案例研究 | JumpServer助力天虹股份构建可靠的运维安全审计平台

天虹数科商业股份有限公司（以下简称为“天虹股份”）成立于1984年，是国有控股的上市公司。通过人本、科学的管理，以及专业、高效的运营，天虹股份连续多年入围中国连锁百强企业，拥有全国领先的零售技术研发和运营能力。天虹股份围绕百货、购物中心、超市三大业态打造线上线下融合的数字化、体验式新零售，旗下拥有“天虹”、“君尚”、“sp@ce”品牌。

近年来，天虹股份积极转型，大力发展线上线下一体化的智慧零售商业模式。天虹数字化已实现全门店、全业态、全流程覆盖，形成”到店+到家“的融合零售，并且持续推进技术服务的输出，成为科技零售的领先者。天虹的每个门店还弹性定制百货、超市和体验配套的业态组合及主题设计，并且不断迭代主题街区。

为了给顾客提供优质的商品，天虹股份持续整合供应链，在全国建立了众多的生鲜基地，开拓了30多个国家的直采渠道，引进全球好货。

为什么会选择JumpServer堡垒机？

随着业务的扩张和IT资产规模的快速增长，相较于过去的运维安全审计解决方案，天虹股份的运维团队对运维审计系统的使用体验、开放性和可扩展性提出了更高的要求：

■ 支持高可用和横向扩展

天虹股份目前在深圳的南山区和龙岗区设有两个机房，随着IT资产规模和使用人员的增加，对于堡垒机的要求也日益提高。原有堡垒机的传统单机部署架构存在单点故障的风险，运维团队急需一款具备持续可用性和快速容灾切换能力的堡垒机，以确保业务的持续稳定运行。

JumpServer堡垒机采用了模块化解耦的架构设计，可以根据企业的需求实现高可用部署，并支持灵活的横向扩展，从而满足企业未来发展的需求。这样的架构设计不仅能够提高系统的稳定性和可靠性，还能有效应对突发情况，确保业务的持续运营。

■ 支持网域网关

为了有效支持天虹股份信息化系统和线上商城等业务，天虹股份的研发部门在不同的网络环境中分别建立了开发、测试和生产环境。这样一来，就需要构建一个可以集中管理不同网域资产的统一运维审计入口。

JumpServer堡垒机提供的网域网关功能可以很好地满足这一需求。即使是处于网络隔离状态下的资产也能够通过网域网关功能实现流量的转发。这使得天虹股份能够通过JumpServer堡垒机统一访问隔离网段中的资产，形成统一的资产访问门户。这样不仅可以确保运维工作的顺利进行，提高了日常运维的效率和安全性，还满足了公司在不同网络环境下统一访问资源的需求。

■ 支持广泛的云平台对接

作为一家运行在混合云基础设施之上的科技企业，天虹股份拥有多套虚拟化平台，包括私有化VMware以及腾讯云等公有云平台。未来，还将继续扩展不同的异构环境，以满足不断增长的IT需求和不断变化的业务挑战。因此，天虹股份需要堡垒机能够支持复杂的IT环境，与广泛的云平台进行对接。

JumpServer支持与多种云平台进行对接，并且可以通过“云同步”的功能自动同步云平台的资产信息。通过JumpServer堡垒机集中管理云平台上的资产，提高了系统运维的效率，让天虹股份能够统一管理多云环境中的IT资产，为未来的系统扩展和业务发展奠定了坚实的基础。

JumpServer堡垒机的部署架构

针对JumpServer堡垒机的部署方案，天虹股份的运维团队选择使用高可用的部署架构。天虹股份分别在深圳的南山区、龙岗区两个机房部署了JumpServer节点，数据库采用主主同步的方式，审计录像统一存储在NFS（Network File System，网络文件系统）上。

同时，JumpServer的不同节点通过Keepalived高可用服务实现VIP漂移，使用一个VIP地址作为统一的访问入口提供服务。在极端情况下，如果某个机房的服务器宕机，Keepalived高可用服务会自动将VIP漂移至另一个机房的节点，确保服务的正常运行，保障系统安全。

▲ 图1 天虹股份JumpServer堡垒机部署架构图

JumpServer堡垒机的应用场景

高可用部署的JumpServer堡垒机在天虹股份的主要应用场景包括：

■ 对接LDAP认证

JumpServer支持LDAP用户认证，能够自动同步LDAP用户信息。在创建资产授权规则时，管理员可选择“同名账号”选项，这样一来，用户可以通过域账号直接登录Windows资产，从而快速实现用户同步和权限管理，极大地提升了运维管理的工作效率。

■ 访问权限控制

在日常运维工作中，除了内部用户需要登录堡垒机连接资产，堡垒机还需要满足外部供应商临时访问资产的需求场景。为了确保外部供应商的安全访问，JumpServer堡垒机主要通过以下功能加以控制：

资产登录复核：外部供应商在连接资产时，系统会发送工单消息给相应的审批人，审批人通过后才会下放资产连接权限；

核心资产申请授权：外部供应商可以提交申请资产授权工单，以获取临时访问核心资产的权限；

高危命令复核：当用户的操作涉及高危命令时，也可以通过工单机制进行高危命令复核。

此外，当JumpServer与企业微信认证对接后，工单消息可以直接推送至企业微信，审批人可以直接在企业微信上完成工单审批。这样不仅加强了系统的安全策略，还为管理人员的日常操作提供了便利性。通过以上措施，天虹股份的运维团队能够高效地管理外部供应商的访问权限，确保资产的安全性和合规性。

■ 良好的使用体验

JumpServer堡垒机提供了不依赖于任何插件且体验优异的Web Terminal功能，让用户能够通过Web浏览器轻松连接服务器。

同时，JumpServer还支持RDP File下载功能，用户可将RDP File保存至本地，双击即可启动RDP客户端连接资产，享受高清流畅的画质。这一功能为需要频繁连接和操作Windows系统的用户带来了良好的使用体验。

JumpServer堡垒机带来的价值收益

JumpServer堡垒机落地使用后，天虹股份获得的价值收益包括：

■ 提升了用户体验。JumpServer划分为控制台、审计台和工作台三个面板，分别服务于管理员、审计员和普通用户。其界面设计美观直接，资产树和Web终端等操作界面简洁明了，用户上手非常简单。同时，通过客户端连接的方式保留了用户的操作习惯。在公司内部推广期间，JumpServer凭借良好的用户体验赢得了内部用户的高度认可；

■ 提高了运维管理效率。JumpServer的云同步功能集中且高效地管理了天虹异构的IT基础设施。JumpServer提供的账号改密、账号收集、账号备份等自动化功能在满足企业安全合规要求的同时，极大地降低了大规模IT资产的运维管理成本。同时，JumpServer具有丰富的生态对接能力，例如企业微信认证对接等，进一步提升了运维的便利性和高效性；

■ 加强了安全访问策略。面对多元化的操作角色，JumpServer支持RBAC（基于角色的访问控制）权限控制，可以针对不同的用户和应用场景设定不同的访问策略，配合“三位一体”的工单复核机制，加强资产访问的安全性；

■ 提升了运维审计能力。JumpServer的审计台提供了全面的审计功能，可以记录和追踪用户的操作行为，包括登录记录、命令执行记录、会话操作录像等，为运维团队提供了关键的合规依据和安全溯源能力，有助于加强管理员对系统操作的监控和审计，确保系统数据的安全性和合规性；

■ 满足未来的发展规划。JumpServer为天虹股份未来的业务发展提供了良好的技术支撑。其强大的API对接能力使得复杂的工单授权策略可以轻松对接内部OA工单流程，满足企业未来自动化管理的需求。另外，JumpServer采用了高可用部署和易于横向扩展的架构设计，在保障系统稳定运行的同时，也能够满足未来公司的系统扩展需求。