最佳实践-JumpServer堡垒机用户角色及安全设置

目录

1、用户权限体系

1.1、组织架构

1.2、角色关系及角色划分

1.3、用户与资产账号之间的关系

1.4、资产账号权限控制

1.4.1使用场景示例

1.4.1.1创建命令组

1.4.1.2创建命令过滤规则

1.4.1.3验证

2、用户登录安全性增强

2.1、用户密码复杂度

2.2、用户登录限制

2.3、如何解锁用户

2.4、双因子认证

2.4.1、MFA双因子认证

2.4.1.1重置MFA

2.4.2、短信认证

2.5用户登录规则

2.5.1、创建允许用户登录的规则

2.5.2、创建拒绝登录规则

2.5.3、测试登录

3、访问权限控制

3.1、资产登录复核

3.2、申请资产授权

---

1、用户权限体系

1.1、组织架构

在Jumpserver企业版本中提供了多组织管理能力，每个组织可以认为是个独立的组织团队，每个组织团队具备独立的用户管理和资产管理能力。组织内可以设置组织管理员，组织用户，组织审计员等不通角色人员，可以创建组织自身的资产，配置不同资产权限。

如下图：

以一个大型集团为例，这个大型企业在IT管理上分为总部和上海，深圳分支机构，每个分支机构有独立的资产，用户。从集团总部来说，可以通过JumpServer 多组织的能力实现总部和分支机构统一管理，如下图：

注意：JumpServer 多组织的本质是数据逻辑隔离，所以不能解决不同区域或者机房的网络连通性问题，需要结合JumpServer的分布式部署能力解决多组织下的区域网络问题。

1.2、角色关系及角色划分

Jumpserver默认自带系统管理员，系统审计员，用户等多种角色，每一种角色管理的权限也不一样。作为管理员，可以根据实际需求自定义用户角色，并对用户角色进行自定义编辑。

• 管理员：管理员是指拥有堡垒机所有权限的用户。作为管理员需要完成工单的审批、用户授权申请、用户权限变更、用户锁定等行为操作，同时针对员工职位的变化对员工的角色和权限做出相应的权限变更。

• 审计员：审计员可以查看当前用户的操作行为、用户权限、用户信息、文件传输记录、用户操作日志等信息。当用户触发危险命令时，作为审计员可以对用户操作进⾏实时监控，发现违规操作，⽴即中止用户操作行为。

• 普通用户：普通用户拥有正常操作和资产登录的权限，但不能对配置进行修改。

• 自定义用户角色：

1.3、用户与资产账号之间的关系

在JumpServer中，用户对资产的操作权限是由授权规则中授权的资产账号决定的。一般会通过资产账号来实现业务权限的区分，分为可读账号，可写账号和高权限账号三大类。

然后根据用户的角色和需求来授权对应的资产账号，用户可以通过授权的资产账号登录授权的资产，其关系如下：

1.4、资产账号权限控制

资产账号的权限也是至关重要的，其往往决定了用户对服务器的实际操作权限。

通过jumpserver的命令过滤功能，可以对执行的命令进行过滤，过滤高危命令，降低操作风险，当匹配到命令后做允许，审批，拒绝和通知的操作。

一个命令过滤可以绑定多个命令组。当绑定的用户用资产绑定账号去连接绑定的资产执行命令时，这个命令需要被绑定过滤器的所有命令组进行匹配，高优先级先被匹配。

1.4.1使用场景示例

某个用户对该组资产只能执行查看类操作（ls，pwd，cd，cat，less，more），其余命令都禁止

1.4.1.1创建命令组

命令组可以绑定到命令过滤器中，命令组中可以创建两种命令组，分别是正则表达式和命令。

命令组1：拒绝所有

命令组2：允许执行的命令

1.4.1.2创建命令过滤规则

创建两条命令过滤规则，拒绝的优先级要大于允许的命令过滤规则，即数字越小优先级越高。

1.4.1.3验证

2、用户登录安全性增强

2.1、用户密码复杂度

2.2、用户登录限制

用户登录限制可以根据用户或IP或用户的IP进行限制，根据用户设置的用户登录Jumpserver限制，用户登录超过错误次数后，多长时间才能重新登录。

参数说明：

• 限制用户登录失败次数：用户输错密码最多登录失败次数，之后将会被锁定一段时间。
• 禁止用户登录间隔：用户锁定的时间。
• 限制IP登录失败次数：某IP最多登录失败次数，之后将会被禁止登录一段时间。
• 禁止IP登录间隔：IP锁定的时间。
• IP登录白名单：允许登录堡垒机的IP。
• IP登录黑名单：不允许登录堡垒机的IP。
• 已锁定的IP：超过设置的登录失败次数后被锁定的IP。
• 仅一台设备登录：仅允许用户在一台设备上登录。下个设备登录，上一个登录设备会强制下线。
• 仅已存在用户登录：仅允许存在于JumpServer用户列表中的用户登录。
• 仅从用户来源登录：仅允许用户从用户列表中列出的来源处登录。

2.3、如何解锁用户

如用户被锁定，也可联系管理员手动解锁。

2.4、双因子认证

用户登录限制可以启动双因子认证，更安全的登录 JumpServer。目前JumpAerver支持的双因子认证方式有两种：MFA双因子认证和短信认证。

2.4.1、MFA双因子认证

在系统设置-安全设置-认证安全中设置全局启动MFA认证以及第三方登录用户实现MFA认证

不开启MFA全局MFA的情况下，在创建用户时，可选择针对单个用户开启MFA双因子认证。

注：全局开启 MFA 规则高于单个用户关闭 MFA 规则。

用户首次登录时，绑定MFA认证，第二次登录即可直接使用MFA进行登录验证。

JumpServer 常用的 MFA 工具可参考：https://kb.fit2cloud.com/?p=6

2.4.1.1重置MFA

如用户换新设备，无法获取之前设备的MFA验证码，可以联系管理员重置用户MFA，用户可使用新设备重新扫码绑定MFA。

2.4.2、短信认证

短信认证可以在系统设置-消息通知-短信设置开启

设置后，即可在使用 MFA 的位置选择短信验证。

2.5用户登录规则

用户登录限制可以细化至用户层面。在用户管理中可以针对某一个用户设置用户登录规则。可以设置规则，限制用户在特定IP和特定时间段内登录。

例如，只允许公司IP和工作时间登录Jumpserver，可参考下方设置

2.5.1、创建允许用户登录的规则

创建一条允许用户登录的规则，指定允许登录的IP和时间范围。

2.5.2、创建拒绝登录规则

创建一条动作选择拒绝的登录规则。时段不选择代表所有时间，注意优先级数字要比上一条规则大。

2.5.3、测试登录

3、访问权限控制

3.1、资产登录复核

此功能适用于需要进行严格访问控制的场景，以确保只有经过授权的用户才能访问敏感资源，也可设置资产登录告警通知，识别用户异常行为，防止滥用访问权限。

依据安全策略，系统可以针对JumpServer登录用户，资产信息，账号信息，匹配规则四个维度对资产的登录设置动作限制。

3.2、申请资产授权

使用场景：敏感资产，没有给用户永久授权，但用户特定时间需要有该资产的维护权限，用户可主动提交工单审批，申请该资产授权，指定资产使用日期，到期后无需管理员干预删除授权，该授权规则自动失效，减少管理员授权维护成本。

审批流程可指定审批人