案例研究｜依能科技基于JumpServer构建运维安全审计平台

Posted 2023-03-14 FIT2CLOUD飞致云

成都依能科技股份有限公司（以下简称为“依能科技”）成立于2004年，是一家总部位于四川成都的教育信息化行业软件企业，主要为学历教育和职业培训机构提供SaaS云平台及配套产品和服务。在其所服务的客户中，很多高等院校对于IT服务的信息安全有着非常严格的要求。

出于安全审计以及业务拓展的需要，依能科技在IT运维的安全性、管理规范性等方面进行了深入的考量，这些实际的需求驱动着依能科技构建自己的运维安全审计平台。

业务面临的痛点和需求

依能科技的业务主要面向职校、高校客户，随着公司业务的快速发展，依能科技的运维团队所管理的IT资产规模迅速扩张，并且拥有众多包含阿里云、华为云、亚马逊AWS在内的混合云资产以及本地部署的资产，IT环境较为复杂。

同时，高校对于运维安全的要求越来越高，依能科技运维团队日常的运维工作日趋繁重，同时也面临着更多的挑战：

1. IT资产缺乏统一的访问途径

依能科技的运维团队成员通常是通过各自常用的终端工具连接到服务器进行运维工作的，公司的IT资产缺乏统一的访问入口和途径。每次连接新的服务器都需要在终端工具中创建服务器，服务器的密码更新也需要运维人员手动操作来维护，工作效率低下，管理维护成本也比较高；

2. 系统存在安全隐患

在使用堡垒机之前，依能科技的服务器密码是由运维人员通过Excel表格进行维护和管理的。这样的维护方式使得服务器密码存在很大的泄露风险，系统具有很大的安全隐患，不利于公司进行安全运维和规范管理；

3. 操作审计问题

由于没有统一的运维安全审计平台，运维团队无法对团队内外成员的操作行为进行追溯。用户的一些误操作行为很有可能会导致系统出现问题。系统一旦出现故障，由于没有录像审计，公司很难定位是谁做了什么操作造成了故障的发生。定位故障问题的成本很高，同时也会导致系统无法及时进行排查和修复，影响公司业务的正常运行。

同时，服务器还可能由于各种原因发生宕机等故障，影响客户的使用。在私有化部署交付的场景中，依能科技交付给客户的最终形态是“软件+硬件”的形式，硬件设备由其他厂商提供。因此，如果服务器出现故障，依能科技的运维人员就需要到客户现场去确认故障到底是软件还是硬件造成的，故障排查的时间成本和人力成本都非常高。

▲图1 运维人员需分别进行操作审计

针对以上痛点和需求，依能科技急需改变IT运维的方式，构建一个更安全、更规范的运维安全管理系统。

为什么选择JumpServer？

为了解决运维过程中出现的种种问题和挑战，依能科技启动了构建企业级运维安全审计平台的工作。依能科技的运维团队负责人白云开始寻找运维审计解决方案，发现JumpServer开源堡垒机满足了依能科技对堡垒机的所有想象，能够很好地解决公司当前面临的主要需求：

■ 统一资产访问门户

通过登录JumpServer，运维人员可以直接访问已经授权的服务器进行运维管理工作。这样一来，就获得了统一的运维访问门户，使用起来十分便捷。同时，服务器的账号密码统一托管在JumpServer中，运维人员无需再花费额外的精力来管理服务器的账号和密码，大幅提高了运维团队的管理效率；

■ 录像审计

JumpServer堡垒机支持日志审计和会话管理功能，用户可以通过JumpServer进行录像审计，记录所有用户的操作行为。一旦服务器发生故障，管理员可以通过录像回放快速定位故障原因，确保问题及时得到解决，快速恢复业务的运行。同时，录像回放还可以提供证据来证明故障是否是由于公司运维人员的误操作行为引起的，有效避免了需要和硬件供应商厘清责任的情况发生；

■ 开源开放

JumpServer作为一款广受欢迎的开源堡垒机，提供了一个开源开放的平台，用户可以非常方便地在GitHub上下载部署和体验JumpServer。JumpServer开源堡垒机有着非常活跃的开源社区群，开源爱好者可以在里面畅所欲言，交流各自遇到的问题，还能和JumpServer的支持团队实时进行沟通，提出对JumpServer的需求和反馈，让JumpServer的功能不断地进行迭代和改进。

▲图2 JumpServer堡垒机的部署架构

考虑到运维的便利性，依能科技选择了单机部署的部署方式。在公司内部部署JumpServer堡垒机，将所有的服务器、网络设备、安全设备和数据库都部署在一台主机上，通过JumpServer堡垒机来运维管理公司内部以及学校客户的服务器。

在依能科技如今实行的CI/CD（持续集成/持续交付）交付模式下，公司的运维人员需要频繁地访问和管理众多服务器，采用单机部署模式的JumpServer在如此高频的使用场景中依然能够持续稳定地提供服务。

JumpServer带来的价值收益

在实际使用过程中，依能科技逐步体验到了JumpServer的很多功能亮点，以及其为公司业务运营带来的价值收益：

■ 部署使用便捷

依能科技的运维团队之前并没有接触过堡垒机这类产品，但是参照JumpServer的官方文档，就可以轻松实现一键部署，部署过程非常简单快捷，而且版本之间升级也十分顺滑。

同时，JumpServer的UI界面简洁明了，在公司内部推行的时候，用户花费很少的时间成本就可以学会堡垒机的基本使用技能，在短时间内都可以非常容易地上手使用JumpServer，提升了用户的使用体验和效率；

■ 迭代速度快

JumpServer坚持按月迭代发布新版本，每次发版都会聆听社区用户的声音，收集用户的建议，增加新的功能。在功能迭代的过程中，JumpServer也给依能科技带来了很多惊喜，比如通过客户端连接数据库功能、RDP连接Windows资产的功能优化等。在后续的迭代中，JumpServer不断提供的新功能，解决了依能科技在数据库管理等方面的需求，满足了公司的运维要求；

■ 稳定运行保障

依能科技向客户交付的SaaS软件主要采用CI/CD的交付模式，公司的运维人员需要频繁地进行运维操作，因此堡垒机的稳定性对于依能科技的运维团队来说至关重要。JumpServer符合4A规范，提供了专业的原厂技术服务支持，能够有效保障企业运维安全审计系统的稳定运行。

目前，JumpServer在依能科技的SaaS服务集群持续集成上发挥了重要作用。后续在私有化部署交付的场景中，依能科技也会继续采用JumpServer进行高效的交付运维。同时，JumpServer安全规范的运维方式也让客户更加放心，提高了高校客户的满意度。

JumpServer的未来应用规划与期望

经过两年左右的实际使用，依能科技收获了一些JumpServer的使用心得，在扩大JumpServer的应用范围方面也有了自己的规划和节奏。

首先，需要遵循权限最小化原则，进一步细化运维人员权限。基于JumpServer构建一套权限管控机制，提高系统的安全保障；

其次，针对危险命令增加高危命令复核，有效约束用户的操作行为，从流程上提升公司安全管控的能力。

作为一款按月迭代的堡垒机，JumpServer每月都会发布新增功能。在功能性方面，依能科技希望JumpServer能够进一步强化批量命令功能，比如自动化脚本批量下发，交换机批量管理等，希望JumpServer在未来能够持续增加对自动化运维的支持。

此外，如今各类高校以及政企的IT建设国产化趋势日益明显，也希望JumpServer未来能够考虑增加对政企常用的政务云的支持，扩大云上资产的管理范围。