seo网站推广的主要目的是什么,如何做电影下载网站,怎么让别人看到自己做的网站,平台网站定制项目实战#xff1a;运维堡垒机开发 前景介绍 到目前为止#xff0c;很多公司对堡垒机依然不太感冒#xff0c;其实是没有充分认识到堡垒机的IT管理中的重要作用的#xff0c;很多人觉得#xff0c;堡垒机就是跳板机#xff0c;其实这个认识是不全面的#xff0c;跳板功… 项目实战运维堡垒机开发 前景介绍 到目前为止很多公司对堡垒机依然不太感冒其实是没有充分认识到堡垒机的IT管理中的重要作用的很多人觉得堡垒机就是跳板机其实这个认识是不全面的跳板功能只是堡垒机所具备的功能属性中的其中一项而已下面我就给大家介绍一下堡垒机的重要性以帮助大家参考自己公司的业务是否需要部署堡垒机。 堡垒机有一下两个至关重要功能 权限管理 当你公司的服务器越来越多后需要操作这些服务器的人就肯定不只是一个运维人员同时也可能包括多个开发人员那么这么多的人操作业务系统如果全下分配不当就会存在很大的安全风险举几个场景例子 1.设想你们公司有300台linux服务器A开发人员需要登录其中5台WEB服务器查看日志或进行问题追踪等事务同时对另外10台hadoop服务器拥有root权限,在有300台服务器规模的网络中按常理来讲你是已经使用了ldap权限统一认证的你如何使这个开发人员只能以普通用户的身份登录5台web服务器并且同时允许他以管理员的身份登录另外10台hadoop服务器呢并且同时把其他剩下的200多台服务器没有访问权限。 2.目前据我了解很多公司的运维团队为了方面整个运维团队的运维人员还是共享同一套root密码这样内部信任机制虽然使大家的工作方便了但同时存在着极大的安全隐患很多情况下一个运维人员只需要管理固定数量的服务器毕竟公司分为不同的业务线不同的运维人员管理的业务线也不同但如果共享一套root密码其实就等于无限放大了每个运维人员的权限也就是说如果某个运维人员想干坏事的话他可以在几分钟内把整个公司的业务停转甚至数据都给删除掉。为了降低风险于是有人想到把不同业务线的root密码改掉就ok了么也就是每个业务线的运维人员只知道自己的密码这当然是最简单有效的方式但问题是如果你同时用了ldap,这样做又比较麻烦即使你设置了root不通过ldap认证那新问题就是每次有运维人员离职他所在的业务线的密码都需要重新改一次。 其实上面的问题我觉得可以很简单的通过堡垒机来实现收回所有人员的直接登录服务器的权限所有的登录动作都通过堡垒机授权运维人员或开发人员不知道远程服务器的密码这些远程机器的用户信息都绑定在了堡垒机上堡垒机用户只能看到他能用什么权限访问哪些远程服务器。 在回收了运维或开发人员直接登录远程服务器的权限后其实就等于你们公司生产系统的所有认证过程都通过堡垒机来完成了堡垒机等于成了你们生产系统的SSO(single sign on)模块了。你只需要在堡垒机上添加几条规则就能实现以下权限控制了 允许A开发人员通过普通用户登录5台web服务器通过root权限登录10台hadoop服务器但对其余的服务器无任务访问权限 多个运维人员可以共享一个root账户但是依然能分辨出分别是谁在哪些服务器上操作了哪些命令因为堡垒机账户是每个人独有的也就是说虽然所有运维人员共享了一同一个远程root账户但由于他们用的堡垒账户都是自己独有的因此依然可以通过堡垒机控制每个运维人员访问不同的机器。 审计管理 审计管理其实很简单就是把用户的所有操作都纪录下来以备日后的审计或者事故后的追责。在纪录用户操作的过程中有一个问题要注意就是这个纪录对于操作用户来讲是不可见的什么意思就是指无论用户愿不愿意他的操作都会被纪录下来并且他自己如果不想操作被纪录下来或想删除已纪录的内容这些都是他做不到的这就要求操作日志对用户来讲是不可见和不可访问的通过堡垒机就可以很好的实现。 堡垒机架构 堡垒机的主要作用权限控制和用户行为审计堡垒机就像一个城堡的大门城堡里的所有建筑就是你不同的业务系统 每个想进入城堡的人都必须经过城堡大门并经过大门守卫的授权每个进入城堡的人必须且只能严格按守卫的分配进入指定的建筑且每个建筑物还有自己的权限访问控制不同级别的人可以到建筑物里不同楼层的访问级别也是不一样的。还有就是每个进入城堡的人的所有行为和足迹都会被严格的监控和纪录下来一旦发生犯罪事件城堡管理人员就可以通过这些监控纪录来追踪责任人。 堡垒要想成功完全记到他的作用只靠堡垒机本身是不够的 还需要一系列安全上对用户进行限制的配合堡垒机部署上后同时要确保你的网络达到以下条件 所有人包括运维、开发等任何需要访问业务系统的人员只能通过堡垒机访问业务系统 回收所有对业务系统的访问权限做到除了堡垒机管理人员没有人知道业务系统任何机器的登录密码网络上限制所有人员只能通过堡垒机的跳转才能访问业务系统 确保除了堡垒机管理员之外所有其它人对堡垒机本身无任何操作权限只有一个登录跳转功能确保用户的操作纪录不能被用户自己以任何方式获取到并篡改 堡垒机功能实现需求 业务需求: 兼顾业务安全目标与用户体验堡垒机部署后不应使用户访问业务系统的访问变的复杂否则工作将很难推进因为没人喜欢改变现状尤其是改变后生活变得更艰难保证堡垒机稳定安全运行 没有100%的把握不要上线任何新系统即使有100%把握也要做好最坏的打算想好故障预案功能需求 所有的用户操作日志要保留在数据库中 每个用户登录堡垒机后只需要选择具体要访问的设置就连接上了不需要再输入目标机器的访问密码允许用户对不同的目标设备有不同的访问权限例:对10.0.2.34 有mysql 用户的权限对192.168.3.22 有root用户的权限对172.33.24.55 没任何权限分组管理即可以对设置进行分组允许用户访问某组机器但对组里的不同机器依然有不同的访问权限 设计表结构: 实现思路 堡垒机执行流程 管理员为用户在服务器上创建账号将公钥放置服务器或者使用用户名密码用户登陆堡垒机输入堡垒机用户名密码现实当前用户管理的服务器列表用户选择服务器并自动登陆执行操作并同时将用户操作记录转载于:https://www.cnblogs.com/chaishao/p/6029402.html
