运维堡垒机开发

1、权限管理

　　当你公司的服务器变的愈来愈多后，须要操做这些服务器的人就确定不仅是一个运维人员，同时也可能包括多个开发人员，那么这么多的人操做业务系统，若是权限分配不当就会存在很大的安全风险，举几个场景例子：

1. 设想大家公司有300台Linux服务器，A开发人员须要登陆其中5台WEB服务器查看日志或进行问题追踪等事务，同时对另外10台hadoop服务器有root权限，在有300台服务器规模的网络中，按常理来说你是已经使用了ldap权限统一认证的，你如何使这个开发人员只能以普通用户的身份登陆5台web服务器，而且同时容许他以管理员的身份登陆另外10台hadoop服务器呢？而且同时他对其它剩下的200多台服务器没有访问权限

2. 目前据我了解，不少公司的运维团队为了方面，整个运维团队的运维人员仍是共享同一套root密码，这样内部信任机制虽然使你们的工做方便了，但同时存在着极大的安全隐患，不少状况下，一个运维人员只须要管理固定数量的服务器，毕竟公司分为不一样的业务线，不一样的运维人员管理的业务线也不一样，但若是共享一套root密码，其实就等于无限放大了每一个运维人员的权限，也就是说，若是某个运维人员想干坏事的话，他能够在几分钟内把整个公司的业务停转，甚至数据都给删除掉。为了下降风险，因而有人想到，把不一样业务线的root密码改掉就ok了么，也就是每一个业务线的运维人员只知道本身的密码，这固然是最简单有效的方式，但问题是若是你同时用了ldap,这样作又比较麻烦，即便你设置了root不经过ldap认证，那新问题就是，每次有运维人员离职，他所在的业务线的密码都须要从新改一次。

　　其实上面的问题，我以为能够很简单的经过堡垒机来实现，收回全部人员的直接登陆服务器的权限，全部的登陆动做都经过堡垒机受权，运维人员或开发人员不知道远程服务器的密码，这些远程机器的用户信息都绑定在了堡垒机上，堡垒机用户只能看到他能用什么权限访问哪些远程服务器。

　　在回收了运维或开发人员直接登陆远程服务器的权限后，其实就等于大家公司生产系统的全部认证过程都经过堡垒机来完成了，堡垒机等于成了大家生产系统的SSO(single sign on)模块了。你只须要在堡垒机上添加几条规则就能实现如下权限控制了：

1. 容许A开发人员经过普通用户登陆5台web服务器，经过root权限登陆10台hadoop服务器，但对其他的服务器无任务访问权限

2. 多个运维人员能够共享一个root帐户，可是依然能分辨出分别是谁在哪些服务器上操做了哪些命令，由于堡垒机帐户是每一个人独有的，也就是说虽然全部运维人员共享了一同一个远程root帐户，但因为他们用的堡垒帐户都是本身独有的，所以依然能够经过堡垒机控制每一个运维人员访问不一样的机器。

2、审计管理

　　审计管理其实很简单，就是把用户的全部操做都纪录下来，以备往后的审计或者事故后的追责。在纪录用户操做的过程当中有一个问题要注意，就是这个纪录对于操做用户来说是不可见的，什么意思？就是指，不管用户愿不肯意，他的操做都会被纪录下来，而且，他本身若是不想操做被纪录下来，或想删除已纪录的内容，这些都是他作不到的，这就要求操做日志对用户来说是不可见和不可访问的，经过堡垒机就能够很好的实现。

3、堡垒机架构 

　　堡垒机的主要做用权限控制和用户行为审计，堡垒机就像一个城堡的大门，城堡里的全部建筑就是你不一样的业务系统 ， 每一个想进入城堡的人都必须通过城堡大门并通过大门守卫的受权，每一个进入城堡的人必须且只能严格按守卫的分配进入指定的建筑，且每一个建筑物还有本身的权限访问控制，不一样级别的人能够到建筑物里不一样楼层的访问级别也是不同的。还有就是，每一个进入城堡的人的全部行为和足迹都会被严格的监控和纪录下来，一旦发生犯罪事件，城堡管理人员就能够经过这些监控纪录来追踪责任人。 

　　堡垒要想成功彻底记到他的做用，只靠堡垒机自己是不够的， 还须要一系列安全上对用户进行限制的配合，堡垒机部署上后，同时要确保你的网络达到如下条件：

• 全部人包括运维、开发等任何须要访问业务系统的人员，只能经过堡垒机访问业务系统
  • 回收全部对业务系统的访问权限，作到除了堡垒机管理人员，没有人知道业务系统任何机器的登陆密码
  • 网络上限制全部人员只能经过堡垒机的跳转才能访问业务系统 
• 确保除了堡垒机管理员以外，全部其它人对堡垒机自己无任何操做权限，只有一个登陆跳转功能
• 确保用户的操做纪录不能被用户本身以任何方式获取到并篡改

4、堡垒机功能实现需求

业务需求:

1. 兼顾业务安全目标与用户体验，堡垒机部署后，不该使用户访问业务系统的访问变的复杂，不然工做将很难推动，由于没人喜欢改变现状，尤为是改变后生活变得更艰难
2. 保证堡垒机稳定安全运行， 没有100%的把握，不要上线任何新系统，即便有100%把握，也要作好最坏的打算，想好故障预案

功能需求：

1. 全部的用户操做日志要保留在数据库中
2. 每一个用户登陆堡垒机后，只须要选择具体要访问的设置，就链接上了，不须要再输入目标机器的访问密码
3. 容许用户对不一样的目标设备有不一样的访问权限，例:
1. 对10.0.2.34 有mysql 用户的权限
2. 对192.168.3.22 有root用户的权限
3. 对172.33.24.55 没任何权限
4. 分组管理，便可以对设置进行分组，容许用户访问某组机器，但对组里的不一样机器依然有不一样的访问权限　　

5、设计表结构：

一、直接经过linux用户和密码登陆

二、经过ssh公钥登陆

秘钥生成命令
1.ssh-keygen
    .ssh/.id_rsa 私钥
    .ssh/.id_rsa.pub 公钥
2. 把公钥copy到要登陆的目标机器上
    scp -rp id_rsa alex@192.168.10.35:/home/alex/ #把本地文件copy到远程
    scp -rp alex@192.168.10.35:/home/alex/id_rsa /tmp/ #把远程文件copy到本地

    查看当前用户id, whoami
    su - alex 切换用户
    cat id_rsa.pub >authorized_keys 读出id_rsa.pub的内容并写入到>后的文件,(覆盖)
    cat id_rsa.pub >>authorized_keys 读出id_rsa.pub的内容并写入到>后的文件,(追加)

3. 在目标机器上,把id_rsa.pub里的key取出写入.ssh/authorized_keys

ubuntu系统：

#安装paramiko

sudo pip3 install -i http://pypi.douban.com/simple/ paramiko --trusted-host pypi.douban.com

#搜索全部可用的安装包
sudo apt-cache search openssl

#安装 libssl-dev
sudo apt-get install libssl-dev

开机自动加载保垒机程序方法：

在普通用户家目录下面：

vim home/taram/.bashrc 

把这段代码加到文件结尾：

python3 s3CrazyEye/crazyeye_manager.py run
logout

6、安装shellinabox-master

插件介绍：经过web页面管理linux主机（电脑版）

软件安装：

#安装依赖包

yum install git openssl-devel pam-devel zlib-devel autoconf automake libtool -y

mkdir -p /home/nulige/tools

cd /home/nulige/tools

#下载软件包
git clone https://github.com/shellinabox/shellinabox.git && cd shellinabox


#安装软件须要的组件
autoreconf -i


#编译安装软件
 ./configure --prefix=/usr/local/shellinabox

make && makeinstall

#进入软件目录
cd /usr/local/shellinabox/bin

#启动软件
./shellinaboxd -t -b

#检查4200端口是否启动

[root@paramiko-server ~]# netstat -lnt
Active Internet connections (only servers)
Proto Recv-Q Send-Q Local Address               Foreign Address             State      
tcp        0      0 0.0.0.0:22                  0.0.0.0:*                   LISTEN      
tcp 0      0 0.0.0.0:4200                0.0.0.0:* LISTEN  
tcp        0      0 0.0.0.0:80                  0.0.0.0:*                   LISTEN      
tcp        0      0 :::22                       :::*                        LISTEN    

#访问网站

#查看本机ip地址，而后ip+4200端口，就能够访问啦！

http://192.168.30.130:4200/

#在linux保垒机上面新建一个普通用户

#建立普通用户
useradd jojo
#设置密码
passwd jojo
输入两遍密码：123456

#登陆shellinabox

 

名称：WebShell

插件介绍：经过web页面管理linux主机（手机版）

yum install openssl python pyOpenSSL

./make_certificate.sh

./webshell.py

 运行效果：