春節(jié)假期剛過，有個朋友就給我訴苦，說他公司出了生產(chǎn)環(huán)境的事故，春節(jié)期間被迫緊急加班。

我一問才知道，他公司有個數(shù)據(jù)庫服務(wù)器，春節(jié)期間發(fā)現(xiàn)數(shù)據(jù)庫很慢，運維發(fā)現(xiàn)是磁盤空間不足了，就想著把一些臨時文件刪除，本來應(yīng)該是這樣的：

rm -rf /var/lib/postgresql/data/tmp*

但是不知道為啥，可能是走神了，忘了寫tmp：

rm -rf /var/lib/postgresql/data/*

于是，整個數(shù)據(jù)庫的數(shù)據(jù)都沒了。

幸虧有定時備份，趕緊恢復(fù)，但是還有很多數(shù)據(jù)得手工調(diào)整。

類似狀況不少人都遇到過，尤其是小公司，為了方便，經(jīng)常是大家共享一個root賬號，最高權(quán)限一不小心就是災(zāi)難。

更要命的是，數(shù)據(jù)是誰刪的？什么時間刪的？是誤操作還是惡意操作？

都不知道。

有沒有一種辦法，既能保證日常工作的進行，又能對每個人的權(quán)限進行限制，還能精確地記錄下每個人的具體操作以便以后查看呢？

答案是肯定的：堡壘機。

01

堡壘機

堡壘機相當(dāng)于一個跳板，你對服務(wù)器的訪問，都必須通過堡壘機來進行，堡壘機會做這些事情：

1.盤問你是誰（認證）

2.對高危命令進行攔截，攔截DROP，TRUNCATE，rm-rf ....

3.強制二次確認，例如輸入工單編號，提交審批

4.全程錄像和審計，出了問題可以完整回放

。。。。。。

堡壘機就像一個堅固的軍事堡壘，幫助企業(yè)以更安全的方式管控和登錄各種類型的資產(chǎn)。

服務(wù)器少的公司可能無所謂，但是規(guī)模一旦達到 30~50 臺就幾乎一定會上堡壘機，這個規(guī)律在行業(yè)里非常明顯。

如果你的公司也需要堡壘機的話，飛致云推出的開源產(chǎn)品JumpServer非常值得嘗試：

JumpServer在GitHub上已經(jīng)近30k的star，累計安裝超過50萬次，很多知名的企業(yè)都在使用它，可以說是千錘百煉了。

像JumpServer這樣的堡壘機是如何工作的呢？我們接下來簡單聊一聊。

02

資產(chǎn)和賬號

資產(chǎn)的概念很容易理解，最常見的就是公司的服務(wù)器和數(shù)據(jù)庫，這些都是JumpServer要保護的目標(biāo)。

除了它們之外，JumpServer還支持網(wǎng)絡(luò)設(shè)備，云服務(wù)、Web、目錄服務(wù)等資產(chǎn)。

例如下面就是一個Linux 服務(wù)器資產(chǎn)，包含了名稱，協(xié)議，賬號等信息，將來登錄用得上。

眼尖的朋友可能立刻注意到了上圖中賬號"build"，這個賬號如果在Linux上不存在怎么辦？

不用擔(dān)心，JumpServer有個“賬號推送”的功能，可以把你新建的賬號統(tǒng)統(tǒng)推送到實際的服務(wù)器上去。

那如果你的服務(wù)器上已經(jīng)建立了很多賬號，怎么讓JumpServer知道呢？ 那就用到“賬號發(fā)現(xiàn)”了。這個功能可以自動收集服務(wù)器上的賬號，然后和JumpServer中的資產(chǎn)綁定起來。

可以說，有了賬號“推送”和“發(fā)現(xiàn)”，極大的減輕了管理員的負擔(dān)。

03

資產(chǎn)授權(quán)

使用JumpServer以后，公司的運維和開發(fā)自然不能直接訪問那些IT資產(chǎn)了，所有的訪問都必須經(jīng)過JumpServer統(tǒng)一發(fā)起，這樣才能做訪問控制，審核和審計。

所以在JumpServer上，需要給運維/開發(fā)等人創(chuàng)建“用戶”，然后對這些用戶授權(quán)，訪問IT資產(chǎn)。

下圖就是一個叫做liuxin的JumpServer用戶。

資產(chǎn)授權(quán)操作起來也非常簡單，無非就是對某個用戶（或者用戶組），指定資產(chǎn)和對應(yīng)的賬號：

然后確定這個用戶的操作權(quán)限：

對于用戶輸入的命令，還可以進行控制和過濾，這樣就不可能發(fā)生文章開頭的一幕了。

04

資產(chǎn)使用

現(xiàn)在資產(chǎn)、賬號、授權(quán)都已經(jīng)設(shè)置完成，用戶可以登錄JumpServer的工作臺，可以訪問資產(chǎn)了：

值得注意的是，由于資產(chǎn)賬號的密碼已經(jīng)在JumpSever中，這里不用輸入密碼就可以進入數(shù)據(jù)庫了。

除了執(zhí)行各種命令之外，JumpServer還可以上傳文件，對文件進行管理：

05

審計

JumpServer不僅可以讓用戶采用統(tǒng)一的方式登錄服務(wù)器，進行統(tǒng)一控制，還能事后還原整個過程：

系統(tǒng)出了問題，到底是誰干的？執(zhí)行了什么命令？是誤操作還是惡意行為？都能清楚地展示出來。

每個用戶的會話都會被記錄：

每個會話都執(zhí)行了哪些命令，也一覽無余。

甚至每個會話的具體過程都有錄像：

如果發(fā)現(xiàn)有用戶正在執(zhí)行危險指令，可以立刻強制他離線：

JumpServer的儀表盤，讓你對整體的狀況有個快速的了解：

06

很多公司在剛起步的時候，都覺得：“服務(wù)器不多，沒必要上堡壘機。” “大家都是自己人，不會亂來?！?/p>

但現(xiàn)實是，一次走神，一次誤刪，足以讓整個系統(tǒng)變成災(zāi)難，這種事故甚至比黑客攻擊都可怕。

而堡壘機的意義就在于此，它讓權(quán)限有邊界，風(fēng)險可控制，責(zé)任可以明確。

尤其是當(dāng)企業(yè)規(guī)模變大以后，堡壘機是真正的護城河。

安全是底線，別等生產(chǎn)事故教會你安全的價值，趁早去試試JumpServer這樣的堡壘機吧：

JumpServer官網(wǎng)：

https://jumpserver.org/