堡垒跳板机实现——整体架构http://www.yunyo ub ar.c o m/邮件群发
背景介绍
最近笔者接手公司的一项任务建造服务器的堡垒跳板机。
关于跳板机的实现其实简单版本网上一大堆甚至更有开源堡垒机Jumpserver可供选择方案很多。接下来会就我的实现方案整理出几篇文章来做概要描述。覆盖功能
正所谓兵马未动粮草先行在设计之前先整理出我们一期中堡垒机要覆盖的基本功能点
服务器统一账号权限管理包括哪些用户可以对哪些服务器进行login哪
些用户有sudo权限;
用户行为记录可在必要时回看审查;
用户登录校验审查;
现在初期的目标是将所有的l inux服务器通过堡垒机进行管理把控将来扩展下同样可以通过ssh协议对交换机、路由器、甚至是Windo ws进行管理(目前windows已经可以实现通过ssh登录不过这种方式就没有图形界面了且只能通过powers he ll来进行管理)。
架构设计
基于以上几点功能点设计架构如下
下面对这个架构图做下说明
整体分为三层总体来说
第一层校验用户是否有登录堡垒机的权限;
第二层真正为用户分配权限 同时判断经过第一层的用户是否有对目标机器操作的权限;
第三层则是真正登录/操作服务器的方式在这里我将服务器的auth+sudo权限通过ldap来进行分布式动态管理稍后会有专门的说明;
第一层
登录入口凡是有堡垒机使用权限的均可以由此入口处登录成功。
涉及主要服务 user login shell。
服务主要功能
读取用户信息判断是否有登录权限;
调用动态Toke n服务验证用户pa sswd;
调用动态toke n服务实现二维码扫码快速登录;
调用第二层中的授权服务ap i获取&判断用户的lo gin权限;
记录用户操作日志;
关联服务
动态Token服务类似于google auth每个人的动态码均不一样每分钟update一次 以此做登录堡垒机的校验 当然如果想简单单独分配一个静
态密码也可以;
第二层
授权服务管理获取登录用户当前的权限ip列表判断用户的操作是否符合预授权。
涉及主要服务授权管理服务
服务主要功能
设置用户/te a m的权限列表;
将权限数据下发至第三层的ldap集群;
提供ap i获取用户的权限list;
关联服务
C MDB 以c mdb中的服务树为基本单位做授权 同时在c mdb中判断授权的服务器对象是否有效;
OA 以oa中的用户组为基本单位做权限授予 同时基于oa来判断用户是否有效;
第三层
登录实体服务器&执行命令;
将所有目标服务器的ssh登录体系对接ldap集群通过在ldap中设置用户的pub lickey&sudo等信息来统一控制用户的登录权限&sudo权限。
目标规模使用两台服务器做ldap主从集群所有实体服务器对接此集群从而统一进行aut h验证。
未完待续
整体的架构说明就简单这样接下来对就每一层的具体实现在分别和大家分享。
IonSwitch是一家2016年成立的国外VPS主机商,部落上一次分享的信息还停留在2019年,主机商提供基于KVM架构的VPS产品,数据中心之前在美国西雅图,目前是美国爱达荷州科德阿伦(美国西北部,西接华盛顿州和俄勒冈州),为新建的自营数据中心。商家针对新数据中心运行及4号独立日提供了一个5折优惠码,优惠后最低1GB内存套餐每月仅1.75美元起。下面列出部分套餐配置信息。CPU:1core内存...
ZJI发布了一款7月份特别促销独立服务器:香港邦联四型,提供65折优惠码,限量30台(每用户限购1台),优惠后每月520元起。ZJI是原来Wordpress圈知名主机商家:维翔主机,成立于2011年,2018年9月启用新域名ZJI,提供中国香港、台湾、日本、美国独立服务器(自营/数据中心直营)租用及VDS、虚拟主机空间、域名注册等业务。下面列出这款服务器的配置信息。香港邦联四型CPU:2*E5-2...
妮妮云的来历妮妮云是 789 陈总 张总 三方共同投资建立的网站 本着“良心 便宜 稳定”的初衷 为小白用户避免被坑妮妮云的市场定位妮妮云主要代理市场稳定速度的云服务器产品,避免新手购买云服务器的时候众多商家不知道如何选择,妮妮云就帮你选择好了产品,无需承担购买风险,不用担心出现被跑路 被诈骗的情况。妮妮云的售后保证妮妮云退款 通过于合作商的友好协商,云服务器提供2天内全额退款,超过2天不退款 物...