JumpServer(堡垒机）开源版本图文详解

最新推荐文章于 2024-09-24 10:39:16 发布
置顶 最新推荐文章于 2024-09-24 10:39:16 发布
阅读量1.8w 收藏 165
点赞数 34
分类专栏： Linux服务 文章标签： linux 运维
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_42267081/article/details/109694512
版权

1.JumpServer基本概述

1.什么是跳板机

跳板机就是一台服务器，具备公网和内网，我们的开发人员或者运维人员，要想维护内部集群服务时，需要先统一登陆到跳板机这台服务器，然后在通过跳板机的内网登陆目标集群服务器

在这里插入图片描述

2.跳板机的缺陷

没有实现对运维人员操作行为的控制和审计，使用跳板机的过程中还是会出现误操作，违规i操作导致故障，一旦出现操作事故很难快速定位到原因和责任人；此时堡垒机就诞生了。

3.什么是堡垒机

堡垒机其实是基于跳板机基础之上，能够实现运维更加安全的操作目标集群服务器，提供安全保证。

  • 1 资产集中管理（统一管理）
  • 2 审计，记录，视频回放操作记录
  • 3 限制如rm，dd等危险命令的执行
  • 4 限制登陆目标服务器的身份权限

4.为什么要使用堡垒机

首先，堡垒机提供了运维安全审计的4A规范：
Authentication：身份鉴别，防止身份冒用和复用
Authorization ：授权控制，防止内部误操作和权限滥用
Accouting:账号管理，人员和资产的管理
Auditing：安全审计，追溯和分析事故的依据
其次，堡垒机的建设目标可以概况为5W，主要是为了减低运维风险。
what 审计：你做了什么？
which 授权：你能做哪些？
where 账号：你要去那？
who 认证 你是谁?
when 来源：访问时间？
总结
堡垒机能让运维更安全，更加便捷的登陆目标资产服务
堡垒机还可以帮助企业快速构建“身份鉴别，访问控制，安全审计”，助力企业满足新等保要求。什么是等保？

所有企业都需要使用堡垒机。因为堡垒机是企业进行“资产管理，运维安全审计”的重要组件。

在这里插入图片描述

5.什么是Jumpserver

JumpServer 是全球首款完全开源的堡垒机, 使用 GNU GPL v2.0 开源协议, 是符合 4A 的专业运维审计系统。
JumpServer 使用 Python / Django 进行开发, 遵循 Web 2.0 规范, 配备了业界领先的 Web Terminal 解决方案, 交互界面美观、用户体验好。
JumpServer 采纳分布式架构, 支持多机房跨区域部署, 中心节点提供 API, 各机房部署登录节点, 可横向扩展、无并发访问限制。
JumpServer 现已支持管理 SSH、 Telnet、 RDP、 VNC 协议资产。

Jumpserver主要组件

Jumpserver:提供管理后台，管理员可以通过web页面进行资产管理，用户管理和资产授权等操作。
koko:提供SSH server和web Termianal server方式登陆资产
Lina Luna:提供web前端页面，后续会将整合到Lina中
Guacamole:提供RDP功能，用户可通过该方式登陆windows资产。（暂时只能通过 web Terminal来访问）

Jumpserver特色优势

  • 开源: 零门槛，线上快速获取和安装；
  • 分布式: 轻松支持大规模并发访问；
  • 无插件: 仅需浏览器，极致的 Web Terminal 使用体验；
  • 多云支持: 一套系统，同时管理不同云上面的资产；
  • 云端存储: 审计录像云端存储，永不丢失；
  • 多租户: 一套系统，多个子公司和部门同时使用。

Jumpserver基础架构图

在这里插入图片描述

Jumpserver作用
1 产品解耦程度高，便于后期分布式部署与横向扩展
2 集中统一管理全国各地服务器

2.JumpServer安装配置 官方安装部署文档

2.1 核心组件部署jumpserver

① 安装 Python3.6 MySQL Redis

[root@jumpserver ~]# yum install python3 python3-devel mariadb-server mariadb redis -y
[root@jumpserver ~]# systemctl enable mariadb redis
[root@jumpserver ~]# systemctl start mariadb redis

② 设定数据库密码,然后创建对应的jumpserver库

[root@jumpserver ~]# mysqladmin password boy123.com
[root@jumpserver ~]# mysql -uroot -pboy123.com
MariaDB [(none)]> create database jumpserver default charset 'utf8' collate 'utf8_bin';
MariaDB [(none)]>

③ 创建 Python 虚拟环境，并且载入 Python 虚拟环境

[root@jumpserver ~]# python3.6 -m venv /opt/py3
[root@jumpserver ~]# source /opt/py3/bin/activate
(py3) [root@jumpserver ~]#

④ 安装jumpserver核心软件包

我这里采用的是本地方式进行软件包的上传
在这里插入图片描述

(py3) [root@jumpserver ~]# cd /opt
(py3) [root@jumpserver opt]# tar xf jumpserver-v2.2.2.tar.gz 
(py3) [root@jumpserver opt]# mv jumpserver-v2.2.2 jumpserver

⑤ 安装jumpser编译环境依赖

cd /opt/jumpserver/requirements
yum install -y $(cat rpm_requirements.txt)
pip install wheel -i https://mirrors.aliyun.com/pypi/simple/
pip install --upgrade pip setuptools -i https://mirrors.aliyun.com/pypi/simple/
pip install -r requirements.txt -i https://mirrors.aliyun.com/pypi/simple/

⑥修改配置文件

cd /opt/jumpserver && \            
cp config_example.yml config.yml && \
vi config.yml

⑦在配置文件中需要填写随即加密密钥（SECRET_KEY: 与BOOTSTRAP_TOKEN:），我们用命令生成

if [ ! "$SECRET_KEY" ]; then
  SECRET_KEY=`cat /dev/urandom | tr -dc A-Za-z0-9 | head -c 50`;
  echo "SECRET_KEY=$SECRET_KEY" >> ~/.bashrc;
  echo $SECRET_KEY;
else
  echo $SECRET_KEY;
fi  
if [ ! "$BOOTSTRAP_TOKEN" ]; then
  BOOTSTRAP_TOKEN=`cat /dev/urandom | tr -dc A-Za-z0-9 | head -c 16`;
  echo "BOOTSTRAP_TOKEN=$BOOTSTRAP_TOKEN" >> ~/.bashrc;
  echo $BOOTSTRAP_TOKEN;
else
  echo $BOOTSTRAP_TOKEN;
fi

查看生成的随机加密密钥

cat ~/.bashrc

在这里插入图片描述

参考官方模板（记得修改配置文件的每行要顶头）

# SECURITY WARNING: keep the secret key used in production secret!
# 加密秘钥 生产环境中请修改为随机字符串，请勿外泄, 可使用命令生成
# cat /dev/urandom | tr -dc A-Za-z0-9 | head -c 49;echo
SECRET_KEY: sa1SzAAij0xGm6q35bWpiG5dwV966cryK2Ui2oeuHGQiYfJQkF

# SECURITY WARNING: keep the bootstrap token used in production secret!
# 预共享Token coco和guacamole用来注册服务账号，不在使用原来的注册接受机制
BOOTSTRAP_TOKEN: SAkuJ9ICSTGey5p8

# Development env open this, when error occur display the full process track, Production disable it
# DEBUG 模式 开启DEBUG后遇到错误时可以看到更多日志
DEBUG: false

# DEBUG, INFO, WARNING, ERROR, CRITICAL can set. See https://docs.djangoproject.com/en/1.10/topics/logging/
# 日志级别
LOG_LEVEL: ERROR
# LOG_DIR:

# Session expiration setting, Default 24 hour, Also set expired on on browser close
# 浏览器Session过期时间，默认24小时, 也可以设置浏览器关闭则过期
# SESSION_COOKIE_AGE: 86400
SESSION_EXPIRE_AT_BROWSER_CLOSE: true

# Database setting, Support sqlite3, mysql, postgres ....
# 数据库设置
# See https://docs.djangoproject.com/en/1.10/ref/settings/#databases

# SQLite setting:
# 使用单文件sqlite数据库
# DB_ENGINE: sqlite3
# DB_NAME:

# MySQL or postgres setting like:
# 使用Mysql作为数据库
DB_ENGINE: mysql
DB_HOST: 127.0.0.1
DB_PORT: 3306
DB_USER: root                          #这里用的数据库用户是数据库默认root用户
DB_PASSWORD: boy123.com             #我们给root用户设置的密码
DB_NAME: jumpserver

# When Django start it will bind this host and port
# ./manage.py runserver 127.0.0.1:8080
# 运行时绑定端口
HTTP_BIND_HOST: 0.0.0.0
HTTP_LISTEN_PORT: 8080
WS_LISTEN_PORT: 8070

# Use Redis as broker for celery and web socket
# Redis配置
REDIS_HOST: 127.0.0.1
REDIS_PORT: 6379
REDIS_PASSWORD: ZhYnLrodpmPncovxJTnRyiBs
# REDIS_DB_CELERY: 3
# REDIS_DB_CACHE: 4

# Use OpenID authorization
# 使用OpenID 来进行认证设置
# BASE_SITE_URL: http://localhost:8080
# AUTH_OPENID: false  # True or False
# AUTH_OPENID_SERVER_URL: https://openid-auth-server.com/
# AUTH_OPENID_REALM_NAME: realm-name
# AUTH_OPENID_CLIENT_ID: client-id
# AUTH_OPENID_CLIENT_SECRET: client-secret
# AUTH_OPENID_IGNORE_SSL_VERIFICATION: True
# AUTH_OPENID_SHARE_SESSION: True

# Use Radius authorization
# 使用Radius来认证
# AUTH_RADIUS: false
# RADIUS_SERVER: localhost
# RADIUS_PORT: 1812
# RADIUS_SECRET:

# CAS 配置
# AUTH_CAS': False,
# CAS_SERVER_URL': "http://host/cas/",
# CAS_ROOT_PROXIED_AS': 'http://jumpserver-host:port',  
# CAS_LOGOUT_COMPLETELY': True,
# CAS_VERSION': 3,

# LDAP/AD settings
# LDAP 搜索分页数量
# AUTH_LDAP_SEARCH_PAGED_SIZE: 1000
#
# 定时同步用户
# 启用 / 禁用
# AUTH_LDAP_SYNC_IS_PERIODIC: True
# 同步间隔 (单位: 时) (优先）
# AUTH_LDAP_SYNC_INTERVAL: 12
# Crontab 表达式
# AUTH_LDAP_SYNC_CRONTAB: * 6 * * *
#
# LDAP 用户登录时仅允许在用户列表中的用户执行 LDAP Server 认证
# AUTH_LDAP_USER_LOGIN_ONLY_IN_USERS: False
#
# LDAP 认证时如果日志中出现以下信息将参数设置为 0 (详情参见：https://www.python-ldap.org/en/latest/faq.html)
# In order to perform this operation a successful bind must be completed on the connection
# AUTH_LDAP_OPTIONS_OPT_REFERRALS: -1

# OTP settings
# OTP/MFA 配置
# OTP_VALID_WINDOW: 0
# OTP_ISSUER_NAME: Jumpserver

# Perm show single asset to ungrouped node
# 是否把未授权节点资产放入到 未分组 节点中
# PERM_SINGLE_ASSET_TO_UNGROUP_NODE: false
#
# 启用定时任务
# PERIOD_TASK_ENABLE: True
#
# 启用二次复合认证配置
# LOGIN_CONFIRM_ENABLE: False
#
# Windows 登录跳过手动输入密码
WINDOWS_SKIP_ALL_MANUAL_PASSWORD: True

我们需要修改的几个地方被红框框起来
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述

⑧ 启动jumpserver核心组件

首先要确保已经加载p3虚拟环境

source /opt/py3/bin/activate

其次前台运行查看，检查是否报错

cd /opt/jumpserver
./jms start

最后没有报错，运行在后台

./jms start -d

2.2 核心组件部署koko

我这里采用的是本地方式进行软件包的上传
在这里插入图片描述

①上传koko压缩包对koko组件进行初始化

(py3) [root@jumpserver opt]# tar -xf koko-v2.4.3-linux-amd64.tar.gz #压缩包解压
(py3) [root@jumpserver opt]# mv koko-v2.4.3-linux-amd64 koko        #更改名字
(py3) [root@jumpserver opt]# chown -R root:root koko                #为koko目录授权
(py3) [root@jumpserver opt]# cd koko                                #切换到koko目录下
(py3) [root@jumpserver koko]# cp config_example.yml config.yml		#复制实列配置文件进行重命名

②修改koko组件的配置文件

(py3) [root@jumpserver koko]#  vi config.yml

参考官方模板（记得修改配置文件的每行要顶头）

# 项目名称, 会用来向Jumpserver注册, 识别而已, 不能重复
# NAME: {{ Hostname }}

# Jumpserver项目的url, api请求注册会使用
CORE_HOST: http://127.0.0.1:8080

# Bootstrap Token, 预共享秘钥, 用来注册coco使用的service account和terminal
# 请和jumpserver 配置文件中保持一致，注册完成后可以删除
BOOTSTRAP_TOKEN: zxffNymGjP79j6BN

# 启动时绑定的ip, 默认 0.0.0.0
# BIND_HOST: 0.0.0.0

# 监听的SSH端口号, 默认2222
# SSHD_PORT: 2222

# 监听的HTTP/WS端口号，默认5000
# HTTPD_PORT: 5000

# 项目使用的ACCESS KEY, 默认会注册,并保存到 ACCESS_KEY_STORE中,
# 如果有需求, 可以写到配置文件中, 格式 access_key_id:access_key_secret
# ACCESS_KEY: null

# ACCESS KEY 保存的地址, 默认注册后会保存到该文件中
# ACCESS_KEY_FILE: data/keys/.access_key

# 设置日志级别 [DEBUG, INFO, WARN, ERROR, FATAL, CRITICAL]
LOG_LEVEL: ERROR

# SSH连接超时时间 (default 15 seconds)
# SSH_TIMEOUT: 15

# 语言 [en,zh]
# LANG: zh

# SFTP的根目录, 可选 /tmp, Home其他自定义目录
# SFTP_ROOT: /tmp

# SFTP是否显示隐藏文件
# SFTP_SHOW_HIDDEN_FILE: false

# 是否复用和用户后端资产已建立的连接(用户不会复用其他用户的连接)
# REUSE_CONNECTION: true

# 资产加载策略, 可根据资产规模自行调整. 默认异步加载资产, 异步搜索分页; 如果为all, 则资产全部加载, 本地搜索分页.
# ASSET_LOAD_POLICY:

# zip压缩的最大额度 (单位: M)
# ZIP_MAX_SIZE: 1024M

# zip压缩存放的临时目录 /tmp
# ZIP_TMP_PATH: /tmp

# 向 SSH Client 连接发送心跳的时间间隔 (单位: 秒)，默认为30, 0则表示不发送
# CLIENT_ALIVE_INTERVAL: 30

# 向资产发送心跳包的重试次数，默认为3
# RETRY_ALIVE_COUNT_MAX: 3

# 会话共享使用的类型 [local, redis], 默认local
SHARE_ROOM_TYPE: redis

# Redis配置
REDIS_HOST: 127.0.0.1
REDIS_PORT: 6379
#REDIS_PASSWORD:
#REDIS_CLUSTERS:
#REDIS_DB_ROOM: 6

我们需要修改的几个地方被红框框起来
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述

启动核心组件koko

首先启动，检查是否有报错

./koko

在这里插入图片描述

其次把koko组件放入后台运行

./koko -d

最后检查端口是否启动会有一5000 和2222两个端口

netstat -lntp

在这里插入图片描述

2.3 前端组件部署lina，luna

我这里采用的是本地方式进行软件包的上传

在这里插入图片描述
在这里插入图片描述

① 下载 Lina 组件（/opt 下）

(py3) [root@jumpserver opt]# tar xf lina-v2.2.2.tar.gz 
(py3) [root@jumpserver opt]# mv lina-v2.2.2 lina
(py3) [root@jumpserver opt]# chown -R nginx.nginx lina

② 下载 Luna 组件（/opt 下）

(py3) [root@jumpserver opt]# tar xf luna-v2.2.2.tar.gz 
(py3) [root@jumpserver opt]# mv luna-v2.2.2 luna
(py3) [root@jumpserver opt]# chown -R nginx.nginx luna

③ 配置 Nginx 整合各组件

(py3) [root@jumpserver opt]# yum install nginx -y （要在上传luna lina组件之前 因为它们两个目录授权需要nginx用户）

参考官方模板（我添加了server_name jumpserver.etiantian.org;域名解析）

(py3) [root@jumpserver opt]# vim /etc/nginx/conf.d/jumpserver.etiantian.org.conf
server {
    listen 80;
    client_max_body_size 100m;  # 录像及文件上传大小限制
    server_name jumpserver.etiantian.org;

    location /ui/ {
        try_files $uri / /index.html;
        alias /opt/lina/;
    }

    location /luna/ {
        try_files $uri / /index.html;
        alias /opt/luna/;  # luna 路径, 如果修改安装目录, 此处需要修改
    }

    location /media/ {
        add_header Content-Encoding gzip;
        root /opt/jumpserver/data/;  # 录像位置, 如果修改安装目录, 此处需要修改
    }

    location /static/ {
        root /opt/jumpserver/data/;  # 静态资源, 如果修改安装目录, 此处需要修改
    }

    location /koko/ {
        proxy_pass       http://localhost:5000;
        proxy_buffering off;
        proxy_http_version 1.1;
        proxy_set_header Upgrade $http_upgrade;
        proxy_set_header Connection "upgrade";
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header Host $host;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        access_log off;
    }

    location /guacamole/ {
        proxy_pass       http://localhost:8081/;
        proxy_buffering off;
        proxy_http_version 1.1;
        proxy_set_header Upgrade $http_upgrade;
        proxy_set_header Connection $http_connection;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header Host $host;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        access_log off;
    }

    location /ws/ {
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header Host $host;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        proxy_pass http://localhost:8070;
        proxy_http_version 1.1;
        proxy_buffering off;
        proxy_set_header Upgrade $http_upgrade;
        proxy_set_header Connection "upgrade";
    }

    location /api/ {
        proxy_pass http://localhost:8080;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header Host $host;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
    }

    location /core/ {
        proxy_pass http://localhost:8080;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header Host $host;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
    }

    location / {
        rewrite ^/(.*)$ /ui/$1 last;
    }
}

(py3) [root@jumpserver opt]# systemctl start nginx
(py3) [root@jumpserver opt]# systemctl enable nginx

2.4 配置本地dns劫持，登陆JumpServer进行管理

在这里插入图片描述

在这里插入图片描述
默认用户密码都是admin
在这里插入图片描述
密码太简单需要重新修改登陆admin用户密码
在这里插入图片描述
在这里插入图片描述
最后登陆到管理界面
在这里插入图片描述

3.JumpServer用户管理

普通用户: 登录Jumpserver的web页面 的用户 , 运维 开发
系统用户: 是 JumpServer 跳转登录资产时使用的用户[ansible 自动推送，不支持交换机]
管理用户: 管理用户是被控服务器上的 root， JumpServer使用该用户来 推送系统用户、获取资产硬件信息等 [先免密]

在这里插入图片描述

3.1 创建普通用户

①添加用户组

创建一个开发组和运维组
在这里插入图片描述

在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述

②添加用户

创建一个oldboy和一个oldgirl普通用户
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述

③ 创建的普通用户使用测试

普通用户就是登陆网页jumpserver的登陆用户，所以我们重新登陆发现和用管理员登陆界面是有区别的。
我们用创建的普通用户oldboy登陆一下
在这里插入图片描述
发现左边的项目栏是有区别的，第一次登陆需要填写个人信息，然后选择我同意，就可以使用了。
在这里插入图片描述
在这里插入图片描述
普通用户管理资产两种页面
1.web页面
在这里插入图片描述

2.终端页面

ssh oldboy@10.0.0.200 2222

在这里插入图片描述

3.2 创建管理用户

① jumpserver ------> 被控端主机进行免密登录实现跳板机功能

ssh-keygen

在这里插入图片描述
会生成一对密钥对，一个公钥（id_rsa.pub）一个私钥(id_rsa)
在这里插入图片描述
推送公钥到被控制端，实现免密登陆

ssh-copy-id -i ~/.ssh/id_rsa.pub root@172.16.1.7
ssh-copy-id -i ~/.ssh/id_rsa.pub root@172.16.1.8
ssh-copy-id -i ~/.ssh/id_rsa.pub root@172.16.1.51

②创建管理用户

在这里插入图片描述
在这里插入图片描述
下载私钥： [root@jumpserver ~]# sz ~/.ssh/id_rsa —> 上传root用户私钥到页面

3.3 创建系统用户

在这里插入图片描述
在这里插入图片描述
在这里插入图片描述

对系统用户进行提权

在这里插入图片描述

4.JumpServer资产管理

在这里插入图片描述

4.1 规划资产树

在这里插入图片描述
根据公司需求进行划分
我们可以根据地域，区域，部门，进行划分
我们根据地域划分出上海机房，北京机房
我们根据区域在北京机房中划分昌平机房，海淀机房
我们还可以根据部门在海淀机房划分运维，开发等部门
在这里插入图片描述
在这里插入图片描述

4.2 添加资产

在这里插入图片描述
加入资产web01
在这里插入图片描述
加入资产web02
在这里插入图片描述
加入资产db01
在这里插入图片描述

4.3 授权资产

在这里插入图片描述
我们对用户组进行资产的授权
我们运维组授权可以管理北京机房和上海机房的资产（172.16.1.7/8/51）
我们开发组授权可以管理上海机房的资产（172.16.1.51）
在这里插入图片描述
我们运维组授权可以管理北京机房和上海机房的资产（172.16.1.7/8/51）
在这里插入图片描述
我们开发组授权可以管理上海机房的资产（172.16.1.51）
在这里插入图片描述

在这里插入图片描述

4.4 验证阶段

在这里插入图片描述
我们用普通用户oldgirl登陆jumpserver页面，oldgril隶属于运维组，所以可以对运维组授权的资产进行管理（3台节点）
在这里插入图片描述
在这里插入图片描述
我们可以选择web终端进行对每台节点的管理（免密登陆）
在这里插入图片描述
我们用普通用户oldboyl登陆jumpserver页面，oldboy隶属于开发组，所以可以对开发组授权的资产进行管理（1台节点）
在这里插入图片描述

4.5 新创建一个权限比cry高的系统用户

① 其实就是再创建一个系统用户kenneth

在这里插入图片描述
在这里插入图片描述

② 对新创建的kenneth系统用户进行资产授权

在这里插入图片描述
在这里插入图片描述
在这里插入图片描述

③ 进行手动的推送系统用户信息到资产中（底层用ansible推送）

在这里插入图片描述
在这里插入图片描述
在这里插入图片描述

④当我再去登陆资产时就会出现选择用那一个系统用户登录

在这里插入图片描述

4.6 加入数据库资产

①我们先创建一个dba组和dba普通用户隶属与dba组

密码123456
在这里插入图片描述

② 创建数据库应用

在这里插入图片描述
在这里插入图片描述

在这里插入图片描述

③ 创建一个登陆数据库的系统用户（走的是mysql协议）

在这里插入图片描述

④ 对数据库进行资产授权

在这里插入图片描述
在这里插入图片描述

⑤ 登陆数据库资产(通过我们创建的dba普通用户)

在这里插入图片描述
在这里插入图片描述

⑥ 我们在对资产进行的任何操作都会记录下来，可以回放视频，可以中止，可以在线监控

在这里插入图片描述
在这里插入图片描述

5.Jumpserver命令过滤器（限制危险命令的执行 ）

我们现在假设不让使用rm命令，怎么操作呢？
在这里插入图片描述

5.1 创建一个命令过滤器名称

在这里插入图片描述

5.2 添加命令过滤器不允许的操作

在这里插入图片描述
在这里插入图片描述
在这里插入图片描述

5.3 绑定系统用户进行限制操作

在这里插入图片描述

测试操作，通过cry系统用户登录资产后能否使用rm命令

在这里插入图片描述
在这里插入图片描述

6.普通用户的文件管理（上传和下载）

在这里插入图片描述

6.1 上传文件操作过程

①我使用系统用户cry登陆到资产，选中默认进行上传文件

在这里插入图片描述
在这里插入图片描述

②发现上传的文件，在/tmp下 ，而且这个文件的所属主和所属组都是我们上传者cry

在这里插入图片描述

6.2 下载文件操作过程

①我在/tmp下面创建一个名称为2.txt的文件

在这里插入图片描述

②我们在web页面终端可以进行对文件下载

在这里插入图片描述在这里插入图片描述
在这里插入图片描述

6.3 为什么默认上传下载的目录是/tmp？

是因为我们的koko组件的配置文件中这样规定的，如下图所示
在这里插入图片描述

7.jumpserverd多因子认证(加强登陆安全性)

在用户名密码登陆的方式上再进行一次认证，来达到登陆安全性的提高

启用多因子认证两种方式

一.在创建普通用户时选中多因子认证强制启动

① 创建普通用户也就是登陆Jumpserver页面的用户

在这里插入图片描述

②登陆测试

我们进入登陆界面，登陆我们刚创建出来的scry普通用户，这里的密码是创建用户设置的密码 123456
在这里插入图片描述
接下来因为我们开启多因子认证，所以开始开启多因子认证进行初始化的操作 输入我们普通用户登陆密码123456
在这里插入图片描述
然后会发生跳转，会让你使用第三方手机端的一个认证app，从而生成动态密码
在这里插入图片描述
我用手机下载软件
在这里插入图片描述
在这里插入图片描述
我们用手机这个软件扫描下面的二维码就会生成动态的验证码
在这里插入图片描述
在这里插入图片描述
完成初始化设置后我们通过输入手机上的动态认证码和用户密码才可以登陆进去
在这里插入图片描述
在这里插入图片描述

二.全局启动多因子认证

在这里插入图片描述

8 混合云生产环境引入JumpServer网域功能概念

8.1 什么是混合云？

混合云融合了公有云和私有云，是近年来云计算的主要模式和发展方向。我们已经知道私有云主要是面向企业用户，出于安全考虑，企业更愿意将数据存放在私有云中，但是同时又希望可以获得公有云的计算资源，在这种情况下混合云被越来越多的采用，它将公有云和私有云进行混合和匹配，以获得最佳的效果，这种个性化的解决方案，达到了既省钱又安全的目的。

8.2 混合云生产环境部署JumpServer网域功能原理图

在这里插入图片描述

8.3 混合云生产环境部署JumpServer网域功能实现思路

1.jumpserver与网域网管服务器进行免密
2.网域网关服务器与云主机进行免密
3.填写一个网域，然后添加网管服务器
3.1填写公网IP。
3.2登陆网域服务器使用的是管理云主机的管理用户root，需要使用jumpserver的私钥验证。
4.新添加一个管理用户，用来管理云主机 配置的是网域服务器的私钥验证
5.分配整合云主机资产

8.4 混合云生产环境部署JumpServer网域功能实践操作步骤

① 买三台没有公网的阿里云云主机

在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述

② 购买一个公网弹性ip

在这里插入图片描述
在这里插入图片描述
在这里插入图片描述

③ 公网ip绑定一台云主机（ecs）上作为我们的网域服务器

在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
三台云主机都在同一网段我们公网ip绑定一台作为网域服务器，用拥有公网ip的云主机充当网域服务器连接其他两台云主机

④ 使jumpserver与网域服务器建立免密连接

把jumpserver的公钥推送给网域服务器

ssh-copy-id -i ~/.ssh/id_rsa.pub root@39.98.161.147（公网ip）

在这里插入图片描述
在这里插入图片描述

⑤ 登陆网域服务器与两台云主机建立免密关系

1> 生产密钥对
ssh-keygen

在这里插入图片描述

2> 推送网域服务器公钥给两台云主机
ssh-copy-id -i ~/.ssh/id_rsa.pub root@172.16.1.238（云主机内网IP）
ssh-copy-id -i ~/.ssh/id_rsa.pub root@172.16.1.237（云主机内网IP）

在这里插入图片描述

3> 测试网域服务是否能够免密登陆两台云主机

在这里插入图片描述

⑥ 创建网域列表，进行网关配置（配置的是jumpserver到网域服务器之间的连接）

1> 创建网域列表 阿里云-张家口节点

在这里插入图片描述
在这里插入图片描述

2> 进行网关配置

在这里插入图片描述
我们jumpserver到网域服务器之间进行免密
我们推送了在jumpserver生产的一对密钥对的公钥给网域服务器
所以这里连接网域服务器使用的是jumpserver的私钥，来进行非对称性认证。
在这里插入图片描述

⑦ 添加一个管理云主机资产的管理用户root

在这里插入图片描述
我们的管理用户root管理云主机资产，通过网域服务器连接到公有云内部云主机中
我们网域服务器到云主机之间进行免密
我们推送了网域服务器生产的一对密钥对的公钥给网域服务器
所以这里填写的密钥是网域服务器生产的私钥，来进行非对称性认证。

1> 获得网域服务器的私钥，我们把它下载到本地
yum -y install lrzsz 
sz ~/.ssh/id_rsa

在这里插入图片描述

2> 添加配置管理云主机的管理用户root

在这里插入图片描述
在这里插入图片描述

⑧ 添加云主机资产

1> 创建阿里云节点的资产树

在这里插入图片描述

2> 在阿里云下添加两台云主机节点资产
aly01

在这里插入图片描述

aly02

在这里插入图片描述
在这里插入图片描述

⑨ 把云主机资产授权给用户组（运维组）

在这里插入图片描述
在这里插入图片描述

⑩ 测试

1> 我们使用隶属于运维组的oldgirl进行jumpserver页面登陆

在这里插入图片描述
在这里插入图片描述

2> web终端访问阿里云主机，可以访问成功

在这里插入图片描述

9.Jumpserver安全提升

9.1安全升级

操作系统∶尽量升级到符合要求的新版本。
Jumpserver:请保持使用最新版本的Jumpserver依赖软件∶建议升级
Jumpserver依赖的软件版本

9.2 使用安全组件

使用系统防火墙Firewall：端口转发
关闭密码登陆 建议： 用户—> vpn —> 内网

9.3优化系统架构

传统架构︰用户–>Jumpserver–>目标资产
新型架构︰用户–>防火墙(规则限制)–>Jumpserver–>目标资产

9.4 配置HTTPS方式

Kennethcry
关注
专栏目录
Jumpserver-其他
06-12
Jumpserver 是一款由python编写开源的跳板机(堡垒机)系统，实现了跳板机应有的功能。基于ssh协议来管理，客户端无需安装agent。 支持常见系统: 1、redhat centos 2、debian 3、suse ubuntu 4、freebsd 5、其他ssh协议硬件设备 特点： 完全开源，GPL授权 Python编写，容易再次开发 实现了跳板机基本功能，认证、授权、审计 集成了Ansible，批量命令等 支持WebTerminal Bootstrap编写，界面美观 自动收集硬件信息 录像回放 命令搜索 实时监控 批量上传下载 快速开始： 仅需两步快速安装 JumpServer： 1、准备一台 2核4G （最低）且可以访问互联网的 64 位 Linux 主机； 2、以 root 用户执行如下命令一键安装 JumpServer。 curl -sSL https://github.com/jumpserver/jumpserver/releases/download/v2.7.3/quick_start.sh | bash Jumpserver 更新日志： v2.7.3 Bug修复 Bug Fixes fix: 修复操作应用/应用授权等未记录日志的问题
jumpserver（堡垒机）
qq_53195102的博客
02-02 8237
统一入口：登录公司的任何资源都通过堡垒机 批量管理：批量的管理服务器，比如: 批量的执行命令 自动运维： 安全运营： 身份鉴别： 账号管理： 权限控制：可以针对不同的用户指定访问不同的机器，还有禁用一个敏感的命令 安全审计：执行的每一个命令都有录屏的操作
Jumpserver堡垒机应用部署
chenyang1180226的博客
09-24 997
安装部署Jumpserver堡垒机用于连接openstack平台，提高效率以及可用性
【堡垒机】jumpserver简介
m0_70746078的博客
09-22 6289
Jumpserver 是全球首款完全开源、符合 4A 规范（包含认证Authentication 、授权 Authorization、账号 Accounting 和审计 Auditing）的运维安全审计系统，Jumpserver 通过软件订阅服务或者软硬件一体机的方式，向企业级用户交付多云环境下更好用的堡垒机。
jumpserver-堡垒机
m0_51586984的博客
03-29 2929
但跳板机没有实现对运维人员操作行为的控制和审计，此外，跳板机存在严重的安全风险，一旦跳板机系统被攻入，则将后端资源风险完全暴露无遗。由于跳板机的不足，更多的组织需要更先进、更好的安全技术,来实现运维操作管理和安全。管理的资产基于后台的操作系统，基于不同的网络连接协议，可以在资产平台进行同一化设置和管理（注意：默认平台有些协议和功能无法更改，可以自定义资产平台进行更改）创建网关,指定网关服务器的公网IP,认证指定root和jumpserver的root的私钥文件(或者网关服务器的root密码)
手把手教你搭建Jumpserver堡垒机
JackTian
12-26 1069
「 福利 」叮~您的圣诞礼物已送达，请查收！「 福利 」12月活动重磅来袭！！！什么是JumpserverJumpserver 是一款由Python编写开源的跳板...
基于Python和Web2.0规范的JumpServer堡垒机开源设计源码
10-04
该项目是一款基于Python和Web 2.0规范的JumpServer堡垒机开源设计源码，包含1215个文件，涵盖827个Python源文件、126个JavaScript文件、63个PNG图片文件、56个HTML文件、42个CSS文件、16个GIF图片文件、15个Shell...
开源堡垒机jumpserver.1.5.2安装
04-17
Jumpserver 1.5.2 开源堡垒机安装指南 Jumpserver 是一个开源的堡垒机系统，支持 Windows 和 Linux 平台，提供了 SSH、Telnet、VNC、RDP 等远程桌面录像审计功能。下面是 Jumpserver 1.5.2 的安装指南： 一、准备 ...
基于Python开发的Jumpserver开源堡垒机设计源码
最新发布
11-04
该项目是Jumpserver开源堡垒机的Python开发源码，包含1590个文件，涵盖1058个Python文件、142个YAML配置文件、73个PNG图片、70个JavaScript文件、67个HTML文件、41个CSS文件、23个JSON文件、22个Shell脚本文件、15个...
JumpServer堡垒机搭建方案V1.0.pdf
03-24
JumpServer是一款开源的堡垒机系统，主要采用Python和Django框架开发，其项目代码托管于GitHub，用户可以免费使用社区版或付费使用企业版。堡垒机的主要功能是为网络系统提供一个单一的接入点，实现对运维人员的远程...
基于Python语言的JumpServer开源堡垒机安全审计系统设计源码
09-25
该项目是一款基于Python语言开发的JumpServer开源堡垒机安全审计系统源码，包含2036个文件，涵盖1526个Python脚本、136个YAML配置文件、73个PNG图片、70个JavaScript文件、67个HTML文件、41个CSS样式文件、21个Shell...
Jumpserver堡垒机管理（安装和相关操作）-------从小白到大神之路之学习运维第89天
2302_77582029的博客
08-28 3070
jumpserver堡垒机安装以及相关操作
CentOS 7下JumpServer安装及配置（超详细版）
Mortalz7
10-12 8510
Jumpserver是一种用于访问和管理远程设备的Web应用程序，通常用于对服务器进行安全访问。它基于SSH协议，提供了一个安全和可管理的环境来管理SSH访问。Jumpserver是基于Python开发的一款开源工具，其提供了强大的访问控制功能，可以轻松实现用户、主机、命令和审计日志的管理。 本文包含koko部署、guacamole部署、luna部署、nginx配置安装以及Jumpserver启动关闭登录测试等等。
jumpserver【基本使用教程】
L596462013的博客
06-21 4405
管理用户是资产被控服务器上的root，jumpserver使用此用户可以【推送推送系统用户】【获取资产硬件信息】等，需要注意的是【jumpserver需要先与资产节点做免密，将私钥发送到资产主机】将运维组划分为（北京、山西），将开发组划分为（北京）
部署JumpServer堡垒机——Docker方式
热门推荐
还不是太晚的博客
06-23 1万+
目录1、JumpServer简介2、什么是4A3、JumpServer特殊优势4、JumpServer提供的功能6、环境规划7、容器部署jumpserver（版本2.8.4）7.1基础环境配置7.2安装docker环境7.3安装jumpserver7.3.2随机生成加密密钥7.3.2部署jumpserver7.3.3访问jumpserver Web界面 1、JumpServer简介 jumpserver 是全球首款开源堡垒机，由飞至云互联网公司开发并开源。“堡垒机”也叫运维安全审计系统，jumpserve
【实用经验分享】JumpServer部署教训：避免自信陷阱，谨慎行事
我先测了
10-13 5755
jumpServer 是广受欢迎的开源堡垒机，是符合 4A 规范的专业运维安全审计系统。 JumpServer 使用 Python 开发，配备了业界领先的 Web Terminal 方案，交互界面美观、用户体验好。 JumpServer 采纳分布式架构，支持多机房跨区域部署，支持横向扩展，无资产数量及并发限制。 改变世界，从一点点开始。
堡垒机——网络技术手段
一坨小橙子的博客
05-06 1133
什么是跳板机、跳板机的缺陷、什么是堡垒机、为什么要使用堡垒机、堡垒机分类、原理、身份认证、运维方式、其他功能、JumpServer介绍、架构、组件、优势、实现的功能、Authentication身份认证、账号管理Account、授权控制Authorization、Audit安全审计、JumpServer安装部署、部署方式（单机部署、HA高可用部署、异地同步部署、集群部署）、官网下载安装包、Linux系统安装JumpServer、启动并访问
【Linux学习笔记】十九、安全工具：jumpserver的安装及使用
因为热爱所以坚持
12-02 2035
pip3也是一个工具，是给python3安装模块的一个工具。环境变量PATH的作用是：当我们敲ls,cd等命令的时候，系统是默认去PATH变量中，冒号分隔的各个路径下，去寻找是否有ls,cd这个命令，也就是我们which ls出来的结果一样，得到的是ls命令的绝对路径，然后执行ls命令的。只是这些是基础的包，都是我安装多次踩过的坑，比如openldap-devel就是jumpserver用户认证的工具，比如你安装好后需要哪些工具去观察你系统的资源，这些基础的依赖最好都提前安装上，后期使用就方便了。
【jumpserver堡垒机完整版部署】
weixin_51045644的博客
09-16 3277
堡垒机可以理解为是运维审计系统的统称：即在一个特定的网络环境下，为了保障网络和数据不受来自外部和内部用户的入侵和破坏，而运用各种技术手段实时收集和监控网络环境中每一个组成部分的系统状态、安全事件、网络活动，以便集中报警、记录、分析、处理的一种技术手段。堡垒机会从认证—授权—账号—审计，最大限度地保证运维人员能够安全操作，降低运维过程中导致的风险：哪些人以哪些身份访问那些设备。
Jumpserver 1.5.2：开源堡垒机管理员全面指南
"Jumpserver1.5.2管理员手册提供了关于如何管理和使用开源堡垒机的详细指导，包括系统设置、用户管理、资产管理、权限管理、会话管理和日志审计等功能。" Jumpserver是一款开源的堡垒机解决方案，适用于Windows和...
评论 3
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值