飞致云旗下的jumpserver开源堡垒机的部署学习

最新推荐文章于 2024-05-29 14:23:25 发布
最新推荐文章于 2024-05-29 14:23:25 发布
阅读量1.1k 收藏 8
点赞数 1
分类专栏： 学习 文章标签： 学习
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/weixin_53391875/article/details/131408447
版权

硬件配置： 2核，4G内存，50G磁盘（最低配置要求）

 

准备三台可以访问互联网的 64 位 Linux 主机 一个master 两个node（node节点内存可适当的放宽）#可以集群配置

基本配置： 最小化配置，ssh ，ntp 

|  jumpserver-master   |   192.168.197.213   | 主管理节点（运维使用） |
| :------------------: | :-----------------: | :--------------------: |
| **jumpserver-node1** | **192.168.197.214** | **被管理节点（开发）** |
| **jumpserver-node2** | **192.168.197.215** | **被管理节点（测试）** |

堡垒机的部署分为两种方式：

在线安装

curl -sSL https://resource.fit2cloud.com/jumpserver/jumpserver/releases/latest/download/quick_start.sh | bash

离线安装

我们以v3版本来进行：

cd /opt
wget https://resource.fit2cloud.com/jumpserver/installer/releases/download/v3.4.1/jumpserver-installer-v3.4.1.tar.gz
tar -xf jumpserver-offline-installer-v3.4.1-amd64.tar.gz
cd jumpserver-offline-installer-v3.4.1-amd64

# 根据需要修改配置文件模板, 如果不清楚用途可以跳过修改
cat config-example.txt   #可以尝试直接执行脚本的方式自动的进行配置
# JumpServer configuration file example.
#
# 如果不了解用途可以跳过修改此配置文件, 系统会自动填入
# 完整参数文档 https://docs.jumpserver.org/zh/master/admin-guide/env/
​
################################## 镜像配置 ###################################
#
# 国内连接 docker.io 会超时或下载速度较慢, 开启此选项使用华为云镜像加速
# 取代旧版本 DOCKER_IMAGE_PREFIX
#
# DOCKER_IMAGE_MIRROR=1
​
################################## 安装配置 ###################################
#
# JumpServer 数据库持久化目录, 默认情况下录像、任务日志都在此目录
# 请根据实际情况修改, 升级时备份的数据库文件(.sql)和配置文件也会保存到该目录
#
VOLUME_DIR=/data/jumpserver
​
# 加密密钥, 迁移请保证 SECRET_KEY 与旧环境一致, 请勿使用特殊字符串
# (*) Warning: Keep this value secret.
# (*) 勿向任何人泄露 SECRET_KEY
#
SECRET_KEY=
​
# 组件向 core 注册使用的 token, 迁移请保持 BOOTSTRAP_TOKEN 与旧环境一致,
# 请勿使用特殊字符串
# (*) Warning: Keep this value secret.
# (*) 勿向任何人泄露 BOOTSTRAP_TOKEN
#
BOOTSTRAP_TOKEN=
​
# 日志等级 INFO, WARN, ERROR
#
LOG_LEVEL=ERROR
​
# JumpServer 容器使用的网段, 请勿与现有的网络冲突, 根据实际情况自行修改
#
DOCKER_SUBNET=192.168.250.0/24
​
# ipv6 nat, 正常情况下无需开启
# 如果宿主不支持 ipv6 开启此选项将会导致无法获取真实的客户端 ip 地址
#
USE_IPV6=0
DOCKER_SUBNET_IPV6=fc00:1010:1111:200::/64
​
################################# MySQL 配置 ##################################
# 外置 MySQL 需要输入正确的 MySQL 信息, 内置 MySQL 系统会自动处理
#
DB_HOST=mysql
DB_PORT=3306
DB_USER=root
DB_PASSWORD=
DB_NAME=jumpserver
​
# 如果外置 MySQL 需要开启 TLS/SSL 连接, 参考 https://docs.jumpserver.org/zh/master/install/install_security/#ssl
#
# DB_USE_SSL=True
​
################################# Redis 配置 ##################################
# 外置 Redis 需要请输入正确的 Redis 信息, 内置 Redis 系统会自动处理
#
REDIS_HOST=redis
REDIS_PORT=6379
REDIS_PASSWORD=
​
# 如果使用外置 Redis Sentinel, 请手动填写下面内容
#
# REDIS_SENTINEL_HOSTS=mymaster/192.168.100.1:26379,192.168.100.1:26380,192.168.100.1:26381
# REDIS_SENTINEL_PASSWORD=your_sentinel_password
# REDIS_PASSWORD=your_redis_password
# REDIS_SENTINEL_SOCKET_TIMEOUT=5
​
# 如果外置 Redis 需要开启 TLS/SSL 连接, 参考 https://docs.jumpserver.org/zh/master/install/install_security/#redis-ssl
#
# REDIS_USE_SSL=True
​
################################## 访问配置 ###################################
# 对外提供服务端口, 如果与现有服务冲突请自行修改
#
HTTP_PORT=80
SSH_PORT=2222
MAGNUS_MYSQL_PORT=33061
MAGNUS_MARIADB_PORT=33062
MAGNUS_REDIS_PORT=63790
​
################################# HTTPS 配置 #################################
# 参考 https://docs.jumpserver.org/zh/master/admin-guide/proxy/ 配置
#
# HTTPS_PORT=443
# SERVER_NAME=your_domain_name
# SSL_CERTIFICATE=your_cert
# SSL_CERTIFICATE_KEY=your_cert_key
#
​
# Nginx 文件上传下载大小限制
#
CLIENT_MAX_BODY_SIZE=4096m
​
################################## 组件配置 ###################################
# 组件注册使用, 默认情况下向 core 容器注册, 集群环境需要修改为集群 vip 地址
#
CORE_HOST=http://core:8080
PERIOD_TASK_ENABLED=True
​
# Core Session 定义,
# SESSION_COOKIE_AGE 表示闲置多少秒后 session 过期,
# SESSION_EXPIRE_AT_BROWSER_CLOSE=true 表示关闭浏览器即 session 过期
#
# SESSION_COOKIE_AGE=86400
SESSION_EXPIRE_AT_BROWSER_CLOSE=True
​
# Lion 开启字体平滑, 优化体验
#
JUMPSERVER_ENABLE_FONT_SMOOTHING=True
​
################################# XPack 配置 #################################
# XPack 包, 开源版本设置无效
#
RDP_PORT=3389
MAGNUS_POSTGRESQL_PORT=54320
MAGNUS_ORACLE_PORTS=30000-30030
​
################################## 其他配置 ##################################
# 终端使用宿主 HOSTNAME 标识, 首次安装自动生成
#
SERVER_HOSTNAME=${HOSTNAME}
​
# 当前运行的 JumpServer 版本号, 安装和升级完成后自动生成
#
CURRENT_VERSION=
# 安装
./jmsctl.sh install
​
# 启动
./jmsctl.sh start
cd jumpserver-offline-release-v3.4.1-amd64
​
# 启动
./jmsctl.sh start
​
# 停止
./jmsctl.sh down
​
# 卸载
./jmsctl.sh uninstall
​
# 帮助
./jmsctl.sh -h

会拉取镜像，这个时间会比较长

#可以的话在拉取完成之后为了方便下次的部署，将相关的镜像全部都打包在一个tar文件中，并进行堡垒机的部署操作

注意：在使用离线安装初始化部署的时候会只启动redis和mysql等服务，并不会将所有的服务都启动起来，需要我们手动启动bash jmsctl.sh start

访问：

地址: http://服务器IP地址:<服务运行端口>
用户名: admin
密码: admin

 🈂️注意：如果说安装完成之后，或是之前想要修改一些堡垒机的参数比如说是密码，账号，端口号，挂载路径（默认是在/data/jumpserver目录)

因为我们会存储一些用户操作的录像所有需要这个目录搭载到的地方越大越好）等等可以在cat /opt/jumpserver/config/config.txt文件中进行修改，修改完成后./jmsctl.sh stop/restart

jumpserver使用

首先我们部署完成并登录堡垒机之后的第一件事，就在基本设置中设置一下当前站点URL，强烈推荐域名的方式设置URL

🈂️ 因为以后在进行资产管理给其他的用户创建账号的时候，会往对方邮箱里面发送一个当前站点的url，这个时候如果基本设置中的url是localhost的话其他人是登录不上去的

 

配置堡垒机邮箱

以网易邮箱为例子：

首先注册一个属于自己的邮箱账号，开启POP3/SMTP服务，获取授权密码

 

邮件服务器设置

 

  

用户类型以及系统用户的使用

权限划分

| 部门 | 部门分组  |  平台登录用户   | 系统用户 |
| :--: | :-------: | :-------------: | :------: |
| 研发 | dev1 dev2 | zmxdev1 zmxdev2 |   dev    |
| 测试 |   test    |     zmxtest     |   test   |
| 运维 |    ops    |     zmxops      |   ops    |

登录jumpserver用户跟系统用户是一致的在v2版本中无法实现

🈂️ 注意：平台登录用户与系统用户是不一致的，但在v3版本中是可以实现这样的一个方式，但是缺点是增加的运维的时间复杂

jumpserver支持三种登录用户
​
1. 普通用户
2. 系统审计员
3. 系统管理员

新建用户组（部门分组）

（依据上面的权限划分）

 

 

创建平台用户并加入到对应的部门分组中

 

 这边因为我们没有可以用的邮箱，所有我们配置一下密码先 🈂️ 其他内一栏信息可以不填写

点击保存填写

依据权限划分将所需要的用户创建完整

补充：这里我们不用MFA（第三方登录用户），是因为如果启用的话，要使用谷歌的工具去扫码，获取动态密码

在创建最后一个运维ops用户的时候，我们将创建用户的邮箱设置成真实可用的邮箱进行一个验证操作 ！

 验证成功！

 点击设置密码，进行重置： 🈂️ 重置完成后登录查看

 

 最后的系统管理员的用户列表：

添加资产

在资产管理--》资产列表---》资产树中创建各个部门节点

 

 让后在各个资产树种资产节点里面添加需要管理的资产

 

添加资产

（那在v2版本的时候添加资产这边会有一个特权用户的设置 ，我们需要创建一个用于root权限的特权用户来帮助我们第一次添加资产之后，对资产进行一个初始化机器的时候需要用到，为后面的系统用户的推送提供依据）

 其他的资产节点，依据集群配置进行补充完成！

🈂️ 注意：目前还不能登录我们添加的资产，因为我们没有给对应的资产设置系统用户和授权

此时，登录运维ops用户，还没有分配任何的资产，是因为我们没有为其进行授权

创建资产授权规则

（使我们登录任何用户都有对应管理的资产）

 

 点击提交

再次登录ops用户就可以看到授权管理的资产

依次将其他部门的资产补充完整！！！

此时，虽然登录ops用户可以看到我们为其授权管理的资产，但是我们不能对资产进行登录操作

是因为我们没有为其创建系统用户

 这里的 系统用户是指我们在linux服务器中使用到的系统用户~

首先以ops运维为例子：在对应的资产里面创建一个用户并修改密码 （其他的资产可以依次进行）
[root@jumpserver-master ~]# useradd zmxops
[root@jumpserver-master ~]# echo "000000" |passwd --stdin zmxops
Changing password for user zmxops.
passwd: all authentication tokens updated successfully.

 点击添加

再次登录ops之后就可以看到系统用户了，也可以正常连接

🈂️ 如果是v2版本的话，还需要再授权上面添加新添加的系统用户才可以，v3版本可以自动识别all

 

 除了上面的一些操作，我们还需要给一些指定的资产赋予他们特权用户，帮助完成一些root权限的使用，并借助特权用户完成系统账号对对应服务的推送，让我们不需要通过跳板机进入资产内部创建系统用户

那麽怎么给资产添加一个特权用户呢？

在v3版本上：

 点击创建！

 

 特权用户的使用：

 

 

 其他的资产也可以直接使用，方便了很多

🈂️ 上面创建的dev特权用户只是一个演示作用，建议直接使用root用户进行添加，或者在每个资产的初始阶段，创建并赋予一些root的权限

添加特权用户

让后我们可以在jumpserver-wed页面直接在资产上面创建系统用户，让后借助于特权用户通过playbook的方式进行推送创建对应的用户和密码

首先以我们创建并添加到jumpserver-master的特权账号root为例：

进入对应的资产---》账号列表----》root 进行测试账号可连接性

 🈂️ 也建议在账号模板创建的特权用户，被资产添加之后就行一个连通性测试

让后创建一个随机名字的系统用户进行测试：

 

 让后进行账号推送：

 

 

 

 

资产的会话记录以及命令录像都查审计台查看

注意🈂️ 磁盘一定要大不然，审计记录就无法保存，也就无法看到结果

如果我们不想让admin管理员用户也操作审计的话，可以在用户列表中创建一个专属用户，让后将系统角色进行修改

川水往事～
关注
  • 1
    点赞
  • 踩
  • 8
    收藏
    觉得还不错? 一键收藏
  • 1
    评论
专栏目录
kubernetes离线部署jumpserver开源堡垒机2
04-23
堡垒机介绍可以看官方网站：https://kuboard.cn/ 此文档只是部署 前提条件：此文档两个部署在192.168.17.80，可以通过查找更改成自己的。 1、mysql 5.7 mariadb 10.2 2、redis 5 下载镜像
## Jumpserver开源堡垒机
09-21
## Jumpserver开源堡垒机 ###Description: Jumpserver官方版是一款由python编写开源的跳板机(堡垒机)系统，实现了跳板机应有的功能。基于ssh协议来管理，客户端无需安装agent。 Jumpserver开源堡垒机支持常见系统:1、redhat centos2、debian3、suse ubuntu4、freebsd5、其他ssh协议硬件设备 特点：完全开源，GPL授权Python编写，容易再次开发实现了跳板机基本功能，认证、授
堡垒机初体验——JumpServer
Romanticn_chu的博客
02-15 1319
堡垒机初体验
2024年Linux CentOS 环境下安装JDK的三种方法(2)，2024年最新农民工看完都学会了
2401_83947434的博客
05-03 892
为了做好运维面试路上的助攻手，特整理了上百道，让你面试不慌心不跳，高薪offer怀里抱！这次整理的面试题，本份面试集锦涵盖了1、什么是运维?2、在工作中，运维人员经常需要跟运营人员打交道，请问运营人员是做什么工作的?3、现在给你三百台服务器，你怎么对他们进行管理?4、简述raid0 raid1raid5二种工作模式的工作原理及特点5、LVS、Nginx、HAproxy有什么区别?工作中你怎么选择?6、Squid、Varinsh和Nginx有什么区别，工作中你怎么选择?
JumpServer开源堡垒机在线安装教程
系统运维博客，分享实用的运维技巧、经验和解决方案。致力于帮助读者解决系统运维中的各种问题，提升运维效率。欢迎关注，共同学习进步！
12-22 505
JumpServer是一款很好用的开源堡垒机，安装和使用都非常简单。
国人开源的堡垒机Jumpserver.zip
07-18
欢迎使用JumpserverJumpserver 是一款由python编写开源的跳板机(堡垒机)系统，实现了跳板机应有的功能。基于ssh协议来管理，客户端无需安装agent。 支持常见系统: redhat centos debian suse ubuntu freebsd 其他ssh协议硬件设备 截图： 首页 WebTerminal: Web批量执行命令 录像回放 跳转和批量命令 命令统计 文档访问wiki快速安装名词解释快速开始特点 完全开源，GPL授权 Python编写，容易再次开发 实现了跳板机基本功能，认证、授权、审计 集成了Ansible，批量命令等 支持WebTerminal Bootstrap编写，界面美观 自动收集硬件信息 录像回放 命令搜索 实时监控 批量上传下载 其它Jumpserver官网 论坛 demo站点 交流群: 399218702团队 标签：堡垒机
开源堡垒机Jumpserver
959
09-05 544
文章目录1 Jumpserver介绍2 Jumpserver部署2.1 关闭防火墙与SELINUX2.2 部署环境2.3 下载组件2.4 处理配置文件2.5 启动Jumpserver2.6 配置开机自启 1 Jumpserver介绍 Jumpserver 是全球首款完全开源的堡垒机，使用 GNU GPL v2.0 开源协议，是符合 4A 的运维安全审计系统。 Jumpserver 使用 Pytho...
JumpServer 开源堡垒机 快速部署
WEN_BK的博客
06-30 448
环境要求： 全新安装的 Centos7 (7.x) 需要连接 互联网 使用 root 用户执行 一，下载所需要的文件 [root@localhost ~]# cd /opt [root@localhost opt]# yum -y install wget git [root@localhost opt]# git clone --depth=1 https://github.com/jumpserver/setuptools.git [root@localhost opt]# cd setuptools/
jumpserver开源堡垒机
此后如竟没有炬火，我便是唯一的光。
04-28 3947
jumpserver开源堡垒机jumpserver简介 jumpserver简介
分享一款开源堡垒机-jumpserver
热门推荐
KH_FC的博客
01-07 1万+
JumpServer是由FIT2CLOUD（飞致远）公司旗下一款开源的堡垒机，这款也是全球首款开源的堡垒机，使用 GNU GPL v2.0 开源协议，是符合 4A 规范的运维安全审计系统，使用 Python 开发，遵循 Web 2.0 规范，配备了业界领先的 Web Terminal 方案，交互界面美观、用户体验好，同时采纳分布式架构，支持多机房跨区域部署以及横向扩展，无资产数量及并发限制。这款开源堡垒机不但提供了社区开源版本并且还提供了企业使用的企业版本，企业版功能更加强大。 飞致远官网地址：https:
kubernetes离线部署jumpserver开源堡垒机
04-23
堡垒机介绍可以看官方网站：https://kuboard.cn/ 此文档只是部署 前提条件：此文档两个部署在192.168.17.80，可以通过查找更改成自己的。 1、mysql 5.7 mariadb 10.2 2、redis 5 下载镜像
JumpServer开源堡垒机V2.21.4-amd64
06-09
堡垒机，即在一个特定的 网络环境 下，为了保障网络和数据不受来自外部和内部用户的入侵和破坏，而运用各种技术手段监控和记录运维人员对网络内的服务器、网络设备、安全设备、数据库等设备的操作行为，以便集中 ...
kubernetes离线部署jumpserver开源堡垒机3
04-23
堡垒机介绍可以看官方网站：https://kuboard.cn/ 此文档只是部署 前提条件：此文档两个部署在192.168.17.80，可以通过查找更改成自己的。 1、mysql 5.7 mariadb 10.2 2、redis 5 下载镜像
飞致云开源社区月度动态报告（2023年12月）
FIT2CLOUD飞致云的博客
12-29 927
为数字经济时代创造好软件。
飞致云开源社区月度动态报告（2024年4月）
FIT2CLOUD飞致云的博客
05-03 791
为数字经济时代创造好软件。
Web终端连接资产支持重新连接等操作，支持创建授权时自动推送账号，JumpServer堡垒机v3.1.0发布
FIT2CLOUD飞致云的博客
03-20 596
用户登录认证新增支持飞书国际版（Lark）。
Jumpserver 堡垒机
MKC__jiaoq的博客
01-10 4329
一、Jumpserver简介 跳板机概述 跳板机就是一台服务器，开发或运维人员在维护过程中首先要统一登录到这台服务器，然后再登录到目标设备进行维护和操作 跳板机缺点：没有实现对运维人员操作行为的控制和审计，使用跳板机的过程中还是会出现误操作、违规操作导致的事故，一旦出现操作事故很难快速定位到原因和责任人 堡垒机概述 堡垒机，即在一个特定的网络环境下，为了保障网络和数据不受来自外部和内部用户的入侵和破坏，而运用各种技术手段实时收集和监控网络环境中每一个组成部分的系统状态、安全事件、网络活动
jumpserver堡垒机的离线部署
weixin_65562581的博客
06-29 446
离线部署jumpserver
强化学习——学习笔记3
最新发布
qq_52302919的博客
05-29 1406
先上图：在上述流程图中所说的Q表即为下表：假设我们在玩一个小游戏，该游戏有上下左右不同的动作，同时也会有不同的状态，比如游戏结束等。Q表也可以称为状态-价值函数QsaQ(s,a)Qsa：这个表格的每一行代表每个 state上述例子中的游戏结束等，每一列代表每个 action上述例子中的上下左右，表格的数值就是在各个 state 下采取各个 action 时能够获得的最大的未来期望奖励。
java 连接JumpServer 开源堡垒机
05-25
要连接JumpServer开源堡垒机，你需要使用Java SSH库来实现SSH连接。在Java中，有很多SSH库可供选择，例如JSch和SSHJ。 以下是使用SSHJ库连接JumpServer开源堡垒机的步骤： 1. 导入SSHJ库 你需要将SSHJ库添加到你的Java项目中。你可以从Maven Central Repository下载库的jar文件，或者使用Maven或Gradle等构建工具引入该库。 2. 创建SSH客户端 使用SSHJ库创建一个SSH客户端对象。这个对象将用于建立与远程服务器的SSH连接。 ```java SSHClient ssh = new SSHClient(); ssh.loadKnownHosts(); // 加载已知主机 ssh.connect("jumpserver-hostname"); // 连接JumpServer ``` 3. 认证登录JumpServer 在连接到JumpServer之前，你需要提供JumpServer的用户名和密码进行认证。可以使用以下代码进行身份验证： ```java ssh.authPassword("jumpserver-username", "jumpserver-password"); ``` 4. 建立到目标主机的SSH连接 使用SSHJ库建立到目标主机的SSH连接。你需要提供目标主机的IP地址、端口号、用户名和密码进行认证。 ```java SSHTarget target = new SSHTarget("target-hostname", "target-username", "target-password"); Session session = ssh.startSession(); session.allocateDefaultPTY(); // 分配默认的伪终端 session.authPassword(target.getUser(), target.getPassword()); // 认证登录目标主机 session.openForwardedTcpipChannel(target.getHost(), target.getPort()); // 建立SSH通道 ``` 5. 关闭SSH连接 最后，你需要关闭SSH连接，包括与JumpServer和目标主机之间的连接。 ```java session.close(); // 关闭与目标主机的连接 ssh.disconnect(); // 关闭与JumpServer的连接 ``` 以上是使用SSHJ库连接JumpServer开源堡垒机的基本步骤。你可以使用类似的代码在Java中连接其他SSH服务器。

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论 1
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值