小白到运维工程师自学之路 第八十集 （Jumpserver堡垒机管理）1

一、为什么要使用堡垒机

1、统一入口、规范管理

提供统一入口，所有运维人员只能登录堡垒机才能访问服务器，梳理“人与服务器”之间的关系，防止越权登录。

 

2、利用手机APP动态口令等验证机制

采用手机APP动态口令、OTP动态令牌、USBKEY、短信口令等双因素身份实名鉴别机制防止密码被暴力破解，解决访问身份模糊的问题。

3、托管服务器密码，实现自动改密

通过堡垒机定期自动修改服务器的密码，解决手工修改密码、密码泄露和记住密码的烦恼。

1、可自动修改Windows、Linux、Unix、网络设备等操作系统的密码

2、可以设置周期或指定时间执行改密任务

3、可设定密码的复杂度、随机密码、指定密码、固定密码格式等

4、可通过邮件、SFTP、FTP方式自动发送密码文件给管理员

5、提供密码容错机制：改密前自动备份、备份失败不改密、改密后自动备份、自动恢复密码等

4、事中控制，防止违规操作

作为运维人员，如何摆脱以上背黑锅的尴尬局面呢？也许堡垒机是一个破解此局面的必杀技。

1、通过命令控制策略，拦截高危、敏感的命令

2、通过命令审核策略，审批需要执行但又不能随意执行的命令

3、通过文件传输控制策略，防止数据、文件的泄露

5、精细化审计，追溯整个运维过程

堡垒机要做到文件记录、视频回放等精细化完整审计，快速定位运维过程：

1、不仅要对所有操作会话的在线监控、实时阻断、日志回放、起止时间、来源用户、来源地址、目标地址、协议、命令、操作(如对文件的上传、下载、删除、修改等操作等)等行为记录。

2、还要能保存SFTP/FTP/SCP/RDP/RZ/SZ传输的文件为上传恶意文件、拖库、窃取数据等危险行为起到了追踪依据。

二、jumpserver简介

Jumpserver 是全球首款完全开源的堡垒机（跳板机），使用 GNU GPL v2.0 开源协议，是符合 4A(认证Authentication、授权Authorization、记账Accounting、审计Audit) 的专业运维审计系统。Jumpserver 使用 Python / Django 进行开发，遵循 Web 2.0 规范，配备了业界领先的 Web Terminal 解决方案，交互界面美观、用户体验好。Jumpserver 采纳分布式架构，支持多机房跨区域部署，中心节点提供 API，各机房部署登录节点，可横向扩展、无并发限制。

基于ssh协议来管理。被管理的服务器无需安装agent软件。助力互联网企业高效的对用户、资产（服务器）、权限、审计集中管理。而且管理界面是中文的，是一款无论从功能还是使用便捷度上来讲，都是非常不错的选择。

官网网站：http://www.jumpserver.org/

1、支持的操作系统

• Redhat CentOS
• Debian Ubuntu
• SUSE
• FreeBSD
• 其他ssh协议硬件设备（如交换机...）

2、功能介绍

1.  精确记录操作命令

2.  支持批量文件上传下载

3.  支持主机搜索登录

4.  支持批量命令执行(Ansible完成)

5.  支持WebTerminal连接主机

6.  支持Web端批量命令执行

7.  支持录像回放

8.  支持硬件信息如cpu,内存等抓取

9.  支持资产Excel导入导出

10. 支持资产批量更改

11. 支持系统用户的批量推送(Ansible实现)

12. 支持用户，主机，用户组，主机组，系统用户混合细颗粒授权

13. 支持sudo管理

14. 支持命令统计和命令搜索

15. 支持上传下载文件审计

16. 支持终止用户连接

17. 支持各种搜索

18. 其他

3、Jumpserver组件说明

1. Jumpserver：为管理后台, 管理员可以通过Web页面进行资产管理、用户管理、资产授权等操作,默认端口为 8080/tcp 配置文件在 jumpserver/config.yml
2. Coco：为 SSH Server 和 Web Terminal Server 。用户可以通过使用自己的账户登录 SSH 或者 Web Terminal 直接访问被授权的资产。不需要知道服务器的账户密码,默认 SSH 端口为 2222/tcp, 默认 Web Terminal 端口为 5000/tcp 配置文件在 coco/config.yml
3. Luna：为 Web Terminal Server 前端页面, 用户使用 Web Terminal 方式登录所需要的组件
4. Guacamole：为 Windows 组件, 用户可以通过 Web Terminal 来连接 Windows 资产 (暂时只能通过 Web Terminal 来访问), 默认端口为 8081/tcp
5. Nginx：默认端口为 80/tcp，前端代理服务
6. Redis：默认端口为 6379/tcp，数据库缓存服务
7. Mysql：默认端口为 3306/tcp，数据库服务 

 三、部署Jumpserver环境

获取官网的安装脚本
wget https://github.com/jumpserver/jumpserver/releases/download/v2.28.0/quick_start.sh 

执行安装脚本
sh quick_start.sh 

 访问192.168.77.17:8080

默认用户是admin 密码是:admin

四、Jumpserver配置应用 

1、创建普通用户

根据实际情况填写用户的微信手机

2、创建特权用户

3、添加资产

创建完成后再次回到资产列表就可以看到了

4、资产授权

出现√就成功了

5、登录普通用户进行测试

由于篇幅限制本篇文章分成两篇