JumpServer部署使用

已于 2024-03-15 16:05:56 修改
阅读量1.2k 收藏 24
点赞数 7
文章标签： 运维
于 2024-03-15 11:09:28 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/weixin_60197334/article/details/136734235
版权

1. 简介

JumpServer 是全球首款开源的堡垒机，使用 GNU GPL v3.0 开源协议，是符合 4A 规范的运维安全审计系统，使用 Python 开发，遵循 Web 2.0 规范，配备了业界领先的 Web Terminal 方案，交互界面美观、用户体验好，同时采纳分布式架构，支持多机房跨区域部署以及横向扩展，无资产数量及并发限制。

跳板机和堡垒机概念

跳板机：
跳板机就是一台服务器而已，运维人员在使用管理服务器的时候，必须先连上跳板机，然后才能去操控内网中的服务器，才能登录到目标设备上进行维护和操作。跳板机他是属于内网堡垒机的范畴，是一种用于单点登陆的主机应用系统。跳板机缺点，仅仅实现服务器登陆的安全，但是没有实现对于运维开发人员行为操控和审计。使用跳板机可能会对服务器进行错误操作，很难定位到操作人。
堡垒机：
结合了跳板机的优点，并且可以记录操作人员和记录，堡垒机能够创建系统账号，该系统账号功能是属于角色区分的作用，但是也无法确认该账号的执行人。
堡垒机的作用：
由于跳板机的不足，企业需要更新，更好，更安全的技术理念去管理服务器的运维操作，需要一种能够满足角色管理，角色授权，信息资源访问控制，操作记录和审计，系统更变和维护控制等等需求，且还能生成服务器资产统计报表等功能的一个it堡垒机。
1、核心系统运维和安全审计管理。
2、过滤和拦截非打请求访问，恶意攻击，拒绝不合法命令，进行审计口监控，报警和责任追踪。
3、报警，记录，分析，处理。

架构图

1668064461613.jpg

image.png

JumpServer 的功能

  • 身份认证: 提供运维人员集中身份认证功能，使得运维人员仅需一次身份认证，就可以直接访问多台目标设备；
  • 账号管理: 包括集中管理资产账号、应用账号、自定义任务定期收集主机用户，以及定期批量改密功能；
  • 授权控制: 支持对资产、应用等进行多维度授权，包括用户、用户组、资产、资产节点、应用以及系统用户等，同时也支持对动作、时间和特权指令进行独特控制；
  • 安全审计: 包括对运维操作会话的实时阻断、对资产和应用等操作的指令审计，以及会话录像的下载和离线回放。

JumpServer 的优势

  • 开源开放: 零门槛，线上快速获取和安装；
  • 无需插件: 仅需浏览器，极致的 Web Terminal 使用体验；
  • 云端存储: 审计录像云端存储，永不丢失；
  • 多云纳管: 一套系统，同时管理不同云上面的资产；
  • 分布式部署: 轻松支持大规模并发访问；
  • 多租户管理: 一套系统，多个子公司和部门同时使用；
  • 多应用支持: 数据库，Windows远程应用，Kubernetes。

2. 安装部署

2.1 一键在线安装

快速安装 JumpServer：

  1. 最低配置：2核4G，可以访问互联网的 64 位 Linux 主机；
  2. 以 root 用户执行如下命令一键安装 JumpServer。

curl -sSL https://github.com/jumpserver/jumpserver/releases/download/v2.27.0/quick_start.sh | bash
由于是国外的地址，所以经常会下载失败，无法安装成功。
image.png

2.2 离线安装

社区版官网下载地址：
https://community.fit2cloud.com/#/products/jumpserver/downloads
官方安装文档：
https://docs.jumpserver.org/zh/master/install/setup_by_fast/#_4
安装环境：新系统，不要安装任何软件，防止端口占用。
特别注意：如果系统中有原来安装的 docker 一定要卸载删掉。

2.2.1 设置安装环境与目录

修改镜像源为阿里云源vim /etc/apt/sources.list
将阿里云镜像源加到最后

deb http://mirrors.aliyun.com/ubuntu/ bionic main restricted universe multiverse
deb http://mirrors.aliyun.com/ubuntu/ bionic-security main restricted universe multiverse
deb http://mirrors.aliyun.com/ubuntu/ bionic-updates main restricted universe multiverse
deb http://mirrors.aliyun.com/ubuntu/ bionic-proposed main restricted universe multiverse
deb http://mirrors.aliyun.com/ubuntu/ bionic-backports main restricted universe multiverse
deb-src http://mirrors.aliyun.com/ubuntu/ bionic main restricted universe multiverse
deb-src http://mirrors.aliyun.com/ubuntu/ bionic-security main restricted universe multiverse
deb-src http://mirrors.aliyun.com/ubuntu/ bionic-updates main restricted universe multiverse
deb-src http://mirrors.aliyun.com/ubuntu/ bionic-proposed main restricted universe multiverse
deb-src http://mirrors.aliyun.com/ubuntu/ bionic-backports main restricted universe multiverse

更新软件索引apt update
安装windows上传下载工具apt install lrzsz
将下载好的 JumpServer 安装包导入到 /opt/。

2.2.2 解压安装

将安装包解压 tar -xvf jumpserver-offline-installer-v2.27.0-amd64-113.tar.gz
cd 到解压的目录下。
根据需要修改配置文件模板, 如果不清楚可以跳过修改 cat config-example.txt

# 以下设置如果为空系统会自动生成随机字符串填入
## 迁移请修改 SECRET_KEY 和 BOOTSTRAP_TOKEN 为原来的设置
## 完整参数文档 https://docs.jumpserver.org/zh/master/admin-guide/env/

## Docker 镜像配置
# DOCKER_IMAGE_MIRROR=1

## 安装配置
VOLUME_DIR=/opt/jumpserver
SECRET_KEY=
BOOTSTRAP_TOKEN=
LOG_LEVEL=ERROR

##  MySQL 配置, 如果使用外置数据库, 请输入正确的 MySQL 信息
DB_HOST=mysql
DB_PORT=3306
DB_USER=root
DB_PASSWORD=
DB_NAME=jumpserver

##  Redis 配置, 如果使用外置数据库, 请输入正确的 Redis 信息
REDIS_HOST=redis
REDIS_PORT=6379
REDIS_PASSWORD=

# JumpServer 容器使用的网段, 请勿与现有的网络冲突, 根据实际情况自行修改
DOCKER_SUBNET=192.168.250.0/24

## IPV6 设置, 容器是否开启 ipv6 nat, USE_IPV6=1 表示开启, 为 0 的情况下 DOCKER_SUBNET_IPV6 定义不生效
USE_IPV6=0
DOCKER_SUBNET_IPV6=fc00:1010:1111:200::/64

## 访问配置
HTTP_PORT=80
SSH_PORT=2222
RDP_PORT=3389
MAGNUS_PORTS=30000-30100

## HTTPS 配置, 参考 https://docs.jumpserver.org/zh/master/admin-guide/proxy/ 配置
# USE_LB=1
# HTTPS_PORT=443
# SERVER_NAME=your_domain_name
# SSL_CERTIFICATE=your_cert
# SSL_CERTIFICATE_KEY=your_cert_key

## Nginx 文件上传大小
CLIENT_MAX_BODY_SIZE=4096m

## Task 配置, 是否启动 jms_celery 容器, 单节点必须开启
USE_TASK=1

# Core 配置, Session 定义, SESSION_COOKIE_AGE 表示闲置多少秒后 session 过期, SESSION_EXPIRE_AT_BROWSER_CLOSE=True 表示关闭浏览器即 session 过期
# SESSION_COOKIE_AGE=86400
SESSION_EXPIRE_AT_BROWSER_CLOSE=True

# Koko Lion XRDP 组件配置
CORE_HOST=http://core:8080
JUMPSERVER_ENABLE_FONT_SMOOTHING=True

## 终端使用宿主 HOSTNAME 标识
SERVER_HOSTNAME=${HOSTNAME}

# 额外的配置
CURRENT_VERSION=

执行 ./jmsctl.sh install

./jmsctl.sh start   # 启动

./jmsctl.sh down    # 停止

./jmsctl.sh -h      # 帮助

./jmsctl.sh uninstall   # 卸载

安装会需要一点时间，耐心等待。
1.jpg

到这里会有一些设置，主要是数据持久化、外部mysql及端口等，看不懂可以直接回车默认。
2.jpg

到这一步就是安装完成了。
3.jpg

启动 JumpServer ./jmsctl.sh start
查看端口 可以发现已经启动成功了 netstat -tpln
4.jpg

5.jpg

2.2.3 登录浏览器查看

在浏览器输入 ip ，即可看到登录界面。
默认用户名和密码都是 admin。
1668133052544.png

登录之后会提示修改密码，之后再次输入新密码即可登录成功。
1668133052588.jpg

3. 基础使用操作

3.1 MFA认证配置

Jumpserver 毕竟管理的是资产，偶尔会对临时人员创建账户授权资产，为了安全性考虑，决定在账户密码的基础之上再加一个MFA认证，用于防止密码泄露的恶意操作。
Multi-Factor Authentication (MFA) 是一种简单有效的最佳安全实践方法，它能够在用户名和密码之外再额外增加一层安全保护。启用 MFA 后，用户登录Jumpserver时，系统将要求输入用户名和密码（第一安全要素），然后要求输入来自其 MFA 设备的动态验证码（第二安全要素），双因素的安全认证将为您的账户提供更高的安全保护。
image.png

使用MFA认证后，需要在手机下载一个APP，登录时需要将手机APP中的MFA验证器打开将验证码输入才可以 。
image.png

3.2 用户管理

创建用户比较简单，这里不做过多讲解。
带星号的为必填项。
image.png

批量添加用户，需要先下载模板，之后将用户信息填入好后在导入，就可以批量创建。
1668135776578.jpg
1668135811226.jpg

3.3 资产管理

在加入服务器资产之前，先设置系统用户
系统用户分为普通用户和特权用户，特权用户是服务器中已经存在的，也就是root用户，拥有最高权限。
普通用户则是拥有一般权限的用户，可创建也可以不创建。
image.png

创建特权用户，依次填好，点击提交。
认证栏可以选择密码或密钥，密码就是服务器root的登录密码。

密钥需要在被管理连接的服务器中创建好 。
创建密钥ssh-keygen -t rsa
一直按回车，就可以得到创建好的密钥。
1671178689275.jpg

将私钥 id_rsa 传上来，就可以使用密钥登录了。
image.png

设置好系统用户之后，在资产管理中点击 --> 资产列表 --> 创建
image.png

依次填入红框中的信息后，点击提交即可
image.png

没有出现红色的叉号就代表连接成功。
image.png

之后设置资产授权，点击创建。
image.png

依次填好后，点击提交
image.png

点击右上角的 web终端 选项，连接测试。
image.png

选择要连接的服务器，点击确认。
image.png

连接成功
image.png

使用 xshell 连接测试
新建会话，填入部署 jumpserver服务的机器 ip
端口号选择 2222
image.png

这次使用 zhangsan 的用户进行登录。
image.png

登录成功
image.png

输入 p 查看拥有登录权限的服务器，输入相应的数字，回车即可登录。
image.png

3.4 网域网关

在资产管理中找到网域列表，点击创建
1668147687340.jpg

输入名称和资产，点击提交
1668147687366.jpg

点击创建好的网域，在点击网关
1668147687397.jpg

点击创建
1668147687416.jpg

输入相关信息，点击提交，即可使用堡垒机登录其他网段的服务器
1668147687440.jpg

3.5 命令过滤

命令过滤功能可以配置相应的命令，使得用户在使用这些命令时（例如rm -rf）系统拒绝执行或需要管理员审批，保障系统的安全
image.png

3.6 应用管理

在应用管理中找到数据库，点击创建，选择要创建的数据库类型。
1668148543088.jpg

填写相关信息，点击提交
1668148630972.jpg

在权限管理中找到应用授权，点击创建，选择类型
1668148711770.jpg

填写相关信息，点击提交，即可在web界面进行连接测试。
1668148751484.jpg

3.7 日志审计

管理员用户，或者审计员用户，可以在视图审计台中，查看资产服务器登录记录，命令记录，以及回放等等
1668149122132.jpg

会话审计
image.png

日志审计
image.png

3.8 LDAP认证

首先要部署好 ldap 服务，并创建好用户。
1670582111324.jpg

可以看到已经创建成功。
1670582211031.jpg

回到 jumpserver工作界面，在系统设置中找到认证设置，点击LDAP，按步骤填写相关信息。
8、9 两步默认即可。
填写完成后继续下拉，点击启用LDAP认证。
1.jpg

点击 测试连接，可以看到成功匹配到两个用户。
2.jpg

点击 提交，会出现更新成功
3.jpg

点击 测试登录，填入用户名和密码，点击确认，可以看到认证已成功。6.jpg

点击 用户导入，选择要导入的用户。
5.jpg

退出 jumpserver登录的用户，使用 ldap 用户登录。
7.jpg

登录成功。
此时使用 Xshell 也可以成功登录。
8.jpg

参考教程：
[https://www.bilibili.com/video/BV1vR4y1w7sG/?spm_id_from=pageDriver&vd_source=c54e6b4278f9203d45a1941848edc8bd](https://www.bilibili.com/video/BV1vR4y1w7sG/?spm_id_from=pageDriver&vd_source=c54e6b4278f9203d45a1941848edc8bd)
[https://blog.csdn.net/tladagio/article/details/122745157](https://blog.csdn.net/tladagio/article/details/122745157)

4. FAQ

4.1 安装报错

报错信息：
invalid CIDR address 无效的CIDR地址
1668067223134.jpg
问题：网络问题（ CIDR–无类别域间路由），原来安装的docker与 安装包里的发生冲突，造成报错。
解决：卸载掉原来安装的 docker 即可。最好使用新系统，没有安装任何软件的，因为 JumpServer会启动很多容器， 为防止端口占用。

4.2 更改密码

admin 初始密码登录提示错误
由于默认的 admin 密码错误，所以需要修改密码。
docker exec -it jms_core /bin/bash进入到 jms_core 容器内
cd appscd 到 apps 目录下
python manage.py changepassword admin更改密码
输入两次后即可。
image.png

登录成功。
image.png

4.3 登录报错

报错信息
Receive Connection closed 接收连接已关闭
Connection websocket closed 连接websocket已关闭
报错.jpg

**原因：**在Ubuntu中默认是不允许root用户远程登录的，只可以使用root权限。
解决：
所以需要修改sshd服务配置文件。
vim /etc/ssh/sshd_config
可以看到里面有很多被注释掉的配置信息。
我们需要在里面加上 PermitRootLogin yes ( 如果被注释掉的信息里有则直接取消注释便可 )
找到 PermitRootLogin

改为PermitRootLogin yes ，并将注释去掉。
退出，重启sshd systemctl restart sshd
image.png

再次尝试，发现可以正常登录了。
1670580036728.jpg

参考文档：
Ubuntu18.04开启root用户远程登录（生产环境不建议）_ubuntu18.04开启root远程登录_小道克的博客-CSDN博客
安装配置 - 安装部署 - 《JumpServer v3.5 堡垒机使用手册》 - 书栈网 · BookStack

Jason550407842
关注
  • 7
    点赞
  • 踩
  • 24
    收藏
    觉得还不错? 一键收藏
  • 1
    评论
JUmpserver使用手册
01-19
JUmpserver使用手册
python ssh库_Python第三方库paramiko SSH连接
weixin_39944375的博客
12-08 138
基于用户名和密码的sshclient方式登录：#!/usr/bin/envpython#-*-coding=utf-8-*-#说明：基于用户名和密码的sshclient方式登录importparamikotry:ssh=paramiko.SSHClient()ssh.set_missing_host_key_policy(paramiko.AutoAddPolicy())ssh.con...
【堡垒机】jumpserver安装和基本使用
最新发布
康师傅没有眼泪
07-17 1514
JumpServer 是全球首款完全开源的堡垒机, 使用 GNU GPL v2.0 开源协议, 是符合 4A 的专业运维审计系统。为互联网企业提供了认证，授权，审计，自动化运维等功能。JumpServer 使用 Python / Django 进行开发, 遵循 Web 2.0 规范, 配备了业界领先的 Web Terminal 解决方案, 交互界面美观、用户体验好。JumpServer 采纳分布式架构, 支持多机房跨区域部署, 中心节点提供 API, 各机房部署登录节点, 可横向扩展、无并发访问限制。
项目部署（一）堡垒机 jumpserver 的安装以及使用
2301_79227925的博客
11-09 1620
JumpServer是一款开源的堡垒机，可使系统的管理员和开发人员安全的连接到企业内部服务器上执行操作，并且支持大部分操作系统，是一款非常安全的远程连接工具。
Jumpserver跳板机使用手册
08-09
Jumpserver跳板机的简单使用说明
jumpserver安装及使用教程
weixin_34128411的博客
03-01 840
我自己是jumpserver的新手，以下两个链接是比较好的教程： 安装教程：http://blog.csdn.net/wanglei_storage/article/details/51001810 使用教程：http://blog.csdn.net/wanglei_storage/article/details/51002206   安装报错总结：http://www.cnblogs.com/5...
jumpserver【基本使用教程】
L596462013的博客
06-21 3985
管理用户是资产被控服务器上的root，jumpserver使用此用户可以【推送推送系统用户】【获取资产硬件信息】等，需要注意的是【jumpserver需要先与资产节点做免密，将私钥发送到资产主机】将运维组划分为（北京、山西），将开发组划分为（北京）
MySQL 学习
weixin_43152108的博客
09-09 328
MySQL 关系型数据库管理系统 1.下载安装 https://www.mysql.com/ 官网 2安装 因为我是安装的msi版 所以安装过程直接一路next
【Jumpserver】怎么使用？
winrh的博客
12-08 1225
文章转载于：https://www.cnblogs.com/xiangjun555/articles/11533214.html 一、业务背景 公司服务器：阿里云、腾讯云、公司本地服务器 公司IT职位：开发、运维、测试、DBA 公司项目： A项目、B项目 公司员工： tom、jeff ... 需求：1.管理公司所有资产 2.不同员工授权服务器权限 点击查看安装文档 二、实现过程 2.1 添加用户组 2.2 添加用户 2.3 资产管理...
JumpServer部署使用.doc
05-06
JumpServer部署使用.doc
jumpserver安装部署
01-07
"Jumpserver安装部署" Jumpserver 是一个开源的堡垒机系统，提供了资产管理、用户管理、资产授权等功能。下面是 Jumpserver 安装部署的详细过程： 一、创建 Python3.6 虚拟环境 在 Ubuntu 18.04 安装 Jumpserver ...
Jumpserver布署
11-06
Centos7.4上布署免费开源的jump堡垒机，可以管理windows资源；
部署jumpserver核心前端组件lina
11-18
为了完整使用Jumpserver，你需要确保后端也已正确部署，并配置了相应的数据库和权限。完成这些设置后，前端和后端可以协同工作，提供完整的堡垒机功能。 8. **监控和维护**： 定期检查Lina的日志，确保无错误发生...
kubernetes 部署jumpserver yaml 文件
10-27
下载后，在k8s集群执行 kubectl apply -f jumpserver.yaml 注意：pvc是自动创建，nodename 需要匹配自己集群中的node
Jumpserver 使用
Yuanshigou9的博客
03-08 978
系统用户可以绑定一些命令过滤器，一个过滤器可以定义一些规则当用户使用这个系统用户登录资产，然后执行一个命令这个命令需要被绑定过滤器的所有规则匹配，高优先级先被匹配，当一个规则匹配到了，如果规则的动作是允许，这个命令会被放行，如果规则的动作是禁止，命令将会被禁止执行，否则就匹配下一个规则，如果最后没有匹配到规则，则允许执行。这里创建的用户是登陆 jumpserver 的用户，这个用户可以登陆 jumpserver，然后通过jumpserver去连接被管理的服务器，最后登陆到被管理的服务器进行命令操作。
jumpserver入门使用手册
热门推荐
Not Found 404
09-18 2万+
文章目录jumpserver功能部署环境：部署 MySQL 服务：部署 Redis 服务部署 jumpserverjumpserver 使用用户和组管理资产管理授权管理查看被授权的用户资产分组会话管理命令过滤：官方文档： jumpserver 官方地址： http://www.jumpserver.org/ 功能 身份验证Authentication 登录认证：资源统一登录和认证、LDAP 认...
JumpServer 部署和应用
2301_78212235的博客
08-12 2444
三、配置 jumpserver 管理 Windows10 操作系统。二、配置 jumpserver 管理 Linux 操作系统。四、配置jumpserver管理windows操作系统。2、登录jumpserver初始化设置管理密码。五、置jumpserver管理mysql数据库。4、使用bob用户管理linux操作系统。1、创建管理windows资产用户。2、管理windows10操作系统。1、创建管理windows资产用户。2、创建管理windows10主机。1、创建管理linux资产用户。
JumpServer的部署
jeffery_love的博客
10-24 4040
Jumpserver的部署
项目架构解析、实验环境介绍，jumpserver跳板机概述，搭建/jumpserver跳板机测试，资产管理，文件上传下载
Djdhdhskn的博客
07-18 2125
Jumpserver是一款开源的堡垒机，可使系统的管理员和开发人员安全的连接到企业内部服务器上执行操作，并且支持大部分操作系统，是一款非常安全的远程连接工具。
jumpserver部署阿里云
07-28
您好！要在阿里云上部署JumpServer，可以按照以下步骤进行操作： 1. 首先，登录阿里云控制台并创建一个新的ECS实例。确保您选择一个与JumpServer的安装要求相符的操作系统，例如CentOS 7。 2. 在ECS实例上安装Docker和Docker Compose。您可以使用以下命令来安装它们： ``` $ curl -sSL https://get.docker.com/ | sh $ sudo systemctl start docker $ sudo systemctl enable docker $ sudo usermod -aG docker your_username $ sudo systemctl restart docker ``` 3. 接下来，您需要安装JumpServer。首先，使用以下命令将JumpServer的Docker Compose文件下载到您的ECS实例上： ``` $ wget https://github.com/jumpserver/jumpserver/raw/master/docker-compose.yml ``` 4. 打开下载的docker-compose.yml文件，并根据您的需求对其进行相应的配置。您可以设置JumpServer的访问域名、数据库密码等。 5. 配置完docker-compose.yml文件后，使用以下命令启动JumpServer容器： ``` $ docker-compose up -d ``` 6. 当容器启动完成后，您可以通过浏览器访问JumpServer。默认情况下，JumpServer的Web界面将监听在端口80上。您可以使用ECS实例的公网IP来访问。 这样，您就成功在阿里云上部署了JumpServer。记得根据实际需求配置防火墙规则和域名解析等。希望对您有帮助！如有任何疑问，请随时提问。
评论 1
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值