节后上班，马上安装这个软件！

春节假期刚过，有个朋友就给我诉苦，说他公司出了生产环境的事故，春节期间被迫紧急加班。

我一问才知道，他公司有个数据库服务器，春节期间发现数据库很慢，运维发现是磁盘空间不足了，就想着把一些临时文件删除，本来应该是这样的：

rm -rf /var/lib/postgresql/data/tmp*

但是不知道为啥，可能是走神了，忘了写tmp：

rm -rf /var/lib/postgresql/data/*

于是，整个数据库的数据都没了。

幸亏有定时备份，赶紧恢复，但是还有很多数据得手工调整。

类似状况不少人都遇到过，尤其是小公司，为了方便，经常是大家共享一个root账号，最高权限一不小心就是灾难。

更要命的是，数据是谁删的？什么时间删的？是误操作还是恶意操作？

都不知道。

有没有一种办法，既能保证日常工作的进行，又能对每个人的权限进行限制，还能精确地记录下每个人的具体操作以便以后查看呢？

答案是肯定的：堡垒机。

01

堡垒机

堡垒机相当于一个跳板，你对服务器的访问，都必须通过堡垒机来进行，堡垒机会做这些事情：

1.盘问你是谁（认证）

2.对高危命令进行拦截，拦截DROP，TRUNCATE，rm-rf ....

3.强制二次确认，例如输入工单编号，提交审批

4.全程录像和审计，出了问题可以完整回放

。。。。。。

堡垒机就像一个坚固的军事堡垒，帮助企业以更安全的方式管控和登录各种类型的资产。

服务器少的公司可能无所谓，但是规模一旦达到 30~50 台就几乎一定会上堡垒机，这个规律在行业里非常明显。

如果你的公司也需要堡垒机的话，飞致云推出的开源产品JumpServer非常值得尝试：

JumpServer在GitHub上已经近30k的star，累计安装超过50万次，很多知名的企业都在使用它，可以说是千锤百炼了。

像JumpServer这样的堡垒机是如何工作的呢？我们接下来简单聊一聊。

02

资产和账号

资产的概念很容易理解，最常见的就是公司的服务器和数据库，这些都是JumpServer要保护的目标。

除了它们之外，JumpServer还支持网络设备，云服务、Web、目录服务等资产。

例如下面就是一个Linux 服务器资产，包含了名称，协议，账号等信息，将来登录用得上。

眼尖的朋友可能立刻注意到了上图中账号"build"，这个账号如果在Linux上不存在怎么办？

不用担心，JumpServer有个“账号推送”的功能，可以把你新建的账号统统推送到实际的服务器上去。

那如果你的服务器上已经建立了很多账号，怎么让JumpServer知道呢？ 那就用到“账号发现”了。这个功能可以自动收集服务器上的账号，然后和JumpServer中的资产绑定起来。

可以说，有了账号“推送”和“发现”，极大的减轻了管理员的负担。

03

资产授权

使用JumpServer以后，公司的运维和开发自然不能直接访问那些IT资产了，所有的访问都必须经过JumpServer统一发起，这样才能做访问控制，审核和审计。

所以在JumpServer上，需要给运维/开发等人创建“用户”，然后对这些用户授权，访问IT资产。

下图就是一个叫做liuxin的JumpServer用户。

资产授权操作起来也非常简单，无非就是对某个用户（或者用户组），指定资产和对应的账号：

然后确定这个用户的操作权限：

对于用户输入的命令，还可以进行控制和过滤，这样就不可能发生文章开头的一幕了。

04

资产使用

现在资产、账号、授权都已经设置完成，用户可以登录JumpServer的工作台，可以访问资产了：

值得注意的是，由于资产账号的密码已经在JumpSever中，这里不用输入密码就可以进入数据库了。

除了执行各种命令之外，JumpServer还可以上传文件，对文件进行管理：

05

审计

JumpServer不仅可以让用户采用统一的方式登录服务器，进行统一控制，还能事后还原整个过程：

系统出了问题，到底是谁干的？执行了什么命令？是误操作还是恶意行为？都能清楚地展示出来。

每个用户的会话都会被记录：

每个会话都执行了哪些命令，也一览无余。

甚至每个会话的具体过程都有录像：

如果发现有用户正在执行危险指令，可以立刻强制他离线：

JumpServer的仪表盘，让你对整体的状况有个快速的了解：

06

很多公司在刚起步的时候，都觉得：“服务器不多，没必要上堡垒机。” “大家都是自己人，不会乱来。”

但现实是，一次走神，一次误删，足以让整个系统变成灾难，这种事故甚至比黑客攻击都可怕。

而堡垒机的意义就在于此，它让权限有边界，风险可控制，责任可以明确。

尤其是当企业规模变大以后，堡垒机是真正的护城河。

安全是底线，别等生产事故教会你安全的价值，趁早去试试JumpServer这样的堡垒机吧：

JumpServer官网：

https://jumpserver.org/