目录
1、用户权限体系
1.1、组织架构
在Jumpserver企业版本中提供了多组织管理能力,每个组织可以认为是个独立的组织团队,每个组织团队具备独立的用户管理和资产管理能力。组织内可以设置组织管理员,组织用户,组织审计员等不通角色人员,可以创建组织自身的资产,配置不同资产权限。
如下图:
以一个大型集团为例,这个大型企业在IT管理上分为总部和上海,深圳分支机构,每个分支机构有独立的资产,用户。从集团总部来说,可以通过JumpServer 多组织的能力实现总部和分支机构统一管理,如下图:
注意:JumpServer 多组织的本质是数据逻辑隔离,所以不能解决不同区域或者机房的网络连通性问题,需要结合JumpServer的分布式部署能力解决多组织下的区域网络问题。
1.2、角色关系及角色划分
Jumpserver默认自带系统管理员,系统审计员,用户等多种角色,每一种角色管理的权限也不一样。作为管理员,可以根据实际需求自定义用户角色,并对用户角色进行自定义编辑。
- 管理员:管理员是指拥有堡垒机所有权限的用户。作为管理员需要完成工单的审批、用户授权申请、用户权限变更、用户锁定等行为操作,同时针对员工职位的变化对员工的角色和权限做出相应的权限变更。
- 审计员:审计员可以查看当前用户的操作行为、用户权限、用户信息、文件传输记录、用户操作日志等信息。当用户触发危险命令时,作为审计员可以对用户操作进⾏实时监控,发现违规操作,⽴即中止用户操作行为。
- 普通用户:普通用户拥有正常操作和资产登录的权限,但不能对配置进行修改。
- 自定义用户角色:
1.3、用户与资产账号之间的关系
在JumpServer中,用户对资产的操作权限是由授权规则中授权的资产账号决定的。一般会通过资产账号来实现业务权限的区分,分为可读账号,可写账号和高权限账号三大类。
然后根据用户的角色和需求来授权对应的资产账号,用户可以通过授权的资产账号登录授权的资产,其关系如下:
1.4、资产账号权限控制
资产账号的权限也是至关重要的,其往往决定了用户对服务器的实际操作权限。
通过jumpserver的命令过滤功能,可以对执行的命令进行过滤,过滤高危命令,降低操作风险,当匹配到命令后做允许,审批,拒绝和通知的操作。
一个命令过滤可以绑定多个命令组。当绑定的用户用资产绑定账号去连接绑定的资产执行命令时,这个命令需要被绑定过滤器的所有命令组进行匹配,高优先级先被匹配。
1.4.1使用场景示例
某个用户对该组资产只能执行查看类操作(ls,pwd,cd,cat,less,more),其余命令都禁止
1.4.1.1创建命令组
命令组可以绑定到命令过滤器中,命令组中可以创建两种命令组,分别是正则表达式和命令。
命令组1:拒绝所有
命令组2:允许执行的命令
1.4.1.2创建命令过滤规则
创建两条命令过滤规则,拒绝的优先级要大于允许的命令过滤规则,即数字越小优先级越高。
1.4.1.3验证
2、用户登录安全性增强
2.1、用户密码复杂度
2.2、用户登录限制
用户登录限制可以根据用户或IP或用户的IP进行限制,根据用户设置的用户登录Jumpserver限制,用户登录超过错误次数后,多长时间才能重新登录。
参数说明:
- 限制用户登录失败次数:用户输错密码最多登录失败次数,之后将会被锁定一段时间。
- 禁止用户登录间隔:用户锁定的时间。
- 限制IP登录失败次数:某IP最多登录失败次数,之后将会被禁止登录一段时间。
- 禁止IP登录间隔:IP锁定的时间。
- IP登录白名单:允许登录堡垒机的IP。
- IP登录黑名单:不允许登录堡垒机的IP。
- 已锁定的IP:超过设置的登录失败次数后被锁定的IP。
- 仅一台设备登录:仅允许用户在一台设备上登录。下个设备登录,上一个登录设备会强制下线。
- 仅已存在用户登录:仅允许存在于JumpServer用户列表中的用户登录。
- 仅从用户来源登录:仅允许用户从用户列表中列出的来源处登录。
2.3、如何解锁用户
如用户被锁定,也可联系管理员手动解锁。
2.4、双因子认证
用户登录限制可以启动双因子认证,更安全的登录 JumpServer。目前JumpAerver支持的双因子认证方式有两种:MFA双因子认证和短信认证。
2.4.1、MFA双因子认证
在系统设置-安全设置-认证安全中设置全局启动MFA认证以及第三方登录用户实现MFA认证
不开启MFA全局MFA的情况下,在创建用户时,可选择针对单个用户开启MFA双因子认证。
注:全局开启 MFA 规则高于单个用户关闭 MFA 规则。
用户首次登录时,绑定MFA认证,第二次登录即可直接使用MFA进行登录验证。
JumpServer 常用的 MFA 工具可参考:https://kb.fit2cloud.com/?p=6
2.4.1.1重置MFA
如用户换新设备,无法获取之前设备的MFA验证码,可以联系管理员重置用户MFA,用户可使用新设备重新扫码绑定MFA。
2.4.2、短信认证
短信认证可以在系统设置-消息通知-短信设置开启
设置后,即可在使用 MFA 的位置选择短信验证。
2.5用户登录规则
用户登录限制可以细化至用户层面。在用户管理中可以针对某一个用户设置用户登录规则。可以设置规则,限制用户在特定IP和特定时间段内登录。
例如,只允许公司IP和工作时间登录Jumpserver,可参考下方设置
2.5.1、创建允许用户登录的规则
创建一条允许用户登录的规则,指定允许登录的IP和时间范围。
2.5.2、创建拒绝登录规则
创建一条动作选择拒绝的登录规则。时段不选择代表所有时间,注意优先级数字要比上一条规则大。
2.5.3、测试登录
3、访问权限控制
3.1、资产登录复核
此功能适用于需要进行严格访问控制的场景,以确保只有经过授权的用户才能访问敏感资源,也可设置资产登录告警通知,识别用户异常行为,防止滥用访问权限。
依据安全策略,系统可以针对JumpServer登录用户,资产信息,账号信息,匹配规则四个维度对资产的登录设置动作限制。
3.2、申请资产授权
使用场景:敏感资产,没有给用户永久授权,但用户特定时间需要有该资产的维护权限,用户可主动提交工单审批,申请该资产授权,指定资产使用日期,到期后无需管理员干预删除授权,该授权规则自动失效,减少管理员授权维护成本。
审批流程可指定审批人