用途：为操作员、工程师和厂商设计并配置OT/ICS环境的安全远程访问，适用于新建或升级OT远程访问架构、厂商接入运维、满足CIP-005-7 R2远程访问与MFA要求、用跳板机架构替换直连VPN，以及处置未授权远程访问事件。不适用于纯IT远程访问、企业员工通用VPN或OT设施物理门禁。
主要能力：采用纵深防御架构，外部经VPN网关（证书+MFA）接入，外部网络与OT系统之间无直接连接；在Level 3.5 DMZ部署中间系统（跳板机/堡垒机），由它终止外部连接并发起新的内部连接，实现会话代理而非穿透。控制项包括源IP白名单、时间窗访问、带宽限速、会话录制与击键日志、剪贴板和文件传输限制、30分钟无操作超时、并发会话限制，防火墙仅允许跳板机IP访问OT，协议限定RDP 3389、SSH 22、VNC 5900。厂商访问默认禁用账号、按需启用、时间受限、一次性令牌、无持久凭据，并要求OT操作员实时陪访和OT安全监控。
使用方式：先设计架构（用户→VPN→防火墙→DMZ跳板机→内部防火墙→OT系统，两段独立认证连接，无直接路由），再在DMZ部署并加固跳板机，结合PAM实现凭据保管、会话管理与录制。资料提供示例Python会话管理器（OTRemoteAccessManager），含访问策略定义、会话申请、审批、MFA激活、终止、超时检查、审计日志与报告生成；示例中工程师可访问HMI-01、HMI-02、EWS-01、HISTORIAN-01，最长240分钟，厂商仅可访问DCS-EWS-01，最长120分钟。
关键术语：中间系统、跳板机、会话录制、特权访问管理（PAM）、陪访、时间受限访问。可用工具与系统包括CyberArk Privileged Access Security、BeyondTrust Privileged Remote Access、Claroty SRA、Duo Security。
限制：需具备DMZ（Level 3.5）基础设施、跳板机平台、MFA方案、会话录制能力及相应防火墙规则；示例代码中的MFA验证为简化实现，实际需调用MFA提供方；未提供定价、许可和其他平台兼容性信息，实施细节需按环境确认。