本文链接：https://blog.csdn.net/FIT2CLOUD/article/details/132022707

作为全球动力技术先行者，康明斯（中国）投资有限公司（以下简称为康明斯中国）设计、制造、分销多元的动力解决方案，并提供服务支持。公司产品囊括柴油及天然气发动机、发电机组、交流发电机、排放处理系统、涡轮增压系统、燃油系统、控制系统、变速箱、制动技术、车桥技术、滤清系统，以及氢能制造、存储及燃料电池等产品。

康明斯公司创立于1919年，总部位于美国印第安纳州哥伦布市，在全球拥有约59,900名员工，是全球最大的独立发动机制造商。康明斯全球范围内有10,600多家认证经销网点和500多家分销服务网点，面向190多个国家和地区的客户提供产品和服务支持。2022年公司实现销售额281亿美元，净利润22亿美元。
在这里插入图片描述

康明斯中国的运维安全审计需求

作为一家发动机制造企业，康明斯中国在运维安全审计方面的主要需求包括：

1.等保合规要求

为了满足公司外在安全合规的要求，康明斯中国迫切需要通过堡垒机来解决企业数据安全运维的问题，需要通过建设完善的运维安全审计平台，让安全管理人员能够对系统内的用户和各种资源进行集中管理、集中权限分配和集中审计，同时整个运维管理体系需要遵从《网络安全法》中信息系统安全等级保护的相关规范和要求；

2.资产统一入口访问

康明斯中国的资产主要分布在亚马逊AWS、Azure等公有云平台之上，通过专线打通办公区域的网络，公司内部各个业务系统均由各部门独立进行管理，资产访问的入口不统一，管理起来十分繁琐。

为了方便资产的统一管理，康明斯中国希望搭建统一的运维安全审计管理平台，对所有资产形成统一的访问运维入口，实现运维操作的路径唯一；

3.用户系统集成，实现单点登录

目前康明斯中国的各个业务系统均采用OpenID实现SSO单点登录。为了满足统一管理的需求，公司要求堡垒机同时具备身份认证系统和OpenID的对接能力，满足用户单点登录的需求，从而实现用户身份的统一集中认证；

4.实现各部门独立管理和独立审计

当前公司内部存在多个部门，各个部门的资产、人员权限的管理相对独立。康明斯中国想要通过堡垒机实现对资产、人员的统一管理，既能满足各部门独立管理、独立审计的需要，又能满足公司层面统一管理、统一审计的要求。

堡垒机选型过程

基于以上的需求，康明斯中国开始在市面上寻找合适的堡垒机产品。经过多方比较和测试，最终选择基于JumpServer来搭建统一的运维安全审计平台。康明斯中国认为，JumpServer的优势包括：

1.丰富的4A功能

作为一款被广泛应用的开源堡垒机，JumpServer提供了强大的“4A”（即认证Authentication、账号 Accounting、授权Authorization、审计Auditing）能力，能够帮助康明斯中国构建符合等保合规要求的运维安全审计平台；

2.易安装、易维护

JumpServer的安装过程很方便，支持在线和离线部署方式，维护也很简单。特别是涉及到后续版本升级等问题时，JumpServer能够实现平滑地向后兼容，并且支持在线和离线的一键脚本化升级，真正实现了零门槛操作；

3.用户使用体验佳

JumpServer支持B/S和C/S架构，用户访问资产时无需安装客户端，通过浏览器即可进行资产访问，真正做到了无插件化。同时，JumpServer可以满足开发、运维、DBA（Database Administrator，数据管理员）等不同人员的访问需求，操作简单便捷。

另外，在操作层面，JumpServer的操作界面布局清晰，功能设计也很简约，对于没有接触过堡垒机的同事来说，可以在极短时间内快速上手产品，不需要花费更多的学习成本，真正做到了易学和易用；

4.架构灵活易扩展

JumpServer采用模块化的设计架构，核⼼与节点解耦部署，真正实现了功能上的解耦。同时，JumpServer⽀持容器化部署或者在容器平台内部署运⾏，节点和核⼼可以随着资产与并发的增加⽆限扩展，灵活扩容。

除此之外，JumpServer还兼具单机、主备、主主、分布式等多种部署方案，可以满足公司不同业务场景的使用需求。

JumpServer的部署架构

为了保证业务的高可用并提供良好的用户体验，康明斯中国采用了高可用设计架构，以确保公司业务和应用系统的持续稳定运行。

运维团队也考虑了未来公司IT基础设施的持续性建设进程，IT资产规模将不断增加，因此系统需要具有水平扩展的能力。高可用架构同时也支持随时增加前端应用节点，从而进一步增强系统的支撑能力。康明斯中国的JumpServer部署架构如图1所示。
在这里插入图片描述

▲图1 康明斯中国JumpServer部署架构图

这一部署架构对外提供统一域名，通过前端负载均衡设备，对用户的请求进行分发，实现负载均衡，同时对后端节点进行自动检测。除了应用高可用外，MySQL、Reids均采用了高可用的部署方式，以确保数据库服务不宕机、数据不丢失。这样的部署架构在满足堡垒机服务高可用的同时，也可以灵活应对公司资产数量和用户并发数持续增长的情况。

JumpServer的实践场景

JumpServer堡垒机在康明斯中国内部主要有以下几个高频使用的场景：

■ 基于多租户使用管理模式

JumpServer支持多租户管理，通过划分组织进行组织间资源与权限的隔离，从而实现不同组织的独立管理、独立审计。在统一管理、统一审计的前提下，管理员针对公司不同的业务部门进行组织划分，并为各组织单独设置组织管理员，由组织管理员对各组织内的成员进行资产授权和权限划分，大幅提升了运维管理的效率；
在这里插入图片描述

▲图2 JumpServer的多租户管理体系

■ 数据库资产统一纳管

除了资产纳管以外，JumpServer支持对MySQL、PostgreSQL、Oracle、SQL Server等多种数据库的直接纳管，同时支持Web CLI、Web GUI以及数据库代理直连等多种数据库连接方式，能够很好地满足不同人员对不同数据库连接的需求；
在这里插入图片描述

▲图3 JumpServer支持多种数据库纳管

■ 跨VPC资产的统一管理

康明斯中国的资产主要分布在亚马逊AWS和Azure等公有云环境中，为满足业务的需求，公司划分了多个VPC环境，但VPC环境的资产无法直接和JumpServer网络进行通讯。JumpServer支持网域网关的功能，可以通过代理的方式和VPC环境的资产进行打通，从而实现对VPC环境下资产的直接纳管；
在这里插入图片描述