堡垒跳板机实现——架构实现

开发 架构
这是关于堡垒机实现的第二篇文章,主要阐述三层架构分别如何实现,包括第一层&第二层的设计与实现,即用户登录堡垒机的入口 & 授权验证, 第三层,如何通过ldap来统一管理服务器账号权限。

总述

这是关于堡垒机实现的第二篇文章,主要阐述三层架构分别如何实现,包括***层&第二层的设计与实现,即用户登录堡垒机的入口 & 授权验证, 第三层,如何通过ldap来统一管理服务器账号权限。

关于堡垒机三层架构可以参见前一篇blog:堡垒跳板机实现——整体架构

登录入口

先说***层,这层的主要功能为检测用户是否有使用堡垒机的权限。这个很好理解,总不能来个匿名用户就可以让他随意使用堡垒机,虽说在二层授权验证这里可以有效的抵挡,但是,既然可以在***层有效的对无效用户做快捷的拦截,为什么要放后呢?

验证的方式可以有很多种,比如,如果用linux用作***层架构中的服务器,那么可以天然的使用linux的user auth作为检验机制,单纯为有使用权限的用户在服务器上adduser,单***建一个唯一的32位的密码。

服务器定制

我们在这层的做法是 将用户验证与我们内部的动态Token服务相结合(类似google authenticator),同时还要提供友好的登录shell界面,这样的话单纯的使用user auth就不太能够达到我们的目的,这里,我们对一层服务器做了ssh登录all permit定制,修改/etc/pam.d/sshd:

auth     required       pam_permit.so 
account  required       pam_permit.so 
password required       pam_permit.so 
session  required       pam_permit.so  
  • 1.
  • 2.
  • 3.
  • 4.

开启sshd的pam认证,修改sshd_config:

UsePAM yes 
  • 1.

然后重启sshd:

/etc/ini.d/sshd restart 
  • 1.

同时将用户对应的默认login shell改为我们自定义的。

代码结构

放上我们的代码结构,主要结构如下:

├── gateway-shell 
├── login-shell 
├── mshell 
└── sdshell  
  • 1.
  • 2.
  • 3.
  • 4.

功能描述

接下来对上述文件做下功能描述:

  • login-shell: 用户的login shell,调用sdshell验证用户的login passwd,初始化用户的监控日志路径,并开启监控。
  • sdshell:读取用户的login passwd并判断验证结果,以exit code来对表示验证结果,0表示验证成功,1表示验证失败,2表示root用户登录并且验证成功。
  • mshell:验证用户passwd成功能,循环调用gateway-shell来读取用户的action操作选择,并执行。
  • gateway-shell:提供给用户操作cli界面,供用户选择操作。

调用顺序为:

login_shell(入口) -> sdshell(判断PIN+TOKEN) -> mshell -> gateway-shell(判断/获取 用户选项) 
  • 1.

代码解读

login_shell:

当用户登录时首先进入到这里进行验证

1 #!/bin/bash 
 2  
 3 WORKDIR=`dirname $0` 
 4 source $WORKDIR/sentry.env 
 5 BINDIR="$WORKDIR" 
 6 #LOGDIR="/data0/logdir" 
 7  
 8 #1, 验证token 
 9 $BINDIR/sdshell 
10 sdstats=$? 
11 #sdstats=0 
12  
13 # 当sdshell返回为0时,表示当前用户登录成功 
14 # 当sdshell返回为1时,表示当前用户验证失败 
15 # 当sdshell返回为2时,表示root登录成功 
16 if [[ $sdstats -eq 1 ]];then 
17     exit 1 
18 elif [[ $sdstats -eq 2 ]];then 
19     /bin/bash 
20     exit 0 
21 fi 
22  
23 #2, gen_log_dir 
24 user=`/usr/bin/whoami` 
25 if [ ! -d $LOGDIR/$user ];then 
26     mkdir -p $LOGDIR/$user 
27     chown -R $user $LOGDIR/$user 
28     chmod a+w $LOGDIR/$user 
29 fi 
30  
31 #3, param 
32 lip=`/usr/bin/env|grep SSH_CONNECTION|cut -f 2 -d =|cut -f 1 -d ' '
33 now=`date '+%F-%k:%M:%S'|tr -d " "
34 user=`/usr/bin/whoami` 
35 sip=`/usr/bin/env|grep SSH_CONNECTION|cut -f 2 -d =|cut -f 3 -d ' '
36  
37 #4, begin script 
38 export TMOUT=10 
39 export SHELL=$BINDIR/mshell 
40 /usr/bin/script -q -t 2>$LOGDIR/$user/$user-$lip-$sip-$now.time -f $LOGDIR/$user/$user-$lip-$sip-$now.txt  
  • 1.
  • 2.
  • 3.
  • 4.
  • 5.
  • 6.
  • 7.
  • 8.
  • 9.
  • 10.
  • 11.
  • 12.
  • 13.
  • 14.
  • 15.
  • 16.
  • 17.
  • 18.
  • 19.
  • 20.
  • 21.
  • 22.
  • 23.
  • 24.
  • 25.
  • 26.
  • 27.
  • 28.
  • 29.
  • 30.
  • 31.
  • 32.
  • 33.
  • 34.
  • 35.
  • 36.
  • 37.
  • 38.
  • 39.
  • 40.

其中,3-5行做基本的环境变量初始化,第9行调用 sdshell 验证用户输入的动态码的验证结果,即,用户在这时进入到 sdshell 做验证,此时,就可以随意对 sdshell 做功能定制了,我们实现的功能定制界面类如:

是不是比较酷炫~~

当一切都验证完毕,我们进入到login_shell第24-35行,初始化用户行为日志记录的初始化。

我们这里使用linux自带的script命令做用户的记录操作,简单有效到没有朋友啊有木有!!

***39-40两行,将用户的shell指向 mshell ,同时,开始记录用户行为。

mshell

现在用户的行为已经进入到这里,说明这个用户通过了***层校验,现在需要他进行相关action操作。

1 #!/bin/bash 
  2  
  3 WORKDIR=`dirname $0` 
  4 source $WORKDIR/sentry.env 
  5 user=`/usr/bin/whoami` 
  6 GWDIR=$WORKDIR 
  7 privatekey=$RSAFILE 
  8 mkdir /home/$user/.ssh 2>/dev/null 
  9 cat $privatekey > /home/$user/.ssh/id_rsa 
 10 chmod 600 /home/$user/.ssh/id_rsa 
 11  
 12 while true 
 13 do 
 14     clear 
 15     $GWDIR/gateway-shell 
 16     gsstats=$? 
 17  
 18     # 返回值说明: 
 19     # 0 表示正常,要登录了; 
 20     # 1 表示立即quit 
 21     # 2 表示因为超时而quit 
 22     # 3 表示登录本地服务器 
 23     # 其他未异常 
 24     case $gsstats in 
 25         0) 
 26             ssh -2 -i ~/.ssh/id_rsa -l $user `cat $ACTIONDIR/$user.action
 27             ;; 
 28         1) 
 29             exit 
 30             ;; 
 31         2) 
 32             echo "action timeout" 
 33             exit 
 34             ;; 
 35         3) 
 36         /bin/bash 
 37             ;; 
 38         *) 
 39             echo "error" 
 40             sleep 2 
 41             ;; 
 42     esac 
 43 done  
  • 1.
  • 2.
  • 3.
  • 4.
  • 5.
  • 6.
  • 7.
  • 8.
  • 9.
  • 10.
  • 11.
  • 12.
  • 13.
  • 14.
  • 15.
  • 16.
  • 17.
  • 18.
  • 19.
  • 20.
  • 21.
  • 22.
  • 23.
  • 24.
  • 25.
  • 26.
  • 27.
  • 28.
  • 29.
  • 30.
  • 31.
  • 32.
  • 33.
  • 34.
  • 35.
  • 36.
  • 37.
  • 38.
  • 39.
  • 40.
  • 41.
  • 42.
  • 43.

3-10行环境初始化,然后开启循环监听用户输入的action,为用户展示可使用的action list以及判断用户是否有对应操作的权限则都是第15行的 mshell 来进行操作,之后同样根据exit code来执行相关的动作。

对于 mshell ,同样可以自行设计相关的功能,我们设计的shell操作界面如下:

 同样酷炫有木有!

一层架构总结

此时,一层架构中的流程实现基本完成,剩下的就是具体控制登录服务器的技术管理工作,即第三层的工作了,稍后为大家分享。

再次总结下一层架构中的调用关系:

login_shell(入口) -> sdshell(判断PIN+TOKEN) -> mshell -> gateway-shell(判断/获取 用户选项) 
  • 1.

咦,好像缺少第二层的说明?

其实第二层主要做action行为授权&校验工作,还记得 gateway-shell 的作用吗:

“为用户展示可使用的action list以及判断用户是否有对应操作的权限 ”

在这里 gateway-shell 通过api与第二层做交互,对用户的行为及授权范围作了操作,具体交互的功能包括:

  • 搜索服务器信息;
  • 获取用户有权限的服务器list;
  • 获取用户有权限的服务器Group list;
  • 获取服务器Group下的server list;
  • 获取当前所有有权限的user list

具体怎么实现? 相信1000个工程师有1001中不同的做法,这里就不在阐述~

如何统一管理服务器的登录账号

接入我们有1000台服务器,有100个人,需要统一管理 哪些账号 可以登录 哪些服务器,哪些账号 在 哪些服务器 上可以 sudo哪些命令 。

问题抛出来了,下面就是如何解决它。

单刀直入的方案,我为每个服务器根据需要创建对应的人的账号,在分别配置sudoer的权限。缺点就不说了,改个配置能累死人。。。。。

所以,我们***能有个地方能够统一来配置:

  • 创建一个人的账号后,那么这个人就能登录所有的服务器;
  • 管理这个人的登录服务器的范围;
  • 为这个人分配统一的sudo权限,及在哪些目标服务器上有执行哪些命令的sudo权限;

上述的需求可以通过服务器接入ldap,通过ldap管理在实现上述的需求。

具体的过程这里不再累赘,可以参见网上的博文,还是挺多的,比如:

使用 OpenLDAP 集中管理用户帐号

基于 PAM 的 LDAP 用户身份验证

这里只贴上完成后类似的ldap结构:

[root@testldap openldap]# ldapsearch -x -LLL -D "cn=admin,dc=lianjia,dc=com" uid=test -W 
Enter LDAP Password
dn: uid=test,ou=people,dc=lianjia,dc=com 
objectClass: posixAccount 
objectClass: shadowAccount 
objectClass: person 
objectClass: inetOrgPerson 
objectClass: ldapPublicKey 
cn: System 
sn: li 
givenName: test 
displayName: test 
uid: test 
userPassword:: testpasswd 
uidNumber: 1001 
gidNumber: 1001 
gecos: System Manager 
homeDirectory: /home/test 
shadowLastChange: 16020 
shadowMin: 0 
shadowMax: 999999 
shadowWarning: 7 
shadowExpire: -1 
employeeNumber: 20248353 
mobile: 18519199234 
mail: 654306390@qq.com 
postalAddress: beijing 
initials: test 
loginShell: /bin/bash 
sshPublicKey: ssh-rsa Axxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx32x9jF5cFDqktiTQIdD9 
 PMq8b86v2p8Es4us7OTzo7XomcjEPpfP/Realy9BOuteohA4JzezrAyFQhJui6BdovkzhnVRyFERJ 
 uTA/19biQkCZB91XrWxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxJXH+f0 
 VOvx5FiF0bV3IfJt32cdmI8O7hNI+ttPCQ4V1R8vr0wIhCmUcKzD5vOx+0H9B1EY4d/imSxFHIebe 
 4l//rthyAr3x0XmNvuFD9khqfDK7bmXnHu26s++O8A1SDJ5beuu4xXl/mN8mc5WPmoQQSjIzruWPa 
 jLx8m6HF root@channel.lianjia.com  
  • 1.
  • 2.
  • 3.
  • 4.
  • 5.
  • 6.
  • 7.
  • 8.
  • 9.
  • 10.
  • 11.
  • 12.
  • 13.
  • 14.
  • 15.
  • 16.
  • 17.
  • 18.
  • 19.
  • 20.
  • 21.
  • 22.
  • 23.
  • 24.
  • 25.
  • 26.
  • 27.
  • 28.
  • 29.
  • 30.
  • 31.
  • 32.
  • 33.
  • 34.
  • 35.

这样,对于此用户,就可以通过password 或者 publickey的方式,登录服务器,同理,也可以对sudo进行类似的管理,还是真心强大的。

责任编辑:庞桂玉 来源: segmentfault
相关推荐

2016-10-09 14:48:14

Linux整体架构跳板机

2014-08-15 15:57:18

2022-06-23 07:05:46

跳板机服务器PAM

2010-11-15 14:12:00

德讯

2015-12-03 10:51:16

2017-11-23 15:22:02

开源FIT2CLOUD混合云

2025-01-13 12:20:00

AnsibleSSH跳转SSH

2025-01-08 00:09:00

云平台云计算管理

2025-02-27 14:01:50

2017-02-24 17:24:16

Etcd架构分布式系统

2017-06-02 09:10:15

架构等效性系统

2013-12-27 10:48:55

2022-09-05 17:34:40

网络安全

2016-06-07 16:43:57

云计算混合云

2020-05-19 21:40:35

Tomcat架构Connector

2024-09-20 21:09:42

2009-09-15 13:33:38

SOA架构

2022-08-26 10:24:48

架构Golang

2009-02-27 10:04:25

动态基础架构NEDC

2016-04-25 20:48:06

IBM
点赞
收藏

51CTO技术栈公众号