企业安全建设第11课--实验堡垒机使用
实验名称
堡垒机使用
实验目的
了解堡垒机的使用,及审计原理
实验环境
一台已经安装好的 jumperserver 堡垒机
一台windows服务器 作为被管理目标服务器,同时作为客户端连接堡垒机
一台linux服务器,作为被管理目标服务器,也可用作SSH客户端,连接堡垒机
实验步骤
1、打开jumpserver 后台服务
登录jumpserver服务器
切换 root用户
sudo -i
进入py3环境
source /opt/py3/bin/activate
启jumpsever动服务
cd /opt/jumpserver
./jms start all -d
打开所需的docker容器
因为镜像中的容器IP地址发生改变,所以参数不正常。这里要重新创建两个容器。dock 大家注意替换下面命令中的IP地址 192.168.0.11
docker run --name jms_koko2 -d -p 2222:2222 -p 5000:5000 -e CORE_HOST=http://192.168.0.11:57046 -e BOOTSTRAP_TOKEN=360College360Col -e LOG_LEVEL=ERROR jumpserver/jms_koko:1.5.0
docker run --name jms_guacamole2 -d -p 8081:8081 -e JUMPSERVER_SERVER=http://192.168.0.11:57046 -e BOOTSTRAP_TOKEN=360College360Col jumpserver/jms_guacamole:1.5.0
docker start jms_guacamole
检查容器是否启动
docker ps -a
启动nginx
systemctl start nginx
检查nginx是否启动(实验环境中配置的是57047端口)
ss -lntp | grep "57047"
2、登录Windows服务器,访问jumserver
用户名:admin 密码:360College
实验环境中,已经配置了双因子验证,要配合google令牌进行登录。请同学按照提示进行绑定。 先输入密码360College
jumpserver继续点下一步,注意红框中密钥
使用手机或android模拟器扫描二维码下载APP双因素令牌 下载安装打开后如图,点击开始
输入上面的密钥,
点击添加后,动态口令就可以展示出来。将动态口令输入到WEB上。即可绑定成功。
再重新登录,用户名密码不变,(admin:360Collegel)
这时会要求输入动态口令,才能进入。
在实验环境是中,大家已经理解MFA多因子验证。接下来,关闭其它用户的MFA登录。
3、创建普通用户
普通用户是登录jumpserver的用户。 用户名 360 密码360College 如图,这里的MFA认证,即多因子验证,就像我们刚才的管理员使用手机APP生成动态口令验证一样。
4、创建资产--管理用户
管理用户是被管理服务器的root用户,可以在被管理服务器上远程执行脚本。执行脚本依赖组件ansible。
这里为了便于区分,管理用户名、密码均为guanliyonghu
5、创建系统用户
系统用户是被管理服务上,给运维人员使用的用户。可以手动创建,也可以结合ansible推送,我们这里演示ansible推送。 系统用户是运维人员使用的,可以将密码托管到堡垒机,避免记很多密码。
注意红框的标记,取消自动生成密钥
用户名密码均为xitongyonghu(这个密码不用告诉运维人员)
再建一个Windows下的系统用户(windows没有办法推送账号更新,必须手动创建) 我们这里选择手动登录,不托管密码
6、创建资产
新建centos资产,注意IP与实验环境中一致
新建Windows资产,注意IP与实验环境中一致
7、授权资产给用户
8、配置Centos服务器
安装ansible
登录到环境中的centos服务器
切换成root用户
sudo -i
编辑文件 vim /etc/yum.repos.d/ansible
加入以下内容
[epel]
name = all source for ansible
baseurl = https://mirrors.aliyun.com/epel/7/x86_64/
enabled = 1
gpgcheck = 0
[ansible]
name = all source for ansible
baseurl = http://mirrors.aliyun.com/centos/7.3.1611/os/x86_64/
enabled = 1
gpgcheck = 0
安装ansible
yum install ansible -y
创建管理用户
useradd guanliyonghu
修改guanliyonghu 密码为 guanliyonghu
passwd guanliyonghu
给guanliyonghu添加root权限
vim /etc/passwd
修改用户和组ID为0,保存退出。
8、推送xitongyonghu
给centos服务器建立xitongyonghu 点击xitongyonghu
推送用户,将会以guanliyonghu登录centos,创建xitongyonghu
9、测试配置
使用windows登录,堡垒机,可以用火狐新开一个隐私窗口,同时登录管理员和普通用户。
用户名360 密码360College
如果是访问命令提示行,也可以使用ssh连接服务器2222端口。 如图
总结
本文仅讲了堡垒机的基础配置。
还有很多关于权限的设置没有讲到,比如禁止一些命令。 rm -rf vim /etc/passwd
比如,回放录像,大家可以自己研究。 更多功能,也可以参照官网配置。(中文的)