jumpserver 2.2 安装教程

迈不过友情╰ 2022-12-05 12:12 387阅读 0赞

**有问题可联系本人QQ：1016401546，备注来意，否则不加**

**参考链接：**  
https://docs.jumpserver.org/zh/master/install/step\_by\_step/  
https://www.jianshu.com/p/7d5633223210  
**一、简介**  
jumpserver 概述  
Jumpserver 是一款使用 Python, Django 开发的开源跳板机系统, 为互联网企业提供了认证，授权，审计，自动化运维等功能，基于ssh协议来管理，客户端无需安装agent。  
jumpserver 的功能特点  
    完全开源，GPL授权  
    Python编写，容易再次开发  
    实现了跳板机基本功能，身份认证、访问控制、授权、审计 、批量操作等。  
    集成了Ansible，批量命令等  
    支持WebTerminal  
    Bootstrap编写，界面美观  
    自动收集硬件信息  
    录像回放  
    命令搜索  
    实时监控  
    批量上传下载  
**二、安装**  
安装jumpserver 3.0版本，相对于jumpserver 2.0版本，在新的版本3.0中取消了LDAP授权，取而代之的是ssh进行推送；界面也有所变化，功能更完善，安装更简单。  
该文档参照官方文档安装的是jumpserver 2.2

**1、环境配置**  
**1.1关闭jumpserver部署机的防火墙和selinux**

[root@vm ~]# getenforce
    Disabled
    [root@vm ~]# systemctl stop firewalld.service

**1.2修改字符集**  
如果用的云服务器，云服务器默认是英文字符集。否则可能报 input/output error的问题，因为日志里打印了中文

[root@vm ~]# localedef -c -f UTF-8 -i zh_CN zh_CN.UTF-8
    [root@vm ~]# export LC_ALL=zh_CN.UTF-8
    [root@vm ~]# echo 'LANG="zh_CN.UTF-8"' > /etc/locale.conf

**1.3安装依赖包**

[root@vm ~]# yum -y install epel-release
    [root@vm ~]# yum clean all && yum makecache
    [root@vm ~]# yum -y update
    [root@vm ~]# yum -y install wget sqlite-devel xz gcc automake zlib-devel openssl-devel epel-release git

**1.4编译安装python-3.6.1**

[root@vm ~]# wget https://mirrors.huaweicloud.com/python/3.6.1/Python-3.6.1.tar.xz
    [root@vm ~]# tar xf Python-3.6.1.tar.xz  && cd Python-3.6.1
    [root@vm Python-3.6.1]#  ./configure && make && make install

这里必须执行编译安装，否则在安装 Python 库依赖时会有麻烦...

[root@vm Python-3.6.1]# cd /opt
    创建虚拟环境
    [root@vm opt]# python3 -m venv py3
    进入虚拟环境
    [root@vm opt]# source /opt/py3/bin/activate
    (py3) [root@vm opt]#

注意：每次操作 JumpServer 都需要先载入 py3 虚拟环境2、下载Jumpserver  
**2.1 下载jumpserver项目**

(py3) [root@vm ~]# cd /opt/
    (py3) [root@vm opt]# wget https://github.com/jumpserver/jumpserver/releases/download/v2.2.2/jumpserver-v2.2.2.tar.gz
    (py3) [root@vm opt]# tar xf jumpserver-v2.2.2.tar.gz
    (py3) [root@vm opt]# mv jumpserver-v2.2.2 jumpserver
    (py3) [root@vm opt]# cd /opt/jumpserver/requirements
    (py3) [root@vm requirements]# yum install -y $(cat rpm_requirements.txt)
    #-i 使用国内源快速安装
    (py3) [root@vm requirements]# pip install wheel -i https://mirrors.aliyun.com/pypi/simple/
    (py3) [root@vm requirements]# pip install --upgrade pip setuptools -i https://mirrors.aliyun.com/pypi/simple/
    (py3) [root@vm requirements]# pip install -r requirements.txt -i https://mirrors.aliyun.com/pypi/simple/

**2.2 安装Redis**  
\#如果已经有redis就不需要安装了，或者使用编译安装最新版的redis也行

(py3) [root@vm requirements]#  yum -y install redis
    (py3) [root@vm requirements]#  systemctl enable redis
    Created symlink from /etc/systemd/system/multi-user.target.wants/redis.service to /usr/lib/systemd/system/redis.service.
    (py3) [root@vm requirements]# systemctl start redis

**2.3 安装MySQL**  
如果已经有了MySQL 就不需要安装了，或者使用编译安装的也行。我使用的是编译安装的MySQL8.0（具体安装百度）。

(py3) [root@vm requirements]# yum -y install mariadb mariadb-devel mariadb-server
    (py3) [root@vm requirements]# systemctl enable mariadb
    Created symlink from /etc/systemd/system/multi-user.target.wants/mariadb.service to /usr/lib/systemd/system/mariadb.service.
    (py3) [root@vm requirements]# systemctl start mariadb
    (py3) [root@vm requirements]#

**2.4 创建jumpserver数据库并授权**  
mysql建议还是使用最新版的，低版本线上容易扫出漏洞。

MySQL5 授权方式：
    MariaDB [(none)]>  create database jumpserver default charset 'utf8';
    设置用户jumpserver@127.0.0.1对jumpserver数据库所有表都有权限,并设置密码为123456
    MariaDB [(none)]> grant all on jumpserver.* to 'jumpserver'@'127.0.0.1' identified by '123456';
    MariaDB [(none)]> flush privileges;
    
    MySQL8.0 授权方式：
    mysql> create database jumpserver default charset 'utf8';
    #创建jumpserver用户，并设置密码123456，线上可以设置复杂点
    mysql> CREATE USER 'jumpserver'@'%' IDENTIFIED BY '123456';
    mysql> GRANT ALL PRIVILEGES ON jumpserver.* TO jumpserver@'%';
    #注意：MySQL 8.0 必须还要给第三方登录的授权，否则jumpserver无法连接mysql
    mysql> alter user jumpserver identified with mysql_native_password by '123456';
    mysql> flush prilievges

**3、配置Jumpserver**  
\# 主要修改SECRET\_KEY，BOOTSTRAP\_TOKEN，MySQL配置，Redis配置

(py3) [root@vm jumpserver]# cd /opt/jumpserver 
    (py3) [root@vm jumpserver]# cp config_example.yml config.yml 
    (py3) [root@vm jumpserver]# vi config.yml
    # 加密秘钥 生产环境中请修改为随机字符串，请勿外泄, 可使用命令生成
    # cat /dev/urandom | tr -dc A-Za-z0-9 | head -c 49;echo
    SECRET_KEY: W5Ic3fMXNZ0p5RIy5DhJYJllppTfcfkW8Yuf94VBMfpcssbfu
    # SECURITY WARNING: keep the bootstrap token used in production secret!
    # 预共享Token coco和guacamole用来注册服务账号，不在使用原来的注册接受机制
    # 可使用命令生成
    # cat /dev/urandom | tr -dc A-Za-z0-9 | head -c 16;echo
    BOOTSTRAP_TOKEN: zxffNymGjP79j6BN
    # 使用Mysql作为数据库
    DB_ENGINE: mysql
    DB_HOST: 127.0.0.1
    DB_PORT: 3306
    DB_USER: jumpserver
    #MySQL密码必须要用单引号括起来，否则启动jumpserver报错
    DB_PASSWORD: '123456'
    DB_NAME: jumpserver
    # Redis配置
    REDIS_HOST: 127.0.0.1
    REDIS_PORT: 6379
    #如果redis设置了密码需要打开这个注释，redis密码可以不需要单引号
    REDIS_PASSWORD: 123456

注意：mysql配置密码要加上单引号！否则启动不起来。

**4、启动/关闭Jumpserver**

#前台启动
    (py3) [root@vm jumpserver]# ./jms start  
    ......
    #后台启动
    (py3) [root@vm jumpserver]# ./jms start -d
    (py3) [root@vm jumpserver]# ./jms stop     --这个停止只是演示，安装完jumpserver就可以直接启动了。
    Stop service: gunicorn
    Stop service: celery
    Stop service: beat

**5、部署koko  
5.1 手工部署koko (coco 目前已经被 koko 取代)**

(py3) [root@vm jumpserver]# cd /opt 
    (py3) [root@vm opt]# wget https://github.com/jumpserver/koko/releases/download/v2.2.2/koko-v2.2.2-linux-amd64.tar.gz
    (py3) [root@vm opt]# tar -xf koko-v2.2.2-linux-amd64.tar.gz 
    (py3) [root@vm opt]# mv koko-v2.2.2-linux-amd64 koko 
    (py3) [root@vm opt]# chown -R root:root koko 
    (py3) [root@vm opt]# cd koko 
    (py3) [root@vm opt]# mv kubectl /usr/local/bin/ 
    (py3) [root@vm opt]# wget https://download.jumpserver.org/public/kubectl.tar.gz 
    (py3) [root@vm opt]# tar -xf kubectl.tar.gz && \
    (py3) [root@vm opt]# chmod 755 kubectl && \
    (py3) [root@vm opt]# mv kubectl /usr/local/bin/rawkubectl && \
    (py3) [root@vm opt]# rm -rf kubectl.tar.gz
    (py3) [root@vm opt]# cp config_example.yml config.yml && \
    (py3) [root@vm opt]# vi config.yml
    #主要修改和redis配置
    #BOOTSTRAP_TOKEN 和jumpserver配置一样
    BOOTSTRAP_TOKEN: zxffNymGjP79j6BN
    # Redis配置
    REDIS_HOST: 127.0.0.1
    REDIS_PORT: 6379
    REDIS_PASSWORD: 123456

**koko启停：**

前台启动：
    ./koko  
    后台启动：
    ./koko -d

**5.2 Docker 部署 KoKo 组件**  
如果前面已经正常部署了 KoKo, 可以跳过此步骤  
例子:

docker run --name jms_koko -d \
      -p 2222:2222 -p 127.0.0.1:5000:5000 \
      -e CORE_HOST=http://<Jumpserver_url> \
      -e BOOTSTRAP_TOKEN=<Jumpserver_BOOTSTRAP_TOKEN> \
      -e LOG_LEVEL=ERROR \
      --restart=always \
      --privileged=true \
      jumpserver/jms_koko:<Tag>
    <Jumpserver_url> 为 jumpserver 的 url 地址, <Jumpserver_BOOTSTRAP_TOKEN> 需要从 jumpserver/config.yml 里面获取, 保证一致, <Tag> 是版本

实例:

docker run --name jms_koko -d \
      -p 2222:2222 \
      -p 127.0.0.1:5000:5000 \
      -e CORE_HOST=http://192.168.244.144:8080 \
      -e BOOTSTRAP_TOKEN=zxffNymGjP79j6BN \
      -e LOG_LEVEL=ERROR \
      --privileged=true \
      --restart=always \
      jumpserver/jms_koko:v2.2.2

查看启动成功：

(py3) [root@vm opt]# docker ps 
    停止docker的koko
    docker stop  上面查出的容器ID
    启动docker
    docker start 容器ID

**6、部署guacamole  
方式1：通过docker部署（推荐）**  
**基于 HTML 5 和 JavaScript 的 VNC 查看器**  
建议使用 Docker 部署 Guacamole 组件 , 部分环境可能无法正常编译安装

docker run --name jms_guacamole -d \
      -p 127.0.0.1:8081:8080 \
      -e JUMPSERVER_SERVER=http://<Jumpserver_url> \
      -e BOOTSTRAP_TOKEN=<Jumpserver_BOOTSTRAP_TOKEN> \
      -e GUACAMOLE_LOG_LEVEL=ERROR \
      jumpserver/jms_guacamole:<Tag>
    <Jumpserver_url> 为 JumpServer 的 url 地址, <Jumpserver_BOOTSTRAP_TOKEN> 需要从 jumpserver/config.yml 里面获取, 保证一致, <Tag> 是版本

实例:

docker run --name jms_guacamole -d \
      -p 127.0.0.1:8081:8080 \
      -e JUMPSERVER_SERVER=http://192.168.244.144:8080 \
      -e BOOTSTRAP_TOKEN=abcdefg1234 \
      -e GUACAMOLE_LOG_LEVEL=ERROR \
      jumpserver/jms_guacamole:v2.2.2

**方式2：手工部署guacamole（如果docker弄好了就忽略这步）**  
建议使用 Docker 部署 Guacamole 组件 , 部分环境可能无法正常编译安装

cd /opt && \
    wget -O docker-guacamole-v2.2.2.tar.gz https://github.com/jumpserver/docker-guacamole/archive/master.tar.gz
    
    mkdir /opt/docker-guacamole && \
    tar -xf docker-guacamole-v2.2.2.tar.gz -C /opt/docker-guacamole --strip-components 1 && \
    rm -rf /opt/docker-guacamole-v2.2.2.tar.gz && \
    cd /opt/docker-guacamole && \
    wget http://download.jumpserver.org/public/guacamole-server-1.2.0.tar.gz && \
    tar -xf guacamole-server-1.2.0.tar.gz && \
    wget http://download.jumpserver.org/public/ssh-forward.tar.gz && \
    tar -xf ssh-forward.tar.gz -C /bin/ && \
    chmod +x /bin/ssh-forward
    
    cd /opt/docker-guacamole/guacamole-server-1.2.0

根据 Guacamole官方文档 文档安装对应的依赖包

./configure --with-init-dir=/etc/init.d && \
    make && \
    make install

需要先在当前环境配置好 Java

yum install -y java-1.8.0-openjdk
    mkdir -p /config/guacamole /config/guacamole/extensions /config/guacamole/record /config/guacamole/drive && \
    chown daemon:daemon /config/guacamole/record /config/guacamole/drive && \
    cd /config
    访问  https://mirror.bit.edu.cn/apache/tomcat/tomcat-9下载最新的 Tomcat9
    tar -xf apache-tomcat-9.0.36.tar.gz && \
    mv apache-tomcat-9.0.36 tomcat9 && \
    rm -rf /config/tomcat9/webapps/* && \
    sed -i 's/Connector port="8080"/Connector port="8081"/g' /config/tomcat9/conf/server.xml && \
    echo "java.util.logging.ConsoleHandler.encoding = UTF-8" >> /config/tomcat9/conf/logging.properties && \
    wget http://download.jumpserver.org/release/v2.2.2/guacamole-client-v2.2.2.tar.gz && \
    tar -xf guacamole-client-v2.2.2.tar.gz && \
    rm -rf guacamole-client-v2.2.2.tar.gz && \
    cp guacamole-client-v2.2.2/guacamole-*.war /config/tomcat9/webapps/ROOT.war && \
    cp guacamole-client-v2.2.2/guacamole-*.jar /config/guacamole/extensions/ && \
    mv /opt/docker-guacamole/guacamole.properties /config/guacamole/ && \
    rm -rf /opt/docker-guacamole && \
    设置 Guacamole 环境
    export JUMPSERVER_SERVER=http://127.0.0.1:8080
    echo "export JUMPSERVER_SERVER=http://127.0.0.1:8080" >> ~/.bashrc
    export BOOTSTRAP_TOKEN=zxffNymGjP79j6BN
    echo "export BOOTSTRAP_TOKEN=zxffNymGjP79j6BN" >> ~/.bashrc
    export JUMPSERVER_KEY_DIR=/config/guacamole/keys
    echo "export JUMPSERVER_KEY_DIR=/config/guacamole/keys" >> ~/.bashrc
    export GUACAMOLE_HOME=/config/guacamole
    echo "export GUACAMOLE_HOME=/config/guacamole" >> ~/.bashrc
    export GUACAMOLE_LOG_LEVEL=ERROR
    echo "export GUACAMOLE_LOG_LEVEL=ERROR" >> ~/.bashrc
    export JUMPSERVER_ENABLE_DRIVE=true
    echo "export JUMPSERVER_ENABLE_DRIVE=true" >> ~/.bashrc
    
    启动 Guacamole
    /etc/init.d/guacd start
    sh /config/tomcat9/bin/startup.sh

**环境变量说明**  
JUMPSERVER\_SERVER 指 core 访问地址  
BOOTSTRAP\_TOKEN 为 Jumpserver/config.yml 里面的 BOOTSTRAP\_TOKEN 值  
JUMPSERVER\_KEY\_DIR 认证成功后 key 存放目录  
GUACAMOLE\_HOME 为 guacamole.properties 配置文件所在目录  
GUACAMOLE\_LOG\_LEVEL 为生成日志的等级  
JUMPSERVER\_ENABLE\_DRIVE 为 rdp 协议挂载共享盘

**7、部署lina组件**

我nginx用root启动的，所以赋权root

cd /opt
    wget https://github.com/jumpserver/lina/releases/download/v2.2.2/lina-v2.2.2.tar.gz
    tar -xf lina-v2.2.2.tar.gz
    mv lina-v2.2.2 lina
    chown -R root:root lina

**8、部署luna组件**  
与nginx结合支持Web Terminal前端，我nginx用root启动的，所以赋权root

cd /opt
    wget https://github.com/jumpserver/luna/releases/download/v2.2.2/luna-v2.2.2.tar.gz
    tar -xf luna-v2.2.2.tar.gz
    mv luna-v2.2.2 luna
    chown -R root:root luna

**9、安装和配置nginx**  
我使用的是编译安装的nginx，主配置文件：nginx.conf，子配置文件再conf/vhost里面，这种方式比较适用线上配置，官网的配置是清空default，再直接配置一个jumpserver子配置，简单，适合新手。  
主配置文件：

[root@vm jumpserver]# cat /usr/local/nginx/conf/nginx.conf
    worker_processes  1;
    events {
        worker_connections  1024;
    }
    http {
        include       mime.types;
        default_type  application/octet-stream;
        sendfile        on;
        keepalive_timeout  65;
          server
            {
                    listen 80;
                    server_name empty;
                    root /data/web;
    
            }
    
    
    include vhost/*.conf;
    }

**子配置文件：**

[root@vm jumpserver]# vi /usr/local/nginx/conf/vhost/jumpserver.conf 
    server {
        listen 80;
        server_name 192.168.244.144
        client_max_body_size 100m;  # 录像及文件上传大小限制
    
        location /ui/ {
            try_files $uri / /index.html;
            alias /opt/lina/;
        }
    
        location /luna/ {
            try_files $uri / /index.html;
            alias /opt/luna/;  # luna 路径, 如果修改安装目录, 此处需要修改
        }
    
        location /media/ {
            add_header Content-Encoding gzip;
            root /opt/jumpserver/data/;  # 录像位置, 如果修改安装目录, 此处需要修改
        }
    
        location /static/ {
            root /opt/jumpserver/data/;  # 静态资源, 如果修改安装目录, 此处需要修改
        }
    
        location /koko/ {
            proxy_pass       http://localhost:5000;
            proxy_buffering off;
            proxy_http_version 1.1;
            proxy_set_header Upgrade $http_upgrade;
            proxy_set_header Connection "upgrade";
            proxy_set_header X-Real-IP $remote_addr;
            proxy_set_header Host $host;
            proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
            access_log off;
        }
    
        location /guacamole/ {
            proxy_pass       http://localhost:8081/;
            proxy_buffering off;
            proxy_http_version 1.1;
            proxy_set_header Upgrade $http_upgrade;
            proxy_set_header Connection $http_connection;
            proxy_set_header X-Real-IP $remote_addr;
            proxy_set_header Host $host;
            proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
            access_log off;
        }
    
        location /ws/ {
            proxy_set_header X-Real-IP $remote_addr;
            proxy_set_header Host $host;
            proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
            proxy_pass http://localhost:8070;
            proxy_http_version 1.1;
            proxy_buffering off;
            proxy_set_header Upgrade $http_upgrade;
            proxy_set_header Connection "upgrade";
        }
    
        location /api/ {
            proxy_pass http://localhost:8080;
            proxy_set_header X-Real-IP $remote_addr;
            proxy_set_header Host $host;
            proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        }
    
        location /core/ {
            proxy_pass http://localhost:8080;
            proxy_set_header X-Real-IP $remote_addr;
            proxy_set_header Host $host;
            proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        }
    
        location / {
            rewrite ^/(.*)$ /ui/$1 last;
        }
    }
    
    [root@vm nginx]# /usr/local/nginx/sbin/nginx -t
    nginx: the configuration file /usr/local/nginx/conf/nginx.conf syntax is ok
    nginx: configuration file /usr/local/nginx/conf/nginx.conf test is successful
    [root@vm nginx]# /usr/local/nginx/sbin/nginx

**10、Jumpserver 登录测试**  
检查应用是否已经正常运行  
服务全部启动后, 访问 jumpserver 服务器 nginx 代理的 80 端口, 不要通过8080端口访问，否则无法访问到静态资源。  
默认账号: admin 密码: admin