堡垒机的基本功能：
多用户权限管理
限制登录用户所处的目录
限制登录用户有使用的命令
记录登录用户执行的命令
可以限制用户登录到堡垒机后只能使用ssh和passwd两个命令，根据实际情况进行限制。
ssh要远程到要实际登录的服务器上。
passwd修改自己用户的密码。
可以通过编写一些脚本来替换掉原来的ssh命令文件，达到一些自己想要的功能。
比如执行ssh命令需要一个密码才能执行；判断一下要登录的IP地址是否存在。
1、安装系统
安装一个最简系统纯文本系统，多余的东西都不要安装，后面需要什么再安装什么。
安装完，还可以禁用或删除各种不需要的服务、文件。
开防火墙
开SELinux
2、分配账号
根据不同的岗位创建不同用户组、不同的用户，每个人一个账号。
创建三个用户组：
admin:运维人员
dba:数据库人员
web:开发
#groupadd admin
#groupadd dba
#groupadd web
再把用户分别分配到三个用户组中：
#useradd admin1 -g admin
#useradd admin2 -g admin
#useradd admin2 -g admin
3、安装lshell工具
gif主页：https://github.com/ghantoos/lshell
如果堡垒机没有联网，可以从别的地方下载安装文件，再复制过来。
git clone https://github.com/ghantoos/lshell.git
cd lshell
python setup.py install –no-compile –install-scripts=/usr/bin/
如果没报错，即安装成功。
4、配置conf
配置好这个文件，就能达到很好的效果。
vim /etc/lshell.conf
|
1
2
3
4
5
6
7
8
|
[root] #开放root用户allowed : 'all' #允许执行所有命令
path : ['/'] #允许登录所有目录
[grp:dba] #设置一个组的权限allowed : 'all' - ['su'] - 表示排除，除了su不能执行，其它都可以
path : ['/etc','/usr'] - ['/usr/local'] #排除/usr/local不能进入
home_path : '/home/oracle' #用户登录后所在的目录
|
4、改变用户默认shell，使用lshell作为默认shell:
# cp /etc/lshell.conf /usr/local/etc/
# chsh -s /usr/bin/lshell user_name 这个命令只能修改某个用户的，可以写个脚本来批量修改
5、开启日志
为了记录用户日志，需要创建相关目录
# addgroup –system lshell
# mkdir /var/log/lshell
# chown :lshell /var/log/lshell
# chmod 770 /var/log/lshell
然后增加用户到lshell group:
# usermod -aG lshell user_name
/etc/lshell.conf配置详解：
四个小节:
[global] -> lshell的系统配置 (only 1)
[default] -> lshell的默认用户配置 (only 1)
[foo] -> 指定UNIX的系统用户”foo”的特别的配置
[grp:bar] -> 指定UNIX用户组”bar”的特别的配置
当加载参数的时候遵循以下顺序:
1- User configuration
2- Group configuration
3- Default configuration
|
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
82
83
84
85
86
87
88
89
90
91
92
93
94
95
96
97
98
99
100
101
102
103
104
105
106
107
108
|
[global]
#日志路径 (默认是/var/log/lshell/)
logpath#日志记录级别loglevel0, 1, 2, 3 or 4 (0: no logs -> 4: logs everything)
#日志名字logfilename- 如果设置成syslog关键字，则表示日志记录到syslog中- 如果设置成一个文件名, e.g. %u-%y%m%d (i.e foo-20091009.log):%u -> username%d -> day [1..31]%m -> month [1..12]%y -> year [00..99]%h -> time [00:00..23:59]#这个日志会记录登录、退出时间。要记录日志还需要做设置，后面有详细说明syslogname如果你打算记录进syslog中，则要设置你的syslog名称，默认是lshell[default] 或者 [username] 或者 [grp:groupname] 三个小节可用的配置项
#命令别名aliases#一个允许执行的命令列表，或者设置成all，则允许在user PATH中的所有命令可用allowed#一个路径组成的列表，所有在路径中的可执行文件都被允许allowed_cmd_path#更新用户的环境变量PATHenv_path#设置用户的环境变量env_vars#一个非法字符或者命令组成的列表forbidden#history的文件名history_file%u -> username (e.g. '/home/%u/.lhistory')
#history文件记录的maximum size (in lines)history_size#登录后所处目录home_path (deprecated)默认是$HOME，不赞成使用，下一版会取消
%u -> username (e.g. '/home/%u')
#在登陆时打印出入门信息intro#用户登陆时执行的脚本login_script#指定用户的密码 (default is empty)
passwd#限制能访问的目录path严格限制用户可以去的地理位置，可以使用通配符list of path to restrict the user geographically. It is possible to use wildcards (e.g. '/var/log/ap*').
#设置提示符prompt设置用户的prompt格式(default: username)
%u -> username%h -> hostnameprompt_shortset sort prompt current directory update - set to 1 or 0 overssh list of command allowed to execute
#允许远程ssh直接执行的命令。默认是不能执行over ssh (e.g. rsync, rdiff-backup, scp, etc.)#允许或者禁止使用scp连接 - set to 1 or 0
scp#强制文件通过scp传输到一个特定目录scpforce#设置成0，则禁止scp下载(default is 1)
scp_download#设置成0，则禁止scp上传(default is 1)
scp_upload#允许或者禁止使用sftp连接 - set to 1 or 0
sftp#一组命令组成的列表，用户可以执行sudosudo_commands会话维持的秒数timerstrict日志严格记录，如果设置成1，任何unknow的命令都被禁止，并且降低用户警告数，如果设置成0，unknow命令只是警告。 (i.e. *** unknown synthax)#警告次数warning_counter如果用户达到该警告次数，则会被强制退出lshell，设置成-1，则禁止计数。 |