JumpServer部署使用

深碍√TFBOYSˉ_ 2021-07-26 14:58 415阅读 0赞

关注「开源Linux」，选择“设为星标”

回复「学习」，有我为您特别筛选的学习资料~

### 一、简介    ###

前面我们聊到了openvpn的部署和使用，它能够实现从互联网通过openvpn连接到公司内网服务器，从而进行远程管理；但openvpn有一个缺点它不能记录哪些用户在内网服务器上操作了什么，拥有客户端的证书和私钥以及ca的证书和客户端配置，就可以直接连接到公司内网，这从某些角度讲不是一个安全的解决方案；

![format_png][]

今天我们来聊一款和openvpn有类似功能的软件jumpserver；jumpserver和openvpn都可以让用户从互联网连接公司内网服务器；但通常jumpserver都不会放在互联网；它主要用作运维、开发、以及测试相关人员来利用它连接公司内网服务器，从而实现集中管理公司内网服务器；同时jumpserver还具有权限管理，用户管理，以及监控回放等等功能；

### 二、jumpserver架构图 ###

![format_png 1][]

### 三、jumpserver服务器安装 ###

**环境说明**

<table> 
 <tbody> 
  <tr> 
   <td>主机名称</td> 
   <td>角色</td> 
   <td>ip地址</td> 
  </tr> 
  <tr> 
   <td>node01</td> 
   <td>jumpserver web</td> 
   <td>192.168.0.41</td> 
  </tr> 
  <tr> 
   <td>node02</td> 
   <td>mysql/redis</td> 
   <td>192.168.0.42</td> 
  </tr> 
 </tbody> 
</table>

1、在node02上部署mariadb（版本最低5.5.6，如果是mysql版本最低5.6）

配置mariadb yum仓库

[root@node02 ~]# cat /etc/yum.repos.d/mariadb.repo
    [mariadb]
    name=mariadb repo
    baseurl=https://mirrors.tuna.tsinghua.edu.cn/mariadb//mariadb-10.1.46/yum/centos/7/x86_64/
    gpgcheck=0
    [root@node02 ~]#

安装MariaDB-server

[root@node02 ~]# yum install -y MariaDB-server

配置mariadb 忽略名称解析

![format_png 2][]

启动mariadb

![format_png 3][]

连接mariadb 创建数据库和用户

[root@node02 ~]# mysql
    Welcome to the MariaDB monitor.  Commands end with ; or \g.
    Your MariaDB connection id is 3
    Server version: 10.1.46-MariaDB MariaDB Server
     
    Copyright (c) 2000, 2018, Oracle, MariaDB Corporation Ab and others.
     
    Type 'help;' or '\h' for help. Type '\c' to clear the current input statement.
     
    MariaDB [(none)]> create database jumpserver default charset 'utf8' collate 'utf8_bin';
    Query OK, 1 row affected (0.00 sec)
     
    MariaDB [(none)]> grant all on jumpserver.* to 'jumpserver'@'%' identified by 'admin123.com';
    Query OK, 0 rows affected (0.00 sec)
     
    MariaDB [(none)]> flush privileges;
    Query OK, 0 rows affected (0.00 sec)
     
    MariaDB [(none)]>

验证：使用jumpserver登录数据库

[root@node02 ~]# mysql -ujumpserver -padmin123.com -h192.168.0.42
    Welcome to the MariaDB monitor.  Commands end with ; or \g.
    Your MariaDB connection id is 4
    Server version: 10.1.46-MariaDB MariaDB Server
     
    Copyright (c) 2000, 2018, Oracle, MariaDB Corporation Ab and others.
     
    Type 'help;' or '\h' for help. Type '\c' to clear the current input statement.
     
    MariaDB [(none)]> show databases;
    +--------------------+
    | Database           |
    +--------------------+
    | information_schema |
    | jumpserver         |
    | test               |
    +--------------------+
    3 rows in set (0.01 sec)
     
    MariaDB [(none)]> exit
    Bye
    [root@node02 ~]#

ok,到此数据服务就准备好了；

2、在node02上部署redis

安装redis

[root@node02 ~]# yum -y install redis

配置redis监听本机所有地址，并设置密码

[root@node02 ~]# grep -Ei "^(bind|requirepass)" /etc/redis.conf
    bind 0.0.0.0
    requirepass admin123.com
    [root@node02 ~]#

启动redis

![format_png 4][]

验证：登录redis

[root@node02 ~]# redis-cli -h 192.168.0.42
    192.168.0.42:6379> KEYS *
    (error) NOAUTH Authentication required.
    192.168.0.42:6379> AUTH admin123.com
    OK
    192.168.0.42:6379> KEYS *
    (empty list or set)
    192.168.0.42:6379> exit
    [root@node02 ~]#

到此redis就准备好了

3、在node01上部署jumpserver web 容器

配置docker-ce的yum源

[root@node01 ~]# cat /etc/yum.repos.d/docker-ce.repo
    [docker-ce-stable]
    name=Docker CE Stable - $basearch
    baseurl=https://mirrors.aliyun.com/docker-ce/linux/centos/7/$basearch/stable
    enabled=1
    gpgcheck=1
    gpgkey=https://mirrors.aliyun.com/docker-ce/linux/centos/gpg
     
    [docker-ce-stable-debuginfo]
    name=Docker CE Stable - Debuginfo $basearch
    baseurl=https://mirrors.aliyun.com/docker-ce/linux/centos/7/debug-$basearch/stable
    enabled=0
    gpgcheck=1
    gpgkey=https://mirrors.aliyun.com/docker-ce/linux/centos/gpg
     
    [docker-ce-stable-source]
    name=Docker CE Stable - Sources
    baseurl=https://mirrors.aliyun.com/docker-ce/linux/centos/7/source/stable
    enabled=0
    gpgcheck=1
    gpgkey=https://mirrors.aliyun.com/docker-ce/linux/centos/gpg
     
    [docker-ce-edge]
    name=Docker CE Edge - $basearch
    baseurl=https://mirrors.aliyun.com/docker-ce/linux/centos/7/$basearch/edge
    enabled=0
    gpgcheck=1
    gpgkey=https://mirrors.aliyun.com/docker-ce/linux/centos/gpg
     
    [docker-ce-edge-debuginfo]
    name=Docker CE Edge - Debuginfo $basearch
    baseurl=https://mirrors.aliyun.com/docker-ce/linux/centos/7/debug-$basearch/edge
    enabled=0
    gpgcheck=1
    gpgkey=https://mirrors.aliyun.com/docker-ce/linux/centos/gpg
     
    [docker-ce-edge-source]
    name=Docker CE Edge - Sources
    baseurl=https://mirrors.aliyun.com/docker-ce/linux/centos/7/source/edge
    enabled=0
    gpgcheck=1
    gpgkey=https://mirrors.aliyun.com/docker-ce/linux/centos/gpg
     
    [docker-ce-test]
    name=Docker CE Test - $basearch
    baseurl=https://mirrors.aliyun.com/docker-ce/linux/centos/7/$basearch/test
    enabled=0
    gpgcheck=1
    gpgkey=https://mirrors.aliyun.com/docker-ce/linux/centos/gpg
     
    [docker-ce-test-debuginfo]
    name=Docker CE Test - Debuginfo $basearch
    baseurl=https://mirrors.aliyun.com/docker-ce/linux/centos/7/debug-$basearch/test
    enabled=0
    gpgcheck=1
    gpgkey=https://mirrors.aliyun.com/docker-ce/linux/centos/gpg
     
    [docker-ce-test-source]
    name=Docker CE Test - Sources
    baseurl=https://mirrors.aliyun.com/docker-ce/linux/centos/7/source/test
    enabled=0
    gpgcheck=1
    gpgkey=https://mirrors.aliyun.com/docker-ce/linux/centos/gpg
     
    [docker-ce-nightly]
    name=Docker CE Nightly - $basearch
    baseurl=https://mirrors.aliyun.com/docker-ce/linux/centos/7/$basearch/nightly
    enabled=0
    gpgcheck=1
    gpgkey=https://mirrors.aliyun.com/docker-ce/linux/centos/gpg
     
    [docker-ce-nightly-debuginfo]
    name=Docker CE Nightly - Debuginfo $basearch
    baseurl=https://mirrors.aliyun.com/docker-ce/linux/centos/7/debug-$basearch/nightly
    enabled=0
    gpgcheck=1
    gpgkey=https://mirrors.aliyun.com/docker-ce/linux/centos/gpg
     
    [docker-ce-nightly-source]
    name=Docker CE Nightly - Sources
    baseurl=https://mirrors.aliyun.com/docker-ce/linux/centos/7/source/nightly
    enabled=0
    gpgcheck=1
    gpgkey=https://mirrors.aliyun.com/docker-ce/linux/centos/gpg
    [root@node01 ~]#

安装docker-ce

[root@node01 ~]# yum install -y docker-ce

启动docker

[root@node01 ~]# systemctl start docker
    [root@node01 ~]# docker info
    Client:
     Debug Mode: false
     
    Server:
     Containers: 0
      Running: 0
      Paused: 0
      Stopped: 0
     Images: 0
     Server Version: 19.03.13
     Storage Driver: overlay2
      Backing Filesystem: xfs
      Supports d_type: true
      Native Overlay Diff: true
     Logging Driver: json-file
     Cgroup Driver: cgroupfs
     Plugins:
      Volume: local
      Network: bridge host ipvlan macvlan null overlay
      Log: awslogs fluentd gcplogs gelf journald json-file local logentries splunk syslog
     Swarm: inactive
     Runtimes: runc
     Default Runtime: runc
     Init Binary: docker-init
     containerd version: 8fba4e9a7d01810a393d5d25a3621dc101981175
     runc version: dc9208a3303feef5b3839f4323d9beb36df0a9dd
     init version: fec3683
     Security Options:
      seccomp
       Profile: default
     Kernel Version: 3.10.0-693.el7.x86_64
     Operating System: CentOS Linux 7 (Core)
     OSType: linux
     Architecture: x86_64
     CPUs: 2
     Total Memory: 1.781GiB
     Name: node01.test.org
     ID: JQY2:LCCM:EU6J:ARI7:UCEL:5HUV:FGE4:6RTY:PWR3:NKJI:EA3K:BKSA
     Docker Root Dir: /var/lib/docker
     Debug Mode: false
     Registry: https://index.docker.io/v1/
     Labels:
     Experimental: false
     Insecure Registries:
      127.0.0.0/8
     Live Restore Enabled: false
     
    [root@node01 ~]#

配置docker加速器

[root@node01 ~]# cat /etc/docker/daemon.json
    {
            "registry-mirrors": ["https://registry.docker-cn.com","https://cyr1uljt.mirror.aliyuncs.com"]
    }
    [root@node01 ~]#

重启docker

[root@node01 ~]# systemctl restart docker

使用doker info 命令验证加速器地址是否应用

![format_png 5][]

下载jumpserver web镜像

[root@node01 ~]# docker images
    REPOSITORY          TAG                 IMAGE ID            CREATED             SIZE
    [root@node01 ~]# docker pull jumpserver/jms_all:v2.4.0
    v2.4.0: Pulling from jumpserver/jms_all
    75f829a71a1c: Pull complete
    f9c494d6df5d: Pull complete
    5135b4193f02: Pull complete
    918e815b1dc8: Pull complete
    0334369c4479: Pull complete
    64a0f2a7663a: Pull complete
    Digest: sha256:2081c88eca6dffb41bc42d8fe06d18c4379eacdbb354fa56dffd2a918738274d
    Status: Downloaded newer image for jumpserver/jms_all:v2.4.0
    docker.io/jumpserver/jms_all:v2.4.0
    [root@node01 ~]# docker images
    REPOSITORY           TAG                 IMAGE ID            CREATED             SIZE
    jumpserver/jms_all   v2.4.0              3418bbaaded1        9 days ago          1.54GB
    [root@node01 ~]#

编写生成```SECRET_KEY和``BOOTSTRAP_TOKEN的脚本```

[root@node01 ~]# cat key_gen.sh
    #!/bin/bash
    if [ ! "$SECRET_KEY" ]; then
      SECRET_KEY=`cat /dev/urandom | tr -dc A-Za-z0-9 | head -c 50`;
      echo "SECRET_KEY=$SECRET_KEY" >> ~/.bashrc;
      echo $SECRET_KEY;
    else
      echo $SECRET_KEY;
    fi 
    if [ ! "$BOOTSTRAP_TOKEN" ]; then
      BOOTSTRAP_TOKEN=`cat /dev/urandom | tr -dc A-Za-z0-9 | head -c 16`;
      echo "BOOTSTRAP_TOKEN=$BOOTSTRAP_TOKEN" >> ~/.bashrc;
      echo $BOOTSTRAP_TOKEN;
    else
      echo $BOOTSTRAP_TOKEN;
    fi
    [root@node01 ~]#

提示：上面脚本主要是判断是否有SECRET\_KEY和BOOTSTRAP这两个key，如果没有就生成，并把SECRET\_KEY保存到SECRET\_KEY并放到当前家目录的.bashrc中，并打印出来，如果有就直接打印出来；

运行脚本生成```SECRET_KEY和``BOOTSTRAP_TOKEN```

[root@node01 ~]# bash key_gen.sh
    wIUaeZtCbtTNUDL9igEIImALjjaMo9ygPwfMWmPZcyWD0c3K9Q
    Lx15DW9xDxqOkiCq
    [root@node01 ~]#

提示：这两个随机密钥很重要，它用来加密数据库字段用的，所以在环境迁移和升级都会用到这两个key；

创建用户保存jumpserver容器中的数据目录

[root@node01 ~]# mkdir /data/jumpserver/ -pv
    mkdir: created directory ‘/data’
    mkdir: created directory ‘/data/jumpserver/’
    [root@node01 ~]#

启动jumpserver/jms\_all:v2.4.0镜像为容器

[root@node01 ~]# docker run --name jms_all -d \
    >   -v /data/jumpserver/:/opt/jumpserver/data \
    >   -p 80:80 \
    >   -p 2222:2222 \
    >   -e SECRET_KEY=wIUaeZtCbtTNUDL9igEIImALjjaMo9ygPwfMWmPZcyWD0c3K9Q \
    >   -e BOOTSTRAP_TOKEN=Lx15DW9xDxqOkiCq \
    >   -e DB_HOST=192.168.0.42 \
    >   -e DB_PORT=3306 \
    >   -e DB_USER=jumpserver \
    >   -e DB_PASSWORD=admin123.com \
    >   -e DB_NAME=jumpserver \
    >   -e REDIS_HOST=192.168.0.42 \
    >   -e REDIS_PORT=6379 \
    >   -e REDIS_PASSWORD=admin123.com \
    >   --privileged=true \
    >   jumpserver/jms_all:v2.4.0
    8974115a714c5000bac47a8a457190408861ad1967429435ad4f6a0b838c2fe3
    [root@node01 ~]# docker ps
    CONTAINER ID        IMAGE                       COMMAND             CREATED             STATUS              PORTS                                        NAMES
    8974115a714c        jumpserver/jms_all:v2.4.0   "./entrypoint.sh"   14 seconds ago      Up 12 seconds       0.0.0.0:80->80/tcp, 0.0.0.0:2222->2222/tcp   jms_all
    [root@node01 ~]# ss -tnl
    State      Recv-Q Send-Q                  Local Address:Port                                 Peer Address:Port             
    LISTEN     0      128                                 *:22                                              *:*                 
    LISTEN     0      100                         127.0.0.1:25                                              *:*                 
    LISTEN     0      128                                :::2222                                           :::*                 
    LISTEN     0      128                                :::80                                             :::*                 
    LISTEN     0      128                                :::22                                             :::*                 
    LISTEN     0      100                               ::1:25                                             :::*                 
    [root@node01 ~]#

提示：以上启动容器主要指定了mariadb和redis服务器的相关地址和密码端口信息；其中在宿主机上暴露了80和2222端口；

查看日志

![format_png 6][]

提示：使用docker logs -f 容器id 能够看到上图中的信息，说明jumpserver容器就跑起来了；

访问jumpserver

![format_png 7][]

提示：访问jumpserver容器所在主机的ip地址即可访问到jumpserver，默认用户名和密码都是admin；

![format_png 8][]

提示：第一次登陆时，它会让我们重设密码；

![format_png 9][]

提示：重设密码后，重新登录，jumpserver的首页就是上图这样；后续我们就可以在这个界面来管理内网服务器了；到此jumpserver服务器就搭建好了；

### 四、jumpserver使用 ###

1、jumpserver基本设置

![format_png 10][]

提示：基本设置是必须设置当前jumpserver的url和邮件主题前缀；这样在用户收到邮件中的链接都会指向这个jumpserver的url;

2、配置jumpserver发邮件的邮件服务器和用户名密码

![format_png 11][]

提示：在系统设置--->邮件设置，把对应的账号信息，邮件服务器信息都填写好，然后测试连接，如果可以正常收到邮件，说明邮件服务器信息和邮件用户名密码没有问题；最后点提交；

3、创建用户

![format_png 12][]

提示：在用户管理--->用户列表--->创建；填写好用户相关信息后，点击最下面的提交；

![format_png 13][]

提示：新建用户成功以后，对应的用户邮箱就会收到一份有jumpserver发送到用户创建成功的邮件，用户可以点击此邮件中的链接进行密码设定；

![format_png 14][]

提示：密码设定好了，点击设置；用户会收到一份密码更新成功的邮件；

![format_png 15][]

4、创建用户组，并把test用户添加到对应的组中；

![format_png 16][]

提示：用户管理--->用户组---->创建，填写好组信息和选择好用户后，点击提交即可；

5、jumpserver 资产管理--->管理用户创建

![format_png 17][]

提示：资产管理---->管理用户---->创建，填写好对应被管控端的管理员和密码点击提交；管理用户是资产（被控服务器）上的 root，或拥有 NOPASSWD: ALL sudo 权限的用户， JumpServer 使用该用户来 \`推送系统用户\`、\`获取资产硬件信息\` 等。

6、创建系统用户，这里的系统用户是指我们使用jumpserver登录到对应的被管控主机时用的用户

![format_png 18][] ![format_png 19][]

提示：资产管理--->系统用户--->新建，填写好用户名，勾选自动推送和自动生成密钥，点击最下方的提交即可；这里填写的用户会用作jumpserver上登录对应的主机用到用户，如果被管控端没有这个用户，jumpserver就会利用我们刚才添加的管理用户去创建一个这里的系统用户；

7、创建资产

![format_png 20][]

提示：资产管理--->资产列表--->新建，填写对应被管控的的主机信息和ip地址信息，以及管理用户，点击最下方的提交；

![format_png 21][]

提示：提交完成后，我们就可以在资产列表中看到我们刚才添加到主机；

8、资产授权

![format_png 22][]

提示：权限管理--->资产授权--->创建，填写好名称后，要选择用户和组以及资产和系统用户，然后点击最下方的提交；到此一个资源就授权给test用户和test组中的成员了；这里需要注意一点，一个节点中有很多server，如果你只想授权单台server给某个用户，下面的节点就留空，如果你想授权一个节点给用户你可以选择节点，上面的资产就可以留空，如果你又想授权单个资产和某个节点给用户，就选择对应的资产和节点即可；如果这里选择default节点，表示把default节点下的所有主机都授权给用户；默认default节点包含所有主机；

验证：使用test用户登录jumpserver，看看test用户是否能够看到我们创建的资源？

![format_png 23][]

提示：首次登陆，它会让我们更新用户的信息，然后同一些条款，这个我们按照实际信息来修改即可；在我的资产中可以看到当前用户有点资产；

验证：使用test用户连接node01看看是否可以连接到node01？

![format_png 24][] ![format_png 25][]

提示：可以看到test用户是可以正常使用我们配置的jumpserver用户正常正常的连接到node01；

9、查看用户操作回放

![format_png 26][]

提示：点击会话管理---->会话管理---->历史会话----> 找到对应会话后面的回放即可查看对应用户在过去会话中执行的操作；

![format_png 27][]

好了，jumpserver的基本操作就到此为止了，后续其他日志啊，都可以在web上点击对应的菜单查看，我这里就不过多阐述了；

*原文链接：https://www.cnblogs.com/qiuhom-1874/p/13874503.html*

关注「开源Linux」加星标，提升IT技能

[format_png]: /images/20210726/d092f00b46774c6086f97f14780d64ab.png
[format_png 1]: /images/20210726/b7b26a081f014d4abc07821399b7c3e4.png
[format_png 2]: /images/20210726/6c65975bcaa24804bd4bd5565dedd7eb.png
[format_png 3]: /images/20210726/fe692fc19eb04d9b888c3d8492a1c199.png
[format_png 4]: /images/20210726/b63337773a7f483581af73f50ba6b5af.png
[format_png 5]: /images/20210726/6d59de484fd442daa1f4936ffc9fbe15.png
[format_png 6]: /images/20210726/2647f674528d4bcfb2caa8a49cd4dad0.png
[format_png 7]: /images/20210726/e37c3d1229954cc49ff0e0657fb68630.png
[format_png 8]: /images/20210726/d4c57af298ac4d0284db0ce47f664691.png
[format_png 9]: /images/20210726/f4c55b9a301b47cea7b2d795374c671f.png
[format_png 10]: /images/20210726/4cb82247dd694882acb613a4fc574049.png
[format_png 11]: /images/20210726/e05ce10bf3ca43399b5d9708f3adae91.png
[format_png 12]: /images/20210726/7a4507dc63e14d90b1274909f6eaa73c.png
[format_png 13]: /images/20210726/e15ee75e88b14d7f9bc8081635931ea7.png
[format_png 14]: /images/20210726/80f20109a799401784e1129d8d7ea717.png
[format_png 15]: /images/20210726/7b07d70218f6411fbbcc5741c6230ce5.png
[format_png 16]: /images/20210726/e7b3243c3c1b49b2a8d45149ed96bdcf.png
[format_png 17]: /images/20210726/2b1fa39b32af417790d9e7bb028d9091.png
[format_png 18]: https://imgconvert.csdnimg.cn/aHR0cHM6Ly9pbWctYmxvZy5jc2RuaW1nLmNuL2ltZ19jb252ZXJ0L2VkNjAwNDY5N2Q3MjAyYTk1ZmQ4MGY2MGViZmI2Mjg3LnBuZw?x-oss-process=image/format,png
[format_png 19]: /images/20210726/5a0bc3da14164d0f8d1fd0dbdeab7611.png
[format_png 20]: /images/20210726/7313629fcabe432da283eecab0cade4d.png
[format_png 21]: /images/20210726/1ad63c0ae1844c6580fc112dafd8d3cb.png
[format_png 22]: /images/20210726/8e73ab4a06ae41089435ce99e6b04017.png
[format_png 23]: /images/20210726/878304769fd04064b422ed733f957398.png
[format_png 24]: https://imgconvert.csdnimg.cn/aHR0cHM6Ly9pbWctYmxvZy5jc2RuaW1nLmNuL2ltZ19jb252ZXJ0LzIxZGY4OGVlOGJhNGFkZjMzNmViNTNkYzU5N2ZmZGU3LnBuZw?x-oss-process=image/format,png
[format_png 25]: /images/20210726/e8d615f1f25f47f2bd902d88c4f6c4da.png
[format_png 26]: /images/20210726/a9aad9da96aa49bc81c41fee42c644da.png
[format_png 27]: /images/20210726/299ebb5c30484c8d97b259181521df26.png