⼴受欢迎的开源堡垒机 2023 年 10 ⽉ 1 2 企业为什么需要堡垒机？ JumpServer 堡垒机的优势 JumpServer 堡垒机企业版 JumpServer 案例研究（江苏农信、东⽅明珠、⼩红书） 4 JumpServer 堡垒机⼀体机及信创⽅案 3 5 为什么要使⽤堡垒机？ - 以更安全的⽅式管控和登录各种类型的资产 - 系统管理员 外包⼈员 普通⽤户 临时访客 临时访客 运维资产集 服务器 ⽹络设备 数据库 安全设备 事前授权 事中监察 事后审计 管理者期望 堡垒机的 4A 能⼒ 堡垒机 身份鉴别 Authentication 授权控制 Authorization 安全审计 Auditing 账号管理 Accounting 堡垒机需要具备的四个核⼼能⼒ 身份鉴别 账号管理 授权控制 安全审计 - 运维安全审计的 4A 规范 - Authentication Accounting Authorization Auditing 追溯的保障和事故 分析的依据 防⽌身份冒⽤和复⽤ ⼈员和资产的管理 防⽌内部误操作 和权限滥⽤ 等级保护推动堡垒机发展 1994 1999 2008 2016 2019 《中华⼈⺠共和国计算机信息系统安 全保护条例》国务院 147 号令发布， ⾸次提出信息系统要实⾏等级保护， 并且确定了等级保护的职责单位。

⼴受欢迎的开源堡垒机 2023 年 12 ⽉ 1 2 企业为什么需要堡垒机？ JumpServer 堡垒机的优势 JumpServer 堡垒机企业版 JumpServer 公开案例研究 4 JumpServer ⼀体机及信创⽅案 3 5 ⽬ 录 各种类型 的 IT 资产 为什么要使⽤堡垒机？ - 以更安全、更⾼效的⽅式管控和登录各种类型的资产 - 系统管理员 普通⽤户 服务器 ⽹络设备 数据库 Kubernetes 事前授权 事中监察 事后审计 管理者期望 堡垒机的 4A 能⼒ 身份鉴别 Authentication 授权控制 Authorization 安全审计 Auditing 账号管理 Accounting 远程应⽤ 堡垒机 堡垒机需要具备的四个核⼼能⼒ 身份鉴别 账号管理 授权控制 安全审计 - 运维安全审计的 4A 规范 Accounting Authorization Auditing 追溯保障、事故分 析的依据 防⽌ 身份冒⽤和复⽤ ⼈员账号和资产账 号的统⼀⾼效管理 防⽌ 内部误操作和权限滥⽤ 等级保护推动堡垒机发展 1994 1999 2008 2016 2019 《中华⼈⺠共和国计算机信息系统安 全保护条例》国务院 147 号令发布， ⾸次提出信息系统要实⾏等级保护， 并且确定了等级保护的职责单位。

实例）进⾏出站 Internet 连接的 NAT Gateway。 • (*) 在公有⼦网中，Auto Scaling 组中的允许 SSH 访问的堡垒主机。默认情况 下将 部署一台堡垒主机，此数目可配置，最多启动 4 台。通过堡垒主机访 问私有⼦网 中的 RocketMQ 相关节点。 • AMAZON Identity and Access Management (IAM) 实例⻆⾊，具有细化控制的 • 确保 DHCP 选项中开启了域名选项配置集。 • 确保私有⼦网的路由表中存在 NAT 网关或 NAT 实例的路由，使得其拥有出 站 Internet 连接。 • 您必须创建堡垒主机及其关联的安全组以实现⼊站 SSH 访问 快速部署 本文的步骤主要针对在运⾏在由西云数据运营的 AMAZON WEB SERVICES（宁夏）区域 或由光环新网运营的 AMAZON WEB 中的公有⼦网的 CIDR 块。 10 Allowed Bastion External Access CIDR RemoteAccessCIDR 必填项 允许对堡垒主机进⾏外部 SSH 访 问的 CIDR IP 范围。我们建议您 将此值设置为受信任的 IP 范 围。例如，您可能希望仅对公司 网 络 IP 段授予访问权限。如果 允许所有的外部主机访问，可以

实例）进⾏出站 Internet 连接的 NAT Gateway。 • (*) 在公有⼦⽹中，Auto Scaling 组中的允许 SSH 访问的堡垒主机。默认 情况下将 部署⼀台堡垒主机，此数⽬可配置，最多启动 4 台。通过堡垒主 机访问私有⼦⽹ 中的 RocketMQ 相关节点。 • AMAZON Identity and Access Management (IAM) 实例⻆⾊，具有细 • 确保 DHCP 选项中开启了域名选项配置集。 • 确保私有⼦⽹的路由表中存在 NAT ⽹关或 NAT 实例的路由，使得其拥有 出站 Internet 连接。 • 您必须创建堡垒主机及其关联的安全组以实现⼊站 SSH 访问 快速部署 本文的步骤主要针对在运行在由西云数据运营的亚马逊云科技（宁夏）区域或由光环 新网运营的亚马逊云科技（北京）区域中部署该解决方案，您可以使用以下链接快速 中的公有⼦⽹的 CIDR 块。 10 Allowed Bastion External Access CIDR RemoteAccessCIDR 必填项 允许对堡垒主机进⾏外部 SSH 访问的 CIDR IP 范围。我们建 议您 将此值设置为受信任的 IP 范围。例如，您可能希望仅对公 司⽹ 络 IP 段授予访问权限。如 果允许所有的外部主机访问，可

数据分析可视化、内容管理，其旗舰产品包括：MeterSphere 开源持续测试平台、 KubeOperator 开源容器平台、CloudExplorer 多云管理平台、JumpServer 开源堡垒机、 DataEase 开源数据可视化分析平台、Halo 开源博客/CMS 系统。FIT2CLOUD 旗下的开 源项目在开源社区表现出了卓越的成长性，在代码托管平台 GitHub 上所获得的 Star 要处理。  或者忙于处理其他业务团队的资源申请变更请求。  一些规模较大分工较细的组织还会涉及跨部门小组的流程协作(比如投产环节，部 署完虚拟机后需要给安全部门提申请把虚拟机管理信息加入到堡垒机并授权，部署 配置监控代理、配置备份等)。 结果: 用户侧对于 IT 服务快速响应要求与管理侧 IT 服务响应速度较慢的矛盾越来越大。 图 2: "柜台式" IT 服务管理模式 针对以上申 要资源申请使用部门向其他各个小组申请 配合协作部署资源、申请 IP 地址、将资源信息同步加入到 CMDB、堡垒机、应用部署平台 等运维工具，部署配置监控代理、备份代理，挂载到负载均衡，因此造成流程链路较长，协 作沟通成本高、排期等待时间比较长的问题。 通过云管平台整合 CMDB、堡垒机等运维工具，在部署虚拟机等资源后，能够按预置 策略自动同步管理信息到运维工具，自动部署监控代理、备份代理，配置负载均衡，能够有

云管平台已经有的扩展模块： 模块名称 描述 对象存储服务（oss-service） 对象存储服务，支持常用私有云和公有云对象存储 漏洞扫描（scan） 绿盟漏洞扫描对接和漏洞分析 堡垒机（jumpserver） 用于 Jumpserver 堡垒机对接 AWS 费用管理（aws-billing-data） AWS 费用可视化分析、优化及分摊 物理机管理（physical-machine） 物理机自动发现及自助申请 服务端口 用于管理资产 9200/9300 ElasticSearch 服务端口 日志服务使用 8778/9779 Jumpserver connector 服务端口 对接 Jumpserver 堡垒机使用 15671/1567 2/25672/43 69/5671/56 72 RabbitMQ 服务端口 消息队列使用 4444 生成 PDF 文件服务 用于运营分析模块报告导出 3 container-service # 容器云服务日志 │ ├── dashboard # 首页日志 │ ├── gateway # 网关日志 │ ├── jumpserver-connector # 堡垒机同步日志 │ ├── management-center # 管理中心日志 │ ├── operation-analytics # 运营分析日志 │ ├── orchestrator │ ├──

mirror 了 registry 的镜像 并获取您的 OpenShift Container Platform 版本 的 imageContentSources 数据。 重要 重要 由于安装介质位于堡垒主机上，因此请使用该计算机完成所有安装步骤。 AWS 中有一个现有的 VPC。当使用安装程序置备的基础架构安装到受限网络时，无法使用安装 程序置备的 VPC。您必须使用用户置备的 VPC 来满足以下要求之一： 上安装时可能需要较少的互联网访问。 要完成受限网络安装，您必须创建一个 registry，镜像 OpenShift Container Platform registry 的内容并包 含其安装介质。您可以在堡垒主机上创建此镜像，该主机可同时访问互联网和您的封闭网络，也可以使用 满足您的限制条件的其他方法。 4.7.2.1. 其他限制 其他限制 受限网络中的集群还有以下额外限制： ClusterVersion Container Platform 集群。 先决条件 先决条件 获取 OpenShift Container Platform 安装程序以及集群的 pull secret。对于受限网络安装，这些 文件位于您的堡垒主机上。 具有创建镜像容器镜像仓库（registry）时生成的 imageContentSources 值。 获取您的镜像 registry 的证书内容。 在订阅级别获取服务主体权限。 流程

mirror 了 registry 的镜像 并获取您的 OpenShift Container Platform 版本 的 imageContentSources 数据。 重要 重要 由于安装介质位于堡垒主机上，因此请使用该计算机完成所有安装步骤。 AWS 中有一个现有的 VPC。当使用安装程序置备的基础架构安装到受限网络时，无法使用安装 程序置备的 VPC。您必须使用用户置备的 VPC 来满足以下要求之一： 上安装时可能需要较少的互联网访问。 要完成受限网络安装，您必须创建一个 registry，镜像 OpenShift Container Platform registry 的内容并包 含其安装介质。您可以在堡垒主机上创建此镜像，该主机可同时访问互联网和您的封闭网络，也可以使用 满足您的限制条件的其他方法。 4.7.2.1. 其他限制 其他限制 OpenShift Container Platform 4 Container Platform 集群。 先决条件 先决条件 获取 OpenShift Container Platform 安装程序以及集群的 pull secret。对于受限网络安装，这些 文件位于您的堡垒主机上。 具有创建镜像容器镜像仓库（registry）时生成的 imageContentSources 值。 获取您的镜像 registry 的证书内容。 在订阅级别获取服务主体权限。 流程

见 的 ITSM 平 台 有 神 州 数 码 ServiceJet 、 宇 信 易 诚 、 卓 豪 ManageEngine、优云等。 JumpServer JumpServer 是全球首款开源的堡垒机，使用 GNU GPL v2.0 开源协议， 杭州飞致云信息科技有限公司 11 是符合 4A 规范的运维安全审计系统。JumpServer 使用 Python / Django 为主进行开发，遵循 模块功能界面说明及约定 2.3.1 模块及使用场景 平台的设计采用模块化设计，有多个功能独立的模块，包括管理中心、虚拟机服务、 账单中心、运营分析、负载均衡、数据库服务、对象存储服务、容器云集群服务、堡垒机 模块、工单中心、大屏模块。  当我们做系统管理，即组织用户角色权限、纳管虚拟化云平台 API 账号、管理模 块、插件、配置门户主题、系统参数时，我们需要进入【管理中心】模块门户。  。  当我们需要操作管理工单及工单流程时，我们需要进入【工单中心】模块门户。  当我们需要操作管理容器云集群时，我们需要进入【容器云集群服务】模块门户。  当我们需要配置堡垒机集成同步时，我们需要进入【堡垒机】模块门户。 当我们以管理员登录后，就可以看到各个模块的功能菜单。点击最左上角 9 点图标， 如图 2-2 所示，可展开门户功能菜单，如图 2-3 所示。 杭州飞致云信息科技有限公司

5W，操作设备次数2500W 次, 平均耗时41分钟, 首次任务成功率99% 效率提升 全网变更在1小时左右，基于通用代理服务解 决连通性问题，效率提升近百倍 Ø 对接安全云堡垒机 l Step 1: 登录安全云堡垒机 l Step 2: 根据设备ID登录 Ø对接Fast-Web、资产等平台实现WebConsole管理 平台应用 – 设备管理 Fast Web 资产平台 调度平台