533 lines
27 KiB
Markdown
533 lines
27 KiB
Markdown
# 应用资源管理中心 + 系统资源管理中心（含堡垒集群）
|
||
|
||
> 本文件涵盖2个中心的设计，考虑到它们共享权限模型和SSO机制，合并在同一份文档中。
|
||
|
||
---
|
||
|
||
## 第一部分：应用资源管理中心
|
||
|
||
## 1. 总体定位
|
||
|
||
应用资源管理中心负责企业内**业务应用的单点登录接入和权限管理**。核心职责：
|
||
|
||
- 提供统一SSO网关，对接各类业务系统（B/S架构为主）
|
||
- 管理应用注册、元数据、接入配置
|
||
- 提供权限模型和授权规则引擎
|
||
- 参考亚信安全接口规范（IAM/SSO相关）
|
||
|
||
---
|
||
|
||
## 2. SSO网关设计
|
||
|
||
### 2.1 支持的协议
|
||
|
||
| 协议 | 成熟度 | 适用场景 | 优先级 |
|
||
|------|--------|---------|--------|
|
||
| OAuth2.0 + OIDC | 高 | 现代应用（RESTful API） | P0 |
|
||
| SAML 2.0 | 高 | 传统企业应用、ERP系统 | P0 |
|
||
| CAS | 中 | 部分遗留Java应用 | P1 |
|
||
| 自定义Token透传 | 低 | 老系统改造过渡 | P2 |
|
||
|
||
### 2.2 SSO流程（OIDC Authorization Code）
|
||
|
||
```
|
||
┌──────┐ ┌──────────┐ ┌──────────────┐ ┌──────────┐
|
||
│ 用户 │ │ 业务应用 │ │ 认证身份中心 │ │SSO网关 │
|
||
│ │ │ (Client) │ │ (Auth Server) │ │ │
|
||
└──┬───┘ └─────┬────┘ └──────┬───────┘ └─────┬────┘
|
||
│ │ │ │
|
||
│ 访问应用 │ │ │
|
||
│───────────────>│ │ │
|
||
│ │ 未登录，跳转SSO │ │
|
||
│<───────────────│ │ │
|
||
│ 302重定向 │ │ │
|
||
│──────────────────────────────────>│ │
|
||
│ │ │ SSO网关代收 │
|
||
│ │ │ 认证请求，返回 │
|
||
│ 登录页 │ │ 授权码 │
|
||
│<──────────────────────────────────│ │
|
||
│ │ │ │
|
||
│ 提交凭证 │ │ │
|
||
│──────────────────────────────────>│ │
|
||
│ │ │ 验证通过 │
|
||
│ │ │ 返回授权码 │
|
||
│<──────────────────────────────────│ │
|
||
│ │ │ │
|
||
│ 携带授权码回调 │ │ │
|
||
│──────────────────────────────────────────────> │
|
||
│ │ │ SSO网关 │
|
||
│ │ │ 校验+与身份中心 │
|
||
│ │ │ 交换AccessToken │
|
||
│ │ <───────────────────────────────────│
|
||
│ │ │ │
|
||
│ 登录成功 │ │ │
|
||
│<───────────────│ │ │
|
||
```
|
||
|
||
### 2.3 应用注册模型
|
||
|
||
```sql
|
||
CREATE TABLE T_APP (
|
||
app_id BIGINT PRIMARY KEY AUTO_INCREMENT,
|
||
app_name VARCHAR(128) NOT NULL COMMENT '应用名称',
|
||
app_key VARCHAR(64) NOT NULL UNIQUE COMMENT '应用唯一标识',
|
||
app_secret VARCHAR(256) NOT NULL COMMENT '应用密钥(加密存储)',
|
||
app_type TINYINT NOT NULL DEFAULT 1 COMMENT '应用类型:1-B/S 2-C/S 3-API 4-移动端',
|
||
-- SSO配置
|
||
sso_protocol VARCHAR(16) NOT NULL DEFAULT 'oidc' COMMENT 'SSO协议:oidc/saml/cas',
|
||
callback_urls JSON NOT NULL COMMENT '允许的回调URL列表',
|
||
logout_url VARCHAR(512) COMMENT '登出回调URL',
|
||
token_endpoint_auth_method VARCHAR(32) DEFAULT 'client_secret_basic',
|
||
-- 应用访问控制
|
||
access_level TINYINT NOT NULL DEFAULT 1 COMMENT '访问等级:1-普通 2-敏感 3-高敏感',
|
||
require_mfa TINYINT NOT NULL DEFAULT 0 COMMENT '是否需要MFA',
|
||
allowed_ips JSON COMMENT 'IP白名单',
|
||
allowed_domains JSON COMMENT '域名白名单',
|
||
-- 权限模型
|
||
permission_mode VARCHAR(16) DEFAULT 'rbac' COMMENT '权限模式:rbac/abac/hybrid',
|
||
-- 状态
|
||
status TINYINT NOT NULL DEFAULT 1 COMMENT '状态:0-停用 1-启用',
|
||
-- 审计
|
||
created_by VARCHAR(64) NOT NULL,
|
||
created_at DATETIME NOT NULL DEFAULT CURRENT_TIMESTAMP,
|
||
updated_at DATETIME NOT NULL DEFAULT CURRENT_TIMESTAMP ON UPDATE CURRENT_TIMESTAMP,
|
||
deleted TINYINT NOT NULL DEFAULT 0,
|
||
|
||
INDEX idx_app_key (app_key),
|
||
INDEX idx_status (status)
|
||
) ENGINE=InnoDB DEFAULT CHARSET=utf8mb4 COMMENT='应用注册表';
|
||
```
|
||
|
||
---
|
||
|
||
## 3. 权限模型（参考亚信接口规范）
|
||
|
||
### 3.1 RBAC + ABAC 混合模型
|
||
|
||
```
|
||
┌──────────┐
|
||
│ 用户 │
|
||
│ (User) │
|
||
└────┬─────┘
|
||
│
|
||
┌─────────┼─────────┐
|
||
│ │ │
|
||
┌─────▼──┐ ┌────▼───┐ ┌────▼───┐
|
||
│ 组织(Org)│ │ 角色 │ │ 属性 │
|
||
│ (ABAC) │ │ (Role) │ │(Attr) │
|
||
└────┬───┘ └────┬───┘ └────┬───┘
|
||
│ │ │
|
||
│ ┌─────▼──────┐ │
|
||
│ │ 权限集 │ │
|
||
└────┤ (Permission)├──┘
|
||
│ +策略规则 │
|
||
└─────┬──────┘
|
||
│
|
||
┌─────▼──────┐
|
||
│ 资源实例 │
|
||
│ (Resource) │
|
||
└────────────┘
|
||
```
|
||
|
||
**权限判定引擎流程**：
|
||
|
||
```
|
||
输入: 用户U, 应用A, 操作OP, 资源R, 上下文C
|
||
|
||
1. 检查U是否在A的应用白名单中（组织级） → 否→拒绝
|
||
2. 获取U在A中的角色列表 → 获取角色对应的权限集
|
||
3. 检查权限集是否包含 (OP, R) → 是→允许
|
||
4. ABAC规则评估：检查上下文C（时间/IP/设备/MFA等级）
|
||
→ ABAC规则不满足 → 降级/拒绝
|
||
5. 返回判定结果
|
||
```
|
||
|
||
### 3.2 核心权限表结构
|
||
|
||
```sql
|
||
-- 角色表
|
||
CREATE TABLE T_ROLE (
|
||
role_id BIGINT PRIMARY KEY AUTO_INCREMENT,
|
||
app_id BIGINT NOT NULL COMMENT '所属应用',
|
||
role_name VARCHAR(64) NOT NULL COMMENT '角色名',
|
||
role_code VARCHAR(64) NOT NULL COMMENT '角色编码(应用内唯一)',
|
||
description VARCHAR(256),
|
||
is_system TINYINT NOT NULL DEFAULT 0 COMMENT '系统预置角色',
|
||
status TINYINT NOT NULL DEFAULT 1,
|
||
created_at DATETIME NOT NULL DEFAULT CURRENT_TIMESTAMP,
|
||
UNIQUE KEY uk_app_role (app_id, role_code)
|
||
) ENGINE=InnoDB DEFAULT CHARSET=utf8mb4 COMMENT='角色表';
|
||
|
||
-- 权限资源表
|
||
CREATE TABLE T_PERMISSION (
|
||
perm_id BIGINT PRIMARY KEY AUTO_INCREMENT,
|
||
app_id BIGINT NOT NULL COMMENT '所属应用',
|
||
resource VARCHAR(128) NOT NULL COMMENT '资源标识: menu:/user/list',
|
||
action VARCHAR(32) NOT NULL COMMENT '操作: read/write/delete/admin',
|
||
description VARCHAR(256),
|
||
status TINYINT NOT NULL DEFAULT 1,
|
||
created_at DATETIME NOT NULL DEFAULT CURRENT_TIMESTAMP,
|
||
UNIQUE KEY uk_app_resource_action (app_id, resource, action)
|
||
) ENGINE=InnoDB DEFAULT CHARSET=utf8mb4 COMMENT='权限资源表';
|
||
|
||
-- 角色-权限关联
|
||
CREATE TABLE T_ROLE_PERMISSION (
|
||
id BIGINT PRIMARY KEY AUTO_INCREMENT,
|
||
role_id BIGINT NOT NULL,
|
||
perm_id BIGINT NOT NULL,
|
||
effect TINYINT NOT NULL DEFAULT 1 COMMENT '1-允许 0-拒绝',
|
||
UNIQUE KEY uk_role_perm (role_id, perm_id)
|
||
) ENGINE=InnoDB DEFAULT CHARSET=utf8mb4 COMMENT='角色权限关联表';
|
||
|
||
-- 用户-应用角色分配
|
||
CREATE TABLE T_USER_APP_ROLE (
|
||
id BIGINT PRIMARY KEY AUTO_INCREMENT,
|
||
account_id BIGINT NOT NULL COMMENT '用户账号ID',
|
||
app_id BIGINT NOT NULL COMMENT '应用ID',
|
||
role_id BIGINT NOT NULL COMMENT '角色ID',
|
||
grant_type VARCHAR(16) DEFAULT 'direct' COMMENT 'direct-直接分配 org-继承',
|
||
start_date DATETIME,
|
||
end_date DATETIME COMMENT '有效期',
|
||
granted_by VARCHAR(64),
|
||
created_at DATETIME NOT NULL DEFAULT CURRENT_TIMESTAMP,
|
||
UNIQUE KEY uk_account_app_role (account_id, app_id, role_id)
|
||
) ENGINE=InnoDB DEFAULT CHARSET=utf8mb4 COMMENT='用户应用角色分配表';
|
||
|
||
-- ABAC策略规则表
|
||
CREATE TABLE T_ABAC_POLICY (
|
||
policy_id BIGINT PRIMARY KEY AUTO_INCREMENT,
|
||
app_id BIGINT NOT NULL,
|
||
policy_name VARCHAR(128) NOT NULL,
|
||
policy_type VARCHAR(16) NOT NULL COMMENT 'allow/deny',
|
||
subject_attr JSON COMMENT '主体属性条件',
|
||
resource_attr JSON COMMENT '资源属性条件',
|
||
action_cond JSON COMMENT '操作条件',
|
||
context_cond JSON COMMENT '上下文条件(时间/IP/设备等)',
|
||
priority INT NOT NULL DEFAULT 0 COMMENT '优先级(数字越大越优先)',
|
||
status TINYINT NOT NULL DEFAULT 1,
|
||
created_at DATETIME NOT NULL DEFAULT CURRENT_TIMESTAMP
|
||
) ENGINE=InnoDB DEFAULT CHARSET=utf8mb4 COMMENT='ABAC策略规则表';
|
||
```
|
||
|
||
### 3.3 与应用系统的权限接口规范
|
||
|
||
参考亚信安全接口规范，提供以下核心接口供业务系统对接：
|
||
|
||
```yaml
|
||
授权查询接口:
|
||
GET /api/v1/authorization/check
|
||
参数:
|
||
- app_key: 应用标识
|
||
- uid: 用户ID
|
||
- resource: 资源路径
|
||
- action: 操作
|
||
- context: 上下文（可选JSON）
|
||
返回: { allowed: true/false, reason: "xxx" }
|
||
|
||
用户角色列表:
|
||
GET /api/v1/apps/{app_key}/users/{uid}/roles
|
||
返回: [{role_id, role_code, role_name, grant_type, valid_until}]
|
||
|
||
用户权限列表:
|
||
GET /api/v1/apps/{app_key}/users/{uid}/permissions
|
||
返回: [{resource, action, effect}]
|
||
|
||
权限批量校验:
|
||
POST /api/v1/authorization/batch-check
|
||
请求体: [{app_key, uid, resource, action, context}, ...]
|
||
返回: [{allowed, reason}, ...]
|
||
|
||
权限同步通知（服务端推送）:
|
||
POST /webhook/app/{app_key}/permission-sync
|
||
请求体: {event_type: "role_assign"|"role_revoke"|"perm_change",
|
||
uid, changed_roles, timestamp}
|
||
```
|
||
|
||
---
|
||
|
||
## 4. 授权流程
|
||
|
||
```
|
||
┌────────────┐ ┌────────────┐ ┌────────────┐ ┌────────────┐
|
||
│ 资源申请者 │ │ 审批人 │ │ 权限中心 │ │ 业务应用 │
|
||
└─────┬──────┘ └─────┬──────┘ └─────┬──────┘ └─────┬──────┘
|
||
│ │ │ │
|
||
│ 提交权限申请 │ │ │
|
||
│────────────────>│ │ │
|
||
│ │ │ │
|
||
│ 审批通过/拒绝 │ │
|
||
│ │────────────────>│ │
|
||
│ │ │ 分配角色 │
|
||
│ │ │────────────────>│
|
||
│ │ │ (授权生效通知) │
|
||
│ 申请结果通知 │ │ │
|
||
│<───────────────────────────────────────────────────│
|
||
│ │ │ │
|
||
│ 使用授权 │ │ │
|
||
│───────────────────────────────────────────────────>│
|
||
│ │ │ 鉴权校验 │
|
||
│<───────────────────────────────────────────────────│
|
||
```
|
||
|
||
**授权模式**支持：
|
||
1. **手动分配**：管理员为指定用户分配角色
|
||
2. **申请审批**：用户提交申请 → 上级/安全管理员审批 → 自动生效
|
||
3. **组织继承**：自动继承所属组织的默认角色集
|
||
4. **临时授权**：设定生效时间窗口，到期自动回收
|
||
|
||
---
|
||
|
||
## 第二部分：系统资源管理中心（含堡垒集群）
|
||
|
||
## 5. 总体定位
|
||
|
||
系统资源管理中心负责**服务器、网络设备、数据库等基础设施资源的权限管理**，包含堡垒机集群集成。核心职责：
|
||
|
||
- 管理系统资源的访问权限（SSH/RDP/数据库连接）
|
||
- 提供堡垒机单点登录和会话录制
|
||
- 参考泰岳管理模型（反推库结构和接口）
|
||
- 管理登录凭证、密钥、授权策略
|
||
|
||
---
|
||
|
||
## 6. 参考泰岳管理模型 - 反推策略
|
||
|
||
### 6.1 泰岳系统资源管理模型推断
|
||
|
||
基于现网泰岳版4A的运维经验和操作界面观察，反推其数据模型：
|
||
|
||
```sql
|
||
-- 推断的泰岳资产表结构
|
||
-- T_ASSET
|
||
-- asset_id BIGINT PK
|
||
-- asset_name VARCHAR(128) 资产名称
|
||
-- asset_ip VARCHAR(64) 管理IP
|
||
-- asset_type TINYINT 资产类型:1-Linux 2-Windows 3-网络设备 4-数据库
|
||
-- asset_group VARCHAR(128) 所属资产组
|
||
-- protocol VARCHAR(16) 管理协议:ssh/rdp/telnet
|
||
-- port INT 端口
|
||
-- account_auto TINYINT 1-纳管账号 0-手动密码
|
||
-- auth_mode TINYINT 1-密码 2-密钥 3-双因子
|
||
-- status TINYINT
|
||
|
||
-- 推断的泰岳授权表
|
||
-- T_ASSET_AUTH
|
||
-- auth_id BIGINT PK
|
||
-- asset_id BIGINT FK -> T_ASSET
|
||
-- account_id BIGINT FK (泰岳内部账号)
|
||
-- system_account VARCHAR(64) 目标系统账号(root/oracle/...)
|
||
-- access_level TINYINT 权限等级:1-普通 2-运维 3-管理员
|
||
-- start_time DATETIME 授权开始
|
||
-- end_time DATETIME 授权结束
|
||
-- approver VARCHAR(64)
|
||
```
|
||
|
||
**反推方法论**：
|
||
|
||
```
|
||
┌──────────────────────────────────────────────────────────────────┐
|
||
│ 反推方法 │
|
||
│ │
|
||
│ 1. 界面观察法 │
|
||
│ - 录屏泰岳操作界面，记录所有字段名和排列顺序 │
|
||
│ - 观察搜索/筛选条件字段（通常映射到DB索引字段） │
|
||
│ - 导出功能里的列名（CSV/xls导出列名常等于DB列名） │
|
||
│ │
|
||
│ 2. API嗅探法 │
|
||
│ - 浏览器开发者工具抓取泰岳管理的API请求/响应JSON │
|
||
│ - 关注字段名映射（下划线命名 vs 驼峰命名规律） │
|
||
│ - 分页参数（limit/offset习惯暗示底层DB） │
|
||
│ │
|
||
│ 3. 日志分析法 │
|
||
│ - 查看泰岳版的操作日志/审计日志字段定义 │
|
||
│ - 从报错信息中提取表名和字段名（典型：Constraint violation） │
|
||
│ │
|
||
│ 4. 行为验证法 │
|
||
│ - 设置特定值 → 观察界面呈现 → 推断字段类型/约束 │
|
||
│ - 创建/修改/删除操作 → 推断关联关系和约束条件 │
|
||
└──────────────────────────────────────────────────────────────────┘
|
||
```
|
||
|
||
### 6.2 自研系统资源模型
|
||
|
||
```sql
|
||
-- 资产主表
|
||
CREATE TABLE T_SYSTEM_ASSET (
|
||
asset_id BIGINT PRIMARY KEY AUTO_INCREMENT,
|
||
asset_name VARCHAR(128) NOT NULL COMMENT '资产名称',
|
||
asset_ip VARCHAR(64) NOT NULL COMMENT '管理IP',
|
||
asset_type TINYINT NOT NULL COMMENT '1-Linux 2-Windows 3-网络设备 4-数据库 5-中间件',
|
||
asset_group_id BIGINT COMMENT '所属资产组',
|
||
-- 连接信息
|
||
protocol VARCHAR(16) NOT NULL DEFAULT 'ssh' COMMENT '管理协议:ssh/rdp/telnet/mysql/oracle',
|
||
port INT NOT NULL DEFAULT 22,
|
||
-- 凭据管理
|
||
credential_mode TINYINT NOT NULL DEFAULT 1 COMMENT '1-纳管密码 2-纳管密钥 3-手动输入 4-动态令牌',
|
||
-- 纳管账号（系统层面的账号，非4A用户账号）
|
||
managed_account VARCHAR(64) COMMENT '纳管系统账号(root/oracle等)',
|
||
managed_password_enc VARCHAR(512) COMMENT '纳管密码(AES-256加密)',
|
||
managed_key_enc TEXT COMMENT '纳管私钥(AES-256加密)',
|
||
-- 访问控制
|
||
access_level TINYINT NOT NULL DEFAULT 2 COMMENT '访问等级:1-低 2-中 3-高',
|
||
allowed_users JSON COMMENT '允许操作的白名单用户列表',
|
||
-- 堡垒机集成
|
||
bastion_enabled TINYINT NOT NULL DEFAULT 1 COMMENT '是否通过堡垒机接入',
|
||
-- 状态
|
||
status TINYINT NOT NULL DEFAULT 1 COMMENT '0-停用 1-启用 2-维护',
|
||
-- 元数据
|
||
department VARCHAR(128) COMMENT '所属部门',
|
||
location VARCHAR(128) COMMENT '物理位置',
|
||
vendor VARCHAR(64) COMMENT '厂商',
|
||
model VARCHAR(64) COMMENT '型号',
|
||
os_version VARCHAR(64) COMMENT '操作系统版本',
|
||
remark TEXT,
|
||
-- 审计
|
||
created_by VARCHAR(64),
|
||
created_at DATETIME NOT NULL DEFAULT CURRENT_TIMESTAMP,
|
||
updated_at DATETIME NOT NULL DEFAULT CURRENT_TIMESTAMP ON UPDATE CURRENT_TIMESTAMP,
|
||
deleted TINYINT NOT NULL DEFAULT 0,
|
||
|
||
INDEX idx_asset_ip (asset_ip),
|
||
INDEX idx_asset_type (asset_type),
|
||
INDEX idx_group (asset_group_id),
|
||
INDEX idx_status (status)
|
||
) ENGINE=InnoDB DEFAULT CHARSET=utf8mb4 COMMENT='系统资产表';
|
||
|
||
-- 资产授权表
|
||
CREATE TABLE T_ASSET_AUTHORIZATION (
|
||
auth_id BIGINT PRIMARY KEY AUTO_INCREMENT,
|
||
asset_id BIGINT NOT NULL,
|
||
account_id BIGINT NOT NULL COMMENT '4A用户ID',
|
||
-- 目标系统身份
|
||
target_username VARCHAR(64) NOT NULL COMMENT '目标系统账号(root/appuser)',
|
||
-- 授权信息
|
||
access_level TINYINT NOT NULL DEFAULT 1 COMMENT '1-只读查看 2-普通操作 3-管理员操作',
|
||
-- 时间窗口
|
||
grant_type VARCHAR(16) NOT NULL DEFAULT 'permanent' COMMENT 'permanent-永久 temporary-临时',
|
||
valid_from DATETIME NOT NULL,
|
||
valid_until DATETIME,
|
||
-- 审批信息
|
||
approval_status TINYINT NOT NULL DEFAULT 0 COMMENT '0-待审批 1-已批准 2-已拒绝 3-已回收',
|
||
approver_id BIGINT,
|
||
approved_at DATETIME,
|
||
-- 行为约束
|
||
command_filter TEXT COMMENT '允许执行的命令白名单(正则)',
|
||
file_transfer TINYINT NOT NULL DEFAULT 0 COMMENT '0-禁止 1-允许上传 2-允许下载 3-双向',
|
||
-- 审计
|
||
created_at DATETIME NOT NULL DEFAULT CURRENT_TIMESTAMP,
|
||
revoked_at DATETIME,
|
||
revoked_by BIGINT,
|
||
|
||
INDEX idx_asset (asset_id),
|
||
INDEX idx_account (account_id),
|
||
INDEX idx_valid (valid_from, valid_until),
|
||
INDEX idx_status (approval_status)
|
||
) ENGINE=InnoDB DEFAULT CHARSET=utf8mb4 COMMENT='资产授权表';
|
||
|
||
-- 资产组表
|
||
CREATE TABLE T_ASSET_GROUP (
|
||
group_id BIGINT PRIMARY KEY AUTO_INCREMENT,
|
||
group_name VARCHAR(128) NOT NULL,
|
||
parent_id BIGINT,
|
||
org_code VARCHAR(64) COMMENT '所属组织',
|
||
description VARCHAR(256),
|
||
created_at DATETIME NOT NULL DEFAULT CURRENT_TIMESTAMP
|
||
) ENGINE=InnoDB DEFAULT CHARSET=utf8mb4 COMMENT='资产组表';
|
||
|
||
-- 账号密码自动轮换配置
|
||
CREATE TABLE T_CREDENTIAL_ROTATION (
|
||
rotation_id BIGINT PRIMARY KEY AUTO_INCREMENT,
|
||
asset_id BIGINT NOT NULL,
|
||
target_account VARCHAR(64) NOT NULL COMMENT '目标系统账号',
|
||
rotation_schedule VARCHAR(32) NOT NULL DEFAULT '30d' COMMENT '轮换周期:7d/14d/30d/90d',
|
||
password_rule JSON COMMENT '密码生成规则',
|
||
last_rotation DATETIME,
|
||
next_rotation DATETIME,
|
||
auto_execute TINYINT NOT NULL DEFAULT 1 COMMENT '是否自动执行',
|
||
created_at DATETIME NOT NULL DEFAULT CURRENT_TIMESTAMP,
|
||
UNIQUE KEY uk_asset_account (asset_id, target_account)
|
||
) ENGINE=InnoDB DEFAULT CHARSET=utf8mb4 COMMENT='密码轮换配置表';
|
||
```
|
||
|
||
---
|
||
|
||
## 7. 堡垒集群集成方案
|
||
|
||
### 7.1 架构选择
|
||
|
||
采用**代理模式**（非网关代理，而是独立部署堡垒机节点转发流量）：
|
||
|
||
```
|
||
┌──────────────┐
|
||
│ 4A管控平台 │
|
||
│ (认证+授权) │
|
||
└──────┬───────┘
|
||
│ API
|
||
┌──────────────┼──────────────┐
|
||
│ │ │
|
||
┌────────▼───┐ ┌──────▼──────┐ ┌────▼────────┐
|
||
│ 堡垒节点1 │ │ 堡垒节点2 │ │ 堡垒节点3 │
|
||
│ (区域A) │ │ (区域B) │ │ (区域C) │
|
||
│ ┌────────┐ │ │ ┌────────┐ │ │ ┌────────┐ │
|
||
│ │SSH/RDP │ │ │ │SSH/RDP │ │ │ │SSH/RDP │ │
|
||
│ │代理 │ │ │ │代理 │ │ │ │代理 │ │
|
||
│ └────────┘ │ │ └────────┘ │ │ └────────┘ │
|
||
└──────┬──────┘ └──────┬──────┘ └──────┬──────┘
|
||
│ │ │
|
||
│ (网络隔离，策略控制) │
|
||
│ │ │
|
||
┌──────▼──────┐ ┌─────▼───────┐ ┌────▼──────┐
|
||
│ 目标服务器1 │ │ 目标服务器2 │ │ 目标服务器3 │
|
||
│ 10.0.1.10 │ │ 10.0.2.20 │ │ 10.0.3.30 │
|
||
└─────────────┘ └─────────────┘ └───────────┘
|
||
```
|
||
|
||
### 7.2 堡垒机核心功能
|
||
|
||
| 功能 | 说明 | 实现方案 |
|
||
|------|------|---------|
|
||
| **SSO登录** | 用户从4A平台认证后直接跳转堡垒机，无需再次认证 | JWT令牌 → 堡垒节点验证 → 建立会话 |
|
||
| **会话录制** | 记录所有操作步骤（键盘输入 + 屏幕输出） | ttyrec/cast 格式录制，定期归档至对象存储 |
|
||
| **命令审计** | 记录执行命令，匹配高危命令规则 | 实时监控bash/windows shell日志 |
|
||
| **文件传输审计** | 追踪SCP/SFTP传输的文件名、大小、路径 | 代理层拦截审计 |
|
||
| **命令拦截** | 高危命令（rm -rf /, shutdown等）实时阻断 | 自定义shell profile + 命令过滤器 |
|
||
| **会话同步** | 多人同时监控同一会话 | WebSocket实时同步 |
|
||
| **事后回放** | 回放录制的会话 | 基于录制文件+时间轴播放器 |
|
||
|
||
### 7.3 堡垒节点技术选型
|
||
|
||
| 组件 | 推荐 | 备选 |
|
||
|------|------|------|
|
||
| 代理核心 | Apache Guacamole（已支持SSH/RDP/VNC） | teleport/ssh-proxy 自研 |
|
||
| 会话录制 | asciinema (ttyrec格式) | script + scriptreplay |
|
||
| 命令拦截 | 自定义shell profile (bash_prompt wrapper) | pam_exec模块钩子 |
|
||
| 文件传输审计 | SFTP proxy (在openssh中集成ForceCommand) | rssh/scponly |
|
||
| 会话存储 | 本地文件 → 定时上传至MinIO | Ceph RGW |
|
||
| 会话回放 | asciinema player 前端组件 | 自研播放器组件 |
|
||
|
||
### 7.4 堡垒机SSO流程
|
||
|
||
```
|
||
1. 用户从4A平台认证 → 获取JWT (payload含allowed_assets)
|
||
2. 用户选择目标资产 → 4A平台验证授权
|
||
3. 4A平台生成一次性堡垒令牌（有效期60秒，含用户+资产+目标账号）
|
||
4. 用户浏览器跳转至堡垒节点URL（带令牌）
|
||
5. 堡垒节点验证令牌 → 获取目标账号的真实密码/密钥（加密传输）
|
||
6. 堡垒节点建立SSH/RDP连接目标资产
|
||
7. 代理层开始录制和审计
|
||
8. 会话结束后录制上传至对象存储
|
||
```
|
||
|
||
---
|
||
|
||
## 8. 与泰岳版比对关注点
|
||
|
||
| 项 | 自研方案 | 泰岳方案（推测） | 验证方法 |
|
||
|----|---------|-----------------|---------|
|
||
| 资产模型 | 通用资产表+扩展属性 | 可能按类型分多表 | 创建各类型资产对比信息完整度 |
|
||
| 授权粒度 | 命令级黑白名单+时间窗口+文件传输控制 | 类似 | 设置复杂授权策略对比生效情况 |
|
||
| 堡垒节点 | 基于开源组件（Guacamole） | 自研代理 | 并发连接数对比 |
|
||
| 密码轮换 | 定时间隔+自动执行 | 类似 | 轮换成功率+时间对比 |
|
||
| 会话录制 | asciinema格式 | 未知格式 | 存储空间占用+回放体验对比 |
|
||
| 命令拦截 | shell profile级 | 代理级更底层 | 高危命令漏报率对比 |
|