基于JumpServer的DevOps安全管控機制研究

收稿日期：2023-05-14

DOI：10.19850/j.cnki.2096-4706.2023.22.015

摘? 要：隨著DevOps理念的廣泛應用，軟件開發(fā)和運維的整合變得越來越緊密，然而，安全性在DevOps實踐中常常被忽視。為了解決這一問題，以JumpServer為基礎(chǔ)，研究了基于JumpServer的DevOps安全管控機制。通過綜合使用JumpServer的遠程訪問管理、訪問控制和審計功能，結(jié)合DevOps實踐中的安全要求，提出了一套適用于DevOps環(huán)境的安全管控機制。通過實驗和案例研究，驗證了該機制的有效性和可行性。研究結(jié)果對于促進DevOps實踐與安全的結(jié)合，提高軟件交付過程中的安全性具有重要的理論和實際意義。

關(guān)鍵詞：DevOps；軟件開發(fā)；運維；JumpServer；安全管控機制

中圖分類號：TP393? ? 文獻標識碼：A? 文章編號：2096-4706（2023）22-0069-04

Research on DevOps Security Control Mechanism Based on JumpServer

CAO Yuanqing

（School of Mathematics and Computer Science， Hetao College， Bayannur? 015000， China）

Abstract： With the widespread application of the DevOps concept， the integration of software development and operation and maintenance has become closer and closer. However， security is often neglected in DevOps practice. In order to solve this problem， based on JumpServer， the DevOps security control mechanism based on JumpServer is studied. Through the comprehensive use of JumpServer's remote access management， access control and audit functions， combined with the security requirements in DevOps practice， a set of security control mechanisms suitable for DevOps environments is proposed. Through experiments and case studies， the effectiveness and feasibility of the mechanism are verified. The research results have important theoretical and practical significance for promoting the combination of DevOps practice and security， and improving security in the software delivery process.

Keywords： DevOps; software development; operation and maintenance; JumpServer; security control mechanism

0? 引? 言

隨著軟件開發(fā)和系統(tǒng)運維的不斷演進，DevOps（Development and Operations）理念已經(jīng)成為許多組織實現(xiàn)敏捷開發(fā)和持續(xù)交付的關(guān)鍵方法。DevOps通過整合開發(fā)和運維團隊，加強協(xié)作和自動化，實現(xiàn)了快速迭代、頻繁交付和高效運維的目標。作為一種新興的軟件開發(fā)和交付方法論，DevOps安全的重要性越來越凸顯，主要表現(xiàn)在保護敏感數(shù)據(jù)和隱私、保護應用程序免受攻擊、確保遠程訪問的安全性、降低運維活動的風險以及符合合規(guī)性要求[1]。然而，在追求快速交付的過程中，安全性問題常常被忽視，導致潛在的安全漏洞和風險，進而在軟件交付過程中的安全問題不斷增多。

為了解決DevOps環(huán)境中的安全問題，將研究基于JumpServer的DevOps安全管控機制的實施和應用，通過將JumpServer與DevOps流程集成[2]，實現(xiàn)對遠程訪問、資源權(quán)限和安全策略的有效管控，保護系統(tǒng)的安全性，并降低系統(tǒng)遭受安全威脅的風險，有助于提高團隊的安全意識和能力，促進團隊協(xié)作，并為企業(yè)和組織提供可靠的軟件交付和運維環(huán)境。

1? DevOps與JumpServer技術(shù)

1.1? DevOps理念與實踐

DevOps是Development（開發(fā)）和Operations（運維）兩個詞的組合[3]，是一種強調(diào)開發(fā)團隊和運維團隊之間協(xié)作與整合的理念。它旨在通過加強溝通、協(xié)作和自動化，實現(xiàn)軟件開發(fā)和運維過程的高效、快速和可靠。DevOps強調(diào)將開發(fā)、測試、部署和運維等環(huán)節(jié)緊密結(jié)合，強調(diào)持續(xù)交付和持續(xù)集成的原則。DevOps理念的核心原則包括：

1）自動化：通過自動化工具和流程，減少手動操作，提高效率和準確性。

2）協(xié)作和溝通：促進開發(fā)團隊和運維團隊之間的溝通和協(xié)作，共同解決問題和追求共同目標。

3）持續(xù)交付：將軟件的開發(fā)、測試和部署過程進行整合和自動化，實現(xiàn)頻繁且可靠的軟件交付。

4）反饋和改進：通過不斷收集反饋和監(jiān)控數(shù)據(jù)，及時調(diào)整和改進軟件開發(fā)和運維過程。

實踐DevOps理念需結(jié)合一系列工具、技術(shù)和方法，以下是一些常見DevOps實踐方式[4]：

1）持續(xù)集成：通過使用版本控制系統(tǒng)和自動化構(gòu)建工具，開發(fā)人員可以將代碼頻繁地集成到共享的代碼庫中，并自動進行構(gòu)建和測試。這有助于快速發(fā)現(xiàn)和解決代碼集成問題，確保代碼質(zhì)量和穩(wěn)定性。

這個階段是整個DevOps生命周期的核心，這是一種軟件開發(fā)實踐，基本工作原理如圖1所示，從圖1可看出，首先開發(fā)人員需要更頻繁地提交對源代碼的更改，這可能是每天或每周一次，然后構(gòu)建每個提交，這就可以及早發(fā)現(xiàn)問題（如果存在），最后，支持新功能的代碼不斷與現(xiàn)有代碼集成。因此，軟件不斷發(fā)展導致更新后的代碼需要與系統(tǒng)持續(xù)平穩(wěn)地集成，以將變化反映給最終用戶。

2）持續(xù)交付：在持續(xù)集成的基礎(chǔ)上，持續(xù)交付將自動化的構(gòu)建、測試和部署過程擴展到更廣泛的范圍，包括生成可部署的軟件包、自動化部署和環(huán)境配置等。持續(xù)交付使得軟件的發(fā)布過程更加可靠、快速和可控。

3）基礎(chǔ)設(shè)施即代碼：通過將基礎(chǔ)設(shè)施的配置和管理作為代碼進行版本控制和自動化處理，實現(xiàn)基礎(chǔ)設(shè)施的可重復性和可擴展性。基礎(chǔ)設(shè)施即代碼可以通過工具如Ansible、Terraform等來實現(xiàn)。

4）自動化測試：自動化測試是保證軟件質(zhì)量和穩(wěn)定性的關(guān)鍵實踐。通過自動化執(zhí)行單元測試、集成測試和端到端測試等各種類型的測試，能夠及時發(fā)現(xiàn)和解決潛在的問題。

1.2? JumpServer

JumpServer是一種開源的堡壘機和訪問管理系統(tǒng)，旨在提供強大的遠程訪問控制和安全審計功能，它被廣泛應用于企業(yè)和組織中[5]，用于管理和保護對敏感系統(tǒng)和數(shù)據(jù)的訪問。其基本架構(gòu)如圖2所示。從圖2不難看出，位于公網(wǎng)環(huán)境的IT人員（開發(fā)人員、運維人員和測試人員）在提出內(nèi)網(wǎng)訪問需求后，由位于防火墻內(nèi)部的堡壘機鑒權(quán)，在權(quán)限允許的前提下實現(xiàn)JumpServer的基本功能。

JumpServer的主要功能特點如下：

1）遠程訪問管理：JumpServer提供了集中化的遠程訪問管理功能，可以管理和控制所有的遠程訪問請求。它支持SSH、RDP、Telnet等多種遠程訪問協(xié)議，用戶可以通過Jumpserver安全地遠程訪問目標設(shè)備和系統(tǒng)。

2）訪問權(quán)限管理：JumpServer具有靈活的訪問權(quán)限管理機制，可以根據(jù)用戶、角色和組織進行細粒度的訪問控制。

3）安全審計和日志記錄：JumpServer能夠?qū)λ械脑L問行為進行全面的審計和日志記錄，包括用戶登錄、命令執(zhí)行、文件傳輸?shù)炔僮鳌?/p>

4）多因素身份驗證：JumpServer支持多因素身份驗證，可以增強用戶登錄的安全性。除了用戶名和密碼，用戶還可以使用一次性密碼（OTP）、指紋識別、硬件令牌等其他因素進行身份驗證。

5）會話管理和錄像回放：JumpServer提供了會話管理和錄像回放功能，可以記錄和回放用戶與目標系統(tǒng)之間的會話。

6）集成和擴展性：JumpServer支持與其他系統(tǒng)的集成，如LDAP/AD、SIEM、CMDB等，可以與現(xiàn)有的企業(yè)基礎(chǔ)架構(gòu)進行無縫集成。

1.3? DevOps安全需求分析

隨著DevOps實踐的普及，安全性在DevOps中變得越來越重要[6]。在追求快速交付和持續(xù)集成的同時，需要確保其DevOps環(huán)境的安全性。DevOps安全需求主要涉及以下幾個方面：

1）訪問權(quán)限管理：在DevOps環(huán)境中，有多個開發(fā)人員、測試人員和運維人員參與，因此需要對訪問權(quán)限進行精細的管理。安全需求包括定義不同角色和權(quán)限，并確保只有授權(quán)的人員可以訪問和操作關(guān)鍵系統(tǒng)和資源。

2）身份驗證與授權(quán)：安全性要求確保只有合法的用戶可以登錄和訪問DevOps環(huán)境，并根據(jù)用戶角色和職責進行適當?shù)氖跈?quán)。強大的身份驗證和授權(quán)機制是確保系統(tǒng)安全的關(guān)鍵要素。

3）代碼和配置管理：DevOps環(huán)境涉及大量的代碼和配置文件，因此需要確保這些文件的完整性和安全性。安全需求包括使用版本控制系統(tǒng)對代碼進行管理，并采取措施保護敏感信息，如API密鑰和數(shù)據(jù)庫憑據(jù)。

4）漏洞管理和安全測試：在DevOps過程中，需要進行漏洞管理和安全測試，以發(fā)現(xiàn)和修復潛在的安全漏洞。安全需求包括使用自動化工具進行漏洞掃描和安全測試，并確保及時修復發(fā)現(xiàn)的漏洞。

5）日志和審計：安全需求涉及對DevOps環(huán)境中的所有活動進行全面的日志記錄和審計。這包括用戶登錄、訪問請求、配置更改等操作的審計，并確保日志的保密性、完整性和可靠性。

6）敏感數(shù)據(jù)保護：在DevOps過程中，可能涉及處理敏感數(shù)據(jù)，如個人身份信息或支付信息。安全需求包括采取適當?shù)募用芎蛿?shù)據(jù)保護措施，以確保敏感數(shù)據(jù)的保密性和完整性。

7）異常檢測和響應：安全性要求包括實時監(jiān)測和檢測異常活動，如異常登錄嘗試或不尋常的配置更改，并能夠及時響應和采取適當?shù)陌踩胧?/p>

2? 基于Jumpserver的DevOps安全管控機制設(shè)計

2.1? 安全策略設(shè)計

為了確保基于JumpServer的DevOps環(huán)境的安全性，設(shè)計了一套安全策略管理機制，以定義和實施安全策略，并確保其有效執(zhí)行。

首先，確定適用于DevOps環(huán)境的安全策略框架。這包括制定一套安全準則和最佳實踐，以滿足組織的安全需求和合規(guī)性要求。安全策略框架可以包括訪問控制、身份認證、數(shù)據(jù)加密、漏洞管理等方面的策略。

其次，設(shè)計安全策略的配置和管理機制。通過JumpServer提供的管理界面或配置文件，管理員可以定義和配置各種安全策略，以滿足不同系統(tǒng)和環(huán)境的安全要求。

另外，安全策略管理機制還需要包括策略的實施和執(zhí)行。這可以通過JumpServer的自動化功能來實現(xiàn)，如自動化掃描漏洞、自動化執(zhí)行安全策略等。

最后，還需要建立安全策略的評估和持續(xù)改進機制。通過定期的安全審查和評估，檢查安全策略的有效性和合規(guī)性。根據(jù)評估結(jié)果，及時進行調(diào)整和改進，以提高安全策略的有效性和適應性。

通過以上設(shè)計，可以確保基于JumpServer的DevOps環(huán)境中的安全策略得到有效管理和執(zhí)行。這有助于減少安全漏洞和風險，提高系統(tǒng)的安全性和穩(wěn)定性。

2.2? 實驗環(huán)境搭建

為了研究基于JumpServer的DevOps安全管控機制，需進行實驗環(huán)境架設(shè)，實驗架構(gòu)圖如圖3所示，JumpServer作為中心控制節(jié)點，負責整個實驗環(huán)境的安全管控，它提供遠程訪問管理、資源權(quán)限管理和審計日志管理等功能。Bastion作為堡壘機或跳板機，位于公共網(wǎng)絡(luò)與內(nèi)部網(wǎng)絡(luò)之間，它用于管理對內(nèi)部資源的訪問，并提供額外的安全層。Web服務器1和Web服務器2分別運行不同的應用程序和服務，它們通過JumpServer進行遠程訪問和管理。數(shù)據(jù)庫服務器1和數(shù)據(jù)庫服務器2分別運行數(shù)據(jù)庫服務，它們也通過JumpServer進行遠程訪問和管理。

在這個復雜的架構(gòu)中，Bastion的引入增加了額外的安全控制層，保護內(nèi)部網(wǎng)絡(luò)免受未經(jīng)授權(quán)的訪問。通過Jumpserver，團隊成員可以通過Bastion安全地遠程登錄到Web服務器和數(shù)據(jù)庫服務器，進行開發(fā)、測試和運維等操作。

實驗環(huán)境的搭建過程如下所示：

1）虛擬化平臺選擇：在本實驗中，我們選擇了VMware作為虛擬化平臺。VMware提供了強大的虛擬機管理功能，適用于搭建復雜的實驗環(huán)境。

操作系統(tǒng)選擇：作為虛擬機的基礎(chǔ)操作系統(tǒng)，我們選擇了Ubuntu Server作為實驗環(huán)境的操作系統(tǒng)。Ubuntu Server是一種常用的Linux發(fā)行版，具有廣泛的應用和社區(qū)支持。

2）安裝JumpServer：按照JumpServer的官方文檔，我們在Ubuntu Server上進行了Jumpserver的安裝和配置。通過使用Docker方式進行安裝，我們成功地部署了JumpServer，并確保其能夠正常運行。

3）創(chuàng)建虛擬機：使用VMware創(chuàng)建虛擬機，配置虛擬機的名稱、操作系統(tǒng)類型和硬件配置。下載Ubuntu Server的鏡像文件，并將其加載到虛擬機中。啟動虛擬機，并按照屏幕提示完成Ubuntu Server的安裝過程。為虛擬機設(shè)置靜態(tài)IP地址，可以通過編輯/etc/network/interfaces文件來配置網(wǎng)絡(luò)連接。

JumpServer安裝和配置：

在Ubuntu Server上執(zhí)行以下指令以安裝Docker和Docker Compose：

sql

Copy code

sudo apt-get update

sudo apt-get install docker.io

sudo apt-get install docker-compose

克隆Jumpserver的代碼庫：

bash

Copy code

git clone https：//github.com/jumpserver/jumpserver.git

進入Jumpserver目錄，配置Jumpserver的環(huán)境變量和配置文件：

bash

Copy code

cd jumpserver

cp .env.example .env

cp config.yml.example config.yml

修改.env文件和config.yml文件，根據(jù)實際需求進行配置，如數(shù)據(jù)庫連接、域名設(shè)置等。

啟動Jumpserver容器：

Copy code

docker-compose up -d

4）配置網(wǎng)絡(luò)連接：將虛擬機連接到同一個虛擬網(wǎng)絡(luò)中，使它們能夠互相通信。為虛擬機配置靜態(tài)IP地址，并設(shè)置網(wǎng)絡(luò)適配器為橋接模式，以便虛擬機可直接訪問物理網(wǎng)絡(luò)。

5）配置安全策略：在JumpServer中，我們創(chuàng)建了不同的角色和權(quán)限，如開發(fā)人員、測試人員和運維人員。對于Web服務器和數(shù)據(jù)庫服務器，我們分別創(chuàng)建了相應的資源，并為不同的角色分配了不同的權(quán)限。

6）進行實驗：在實驗環(huán)境中，我們模擬了開發(fā)、測試和運維的典型操作。通過JumpServer，開發(fā)人員可以遠程登錄Web服務器進行代碼部署，測試人員可以訪問Web服務器進行功能測試，運維人員可以管理數(shù)據(jù)庫服務器的權(quán)限。

7）結(jié)果分析：通過實驗過程中的操作記錄和日志，分析遠程訪問管理、資源權(quán)限管理和審計日志管理等方面的數(shù)據(jù)，并與實驗前的預期目標進行比較。

通過以上實驗環(huán)境搭建過程，能夠在一個模擬的DevOps環(huán)境中驗證和評估基于Jumpserver的安全管控機制。

3? 結(jié)? 論

研究了基于JumpServer的DevOps安全管控機制的實施與應用。通過設(shè)計和實施遠程訪問管理、資源權(quán)限管理和安全策略管理等機制，并成功地建立了一個安全可靠的實驗環(huán)境，驗證了這些機制的有效性，有助于安全管理團隊在DevOps過程中實現(xiàn)安全管控，提高系統(tǒng)的可靠性，為企業(yè)和組織的軟件開發(fā)和運維活動提供了有力的支持。此外，團隊成員可以安全地遠程登錄到目標服務器進行操作，而無須直接暴露服務器的敏感信息。這有效地減少了潛在的安全風險，并提升了系統(tǒng)的整體安全性。

參考文獻：

[1] 杜輝，趙政，李國興，等.基于devops的軟件開發(fā)與項目管理分析 [J].電子技術(shù)，2023，52（2）：194-195.

[2] 趙偉.基于JumpServer的IT系統(tǒng)安全運維審計的研究與實現(xiàn) [J].電子元器件與信息技術(shù)，2021，5（10）：1-3.

[3] 馬青松，熊新國，劉擁軍.基于uni-app框架的機房運維管理系統(tǒng)設(shè)計與實現(xiàn) [J].信息記錄材料，2022，23（11）：129-133.

[4] 張亞輝，馬海燕，陳森，等.DevOps模式下的CMDB研究 [J].信息技術(shù)與信息化，2022（9）：127-130.

[5] 劉旻子.基于DevOps的SaaS項目持續(xù)集成部署方法研究 [D].金華：浙江師范大學，2020.

[6] 鄭舟，周蕓韜.DevOps與自動化運維實踐 [C]//中國新聞技術(shù)工作者聯(lián)合會2021年學術(shù)年會論文集.沈陽：[出版者不詳]，2021：13-18.

作者簡介：曹園青（1985—），男，漢族，內(nèi)蒙古巴彥淖爾人，講師，碩士研究生，主要研究方向：物聯(lián)網(wǎng)、計算機網(wǎng)絡(luò)、電化教育。