jumpserver3.0页面配置
一、jumpserver的啟動
|
1 2 |
|
二、按照J(rèn)umpserver部署過程結(jié)尾的賬號信息（admin/wangadmin@123）登陸Jumpserver的web界面
修改admin超級管理員的密碼
只修改admin的密碼即可，SSH秘鑰不需要重新生成
然后注銷，使用admin重置后的新密碼登陸Jumpserver！
三、下面正式記錄下Jumpserver的用戶添加、推送及堡壘機(jī)方式登陸到目標(biāo)機(jī)器的操作
1. 添加用戶組（如下以添加ops用戶組為例）
2. 添加用戶（如下以添加wangshibo用戶為例；注意這個用戶添加成功后，也會在Jumpserver部署機(jī)上自動生成。那么刪除這個用戶后，也會自動從部署機(jī)上刪除）
然后到上面添加wangshibo用戶時配置的郵箱里會收到一封郵件，如下：
對于上面郵件里的內(nèi)容，要注意以下幾點(diǎn)：
web登錄密碼：是指使用wangshibo用戶登陸Jumpserver的web界面的密碼，這個密碼在王士博用戶登陸到Jumpserver界面后可以修改。
密鑰下載地址：是指下載wangshibo用戶登陸Jumpserver部署機(jī)的密碼的地址，可以通過打開郵件里的這個地址進(jìn)行下載；也可以在wangshibo用戶添加成功后，點(diǎn)擊Jumpserver界面里"查看用戶"->"wangshibo"后面的"下載"按鈕。
ssh密鑰文件密碼：是指在使用wangshibo用戶的key（即第2步中下載的秘鑰）登陸Jumpserver部署機(jī)時要輸入的密碼。
-------------------------------------------------------------------------------------------------------------------------------
特別注意一點(diǎn)：
在Jumpserver里添加的用戶的秘鑰下載后默認(rèn)是pem格式的證書文件。Xshell和SecureCRT客戶端可以直接使用pem格式的證書文件進(jìn)行登陸（但是注意低版本的SecureCRT還是需要將這個轉(zhuǎn)化為.pub格式后才能登陸）
做法如下：
1）將下載的這個wangshibo.pem秘鑰文件放到任意一臺linux主機(jī)上進(jìn)行轉(zhuǎn)化為.pub格式的公鑰文件的操作（root賬號下操作，并且要保證wangshibo.pem文件上傳到linux機(jī)器上后的權(quán)限是600?。?br />localhost:Downloads root#ssh-keygen -e -f wangshibo.pem >> wangshibo.pem.pub
Enter passphrase: //注意這里輸入的密碼就是上面郵件中的"您的ssh密鑰文件密碼："
localhost:Downloads root# ls -l wangshibo.*
-rw-------@ 1 kevin staff 1766 Sep 24 20:36 wangshibo.pem
-rw-r--r-- 1 root staff 506 Sep 24 20:39 wangshibo.pem.pub
2)然后將轉(zhuǎn)化后的wangshibo.pem.pub公鑰文件拷貝給用戶，使用SecureCRT客戶端登錄Jumpserver部署機(jī)。（如下圖，PublicKey的方式要推放到最前面）
如下，需要輸入的密碼即是上面郵件中收到的ssh密鑰文件密碼（即 9f4ZCpvEiCy3wbS0）
|
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 |
|
還可以做成expect腳本方式登陸：
|
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 |
|
-------------------------------------------------------------------------------------------------------------------------------
3. 添加資產(chǎn)組、機(jī)房
4. 現(xiàn)在開始添加機(jī)器資產(chǎn)（也就是添加要從跳板機(jī)登陸管理的目標(biāo)機(jī)器）
注意一點(diǎn)：可以一臺臺添加，也可以選擇使用批量添加，有批量添加的模版。這里我暫且使用單臺添加作為演示。另外：管理用戶是指目標(biāo)客戶機(jī)上真實(shí)存在用戶，這個最好填目標(biāo)主機(jī)的root用戶（以及目標(biāo)主機(jī)的root的真實(shí)密碼），如果填寫真實(shí)存在的普通用戶，則它必須擁有NOPASSWD: ALL sudo權(quán)限。管理用戶的作用是用于推送系統(tǒng)用戶（也就是說這個管理用戶最好使用root，如果是非root賬號，那么它必須擁有NOPASSWD: ALL sudo權(quán)限?。?/p>
如下添加三臺主機(jī)資產(chǎn)
通過"編輯"主機(jī)，將其劃到相應(yīng)的機(jī)房里，完善主機(jī)信息
5. 下面開始權(quán)限管理的設(shè)置
先添加Sudo，這里的sudo其實(shí)是Linux中的sudo命令別名，一個sudo別名包含多個命令， 系統(tǒng)用戶關(guān)聯(lián)sudo就代表該系統(tǒng)用戶有權(quán)限sudo執(zhí)行這些命令。當(dāng)然可以創(chuàng)建多Sudo，劃分給不同權(quán)限的用戶。如下，創(chuàng)建兩個Sudo
============下面是使用過的一個sudo授權(quán)==============
如上，設(shè)置sudo的別名，設(shè)置后，系統(tǒng)用戶需要綁定這些sudo的別名，然后進(jìn)行推送（后續(xù)追加sudo命令，就再次進(jìn)行"重新推送"）
推送成功后，查看目標(biāo)機(jī)器的/etc/sudoers文件，可以看到設(shè)置的sudo信息
===============================================================
接著添加系統(tǒng)用戶。系統(tǒng)用戶是服務(wù)器上建立的一些真實(shí)存在的可以ssh登陸的用戶,如work,ops,dev等，系統(tǒng)用戶可使用資產(chǎn)的管理用戶將其推送到添加的目標(biāo)資產(chǎn)服務(wù)器上。這里我添加了三個系統(tǒng)用戶，分別為work、ops、dev（添加時的用戶密碼隨便定義，比如work@123、ops@123、dev@123）。這些系統(tǒng)用戶在Jumpserver界面里添加成功后，會自動推送到添加的目標(biāo)主機(jī)上。
特別需要注意一點(diǎn)：這里的系統(tǒng)用戶不能使用root！必須是非root用戶！然后通過定義的各種sudo進(jìn)行不同的相關(guān)操作（比如允許ops切換到root賬號下）
========創(chuàng)建上面系統(tǒng)用戶的時候可能報錯========
|
1 2 3 4 5 6 |
|
系統(tǒng)用戶創(chuàng)建好之后，一定要記得點(diǎn)擊"推送"，將這些系統(tǒng)用戶及其密碼、sudo的信息推送到添加的目標(biāo)服務(wù)器上。當(dāng)然，后續(xù)要是在jumpserver的界面里刪除這個系統(tǒng)用戶，那么目標(biāo)機(jī)器上也會自動刪除這個系統(tǒng)用戶！如下，將這三個系統(tǒng)用戶都推送到目標(biāo)機(jī)器上。如果推送成功，則會出現(xiàn)一個類似"系統(tǒng)用戶 work 推送成功[ test-vm03,test-vm02,test-vm04 ]"的提示。
可以在系統(tǒng)用戶列表，點(diǎn)擊系統(tǒng)用戶名稱，進(jìn)去查看系統(tǒng)用戶的推送情況。比如查看work系統(tǒng)用戶的推送情況
---------------------------------------------------------------------------------------------------
新增主機(jī)的推送：
系統(tǒng)用戶列表->點(diǎn)擊系統(tǒng)用戶名稱（比如work）->work-未推送主機(jī)->點(diǎn)擊新增主機(jī)，進(jìn)行推送操作
---------------------------------------------------------------------------------------------------
推送成功后還可以直接到目標(biāo)機(jī)器上查看推送效果。比如到test-vm02機(jī)器上查看：
|
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 |
|
-----------------------------------------------------------------------------------------------------------------------
這里說下推送失敗的案例1：
在系統(tǒng)用戶列表，點(diǎn)擊系統(tǒng)用戶名稱，查看系統(tǒng)用戶推送詳情，把鼠標(biāo)放到失敗按鈕上，會看到失敗的原因。
可以登陸其中的一臺服務(wù)器比如test-vm02上，查看/var/log/message日志信息，再結(jié)合上面截圖中的報錯，原因是執(zhí)行/etc/sudoers文件時，發(fā)現(xiàn)沒有work用戶！也就是說work用戶沒有useradd創(chuàng)建成功！那么就嘗試在test-vm02機(jī)器上手動創(chuàng)建work賬號，如下：
果然是useradd創(chuàng)建系統(tǒng)用戶失敗導(dǎo)致的！解決辦法：
| 1 |
|
這樣就OK了！可以再次手動useradd創(chuàng)建work賬號試試，創(chuàng)建成功后再userdel刪除它！
最后別忘記在/etc/sudoers文件里刪除底部添加的work賬號的sudo設(shè)置信息，因為這是推送失敗的那次添加的sudo信息，刪除后重新推送下，否則配置信息就會重疊！
其他服務(wù)器的處理方法跟這個一樣！
------------------------------------------------------------------------------------------------------------------------
再說下推送失敗的案例2
解決方案：http://www.cnblogs.com/kevingrace/p/5893121.html
修改后，可以重啟jempserver（即/opt/jumpserver/server.sh restart）
------------------------------------------------------------------------------------------------------------------------
推送失敗的案例3
|
1 2 3 4 5 |
|
=======================================================================
推送系統(tǒng)用戶失敗的案例4：SSH Error: Permission denied (publickey,password).....
原因可能是：1）添加資產(chǎn)的時候，填寫的"管理用戶名"和"密碼"有誤所致的！ 2）jumpserver部署機(jī)器在ssh登陸目標(biāo)機(jī)器時，報錯：WARNING: REMOTE HOST IDENTIFICATION HAS CHANGED!。即在jumpserver部署機(jī)的/root/.ssh/known_hosts文件里刪除目標(biāo)機(jī)器的連接信息就行了。
------------------------------------------------------------------------------------------------------------------------
最后進(jìn)行"授權(quán)規(guī)則"的創(chuàng)建
到此，Jumpserver堡壘機(jī)的設(shè)置已完成！
四、下面正式記錄下Jumpserver堡壘機(jī)的使用
注銷admin用戶登陸的Jumpserver，使用wangshibo用戶登陸Jumpserver的web界面
點(diǎn)擊主機(jī)后面的"連接"按鈕，選擇一個系統(tǒng)用戶，比如work用戶，然后在webshell里面就能登陸主機(jī)了！（其他用戶的操作方法與這個是一樣的）
也可以直接使用下載的wangshibo用戶的秘鑰直接登陸到堡壘機(jī)上進(jìn)行操作（登陸方式在上面已經(jīng)介紹了，使用SecureCRT客戶端登錄）
五、Jumpserver其他功能介紹
1. 日志審計（記錄了服務(wù)器的在線情況、每個用戶的登陸歷史、命令記錄、上傳下載記錄）。也可以直接在"儀表盤"中查看所有機(jī)器的綜合信息！
2. 上傳下載功能（前提是Jumpserver部署機(jī)上要有rz、sz命令，這個在部署環(huán)境之前就已經(jīng)yum lrzsz安裝了。上傳下載功能都只能在非admin管理員賬號下操作）
2.1）上傳功能
首先使用wangshibo用戶登陸Jumpserver界面，將需要上傳的文件或者目錄拖拽上去，或者點(diǎn)擊下面的Drop files to upload"后在彈出的提示框中選擇需要上傳的文件或目錄，然后點(diǎn)擊"全部上傳"，注意：上傳文件默認(rèn)放在目標(biāo)服務(wù)器的/tmp目錄下，因為tmp下臨時共享目錄，普通用戶都有操作權(quán)限。
然后就到test-vm02、test-vm03、test-vm04服務(wù)器上查看是否已成功上傳了文件（如下以test-vm02為例）
也可以在命令行進(jìn)行上傳操作，也是上傳到對應(yīng)服務(wù)器的/tmp目錄下
2.2）下載功能
注意：下載文件的路徑一定要是真實(shí)存在目標(biāo)主機(jī)的/tmp臨時共享目錄下的，其他目錄路徑無效！并且路徑要精確到文件??！！(下載后的文件默認(rèn)自動打包)如下：
可以在命令行進(jìn)行下載操作，下載路徑要是對應(yīng)服務(wù)器的/tmp目錄下的文件。下載后以打包形式存在。
3. 批量執(zhí)行命令：
除此之外，也可以使用普通用戶(比如wangshibo)登陸jumpserver界面，在界面里批量執(zhí)行：
4. "設(shè)置功能"，如下設(shè)置后，添加"資產(chǎn)"的時候，在"管理賬號"這一項就可以選擇"使用默認(rèn)"了。
--------------------------------------------------------------------------------------------------------------------------
最后說下在Jumpserver里面批量添加主機(jī)資產(chǎn)的操作（先導(dǎo)出模版，然后在模版里填好主機(jī)信息，最后再導(dǎo)入模版文件）。如下導(dǎo)出的模版更名為jumpserver.xlsx：
注意：添加主機(jī)(或批量添加主機(jī))后，推送系統(tǒng)用戶，有時會失敗，比如報錯SSH Error: Permission denied (publickey,gssapi-keyex,gssapi-with-mic,password或認(rèn)證失敗。 這時可以嘗試刪除主機(jī)，重新添加主機(jī)，然后重新推送系統(tǒng)用戶。還有，用于推送系統(tǒng)用戶的管理用戶（如上，選用root作為管理用戶）的密碼一定要正確！（一定要是真實(shí)存在于主機(jī)上的用戶的真實(shí)密碼！，否則推送就會失?。?/strong>
--------------------------------------------------------------------------------------------
發(fā)現(xiàn)jumpserver部署機(jī)在堡壘機(jī)環(huán)境搞好后，不能正常su切換到其他用戶下，報錯如下：
"沒有該用戶，或許你是以root運(yùn)行的 No that user."
解決辦法：注釋掉connect.py文件的下面兩行判斷設(shè)置即可（注釋后不需要重啟jumpserver服務(wù)）！
[root@test-vm01 jumpserver]# cd
[root@test-vm01 ~]# cd /opt/jumpserver
[root@test-vm01 jumpserver]# vim connect.py
#if not login_user: # 判斷用戶是否存在
# color_print('沒有該用戶，或許你是以root運(yùn)行的 No that user.', exits=True)
然后再嘗試su切換用戶就可以了。
總結(jié)：
jumpserver堡壘機(jī)在剛部署好的時候，本機(jī)使用su切換到其他用戶下，默認(rèn)是不行的，需要按照上面的方式解決后才能su切換。
堡壘機(jī)本機(jī)上su切換到其他用戶，都是會進(jìn)入到堡壘機(jī)使用界面的（如上），但是只有推送后的系統(tǒng)用戶才能成功跳轉(zhuǎn)到其他機(jī)器上。
--------------------------------------------------------------------------------------------------
jumpserver里面的用戶（如上的wangshibo）除了可以用郵件里的秘鑰在遠(yuǎn)程登陸以外，還可以直接使用密碼在遠(yuǎn)程ssh登陸（只是在jumpserver 界面里創(chuàng)建用戶時，默認(rèn)沒有設(shè)置密碼，可以在jumpserver部署機(jī)上手動給用戶設(shè)置密碼，而后就可以在遠(yuǎn)程使用用戶+密碼登陸堡壘機(jī)了）。
---------------------------------------------------------------------------------------------
|
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 |
|
---------------------------------------------------------------------------------------------
使用秘鑰和秘鑰文件密碼登錄Jumpserver失敗
|
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 |
|
============================================================================
需要注意一點(diǎn)：
部署了jumpserver堡壘機(jī)環(huán)境的服務(wù)器，ssh直接登錄的話，只能使用root賬號。非root賬號ssh登錄的話，登錄后直接進(jìn)入的是jumpserver歡迎界面，而不能直接進(jìn)入系統(tǒng)。
jumpserver堡壘機(jī)只有在首次推送的時候，需要用到系統(tǒng)賬號，如上面的root、work、ops、dev等，在推送操作完成后，鑒于安全登錄考慮，可以禁止這些系統(tǒng)用戶直接登錄系統(tǒng)，只允許通過堡壘機(jī)唯一入口進(jìn)入。
禁止用戶直接ssh登錄的方法：
1）使用useradd或passwd命令鎖定賬號登錄。https://www.cnblogs.com/kevingrace/p/6109818.html
2）在ssh配置文件里操作。https://www.cnblogs.com/kevingrace/p/6110842.html
=======生產(chǎn)系統(tǒng)服務(wù)器登錄安全======
|
1 2 3 4 5 6 7 8 9 |
|
到此，關(guān)于Jumpserver堡壘機(jī)的設(shè)置和使用已經(jīng)暫時介紹完畢。（注意：除了使用秘鑰及秘鑰文件密碼登錄jumpserver，還可以直接使用密碼登錄，給jumpserver登錄用戶在jumpserver服務(wù)器上重置一個密碼即可）
總結(jié)
以上是生活随笔為你收集整理的jumpserver3.0页面配置的全部內(nèi)容，希望文章能夠幫你解決所遇到的問題。
- 上一篇： 常用数学符号读法及其含义
- 下一篇： Http请求 GET和POST,405错