|
|
|
|
移动端

谈谈搭建堡垒机的几条原则

总结一下这几年使用堡垒机的经验教训,和大家做一个分享,无论是使用自建堡垒机还是采用一些商用方案,通用的原则是不会变的。希望对大家有所帮助,如果有遗漏的地方,欢迎补充和指教。

作者:谢东升Forest来源:架构栈|2018-02-05 10:09

技术沙龙 | 邀您于8月25日与国美/AWS/转转三位专家共同探讨小程序电商实战

总结一下这几年使用堡垒机的经验教训,和大家做一个分享,无论是使用自建堡垒机还是采用一些商用方案,通用的原则是不会变的。希望对大家有所帮助,如果有遗漏的地方,欢迎补充和指教。

原则1:一要建立个人帐号的概念,必须做到一人一个帐号,绝不允许多个人共用个人帐号,更不能允许共同账号登录堡垒机。

原则2:从本机到服务器上每一道防线的安全等级应该是等同的。一定一定不要出现登录跳板机有很强大的管控,但是到了业务服务器上就是人root或者拥有sudo权限类似的情况。

原则3:必须要有操作日志,记录每一条操作或者记录登录到堡垒机后所有的输出。特别是危险的操作,除了直接禁止掉,同时必须要报警出来。

原则4:身份验证,杜绝使用密码登录,建议使用个人token+动态密码的方式。对登录的机器需要做物理验证,身份需要手机动态码验证。

原则5:用户授权,建议结合公司内部CMDB来做到一一对应,不同的岗位对于不同的权限,不建议手动去维护,会出现权限维护不及时。

原则6:网络隔离,堡垒机本身只有公司内网才能访问。进一步的,做到环境隔离,例如,生产环境和测试环境隔离;同时做到业务之间的隔离,不同业务线的机器是不能相互访问。

原则7:高可用,堡垒机本身的高可用需要重点关注,做好定时备份和应急处理,报警机制必须要有,需要运维专人专岗来维护。

【编辑推荐】

  1. 使用Nginx搭建高可用,高并发的WCF集群
  2. 搭建高密度数据中心:HCI能提供哪些帮助?
  3. App越来越慢?原因终于找到了
  4. 基于x86和Linux服务器之性能优化的3原则3误区
  5. 服务器磁盘异常爆满的原因及解决方法
【责任编辑:武晓燕 TEL:(010)68476606】


点赞 0
分享:
大家都在看
猜你喜欢
24H热文
一周话题
本月最赞

视频课程+更多

热门职位+更多

读 书 +更多

人月神话:32周年中文纪念版

在软件领域,很少能有像《人月神话》一样具有深远影响力并且畅销不衰的著作。Brooks博士为人们管理复杂项目提供了最具洞察力的见解。既有很...

订阅51CTO邮刊

点击这里查看样刊

订阅51CTO邮刊