作为一名从基础系统运维岗位走过来的老人,帮助不同的公司搭建、管理过大大小小的IT系统,堡垒机接触的算比较多的,硬件的、软件的和近来流行的云堡垒机都有用到,所以深知“堡垒机的核心意义在于帮助CIO做合规管理,解决运维混乱的问题”。
怎么理解这个点呢?从事过一线运维的朋友都会知道,公司内部的运维混乱现象是很常见的。就拿账号来说,往往多个人共用一个账号,或者一个人用多个账号。这样不仅加大了账号泄露风险,也极易导致越权操作行为,对整个IT系统安全埋下隐患。我就曾经遇到一次,开发来的新人拿“公共”账号登录服务器,不慎把重要应用误删,事后还装不知情,闹到调监控才揪出来。
这样的混乱不仅体现在基础的账号管理方面,而是体现在方方面面。服务器、数据库的授权,乃至敏感指令的授权都是混乱的,任何人拿到账号都可能操作不属于自己权职范围的应用和数据。任何人也可能无意或有意做出危害系统安全的行为。如果当时没有监控或证人,出现问题追责都不知从何追起。想象一下,如果TEAM的规模达到十人、几十人,或上百人?运维工作会乱成什么样样子,出问题是迟早的事。
所以,堡垒机就是为解决运维混乱,帮助CIO合规管理而生的神器,毫不夸张的说堡垒机是可以挽救一家公司的。还记得前段时间台湾的女产品经理在离职时为了泄愤,删除公司多年积累的核心技术资料事件吗?如果当时该公司有部署堡垒机,且作了授权机制则这事就不会发生。
那么,堡垒机是如何做到这一点的呢?其实原理并不复杂,大家可以把堡垒机理解成一个中转站,或一个单点登录的跳板,任何人想登录系统,必须先登录堡垒机,再通过堡垒机来进行后续的运维操作。这样管理起来就方便了,CIO只要在堡垒机中给每个相关人员设定好账号和权限,就能把一群人全都严格限制住。你的账号就代表了你的身份,你能做什么操作?能查看哪些服务器、数据库?都有明确的权限。
堡垒机不仅能规范账号和权限,还很好的解决了安全审计的问题。谁对系统做了操作?做了哪些操作?什么时间做的?等等,堡垒机全部都会记录下来用于事后审计。许多堡垒机还提供全程录像功能,通过回溯录像就能查出一个人的完整操作过程。这意味着,一旦出了问题,追起责来不要太简单。
市面上的堡垒机种类很多,硬件的、软件的和基于云的都有,如果你要选型可以根据公司实际情况来。一般而言,硬件堡垒机比较贵拓展难但安全性高,一些老牌的大公司喜欢用,现在的企业用的慢慢少了。软件堡垒机一般有自己的一套规则,会改变一些运维习惯,除此外无硬伤。云堡垒机是新产品,云计算火起来才有的,它其实就是在软件堡垒机的基础上升级而来的,部署在云端所以上架系统特别快,几乎不改变运维习惯,价格比其他两种低,预算不高的中小企业可以优先考虑云堡垒机。
我用过的大概五六种品牌的堡垒机,现在公司用的是行云管家堡垒机,它是一款云堡垒机,用它的原因有三点:1、用来过三级等保;2、UI做的不错看着舒坦;3、该有的功能都有,做了些特定场景的小功能还蛮有趣的。有兴趣的自己去看吧。