基於docker搭建jumpserver堡壘機

一、環境信息

　　1、jumpserver 192.168.137.129 CentOS6.4   kernel版本為 3.10.5-3.el6.x86_64

　　2、客戶機 dev01-04

　　3、docker鏡像  jiaxiangkong/jumpserver_docker:0.3.2

二、在129上准備基本環境

　　[root@localhost ~]# yum install -y epel-release

　　[root@localhost ~]# yum install -y curl

　　[root@localhost ~]# service iptables stop

　　[root@localhost ~]# 關閉selinux

　　升級內核到3.10.0以上（rpm包下載：http://pan.baidu.com/s/1cGrccQ）

　　[root@localhost ~]# uname -r
　　3.10.5-3.el6.x86_64

　　安裝docker

　　[root@localhost ~]# yum install device-mapper-event-libs

　　[root@localhost ~]# yum install -y https://get.docker.com/rpm/1.7.1/centos-6/RPMS/x86_64/docker-engine-1.7.1-1.el6.x86_64.rpm

　　[root@localhost ~]# docker -v
　　Docker version 1.7.1, build 786b29d

三、安裝mysql數據庫

　　[root@localhost ~]# yum install -y mysql

　　[root@localhost ~]# service mysqld start

　　[root@localhost ~]# mysql -e "create database jumpdb charset='utf8';"

　　[root@localhost ~]# mysql -e "grant all on jumpdb.* to 'jumpdb'@'%' identified by 'jumppasswd';"

　　[root@localhost ~]# mysql -e "flush privileges;"

　　[root@localhost ~]# mysql -e "show databases;"

四、安裝jumpserver

　　4.1拉取鏡像

　　[root@localhost ~]# docker pull jiaxiangkong/jumpserver_docker:0.3.2

　　

　　4.2、配置啟動腳本並啟動

　　

docker stop jms && docker rm jms
docker run     --name jms \
        -p 2222:22 \
        -p 8888:80 \
        -v /root/jumpserver/jms_data:/data \
        -v /etc/localtime:/etc/localtime:ro \
        -e USE_MYSQL=1 \
        -e MYSQL_ENGINE=mysql \
        -e MYSQL_HOST=192.168.137.129\
        -e MYSQL_PORT=3306 \
        -e MYSQL_USER=jumpdb \
        -e MYSQL_PASS=jumppasswd \
        -e MYSQL_NAME=jumpdb \
        -e USE_MAIL=true \
        -e MAIL_ENABLED=1 \
        -e MAIL_HOST=smtp.126.com \
        -e MAIL_PORT=25 \
        -e MAIL_USER=[e-mail] \
        -e MAIL_PASS='88888=' \
        -e MAIL_USE_TLS=False \
        -e MAIL_USE_SSL=False \
        --restart=always \
        -d jumpserver:0.3.2
docker exec -ti jms /bin/sh /data/script/input_ip.sh

　　docker容器有被刪除重啟的可能，這里將重要的數據掛載到宿主機是為了數據的保存，下次啟動時，直接用這些數據

　　（jms_data下載：http://pan.baidu.com/s/1cGrccQ）

　　

# set url ip
ipaddr=$(ip a | grep "inet.*eth0" | awk -F '/' '{print $1}' | awk '{print $2}')
sed -i "s/url =/url = ${ipaddr}/" /jumpserver/jumpserver.conf
# set group link
rm -f /etc/group
ln -s /data/group /etc/group

　　容器啟動后，將容器ip配置到jumpserver.conf中，並給group建立軟鏈接

　　[root@localhost ~]# docker ps
　　CONTAINER ID        IMAGE                                  COMMAND                CREATED             STATUS              PORTS                                        NAMES
　　020843b328ca        jiaxiangkong/jumpserver_docker:0.3.2   "/bin/sh -c /run.sh"   22 hours ago        Up 3 hours          0.0.0.0:2222->22/tcp, 0.0.0.0:8888->80/tcp   jms

　　4.3、訪問 192.168.137.129:8888，密碼默認都是admin

　　

　　

五、配置使用

 　　5.1、配置跳板機

　　宿主機配置crontab任務，定時清理無效或超時的鏈接，這里設置的是3小時清理一次

　　#宿主機創建定時任務
　　* */3 * * * docker exec -i jms /usr/bin/python /jumpserver/manage.py crontab run 9956b75140f4453ab1dc4aeb62962a74 &

　　5.2、登錄192.168.137.129:8888，admin/admin

　　創建用戶組：運維、開發

　　

　　創建用戶，選擇不發送郵件（認證有問題，異常），成功后記錄下用戶信息，包含登錄web的用戶名和密碼，跳板機密鑰密碼。

　　

　　設置客戶端默認的管理用戶密碼（添加資產時可以選擇默認管理用戶，或者自行添加）

　　

　　創建資產組：DEV

　　

　　添加資產dev01-04，選擇默認管理用戶

　　

　　設置sudo別名，別名包含的命令，能以root權限（sudo的形式）執行，如果命令中有su，說明能sudo到root用戶下

　　

　　添加系統用戶並推送到dev01-04，如果客戶端已經存在這個用戶，不會改變用戶當台，只會在$HOME/.ssh下添加跳板機生成的公鑰）

　　

　　

　　添加授權規則：跳板機A用戶（組）對應客戶機A用戶（組），一一對應授權，授權之后即可通過跳板機A用戶（組）跳轉到客戶機的A用戶（組）

　　用戶→資產，用戶→資產組，用戶組→資產，用戶組→用戶組，可以指定多個系統用戶

 　　

　　在宿主機上手動執行,解除默認賬號鎖定的狀態
        docker exec -ti jms sh /data/jms/script/open_shadow.sh kevin
        docker exec -ti jms sh /data/jms/script/open_shadow.sh poke

　　

#!/bin/sh
sed -i "s/^$1:\!/$1:/" /etc/shadow

5.2、使用跳板機

 　　根據創建用戶時，返回的用戶信息，下載密鑰。

　　配置xshell，ip為宿主機ip，端口為2222

　　

　　確認登錄，返回操作界面

　　

　　查看容器日志

　　

　　OK

 

參考鏈接：https://github.com/jumpserver/jumpserver/wiki