JumpServer 常见功能与配置指南-171主机测评

JumpServer 常见功能

官方文档

https://docs.jumpserver.org/zh/master/

登录并初始化配置

首次登录
浏览器访问

http://192.168.1.30

用户名: admin
密码: ChangeMe

在这里插入图片描述
第一次登录要求重置密码，密码位数不能少于 6 位。
用新密码登录

ssh 登录

可以用admin用户和修改过的新密码，连接jumpserver的ssh端口2222/tcp进行连接访问。
注意：新版需要实现资产授权后才能连接登录。

[root@ubuntu2404 ~]#ssh -p2222 admin@127.0.0.1
The authenticity of host '[127.0.0.1]:2222 ([127.0.0.1]:2222)' can't be established.
RSA key fingerprint is SHA256:7p7IfCRlYNB8LW889HI+Y1QTSNSzqaMyuYLSOiVHVpY.
This key is not known by any other names.
Are you sure you want to continue connecting (yes/no/[fingerprint])? yes
Warning: Permanently added '[127.0.0.1]:2222' (RSA) to the list of known hosts.
Welcome to JumpServer SSH Server
admin@127.0.0.1's password:
Administrator, JumpServer

修改 admin 用户密码

在这里插入图片描述

配置邮件

在这里插入图片描述

创建 JumpServer 用户和组

JumpServer 支持三种登录用户
系统管理员
普通用户
系统审计员

创建用户

在这里插入图片描述

相同方法创建 xiaoming 用户

创建组并将用户加入组中

在这里插入图片描述
创建 dev 组，将 xiaohong 加入

同上操作，创建 test 组，将 xiaoming 加入

使用新用户登录

首次登录完善个人信息
在这里插入图片描述

禁用和启用用户

禁用用户
在这里插入图片描述

启用用户

启用用户多因子认证功能

多因子认证Multi-Factor Authentication (MFA) 是一种简单有效的最佳安全实践方法，用户要通过两种以上的认证机制之后，才能得到授权，使用计算机资源。
JumpServer 启用 MFA 后，用户登录网站时，系统将要求输入用户名和密码（第一安全要素），然后要求输入来自其 MFA 设备的动态验证码（第二安全要素），双因素的安全认证将为您的账户提供更高的安全保护。

开启MFA

在这里插入图片描述

创建系统审计员

系统审计员即查看录像带的人
在这里插入图片描述
使用审计员用户登录

管理资产

JumpServer 可以管理各种类型的资产
在这里插入图片描述
JumpServer中的三种用户
登录用户：分配给用户用于登录JumpServer时使用。
系统用户中的特权用户(管理用户)：对后端服务器具有管理权限的系统帐号 root或administrator 及sudo ALL权限的用户，用于管理后端服务器，新版中已取消此名称，改名为系统用户中特权用户。
系统用户中的普通用户(系统用户)：给登录用户使用ssh连接后端服务器时对应的系统用户，一般是后端服务器的普通的系统用户帐号，新版中改名为系统用户中普通用户。

创建管理用户 (系统用户中特权用户)

管理用户是jumpServer用来管理后端服务器或其它资产的管理员用户，此用户必须对后端服务器有管理权限。
管理用户特点：通常是后端服务器的root或者是具备root权限的超级用户。用于推送或者是创建系统用户。用于获取被管理的硬件资产信息。
在这里插入图片描述

创建资产

创建可以被jumpServer用户访问的后端服务器和其它资产，比如：路由器，交换机等
在这里插入图片描述

创建节点实现资产分类

创建节点将资产分类
在这里插入图片描述

授权管理

在这里插入图片描述

创建系统用户(系统用户中普通用户)

系统用户是分配给JumpServer用户，用来让JumpServer用户在连接后端服务器和其它资产，一般不会给管理权限。生产环境中，一般都会利用自动化运维工具提前在后端服务器创建好系统用户，在所有后端服务器统一用户 ID信息，而非在jumpserver中创建。
在这里插入图片描述

关联使用系统用户的资产

将前面创建的系统用户推送到后端服务器并自动创建
在系统用户中添加使用此用户的资产
在这里插入图片描述

测试可连接性

注意：连接性是利用系统用户进行连接的，所以之前必须先推送系统用户后才能测试连接。
在这里插入图片描述

创建授权规则

通过授权规则，为JumpServer用户分配可以访问的资产及使用的系统用户。
在这里插入图片描述
测试登录访问后端服务器

点右操作下类型电脑的图标，可以打开终端界面

测试上传和下载文件

可以通过web方式或者通过 xshell 等工具直接连接jumpserver的2222端口都可以实现文件的上传下载。
在这里插入图片描述

ssh连接JumpServer

JumpServer 还支持用户通过ssh连接其2222/tcp端口进行访问。
连接方式

ssh -p 2222 user@jumpserver

数据库授权

在后端服务器安装MySQL并创建数据库和用户

[root@rocky ~]# yum install mysql-server
[root@rocky ~]# systemctl restart mysqld.service

[root@rocky ~]# mysql
mysql> create database wordpress;
Query OK, 1 row affected (0.00 sec)

mysql> create user wordpress@'192.168.1.%' identified by '123456';
Query OK, 0 rows affected (0.01 sec)

mysql> grant all on wordpress.* to wordpress@'192.168.1.%';
Query OK, 0 rows affected (0.00 sec)

mysql> exit
Bye

创建数据库应用

在这里插入图片描述

创建数据库的系统用户

创建针对数据库的专用系统用户
注意：协议选择 MySQL
在这里插入图片描述

创建数据库授权规则

在这里插入图片描述

测试数据库连接

web 方式连接 MySQL 资产
在这里插入图片描述

用ssh连接MySQL

[root@ubuntu2404 ~]#ssh -p 2222 MySQL@192.168.1.30
The authenticity of host '[192.168.1.30]:2222 ([192.168.1.30]:2222)' can't be established.
RSA key fingerprint is SHA256:7p7IfCRlYNB8LW889HI+Y1QTSNSzqaMyuYLSOiVHVpY.
This host key is known by the following other names/addresses:
~/.ssh/known_hosts:1: [hashed name]
Are you sure you want to continue connecting (yes/no/[fingerprint])? yes
Warning: Permanently added '[192.168.1.30]:2222' (RSA) to the list of known hosts.
Welcome to JumpServer SSH Server
MySQL@192.168.1.30's password:
MySQL, JumpServer

1) Enter part IP, Hostname, Comment to to search login if unique.
2) Enter / + IP, Hostname, Comment to to search, such as: /192.168.
3) Enter p to display the assets you have permission.
4) Enter g to display the node that you have permission.
5) Enter h to display the hosts that you have permission.
6) Enter d to display the databases that you have permission.
7) Enter k to display the kubernetes that you have permission.
8) Enter r to refresh your assets and nodes.
9) Enter s to language switch.
10) Enter ? to print help.
11) Enter q to exit.
Opt> d
ID | NAME | ADDRESS | PLATFORM | ORGANIZATION | COMMENT
—–+——-+————-+————————————-+—————————————–+————————————-
1 | MySQL | 192.168.1.7 | MySQL | DEFAULT |
Page: 1, Count: 25, Total Page: 1, Total Count: 1
Enter ID number directly login, multiple search use // + field, such as: //16 Page up: bPage down: n
Search:
[DB]>

会话管理

会话管理可以实现查看当前在线的会话命令记录、历史会话过去的执行过的命令，也可以强制将用户踢出。
在这里插入图片描述

查看在线会话

在这里插入图片描述

查看历史会话

在线回放
在这里插入图片描述

查看离线会话

可以将历史会话过程下载再播放，但需要下载相关的播放器。

https://docs.jumpserver.org/zh/master/about/download/

查看命令历史

在这里插入图片描述

终端管理

可以在线监控用户正在进行的操作过程，甚至可以强制中断用户的连接，将其踢出会话。
在这里插入图片描述

命令过滤器

使用命令过滤器可以禁止用户执行特定的危险命令，防止误操作或恶意行为
系统用户可以绑定一些命令过滤器，一个过滤器可以定义一些规则。当用户使用这个系统用户登录资产，然后执行一个命令，这个命令需要被绑定过滤器的所有规则匹配，高优先级先被匹配，当一个规则匹配到了，如果规则的动作是允许，这个命令会被放行，如果规则的动作是禁止，命令将会被禁止执行，否则就匹配下一个规则，如果最后没有匹配到规则，则允许执行。
在这里插入图片描述

创建命令过滤器

在这里插入图片描述

创建命令组

在这里插入图片描述

测试

在这里插入图片描述