为了保证服务器安全，加个堡垒机，所有ssh连接都通过堡垒机来完成，堡垒机也需要有身份认证，授权，访问控制，审计等功能。

Jumpserver 是一款由python编写开源的跳板机（堡垒机）系统，实现了跳板机应有的功能。基于ssh协议来管理，客户端无需安装agent。

在公司中，分配人员服务器权限也是相当方便，如：来一个新人，在Jumpserver分配Jumpserver账号即可，人员离职，在Jumpserver删掉人员账号即可。无需担心人员离职留下后门，当然前提是检查防火墙，只允许Jumpserver服务器有其他服务器的ssh的权限。

目前市面上已经有很多jumpserver产品提供使用，这里就介绍最广泛的一款。 官方网址：https://www.jumpserver.org/

参考官方部署文档：https://docs.jumpserver.org/zh/master/install/setup_by_fast/

这款也是基于docker运行的，不管一键部署，还是手动部署都是docker，手动部署区别主要是改密码、IP、端口自定义之类的。默认的其实已经很好没必要改了。相对来所，搭建还是比较容易的，官方脚本一步到位。

如果没有安装docker，可以选择这种方式，脚本会自带安装docker及相关配置。请确保服务器上没有已关闭其他mysql或者nginx服务，因为会占用端口。

安装界面：

安装完成后，进入启动即可

如果已经安装了docker，或者自己改配置在启动，可选择手动部署。

启动方式一样，脚本启动

安装完成后，在服务器上，可看见docker的jumpserver服务都已经up状态。 浏览器输入服务器IP地址，即可进入 默认管理员账户admin，密码admin，第一次登录提示会更改密码，更改密码后，重新登录即可进入。

情景：员工zhangsan，服务器192.168.152.100。现在需要添加服务器192.168.152.100到jumpserver，并允许员工zhangsan登录。

添加员工账户zhangsan，系统角色用户即可。这个简单，就不介绍了。

2.1：系统用户

系统用户选项，有普通用户和特权用户，有些人分不清。

这两个用户，都是给jumpserver这个软件使用的，jumpserver用这两个用户连接到其他服务器。

特权用户：最高权限， 如 root 或 拥有 NOPASSWD: ALL sudo 权限的用户，只允许jumpserver使用，JumpServer 使用该用户来 推送系统用户、获取资产硬件信息 等，系统也有提示。远程服务器上存在的用户信息。

普通用户：可以在服务器预先存在的用户，也可以由 特权用户 来自动创建。是zhangsan登录服务器时用的用户名。也可以直接是特权用户root等，看权限分配。 创建特权用户，给jumpserver软件连接用，这里用的ubuntu，登录方式密钥，上传密钥即可。 普通用户，可创建也可以不创建，如直接使用特权用户ubuntu即可。如果创建后（如：user01），jumpserver会在远程服务器上通过ubuntu这个特权用户自动创建这个用户(如：user01)。

2.2： 资产列表

资产列表，就是添加服务器地址，特权用户，就是上面创建的给jumpserver连接远程服务器使用的。

特权用户的账户密码没错的话，添加完成后，可以看到连接行是绿色的勾

点进去查看，也可以看到服务器相关硬件信息 到这里，服务器添加完成。

服务器添加完成后，需要给zhangsan使用，就需要给zhangsan这个账户授权。

在资产授权里，可以看到已经存在的服务器，但是没有授权，也是空白。所以选择创建。

填写名称，用户选择zhangsan，如果有多个用户需要使用，可添加多个。

用户组，即对这个用户组的所有用户授权，便于人员的管理，这里只对单个人授权，所有保持为空，毕竟用户组有些人员也是没必要使用的。

资产，选择要授权的服务器，这里选择刚才的添加的192.168.152.100。

节点，即分组，在服务器很多的情况下，可以选择某个节点，即服务器分组给上面的人员授权。同理，这里只对单个服务器授权，所有保持为空，毕竟节点下所有服务器也是没必要全部使用的。

系统用户，我这里默认全部使用特权用户，及ubuntu，所以人员进入服务器都是以ubuntu进入。当然，如果上面创建了普通的系统用户，也可以选择普通的系统用户。如果公司人多的话，还是需要创建的，便于权限管理。

到这里，服务器授权管理已经完成。

有两种登录方式，一种网页登录，另一种第三方ssh工具登录。

浏览器打开jumpserver网址。

用zhangsan账户登录jumpserver，界面简单，只显示有权限的资产，即服务器名单 点击web终端，可直接进入网页版登录，服务器，选择需要的服务器点击即可。

如：xshell，Putty等，ssh堡垒机IP，端口：2222。进入根据提示选择需要登录的服务器。这里以xshell为例。

将端口改成2222，然后登录 登录后，输入zhangsan账户密码，即可，根据提示进入授权服务器 到这里就设置完成了。

管理员用户，或者审计员用户，可以在视图审计台中，查看相关登录记录，命令记录，以及回放。