項目實戰15.2—企業級堡壘機 jumpserver快速入門

本文轉載自查看原文 2018-04-28 10:35 7959 Linux架構篇

本文收錄在Linux運維企業架構實戰系列

必備條件

硬件條件

① 一台安裝好 Jumpserver 系統的可用主機（堡壘機）

② 一台或多台可用的 Linux、Windows資產設備（被管理的資產）

服務條件

（1）coco服務

① 鑒於心態檢測存在延遲，也可以直接在 Jumpserver 主機上執行如下命令檢測 Coco 是否存活，Coco 服務默認使用 2222 端口:

[root@centos7-1 ~]# ss -nutlp |grep 2222

效果如下：

② 如 coco 不在線或者服務不正常，可以嘗試重啟 coco

$ cd /opt/coco

$ ./cocod restart # 請確保 jumpserver 已經正常運行。

（2）guacamole 服務

如果 guacamole 不在線或者服務不正常，可以嘗試重啟docker 容器

① $ docker ps # 查詢正在運行的容器，記錄下容器的 <CONTAINER ID> ，可以附加 -a 參數查詢所有容器

② $ docker restart 6b15fcf0e5f3 # 6b15fcf0e5f3 是通過docker ps查詢到的，請不要直接復制。

# docker 用法： docker start|stop|restart|rm|rmi <CONTAINER ID>

一、系統設置

1.1 基本設置

可以設置用戶向導url，如果不設置，jumpserver產生的鏈接都默認為www.localhost.com

1.2 配置郵件發送服務器

點擊頁面上邊的"郵件設置" ，進入郵件設置頁面：

注：

① 配置 QQ 郵箱的 SMTP 服務可參考（http://blog.csdn.net/Aaron133/article/details/78363844），僅使用只需要看完第二部分即可。

② SMTP 密碼是你打開qq郵箱SMTP 時騰訊給你發送的密碼。

③ 配置郵件服務后，點擊頁面的"測試連接"按鈕，如果配置正確，Jumpserver 會發送一條測試郵件到您的 SMTP 賬號郵箱里面：

二、創建用戶

2.1 創建 Jumpserver 用戶

① 點擊頁面左側"用戶列表"菜單下的"用戶列表"，進入用戶列表頁面。

② 點擊頁面左上角"創建用戶"按鈕，進入創建用戶頁面，填寫賬戶，角色安全，個人等信息。

其中，用戶名即 Jumpserver 登錄賬號。用戶組是用於資產授權，當某個資產對一個用戶組授權后，這個用戶組下面的所有用戶就都可以使用這個資產了。角色用於區分一個用戶是管理員還是普通用戶。

③ 成功提交用戶信息后，Jumpserver 會發送一條設置"用戶密碼"的郵件到您填寫的用戶郵箱。

④ 點擊郵件中的設置密碼鏈接，設置好密碼后，您就可以用戶名和密碼登錄 Jumpserver 了。

2.2 登錄 Jumpserver 用戶

（1）web 頁面登錄

① 用戶首次登錄 Jumpserver，會被要求完善用戶信息。

② 生成ssh 公鑰

Linux/Unix 生成 SSH 密鑰可以參考（https://www.cnblogs.com/horanly/p/6604104.html)

Windows 生成 SSH 密鑰可以參考（https://www.cnblogs.com/horanly/p/6604104.html)

查看公鑰信息

[root@centos7-1 ~]# cat .ssh/id_rsa.pub$ cat ~/.ssh/id_rsa.pub

③ 復制 SSH 公鑰，添加到 Jumpserver 中。

（2）除了使用瀏覽器登錄 Jumpserver 外，還可使用命令行登錄：

① 確保 Coco 服務正常

② 命令行登錄 Jumpserver 使用如下命令：

$ ssh -p 2222 用戶名@Jumpserver IP地址

登錄成功后界面如下:

三、創建資產

3.1 創建 Linux 資產

（1）編輯資產樹

節點不能重名，右擊節點可以添加、刪除和重命名節點，以及進行資產相關的操作。

（2）創建管理用戶

　　管理用戶是服務器的 root，或擁有 NOPASSWD: ALL sudo 權限的用戶，Jumpserver 使用該用戶來推送系統用戶、獲取資產硬件信息等。

　　注意：資產管理里面的所以信息，都是和資產有關，包括創建的所有用戶；jumpserver的root用戶密碼，只給jumpserver管理員登錄安裝了jumpserver的服務器使用。除此之外不用在任何地方；不用搞混了（我就搞混了）

　　如果使用ssh私鑰，需要先在資產上設置，這里舉個例子供參考（本例登錄資產使用root為例）

① 在資產上生成 root 賬戶的公鑰和私鑰

[root@centos7-1 ~]# ssh-keygen -t rsa # 默認會輸入公鑰和私鑰文件到 ~/.ssh 目錄

② 將公鑰輸出到文件 authorized_keys 文件，並修改權限

[root@centos7-1 ~]# cat ~/.ssh/id_rsa.pub >> ~/.ssh/authorized_keys

[root@centos7-1 ~]# chmod 400 ~/.ssh/authorized_keys

③ 打開RSA驗證相關設置

[root@centos7-1 ~]# vim /etc/ssh/sshd_config

  RSAAuthentication yes
  PubkeyAuthentication yes
  AuthorizedKeysFile     .ssh/authorized_keys

④ 重啟 ssh 服務

[root@centos7-1 ~]# systemctl restart sshd

⑤ 上傳 ~/.ssh 目錄下的 id_rsa 私鑰到 jumpserver 的管理用戶中

（3）這樣就可以使用 ssh私鑰進行管理服務器。

名稱可以按資產樹來命名。用戶名root。密碼和 SSH 私鑰必填一個。

（4）創建系統用戶

① 系統用戶是 Jumpserver 跳轉登錄資產時使用的用戶，可以理解為登錄資產用戶，如 web, sa, dba(ssh web@some-host), 而不是使用某個用戶的用戶名跳轉登錄服務器(ssh xiaoming@some-host); 簡單來說是用戶使用自己的用戶名登錄Jumpserver, Jumpserver使用系統用戶登錄資產。

② 系統用戶的 Sudo 欄填寫允許當前系統用戶免sudo密碼執行的程序路徑，如默認的/sbin/ifconfig，意思是當前系統用戶可以直接執行 ifconfig 命令或 sudo ifconfig 而不需要輸入當前系統用戶的密碼，執行其他的命令任然需要密碼，以此來達到權限控制的目的。

③ 這里簡單舉幾個例子：

Sudo /bin/su  # 當前系統用戶可以免sudo密碼執行sudo su命令（也就是可以直接切換到root，生產環境不建議這樣操作）
Sudo /usr/bin/git,/usr/bin/php,/bin/cat,/bin/more,/bin/less,/usr/bin/head,/usr/bin/tail  # 當前系統用戶可以免sudo密碼執行git php cat more less head tail
# 此處的權限應該根據使用用戶的需求匯總后定制，原則上給予最小權限即可。

④ 系統用戶創建時，如果選擇了自動推送 Jumpserver 會使用 Ansible 自動推送系統用戶到資產中，如果資產(交換機、Windows )不支持 Ansible, 請手動填寫賬號密碼。

Linux 系統協議項務必選擇 ssh 。如果用戶在系統中已存在，請去掉自動生成密鑰、自動推送勾選。