侧再补一个检查：在“终端概况”里随机抽三台不同分组的终端，看它们的策略状态、最近通信时间、更新版本是否一致。抽查比看总数可靠，总数是面子，抽查是里子。
还有一个容易被忽略的点：验证更新。手动触发一次终端更新任务，等任务结束后去终端上确认版本号变化，同时看更新日志有没有校验失败。更新链路通了，说明控制台到终端的分发通道是完整的，这比单独测通信更有说服力。
我自己的习惯是，每次装完天擎，不管多急，这三条命令加一次更新验证必须走一遍。有一次赶时间跳过了终端侧端口验证，结果批量推了八十多台，第二天一半离线，回头查就是中间一台防火墙没放行通信端口。从那以后我每次装完都强制走一遍终端侧nc加控制台抽查，宁可多花十分钟，也不想到处救火。希望帮到你。
本文还有配套的精品资源，点击获取
