CN106936817B - 操作执行方法、跳板机、集群认证服务器和堡垒机系统 - Google Patents

操作执行方法、跳板机、集群认证服务器和堡垒机系统 Download PDF

Info

Publication number
CN106936817B
CN106936817B CN201710083829.6A CN201710083829A CN106936817B CN 106936817 B CN106936817 B CN 106936817B CN 201710083829 A CN201710083829 A CN 201710083829A CN 106936817 B CN106936817 B CN 106936817B
Authority
CN
China
Prior art keywords
server
user
information
authentication
cluster
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
CN201710083829.6A
Other languages
English (en)
Other versions
CN106936817A (zh
Inventor
陈培培
朱金华
康凯
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Shanghai Yixu Network Technology Co ltd
Original Assignee
Shanghai Supreme Being Joins Information Technology Share Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Shanghai Supreme Being Joins Information Technology Share Co Ltd filed Critical Shanghai Supreme Being Joins Information Technology Share Co Ltd
Priority to CN201710083829.6A priority Critical patent/CN106936817B/zh
Publication of CN106936817A publication Critical patent/CN106936817A/zh
Application granted granted Critical
Publication of CN106936817B publication Critical patent/CN106936817B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0815—Network architectures or network communication protocols for network security for authentication of entities providing single-sign-on or federations
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/083—Network architectures or network communication protocols for network security for authentication of entities using passwords
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0876—Network architectures or network communication protocols for network security for authentication of entities based on the identity of the terminal or configuration, e.g. MAC address, hardware or software configuration or device fingerprint
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/01—Protocols
    • H04L67/10—Protocols in which an application is distributed across nodes in the network
    • H04L67/1095—Replication or mirroring of data, e.g. scheduling or transport for data synchronisation between network nodes

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Power Engineering (AREA)
  • Information Transfer Between Computers (AREA)
  • Computer And Data Communications (AREA)
  • Telephonic Communication Services (AREA)

Abstract

操作执行方法、跳板机、集群认证服务器和堡垒机系统，所述方法包括：接收客户端发送的用户的登录信息；基于所述用户的登录信息对所述用户进行双重身份认证；当对所述双重认证通过时，接收所述客户端发送的对服务器集群中的目标服务器的操作信息；将所述操作信息发送至所述服务器集群，以使得所述服务器集群中的集群认证服务器对所述用户进行身份认证，并在所述集群认证服务器对所述用户的身份认证通过时，将所述用户跳转登录至所述服务器集群中对应的目标服务器，并对所述对应的目标服务器执行相应的操作。上述的方案，可以提高堡垒机系统的安全性。

Description

操作执行方法、跳板机、集群认证服务器和堡垒机系统
技术领域
本发明属于计算机网络技术领域，特别是涉及一种操作执行方法、跳板机、集群认证服务器和堡垒机系统。
背景技术
堡垒机，即在一个特定的网络环境下，为了保障网络和数据不受来自外部和内部用户的入侵和破坏，而运用各种技术手段实时收集和监控网络环境中每一个组成部分的系统状态、安全事件、网络活动，以便集中报警、及时处理及审计定责。
现有的堡垒机系统，不允许用户直接登录到服务器集群中的目标服务器直接操作，用户只有通过跳板机认证，才能对服务器集群中的服务器进行操作。
但是，现有的堡垒机系统存在着安全性低的问题。
发明内容
本发明实施例解决的问题是如何提高堡垒机系统的安全性。
为解决上述问题，本发明实施例提供了一种操作执行方法，所述方法包括：接收客户端发送的用户的登录信息；基于所述用户的登录信息对所述用户进行双重身份认证；当对所述双重认证通过时，接收所述客户端发送的对服务器集群中的目标服务器的操作信息；将所述操作信息发送至所述服务器集群，以使得所述服务器集群中的集群认证服务器对所述用户进行身份认证，以在所述集群认证服务器对所述用户的身份认证通过时，将所述用户跳转登录至所述服务器集群中对应的目标服务器，并对所述对应的目标服务器执行相应的操作。
可选地，所述基于所述用户的登录信息对所述用户进行双重身份认证，包括：接收所述客户端发送的第一身份认证信息并发送至预设的远程认证服务器，以使得所述远程认证服务器将所接收的第一身份认证信息与自身所存储的用户数据库中的用户认证信息进行比较，并在确定所述用户数据库存在所述第一身份认证信息时，生成对应的认证结果信息并发送；所述第一身份认证信息包括用户名和动态口令的信息；当接收到所述远程认证服务器发送的认证结果信息时，确定所述远程服务器对所述用户的第一次身份认证通过；当确定所述远程服务器对所述用户的第一次身份认证通过时，向所述客户端发送第二身份认证信息获取请求；接收所述客户端发送的第二身份认证信息，并基于所述第二身份认证信息对所述用户进行认证；所述第二身份认证信息包括所述用户名和密码的信息；当确定第二身份认证信息正确时，对所述用户的第二次身份认证成功。
可选地，所述方法还包括：根据所述认证结果信息中对应的授权信息，确定所述用户的权限；所述用户的权限包括普通用户权限和root用户权限；当确定所述用户的权限为普通用户权限时，将所述用户跳转至对应的普通用户权限下；当确定所述用户的权限为root用户权限时，将所述用户跳转至对应的root用户权限下。
可选地，当所述用户跳转至普通用户权限下时，所述方法还包括：当接收到所述用户输入的root用户权限跳转命令时，将所述用户由普通用户权限跳转至root用户权限下。
可选地，所述方法还包括：基于所述认证结果信息中对应的授权信息，确定所述服务器集群中的对应的可用服务器的信息并发送至所述客户端，以使得所述客户端将对应的可用服务器的信息输出显示给所述用户；所述可用服务器为所述服务器集群中所述用户具有操作权限的目标服务器。
可选地，所述方法还包括：接收所述客户端发送的对所述服务器集群中对应的一个以上的可用服务器的操作信息并发送至所述服务器集群，以使得所述服务器集群中对应的一个以上的可用服务器执行相应的操作。
可选地，所述方法还包括：定期将自身的数据发送至预设的备份跳板机服务器，以使得所述备份跳板机服务器对自身的数据进行同步。
本发明实施例还提供了另一种操作执行方法，包括：接收跳板机服务器发送的用户的操作信息，并对对应的用户进行身份认证；当对所述用户的身份认证通过时，将所述用户跳转登录至服务器集群中对应的目标服务器，以使得所述目标服务器按照所述操作信息执行相应的操作。
可选地，所述对所述用户进行身份认证，包括：接收所述跳板机服务器发送的目标服务器的标识信息；将所接收的目标服务器的标识信息与相应的集群服务器中的目标服务器的标识信息进行匹配；当从所述集群中的目标服务器中匹配到唯一的目标服务器且所匹配到的唯一的目标服务器支持LDAP协议时，接收所述跳板机服务器发送的来自客户端的用户的第三身份认证信息；所述第三身份认证信息包括所述用户名和登录密码的信息；当确定所述第三身份认证信息正确时，基于所述用户名的信息，从预设的用户数据库中匹配得到对应的用户登记信息；当从预设的用户数据库中匹配到唯一的用户登记信息时，基于所述唯一的用户登记信息，获取连接目标服务器的区别名称的信息；基于所述登录密码和所获取的连接目标服务器的区别名称的信息，从所述服务器集群中匹配得到对应的目标服务器；当从所述服务器集群中匹配得到唯一的目标服务器时，对所述用户的身份认证成功。
可选地，所述方法还包括：定期将自身的数据发送至预设的备份集群认证服务器，以使得所述备份集群认证服务器对自身的数据进行同步。
可选地，所述目标服务器的区别名称为域名。
本发明实施例还提供了一种跳板机服务器，包括：第一接收单元，适于接收客户端发送的用户的登录信息；第一认证单元，适于基于所述用户的登录信息对所述用户进行双重身份认证；第二接收单元，当对所述双重认证通过时，接收所述客户端发送的对服务器集群中的目标服务器的操作信息；第一发送单元，适于将所述操作信息发送至所述服务器集群，以使得所述服务器集群中的集群认证服务器对所述用户进行身份认证，并在所述集群认证服务器对所述用户的身份认证通过时，将所述用户跳转登录至所述服务器集群中对应的目标服务器，并对所述对应的目标服务器执行相应的操作。
可选地，所述第一认证单元，包括：第一接收子单元，适于接收客户端发送的第一身份认证信息并发送至预设的远程认证服务器，以使得所述远程认证服务器将所接收的所述第一身份认证信息与自身所存储的用户数据库中的用户认证信息进行比较，并在确定所述用户数据库存在所述第一身份认证信息时，生成对应的认证结果信息并发送；所述第一身份认证信息包括用户名和动态口令的信息；接收到所述远程认证服务器发送的认证结果信息；确定子单元，适于当接收到所述远程认证服务器发送的认证结果信息时，确定所述远程服务器对所述用户的第一次身份认证通过；第二请求接收子单元，适于当确定所述远程服务器对所述用户的第一次身份认证通过时，向所述客户端发送第二身份认证信息获取请求，并接收所述客户端发送的第二身份认证信息；第一认证子单元，适于基于所述第二身份认证信息对所述用户进行认证；所述第二身份认证信息包括所述用户名和密码的信息；当确定第二身份认证信息正确时，对所述用户的第二次身份认证成功。
可选地，所述跳板机服务器还包括：权限确定单元，适于根据所述认证结果信息中对应的授权信息，确定所述用户的权限；所述用户的权限包括普通用户权限和root用户权限；权限跳转单元，适于当确定所述用户的权限为普通用户权限时，将所述用户跳转至对应的普通用户权限下；当确定所述用户的权限为root用户权限时，将所述用户跳转至对应的root用户权限下。
可选地，所述权限跳转单元，还适于当所述用户跳转至普通用户权限下，且接收到所述用户输入的root用户权限跳转命令时，将所述用户由普通用户权限跳转至root用户权限下。
可选地，所述跳板机服务器还包括：输出显示单元，适于基于所述认证结果信息中对应的授权信息，确定所述服务器集群中的对应的可用服务器的信息并发送至所述客户端，以使得所述客户端将对应的可用服务器的信息输出显示给所述用户；所述可用服务器为所述服务器集群中所述用户具有操作权限的目标服务器。
可选地，所述跳板机服务器还包括：批量命令执行单元，适于接收所述客户端发送的对所述服务器集群中对应的一个以上的可用服务器的操作信息并发送至所述服务器集群，以使得所述服务器集群中对应的一个以上的可用服务器执行相应的操作。
可选地，所述跳板机服务器还包括：第一备份单元，适于定期将自身的数据发送至预设的备份跳板机服务器，以使得所述备份跳板机服务器对自身的数据进行同步。
本发明实施例还提供了一种集群认证服务器，包括：第二认证单元，适于当接收到跳板机服务器发送的用户的操作信息，并对相应的用户进行身份认证；跳转登录单元，适于当对所述用户的身份认证通过时，将所述用户跳转登录至服务器集群中对应的目标服务器，以使得所述目标服务器按照所述操作信息执行相应的操作。
可选地，所述第二认证单元，包括：第三接收子单元，适于接收所述跳板机服务器发送的客户端的用户输入的目标服务器的标识信息；第一匹配子单元，适于将所接收的目标服务器的标识信息与所述集群服务器中的目标服务器的标识信息进行匹配；第四接收子单元，适于当从所述集群中的目标服务器中匹配到唯一的目标服务器且所匹配到的唯一的目标服务器支持LDAP协议时，接收所述跳板机服务器发送的来自客户端的用户的第三身份认证信息；所述第三身份认证信息包括所述用户名和登录密码的信息；第二匹配子单元，适于当确定所述第三身份认证信息正确时，基于所述用户名的信息，从预设的用户数据库中匹配得到对应的用户登记信息；获取子单元，适于当从预设的用户数据库中匹配到唯一的用户登记信息时，基于所述唯一的用户登记信息，获取连接目标服务器的区别名称的信息；第三匹配子单元，适于基于所述登录密码和所获取的连接目标服务器的区别名称的信息，从所述服务器集群中匹配得到对应的目标服务器；当从所述服务器集群中匹配得到唯一的目标服务器时，对所述用户的身份认证成功。
可选地，所述集群认证服务器还包括：第二备份单元，适于定期将自身的数据发送至预设的备份集群认证服务器，以使得所述备份集群认证服务器对自身的数据进行同步。
可选地，所述目标服务器的区别名称为域名。
本发明实施例还提供了一种堡垒机系统，包括客户端、服务端和集群服务器；所述服务端分别与所述客户端和所述集群服务器耦接；其中，所述服务端包括上述的跳板机服务器和远程认证服务器，所述集群服务器包括上述述的集群认证服务器和一个以上的目标服务器。
可选地，所述系统还包括：备份跳板机服务器，适于定期对所述跳板机服务器的数据进行同步，并在所述跳板机服务器发生故障时接替所述跳板机服务器进行工作。
可选地，所述系统还包括：备份集群认证服务器，适于定期对所述集群认证服务器的数据进行同步，并在所述集群认证服务器发生故障时接替所述集群认证服务器进行工作。
可选地，所述系统还包括：WEB服务器，适于对所述堡垒机系统进行管理。
与现有技术相比，本发明的技术方案具有以下的优点：
上述的方案，堡垒机系统中的服务端采用双重认证的方式对客户端的用户进行身份认证，与仅采用一次身份认证的方式相比，可以提高堡垒机系统的安全性。
进一步地，在服务端对客户端的用户进行双重认证时，分别采用用户名和动态口令对用户进行第一次身份认证，也即远程用户拨号认证系统(Remote AuthenticationDial In User Service，RADIUS)认证方式进行第二次身份认证并，由于RADIUS认证方式中传输的信息均经过加密处理，且具有认证方式灵活的特点，可以进一步提高堡垒机系统的安全性和灵活性。
进一步地，采用备份跳板机服务器对跳板机服务器进行定期同步，并在所述跳板机服务器发生故障时，接替所述跳板机服务器工作，可以提高堡垒机系统工作的可靠性。
进一步地，采用集群认证服务器对成功登录至服务端的用户进行集中身份认证，可以减轻跳板机服务器的负载，提高堡垒机系统工作的可靠性。
进一步地，在采用集群认证服务器对成功登录至服务端的用户进行身份认证时，基于轻量目录访问协议(Lightweight Directory Access Protocol，LDAP)对用户进行身份认证，由于用户输入的第二密码信息不可读，因而可以提高集群认证服务器对用户进行身份认证的安全性，进而可以进一步提高堡垒机系统的安全性。
进一步地，采用备份集群认证服务器对集群认证服务器进行定期同步，并在所述集群认证服务器发生故障时，接替所述跳板机服务器工作，因而可以提高堡垒机系统工作的可靠性。
进一步地，采用WEB服务端对堡垒机系统进行管理，可以提高堡垒机系统管理的便利性，提升用户的使用体验。
附图说明
图1是本发明实施例中一种的操作执行方法的流程图；
图2是本发明实施例中另一种操作执行方法的流程图；
图3是本发明实施例中的一种堡垒机系统的结构示意图；
图4是本发明实施例中的用户登录至服务端的信令交互流程图；
图5是本发明实施例中的集群认证服务器对用户进行身份认证的方法的流程图；
图6是本发明实施例中的跳板机服务器的结构示意图；
图7是本发明实施例中的集群认证服务器的结构示意图。
具体实施方式
正如背景技术所言，现有技术中的堡垒机系统包括跳板机和服务器集群，该堡垒机系统不允许用户直接登录到服务器集群中的服务器进行操作，用户需要首先登录至跳板机，通过跳板机才能对服务器集群中的服务器进行操作。
其中，用户在登录至跳板机时，输入相应的用户名和密码的信息，由跳板机基于用户输入的用户名和密码对用户进行身份验证；当对用户的身份验证通过时，用户可以将相应的操作指令发送至跳板机，再由跳板机将用户的操作指令转发至服务器集群中的目标服务器，以使得目标服务器执行相应的操作。
通过描述可知，上述的方案仅使用固定的用户名和密码对用户进行身份认证，一旦用户的用户名和密码信息泄露，将会给跳板机系统带来安全隐患，因而存在着安全性差的问题。
为解决上述问题，本发明实施例中的技术方案通过服务端采用双重认证的方式对客户端的用户进行身份认证，与仅采用一次身份认证的方式相比，可以提高堡垒机系统的安全性。
为使本发明的上述目的、特征和优点能够更为明显易懂，下面结合附图对本发明的具体实施例做详细的说明。
图1是本发明实施例中的一种操作执行方法的流程图。如图1所示的操作执行方法，在具体实施中，可以由与客户端相应的服务端执行，具体可以包括如下的步骤：
步骤S101：接收客户端发送的用户的登录信息。
在具体实施中，用户的登录信息为用户的身份认证信息，客户端的用户可以根据客户端输出的提示信息的指示下进行输入。
步骤S102：基于所述用户的登录信息对所述用户进行双重身份认证。
在本发明一实施例中，所述双重身份认证为用户登录至服务端时，服务端对用户进行的两次身份认证，包括一次RADIUS动态密码身份认证和一次静态密码身份认证。
步骤S103：当对所述双重认证通过时，接收所述客户端发送的对服务器集群中的目标服务器的操作信息，并将所述操作信息发送至所述服务器集群。
在具体实施中，当对用户的双重认证通过时，用户可以成功登录至服务端。当用户成功登录至服务端时，用户可以输入集群服务器中的目标服务器的标识，如IP信息，当接收到用户输入的目标服务器的标识信息时，服务器集群中的集群认证服务器再次对所述用户进行身份认证，并在所述集群认证服务器对所述用户的身份认证通过时，将所述用户跳转登录至所述服务器集群中对应的目标服务器，并对所述对应的目标服务器执行相应的操作。
图2是本发明实施例中的另一种操作执行方法的流程图。如图2所示，对于用户的操作信息，集群认证服务器可以执行相应的处理过程，具体可以包括如下的步骤：
步骤S201：接收跳板机服务器发送的操作信息，并对对应的用户进行身份认证。
在具体实施中，所述跳板机服务器发送的操作信息包括用户的操作指令的信息，以及其他的用户对集群服务器中的目标服务器进行操作相关联的信息。
在具体实施中，集群服务器中的集群认证服务器对用户的身份认证过程，也即是将用户输入的认证信息与集群服务器中的目标服务器进行绑定的过程。
步骤S202：当对所述用户的身份认证通过时，将所述用户跳转登录至服务器集群中对应的目标服务器，以使得所述目标服务器按照所述操作信息执行相应的操作。
在具体实施中，当集群认证服务器对客户端的用户的身份认证通过时，将所述用户跳转登录至身份认证过程中绑定成功的目标服务器，从而使得所述用户可以对所绑定的目标服务器执行相应的操作。
上述的方案，通过服务端采用双重认证的方式对客户端的用户进行身份认证，与仅采用一次身份认证的方式相比，可以提高堡垒机系统的安全性。
下面将对本发明实施例中的技术方案进行进一步详细的描述。
为了便于理解，下面将首先对本发明实施例中的堡垒机系统的结构进行介绍。
参见图3，本发明实施例中的一种堡垒机系统可以包括客户端31、服务端32和集群服务器33，其中，服务端32分别与客户端31和集群服务器33耦接。
在本发明一实施例中，服务端32为CRT端，具体可以包括跳板机服务器321和远程认证服务器322；集群服务器33可以包括集群认证服务器331和多个目标服务器3321～332n。
在本发明另一实施例中，为了提高堡垒机系统工作的可靠性，堡垒机系统还包括备份跳板机服务器323，以定期对跳板机服务器321中的数据进行同步，并在所述跳板机服务器321发生故障时，接替所述跳板机服务器321进行工作。
在本发明另一实施例中，为了提高堡垒机系统工作的可靠性，堡垒机系统还包括备份集群认证服务器333，以定期对集群认证服务器331中的数据进行同步，并在所述集群认证服务器331发生故障时，接替所述集群认证服务器331进行工作。
在本发明又一实施例中，为了提高堡垒机系统管理的便利性，堡垒机系统还包括备份WEB服务器，以对堡垒机系统进行统一管理，具体可以包括：(一)用户管理功能：用于管理登录堡垒机的账号，可以包括部门、小组、用户的创建和查询；(二)资产管理功能：资产管理模块可以包括查看资产、添加主机组、查看主机组等。(三)授权管理功能：用于对堡垒机系统进行授权管理，包括部门授权、小组授权、sudo授权、权限审批等。例如，小组授权用于使一批用户(例如一个产品线下的用户)拥有这个小组里所包含的主机组的普通用户的权限。其中，sudo授权的权限比小组权限的大。通常情况下，在给用户分配权限时，小组授权和sudo授权一起操作。实际应用中最常见的是使用/bin/su命令将普通用户权限跳转至root用户权限的。其中，添加的命令组里包含允许su命令，在跳转到普通用户权限下后，输入sudo su，就会成功跳转到root用户权限下；(四)日志审计功能：用于超级管理员查看在线的用户使用信息以及使用历史记录。
在具体实施中，本发明实施例中的堡垒机系统，用户在对服务器中的集群执行相应的操作时，首先采用双重认证的方式成功登录至服务端；当成功登录至服务端时，服务器中的集群服务器对用户进行再一次身份认证，以将用户与集群服务器中的目标服务器进行绑定；当用户绑定成功时，用户可以通过服务端对绑定成功的目标服务器执行相应的操作，具体请参见图4和图5。
参见图4，本发明实施例中的用户登录至服务端的方法，适于服务端对客户端的用户进行身份认证，以将用户成功登录服务端，具体可以包括如下的步骤：
步骤S401：所述客户端接收用户输入的第一身份认证信息，并发送至所述跳板机服务器。
在具体实施中，所述用户输入的第一身份认证信息包括用户名和动态口令的信息。其中，动态口令可以根据用户的需求随时生成。在本发明一实施例中，动态口令密码由远程认证服务器在用户创建成功后进行定期更新，如每30秒更新一次等。
步骤S402：所述跳板机服务器接收所述第一身份认证信息，并将所述第一身份认证信息发送至所述远程认证服务器。
在具体实施中，跳板机服务器在接收到客户端发送的第一身份认证信息时，将所述第一身份认证信息发送至预设的远程服务器。
步骤S403：所述远程认证服务器根据所接收的所述第一身份认证信息，对所述用户进行第一次身份认证。
在本发明一实施例中，所述远程认证服务器对所述用户进行第一次身份认证采用RADIUS认证方式，也即基于RADIUS协议对用户进行第一次身份认证。
一方面，RADIUS认证方式支持Unix、Passwd、CHAP、挑战－回答认证等多种认证方式，且支持认证转接(Authentication Forwarding)，具有认证方式灵活的特点；另一方面，RADIUS协议扩展性好，可以通过变长的属性串(Attribute Pair)进一步扩展RADIUS协议，具有良好的扩展性；同时，RADIUS认证方式采用用户名+动态口令的方式，并可以采用对称加密、非对称加密等多种方式，具有较高的安全性且灵活性。因而，采用RADIUS认证方式，可以提高本发明实施例中的堡垒机系统工作的安全性和灵活性。
步骤S404：所述远程认证服务器在对所述用户第一次认证通过时，向所述跳板机服务器发送对应的认证结果信息。
在具体实施中，当作为RADIUS服务器的远程认证服务器在接收到作为RADIUS客户端的跳板机服务器发送的第一身份认证信息时，将所接收的第一身份认证信息与自身所存储的用户数据库中用户的身份认证信息进行比较，也即将用户输入的第一身份认证信息中的用户名和动态口令与用户数据库中该用户的用户名和定期更新的动态口令进行比较；其中，当确定所述用户数据库中存在与第一身份认证信息一致的身份认证信息时，对用户的第一次身份认证通过。
当对用户的第一次身份认证通过时，远程认证服务器生成对应的认证结果信息并发送至跳板机服务器，以使得跳板机服务器获知对用户的第一次身份认证通过的信息。其中，远程服务器在对用户的第一次身份认证通过时所发送的认证结果信息包括连接协议、端口信息和包括访问控制列表(ACL)的授权信息，以使得跳板机服务器可以在对用户的第二次身份认证通过时将用户跳转至对应的权限下进行操作。
步骤S405：所述跳板机服务器接收所述认证结果信息，向所述客户端发送第二认证信息获取请求。
在具体实施中，跳板机服务器在接收到远程认证服务器发送的认证结果信息时，可以将所接收的认证结果信息进行存储，并向客户端发送第二身份认证信息的获取请求，以获取用户的第二身份认证信息。其中，第二身份认证信息包括所述用户的用户名和密码的信息，并由本发明实施例中的堡垒机系统的管理员根据实际的需要进行创建。
步骤S406：所述客户端在接收到所述第二身份认证信息获取请求时，可以向用户输出输入第二身份认证信息的提示信息，并接收所述用户输入的第二身份认证信息。
在具体实施中，客户端在接收到跳板机服务器发送的第二身份认证信息获取请求时，可以向用户输出对应的提示信息，以使得用户在相应的界面输入第二身份认证信息。
步骤S407：所述客户端将所接收的第二身份认证信息发送至跳板机服务器。
在具体实施中，所述客户端在接收到用户输入的第二身份认证信息时，将所接收的第二身份认证信息发送至所述跳板机服务器。
步骤S408：所述跳板机服务器接收所述第二身份认证信息，并基于所述第二身份认证信息对所述用户进行第二次身份认证，并确定所述第二身份认证信息正确时，对所述用户的第二次身份认证通过。
在具体实施中，跳板机服务器在接收到用户的第二身份认证信息时，可以将所接收的第二身份认证信息与自身所存储的用户的身份认证数据库中的对应的身份认证信息进行比较，以确定用户输入的第二身份认证信息是否正确。
当跳板机在确定用户输入的第二身份认证信息正确时，对用户的第二次身份认证通过。此时，包括跳板机服务器和远程认证服务器的服务端对用户的双重身份认证通过。当服务端对用户的双重身份认证通过时，用户便可以成功登录至服务端。
步骤S409：所述跳板机服务器基于所述认证结果信息中的授权信息，确定所述用户的权限，并跳转至对应的用户权限下。
在具体实施中，在远程认证服务器对用户的第一次身份认证通过时，远程认证服务器发送的认证结果信息中包括所述用户对应的授权信息。跳板机服务器在确定用户成功登录至服务端时，可以根据所述授权信息确定用户的权限，并将所述用户跳转至对应的用户权限下。其中，用户权限可以包括普通用户权限和root用户权限，当跳板机服务器确定所述用户的权限为普通用户权限时，将所述用户跳转至普通用户权限下；确定所述用户的权限为root用户权限时，将所述用户跳转至root用户权限下。
在具体实施中，为了便于用户的操作，登录至普通用户权限下的用户还可以进一步跳转登录至root用户权限下。例如，负责运维或者研发工作的用户想要登录目标服务器执行某些操作，现有的方法是通过用户输入需要执行操作的目标服务器的IP地址、端口和root密码直接登录目标服务器，但当目标服务器的权限仅为极少数人拥有且禁止root直接登录时，采用跳板机服务器登录目标服务器的方式将会变得尤为重要。
在本发明一实施例中，为了便于用户权限的跳转，跳板机服务器可以在接收到登录至目标服务器的普通用户权限下的用户输入继续输入的root权限跳转命令，如sudo su信息，且确定对应的用户拥有该目标服务器的sudo权限，则直接将用户从对应小组的普通用户权限跳转至root用户权限下。
在具体实施中，当用户成功登录至服务端时，为了便于用户对集群中的目标服务器的操作，跳板机服务器还可以基于所述认证结果信息中对应的授权信息，确定所述服务器集群中的对应的可用服务器的信息并发送至所述客户端，以使得所述客户端将对应的可用服务器的信息输出显示给所述用户，且可以将客户端发送的用户对所述服务器集群中对应的一个以上的可用服务器的操作指令并发送至所述服务器集群，以使得所述服务器集群中对应的一个以上的可用服务器执行相应的操作。
其中，一个用户可以具有多个平台的目标服务器的操作权限，也即用户对应的可用服务器的数量为多个。此时，为了避免将用户对应的多有可用服务器的信息显示在一页上给用户造成的不变，可以将所述用户对应的所有可用服务器的标识信息，如IP地址，采用分页方式输出显示给用户。例如，可以默认每20个目标服务器的IP地址信息显示在一页上等。
在本发明一实施例中，为了便于用户选择对应的可用服务器的显示方式，可以在向用户输出提示信息“IP>:”时，用户可以输入“p”，跳板机服务器在接收到用户输入的信息“p”时，可以查询得到该用户对应的可用服务器，并采用分页显示的方式，每批显示20个的可用服务器IP地址信息。
在具体实施中，用户可以从分页显示的可用服务器中选取需要执行批量命令的可用服务器的IP，以对对应的多个可用服务器批量执行命令。其中，对应的多个可用服务器的批量执行命令，可以为Rex命令或者Salt命令等。
在本发明另一实施例中，为了便于用户对自身拥有操作权限的服务器集群进行查看，用户可以在可以提示信息“IP>:”时，输入信息“g”，查询平台信息，跳板机服务器在接收到用户输入“g”时，将用户拥有操作权限的平台组列表输出显示给用户。
在具体实施中，当用户通过双重认证的方式成功登录至服务端时，便可以通过服务端对服务器集群中的目标服务器执行相应的操作。
参见图5，本发明实施例中集群认证服务器对成功登录至服务端的用户进行身份认证的方法，可以采用如下的步骤实现：
步骤S501：接收所述客户端通过跳板机服务器发送的目标服务器的标识信息。
在具体实施中，成功登录至服务端的用户在对服务器集群中的目标服务器执行相应的操作时，可以在客户端的操作界面上输入需要执行操作的目标服务器的标识信息，如目标服务器的标识信息为IP地址的信息。其中，用户输入的目标服务器的IP地址信息可以是目标服务器的完整IP地址信息，也可是完整IP地址的一部分。
所述跳板机服务器在将接收到客户端的用户输入的目标服务器的标识信息发送至服务器集群中的集群认证服务器，以使得集群认证服务器可以将用户输入的目标服务器的标识信息与服务器集群中的所述用户对应的目标服务器的标识信息进行匹配。
步骤S502：将所述目标服务器的标识信息与所述服务器集群中的所述用户对应的可用服务器的标识进行匹配。
在具体实施中，集群认证服务器在接收到跳板机服务器发送的目标服务器的标识信息时，可以将所接收的目标服务器的标识信息与自身所存储的集群服务器中该用户对应的所有可用服务器的标识信息进行比较，以确定集群服务器中是否存在相匹配的目标服务器。
步骤S503：判断是否匹配到对应的目标服务器；当判断结果为是时，可以执行步骤S505；反之，则可以执行步骤S504。
步骤S504：输出没有权限的提示信息。
在具体实施中，当确定用户输入的目标服务器的标识信息与集群认证服务器中所存储的集群中自身对应的所有可用服务器的标识信息均不匹配时，表明用户输入了错误的目标服务器的标识信息，此时，可以向用户输出没有权限的提示信息，并通过跳板机服务器发送给客户端，以使得客户端将相应的提示信息输出显示给用户，从而使得用户可以知晓对应的提示信息。
步骤S505：判断是否匹配到唯一目标服务器；当判断结果为是时，可以执行步骤S506；反之，则可以执行步骤S512。
在具体实施中，当用户输入的目标服务器的IP地址为完整的IP地址，则至多可以匹配到唯一的目标服务器；当用户输入的目标服务器的IP地址为完整的IP地址的一部分时，则可以匹配到多个目标服务器。
步骤S506：判断匹配到的唯一目标服务器是否支持LDAP协议；当判断结果为是时，可以执行步骤S507；反之，则可以执行步骤S513。
步骤S507：接收所述用户输入的第三身份认证信息，并基于所述第三身份认证信息，对所述用户进行身份认证。
在具体实施中，当集群认证服务器确定服务器集群中存在唯一的目标服务器，且所确定的唯一的目标服务器支持LDAP协议时，可以依次通过跳板机服务器和客户端向用户输出对应的第三身份认证信息的输入提示消息，从而获取用户输入的第三身份认证信息。其中，用户输入的第三身份认证信息包括所述用户的用户名和登陆密码的信息。
集群认证服务器在获取用户的第三身份认证信息时，可以将所获取的第三身份认证信息与自身所存储的用户的身份认证信息进行比较；当确定用户的第三身份认证信息正确时，对所述用户的第一次绑定成功。
步骤S508：当确定所述第三身份认证信息正确时，基于所述用户名的信息，从预设的用户数据库中匹配得到对应的用户登记信息。
在具体实施中，集群认证服务器在获取用户的第三认证信息时，可以从对应的数据库中获取用户进行绑定。具体而言，集群认证服务器根据所述用户的用户名，并采用"(|(uid＝$login)(mail＝$login))"构造登录名login，采用构造得到的登录名login对服务器集群中的目标服务器进行搜索。当搜索结束时，判断是否存在包括该登录名login的用户登记信息(entry)。
步骤S509：从预设的用户数据库中匹配到唯一的用户登记信息时，基于所述唯一的用户登记信息，获取连接目标服务器的区别名称的信息。
在具体实施中，集群认证服务器从搜索结果确定仅存在唯一的包括该登录名login的用户登记信息(entry)时，获取所确定的用户登记信息所在的连接目标服务器的区别名称(DN)。
其中，所确定的用户登记信息所在的连接目标服务器的DN为所述用户所在的客户端里配置的DN。其中，客户端配置的DN与集群认证服务器中配置的基本区别名称(base DN)保持一致，以便于根据客户端的配置信息将用户与对应的目标服务器进行绑定。
在本发明一实施例中，为了便于维护，客户端在配置DN时用的是域名，而不是直接使用IP地址。采用域名作为DN的原因在于，当集群认证服务器出现故障时，通过网络(net)映射，重新开启新的服务端口，便可以快速启用备用的集群认证服务器，而不需要去重新修改每个客户端的DN配置。
步骤S510：基于所述登录密码和所获取的连接目标服务器的区别名称的信息，从所述服务器集群中匹配得到对应的目标服务器。
在具体实施中，在获取到该用户登记信息所在的DN时，可以将所获取的该用户登记信息所在的DN和用户输入的第三身份认证信息中的登录密码，确定对应的集群服务器中的目标服务器，也即重新与服务器群中的对应的目标服务器进行绑定。
步骤S511：当从所述服务器集群中匹配得到唯一的目标服务器时，对所述用户的身份认证成功，将所述用户登录至所匹配的唯一的目标服务器。
在具体实施中，当与服务器群中的对应的目标服务器进行绑定，也即对所述用户进行第二次绑定成功时，集群服务器可以将用户跳转登录至所绑定的目标服务器上。当绑定至对应的目标服务器成功时，用户成功登录至对应的目标服务器，从而可以根据实际的需要向对应的目标服务器发送对应的操作指令，控制对应的目标服务器执行相应的操作。
步骤S512：将匹配得到的多个目标服务器的标识信息进行输出显示。
在具体实施中，当集群认证服务器基于用户输入的目标服务器的标识信息，匹配到多个对应的目标服务器时，可以向用户输出对应的多个目标服务器的IP地址信息，以便于用户选取对应的IP地址执行相应的操作。
步骤S513：输出身份认证失败的提示信息。
在具体实施中，当集群认证服务器基于用户输入的目标服务器的标识信息未匹配到对应的目标服务器时，可以向用户输出对应的身份认证失败的提示信息，以使得用户可以知晓输入了错误的目标服务器的标识，从而可以采取相应的措施。
上述的方案，基于LDAP协议对登录至服务器集群的用户进行身份认证，需要进行两次绑定，而非将用户名对应的第二密码和用户输入的第二密码进行比较。换言之，LDAP服务器对于密码的属性均默认为不可读，因而无法取出相应的密码信息，进而可以提高LDAP服务器对于用户的身份认证的安全性。
在具体实施中，当LDAP服务器通过上述的方式对用户的身份认证成功时，用户便可以成功跳转至对应的目标服务器，并对目标服务器执行相应的操作。
上述对本发明实施例中的方法进行了详细的描述，下面将对上述的方法对应的装置进行介绍。
图6示出了本发明实施例中的一种跳板机服务器的结构。参见图6，本发明实施例中的跳板机服务器600可以包括第一接收单元601、第一认证单元602、第二接收单元603和第一发送单元604，其中：
所述第一接收单元601，适于接收客户端发送的用户的登录信息。
所述第一认证单元602，适于基于所述用户的登录信息对所述用户进行双重身份认证。
所述第二接收单元603，当对所述双重认证通过时，接收所述客户端发送的对服务器集群中的目标服务器的操作信息。
所述第一发送单元604，适于将所述操作信息发送至所述服务器集群，以使得所述服务器集群中的集群认证服务器对所述用户进行身份认证，并在所述集群认证服务器对所述用户的身份认证通过时，将所述用户跳转登录至所述服务器集群中对应的目标服务器，并对所述对应的目标服务器执行相应的操作。
在具体实施中，所述第一认证单元602可以包括第一接收子单元(图中未示出)、确定子单元(图中未示出)、第一接收子单元(图中未示出)和第一认证子单元(图中未示出)，其中：
所述第一接收子单元，适于接收客户端发送的第一身份认证信息并发送至预设的远程认证服务器，以使得所述远程认证服务器将所接收的所述第一身份认证信息与自身所存储的用户数据库中的用户认证信息进行比较，并在确定所述用户数据库存在所述第一身份认证信息时，生成对应的认证结果信息并发送；所述第一身份认证信息包括用户名和动态口令的信息；接收到所述远程认证服务器发送的认证结果信息。
所述确定子单元，适于当接收到所述远程认证服务器发送的认证结果信息时，确定所述远程服务器对所述用户的第一次身份认证通过。
所述第二请求接收子单元，适于当确定所述远程服务器对所述用户的第一次身份认证通过时，接收所述客户端发送的第二身份认证信息。
所述第一认证子单元，适于基于所述第二身份认证信息对所述用户进行认证；所述第二身份认证信息包括所述用户名和密码的信息；当确定第二身份认证信息正确时，对所述用户的第二次身份认证成功。
在本发明一实施例中，所述跳板机服务器600，还可以包括权限确定单元605、权限跳转单元606，其中：
所述权限确定单元605，适于根据所述认证结果信息中对应的授权信息，确定所述用户的权限；所述用户的权限包括普通用户权限和root用户权限。
所述权限跳转单元606，适于当确定所述用户的权限为普通用户权限时，将所述用户跳转至对应的普通用户权限下；当确定所述用户的权限为root用户权限时，将所述用户跳转至对应的root用户权限下。
在本发明一实施例中，为了便于用户对服务器集群中的目标服务器的操作，所述跳板机服务器600，还可以包括输出显示单元607，其中：
所述输出显示单元607，适于基于所述认证结果信息中对应的授权信息，确定所述服务器集群中的对应的可用服务器的信息并发送至所述客户端，以使得所述客户端将对应的可用服务器的信息输出显示给所述用户；所述可用服务器为所述服务器集群中所述用户具有操作权限的目标服务器。
在本发明一实施例中，为了便于用户对服务器集群中的目标服务器的操作，所述跳板机服务器600，还可以包括批量命令执行单元608，其中：
批量命令执行单元608，适于接收所述客户端发送的对所述服务器集群中对应的一个以上的可用服务器的操作信息并发送至所述服务器集群，以使得所述服务器集群中对应的一个以上的可用服务器执行相应的操作。
在具体实施中，为了提高堡垒机系统工作的可靠性，所述跳板机服务器600，还包括第一备份单元609，其中：
所述第一备份单元609，适于定期将自身的数据发送至预设的备份跳板机服务器，以使得所述备份跳板机服务器对自身的数据进行同步。
图7示出了本发明实施例中的一种集群认证服务器的结构。参见图7，一种集群认证服务器700可以包括第二认证单元701和跳转登录单元702，其中：
所述第二认证单元701，适于接收跳板机服务器发送的用户的操作信息，并对相应的用户进行身份认证。
所述跳转登录单元702，适于当对所述用户的身份认证通过时，将所述用户跳转登录至服务器集群中对应的目标服务器，以使得所述目标服务器按照所述操作信息执行相应的操作。
在本发明一实施例中，所述第二认证单元702可以包括第三接收子单元(图中未示出)、第一匹配子单元(图中未示出)、第四接收子单元(图中未示出)、第二匹配子单元(图中未示出)、获取子单元(图中未示出)和第三匹配子单元(图中未示出)，其中：
所述第三接收子单元，适于接收所述跳板机服务器发送的目标服务器的标识信息。
所述第一匹配子单元，适于将所接收的目标服务器的标识信息与所述集群服务器中的目标服务器的标识信息进行匹配。
所述第四接收子单元，适于当从所述集群中的目标服务器中匹配到唯一的目标服务器且所匹配到的唯一的目标服务器支持LDAP协议时，接收所述跳板机服务器发送的来自客户端的用户的第三身份认证信息；所述第三身份认证信息包括所述用户名和登录密码的信息。
所述第二匹配子单元，适于当确定所述第三身份认证信息正确时，基于所述用户名的信息，从预设的用户数据库中匹配得到对应的用户登记信息。
所述获取子单元，适于当从预设的用户数据库中匹配到唯一的用户登记信息时，基于所述唯一的用户登记信息，获取连接目标服务器的区别名称的信息；在本发明一实施例中，所述目标服务器的区别名称为域名。
所述第三匹配子单元，适于基于所述登录密码和所获取的连接目标服务器的区别名称的信息，从所述服务器集群中匹配得到对应的目标服务器；当从所述服务器集群中匹配得到唯一的目标服务器时，对所述用户的身份认证成功。
在本发明一实施例中，为了提高本发明实施例中的堡垒机系统的运行可靠熊，所述集群认证服务器700还可以包括第二备份单元703，其中：
所述第二备份单元703，适于定期将自身的数据发送至预设的备份集群认证服务器，以使得所述备份集群认证服务器对自身的数据进行同步。
采用本发明实施例中的上述方案，堡垒机系统中的服务端采用双重认证的方式对客户端的用户进行身份认证，与仅采用一次身份认证的方式相比，可以提高堡垒机系统的安全性。
进一步地，在服务端对客户端的用户进行双重认证时，采用RADIUS认证方式，由于RADIUS认证方式中传输的信息均经过加密处理，且具有认证方式灵活的特点，可以进一步提高堡垒机系统的安全性和灵活性。
进一步地，采用备份跳板机服务器对跳板机服务器进行定期同步，并在所述跳板机服务器发生故障时，接替所述跳板机服务器工作，可以提高堡垒机系统工作的可靠性。
进一步地，采用集群认证服务器对成功登录至服务端的用户进行集中身份认证，可以减轻跳板机服务器的负载，提高堡垒机系统工作的可靠性。
进一步地，在采用集群认证服务器对成功登录至服务端的用户进行身份认证时，基于LDAP协议对用户进行身份认证，由于基于LDAP协议对用户进行身份认证时，用户输入的第二密码信息不可读，因而可以提高集群认证服务器对用户进行身份认证的安全性，进而可以进一步提高堡垒机系统的安全性。
进一步地，采用备份集群认证服务器对集群认证服务器进行定期同步，并在所述集群认证服务器发生故障时，接替所述跳板机服务器工作，因而可以提高堡垒机系统工作的可靠性。
进一步地，采用WEB服务端对堡垒机系统进行管理，可以提高堡垒机系统管理的便利性，提升用户的使用体验。
本领域普通技术人员可以理解上述实施例的各种方法中的全部或部分步骤是可以通过程序来指令相关的硬件来完成，该程序可以存储于计算机可读存储介质中，存储介质可以包括：ROM、RAM、磁盘或光盘等。
以上对本发明实施例的方法及系统做了详细的介绍，本发明并不限于此。任何本领域技术人员，在不脱离本发明的精神和范围内，均可作各种更动与修改，因此本发明的保护范围应当以权利要求所限定的范围为准。

Claims (16)

1.一种操作执行方法，其特征在于，包括：
接收跳板机服务器发送的用户的操作信息，并对对应的用户进行身份认证；
当对所述用户的身份认证通过时，将所述用户跳转登录至服务器集群中对应的目标服务器，以使得所述目标服务器按照所述操作信息执行相应的操作；
其中，所述对对应的用户进行身份认证，包括：
接收所述跳板机服务器发送的目标服务器的标识信息；
将所接收的目标服务器的标识信息与相应的集群服务器中的目标服务器的标识信息进行匹配；
当从所述集群中的目标服务器中匹配到唯一的目标服务器且所匹配到的唯一的目标服务器支持LDAP协议时，接收所述跳板机服务器发送的来自客户端的用户的第三身份认证信息；所述第三身份认证信息包括所述用户名和登录密码的信息；
当确定所述第三身份认证信息正确时，基于所述用户名的信息，从预设的用户数据库中匹配得到对应的用户登记信息；
当从预设的用户数据库中匹配到唯一的用户登记信息时，基于所述唯一的用户登记信息，获取连接目标服务器的区别名称的信息；
基于所述登录密码和所获取的连接目标服务器的区别名称的信息，从所述服务器集群中匹配得到对应的目标服务器；
当从所述服务器集群中匹配得到唯一的目标服务器时，对所述用户的身份认证成功。
2.根据权利要求1所述的操作执行方法，其特征在于，还包括：
定期将自身的数据发送至预设的备份集群认证服务器，以使得所述备份集群认证服务器对自身的数据进行同步。
3.根据权利要求1所述的操作执行方法，其特征在于，所述目标服务器的区别名称为域名。
4.一种集群认证服务器，其特征在于，包括：
第二认证单元，适于当接收到跳板机服务器发送的用户的操作信息，并对相应的用户进行身份认证；
跳转登录单元，适于当对所述用户的身份认证通过时，将所述用户跳转登录至服务器集群中对应的目标服务器，以使得所述目标服务器按照所述操作信息执行相应的操作；
其中，所述第二认证单元，包括：
第三接收子单元，适于接收所述跳板机服务器发送的客户端的用户输入的目标服务器的标识信息；
第一匹配子单元，适于将所接收的目标服务器的标识信息与所述集群服务器中的目标服务器的标识信息进行匹配；
第四接收子单元，适于当从所述集群中的目标服务器中匹配到唯一的目标服务器且所匹配到的唯一的目标服务器支持LDAP协议时，接收所述跳板机服务器发送的来自客户端的用户的第三身份认证信息；所述第三身份认证信息包括所述用户名和登录密码的信息；
第二匹配子单元，适于当确定所述第三身份认证信息正确时，基于所述用户名的信息，从预设的用户数据库中匹配得到对应的用户登记信息；
获取子单元，适于当从预设的用户数据库中匹配到唯一的用户登记信息时，基于所述唯一的用户登记信息，获取连接目标服务器的区别名称的信息；
第三匹配子单元，适于基于所述登录密码和所获取的连接目标服务器的区别名称的信息，从所述服务器集群中匹配得到对应的目标服务器；当从所述服务器集群中匹配得到唯一的目标服务器时，对所述用户的身份认证成功。
5.根据权利要求4所述的集群认证服务器，其特征在于，还包括：
第二备份单元，适于定期将自身的数据发送至预设的备份集群认证服务器，以使得所述备份集群认证服务器对自身的数据进行同步。
6.根据权利要求4所述的集群认证服务器，其特征在于，所述目标服务器的区别名称为域名。
7.一种堡垒机系统，其特征在于，包括客户端、服务端和集群服务器；所述服务端分别与所述客户端和所述集群服务器耦接；其中，所述集群服务器包括权利要求4-6任一项所述的集群认证服务器和一个以上的目标服务器，所述服务端包括如下所述的跳板机服务器和远程认证服务器；所述跳板机服务器包括：
第一接收单元，适于接收客户端发送的用户的登录信息；
第一认证单元，适于基于所述用户的登录信息对所述用户进行双重身份认证；
第二接收单元，当对所述双重认证通过时，接收所述客户端发送的对服务器集群中的目标服务器的操作信息；
第一发送单元，适于将所述操作信息发送至所述服务器集群，以使得所述服务器集群中的集群认证服务器对所述用户进行身份认证，并在所述集群认证服务器对所述用户的身份认证通过时，将所述用户跳转登录至所述服务器集群中对应的目标服务器，并对所述对应的目标服务器执行相应的操作。
8.根据权利要求7所述的堡垒机系统，其特征在于，所述第一认证单元，包括：
第一接收子单元，适于接收客户端发送的第一身份认证信息并发送至预设的远程认证服务器，以使得所述远程认证服务器将所接收的所述第一身份认证信息与自身所存储的用户数据库中的用户认证信息进行比较，并在确定所述用户数据库存在所述第一身份认证信息时，生成对应的认证结果信息并发送；所述第一身份认证信息包括用户名和动态口令的信息；接收到所述远程认证服务器发送的认证结果信息；
确定子单元，适于当接收到所述远程认证服务器发送的认证结果信息时，确定所述远程服务器对所述用户的第一次身份认证通过；
第二请求接收子单元，适于当确定所述远程服务器对所述用户的第一次身份认证通过时，向所述客户端发送第二身份认证信息获取请求，并接收所述客户端发送的第二身份认证信息；
第一认证子单元，适于基于所述第二身份认证信息对所述用户进行认证；
所述第二身份认证信息包括所述用户名和密码的信息；当确定第二身份认证信息正确时，对所述用户的第二次身份认证成功。
9.根据权利要求8所述的堡垒机系统，其特征在于，还包括：
权限确定单元，适于根据所述认证结果信息中对应的授权信息，确定所述用户的权限；所述用户的权限包括普通用户权限和root用户权限；
权限跳转单元，适于当确定所述用户的权限为普通用户权限时，将所述用户跳转至对应的普通用户权限下；当确定所述用户的权限为root用户权限时，将所述用户跳转至对应的root用户权限下。
10.根据权利要求9所述的堡垒机系统，其特征在于，所述权限跳转单元，还适于当所述用户跳转至普通用户权限下，且接收到所述用户输入的root用户权限跳转命令时，将所述用户由普通用户权限跳转至root用户权限下。
11.根据权利要求9所述的堡垒机系统，其特征在于，还包括：
输出显示单元，适于基于所述认证结果信息中对应的授权信息，确定所述服务器集群中的对应的可用服务器的信息并发送至所述客户端，以使得所述客户端将对应的可用服务器的信息输出显示给所述用户；所述可用服务器为所述服务器集群中所述用户具有操作权限的目标服务器。
12.根据权利要求11所述的堡垒机系统，其特征在于，还包括：
批量命令执行单元，适于接收所述客户端发送的对所述服务器集群中对应的一个以上的可用服务器的操作信息并发送至所述服务器集群，以使得所述服务器集群中对应的一个以上的可用服务器执行相应的操作。
13.根据权利要求7-12任一项所述的堡垒机系统，其特征在于，还包括：
第一备份单元，适于定期将自身的数据发送至预设的备份跳板机服务器，以使得所述备份跳板机服务器对自身的数据进行同步。
14.根据权利要求7所述的堡垒机系统，其特征在于，还包括：
备份跳板机服务器，适于定期对所述跳板机服务器的数据进行同步，并在所述跳板机服务器发生故障时接替所述跳板机服务器进行工作。
15.根据权利要求7所述的堡垒机系统，其特征在于，还包括：
备份集群认证服务器，适于定期对所述集群认证服务器的数据进行同步，并在所述集群认证服务器发生故障时接替所述集群认证服务器进行工作。
16.根据权利要求7所述的堡垒机系统，其特征在于，还包括：
WEB服务器，适于对所述堡垒机系统进行管理。
CN201710083829.6A 2017-02-16 2017-02-16 操作执行方法、跳板机、集群认证服务器和堡垒机系统 Active CN106936817B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN201710083829.6A CN106936817B (zh) 2017-02-16 2017-02-16 操作执行方法、跳板机、集群认证服务器和堡垒机系统

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN201710083829.6A CN106936817B (zh) 2017-02-16 2017-02-16 操作执行方法、跳板机、集群认证服务器和堡垒机系统

Publications (2)

Publication Number Publication Date
CN106936817A CN106936817A (zh) 2017-07-07
CN106936817B true CN106936817B (zh) 2020-02-14

Family

ID=59423245

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201710083829.6A Active CN106936817B (zh) 2017-02-16 2017-02-16 操作执行方法、跳板机、集群认证服务器和堡垒机系统

Country Status (1)

Country Link
CN (1) CN106936817B (zh)

Families Citing this family (20)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN107483495B (zh) * 2017-09-21 2020-06-16 浪潮软件股份有限公司 一种大数据集群主机管理方法、管理系统及服务端
CN108809964B (zh) * 2018-05-25 2021-11-09 浙江齐治科技股份有限公司 一种资源访问控制方法及装置
CN108989021A (zh) * 2018-06-04 2018-12-11 北京辰森世纪科技股份有限公司 信息认证方法、装置、计算机设备及可读存储介质
CN108965260B (zh) * 2018-06-22 2021-05-28 新华三信息安全技术有限公司 一种报文处理方法、堡垒机及终端设备
WO2020034162A1 (zh) * 2018-08-16 2020-02-20 海能达通信股份有限公司 一种集群通信的方法、服务器、终端设备以及存储介质
CN109120620B (zh) * 2018-08-17 2021-11-05 成都品果科技有限公司 一种服务器管理方法及系统
CN109547402B (zh) * 2018-09-27 2021-06-22 天津字节跳动科技有限公司 数据保护方法、装置、电子设备和可读存储介质
CN109600416B (zh) * 2018-10-29 2022-03-11 珠海豹趣科技有限公司 业务服务器远程登录方法、装置、电子设备及存储介质
CN111327663A (zh) * 2018-12-17 2020-06-23 中国移动通信集团青海有限公司 一种堡垒机分配的方法和设备
CN109889381B (zh) * 2019-02-18 2022-03-18 国家计算机网络与信息安全管理中心 基于堡垒机的自动化配置管理方法及装置
CN110061876B (zh) * 2019-04-19 2022-05-27 北京搜狐互联网信息服务有限公司 运维审计系统的优化方法及系统
CN111988347B (zh) * 2019-05-22 2023-10-24 网宿科技股份有限公司 跳板机系统的数据处理方法和跳板机系统
CN110719277B (zh) * 2019-09-30 2022-01-04 北京网瑞达科技有限公司 基于一次性访问凭据的网络设备安全访问的系统和方法
CN111083124B (zh) * 2019-12-02 2022-03-01 中国联合网络通信集团有限公司 云堡垒登录方法及设备
CN111901361B (zh) * 2020-08-11 2022-06-28 深圳墨世科技有限公司 一种堡垒机服务方法、装置、计算机设备及存储介质
CN112055005B (zh) * 2020-08-27 2022-04-15 中信银行股份有限公司 身份认证方法、装置、系统、电子设备及介质
CN114640671A (zh) * 2020-12-01 2022-06-17 马上消费金融股份有限公司 一种服务组件的管理方法、服务器和电子设备
CN113992381A (zh) * 2021-10-22 2022-01-28 北京天融信网络安全技术有限公司 授权方法、装置、授权平台及存储介质
CN115242528A (zh) * 2022-07-26 2022-10-25 明阳产业技术研究院(沈阳)有限公司 Kubernetes集群管理面板的登录方法
CN115987524B (zh) * 2022-12-22 2023-06-27 钛信(上海)信息科技有限公司 一种用于堡垒机的多因子认证安全管理方法及装置

Citations (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101777983A (zh) * 2010-01-13 2010-07-14 北京飞天诚信科技有限公司 交易签名方法、认证服务器及系统
CN102098158A (zh) * 2009-12-10 2011-06-15 北大方正集团有限公司 跨域名单点登录和注销的方法、系统及相应设备
CN103188254A (zh) * 2011-12-31 2013-07-03 北京市国路安信息技术有限公司 一种兼顾内外网信息通畅性和安全性的网络安全保护方法
CN104243154A (zh) * 2013-06-07 2014-12-24 腾讯科技（深圳）有限公司 服务器用户权限集中控制系统及方法
CN104486346A (zh) * 2014-12-19 2015-04-01 北京奇艺世纪科技有限公司 一种跳板机系统
CN104836782A (zh) * 2014-04-03 2015-08-12 腾讯科技（北京）有限公司 服务器、客户端以及数据访问方法和系统

Patent Citations (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN102098158A (zh) * 2009-12-10 2011-06-15 北大方正集团有限公司 跨域名单点登录和注销的方法、系统及相应设备
CN101777983A (zh) * 2010-01-13 2010-07-14 北京飞天诚信科技有限公司 交易签名方法、认证服务器及系统
CN103188254A (zh) * 2011-12-31 2013-07-03 北京市国路安信息技术有限公司 一种兼顾内外网信息通畅性和安全性的网络安全保护方法
CN104243154A (zh) * 2013-06-07 2014-12-24 腾讯科技（深圳）有限公司 服务器用户权限集中控制系统及方法
CN104836782A (zh) * 2014-04-03 2015-08-12 腾讯科技（北京）有限公司 服务器、客户端以及数据访问方法和系统
CN104486346A (zh) * 2014-12-19 2015-04-01 北京奇艺世纪科技有限公司 一种跳板机系统

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
银行信息系统统一认证的应用安全研究;陈乐堂;《中国优秀硕士学位论文全文数据库信息科技辑》;20160415(第4期);I138-49 *

Also Published As

Publication number Publication date
CN106936817A (zh) 2017-07-07

Similar Documents

Publication Publication Date Title
CN106936817B (zh) 操作执行方法、跳板机、集群认证服务器和堡垒机系统
CN108293045B (zh) 本地和远程系统之间的单点登录身份管理
US9712536B2 (en) Access control device, access control method, and program
US9509672B1 (en) Providing seamless and automatic access to shared accounts
CN112651011B (zh) 运维系统登录验证方法、装置、设备以及计算机存储介质
CN111666578A (zh) 数据管理的方法、装置、电子设备及计算机可读存储介质
CN104468550B (zh) 一种Windows桌面的用户登录方法、设备及系统
CN110958223A (zh) 基于区块链的委托授权方法、装置、设备和介质
US20120166518A1 (en) Providing state service for online application users
US8516138B2 (en) Multiple authentication support in a shared environment
JP5383838B2 (ja) 認証連携システム、ｉｄプロバイダ装置およびプログラム
CN110795763B (zh) 电子证照处理方法、查询方法、装置、设备、平台和介质
CN105100034A (zh) 一种网络应用中访问功能的方法和设备
CN104052616A (zh) 一种对互联网数据中心中的业务进行管理的方法及系统
JP5824732B2 (ja) 社員情報管理システム、情報処理装置、社員情報管理システム生成方法、社員情報管理システム生成プログラム及び情報取得方法
US10003592B2 (en) Active directory for user authentication in a historization system
JP2011076377A (ja) 端末装置及び端末装置におけるアクセス制御ポリシー取得方法
JPWO2014049709A1 (ja) ポリシ管理システム、ｉｄプロバイダシステム及びポリシ評価装置
CN105162774A (zh) 虚拟机登陆方法、用于终端的虚拟机登陆方法及装置
CN105791308B (zh) 一种主动识别域用户登录事件信息的方法、装置和系统
JP5645891B2 (ja) ソフトウェア提供システム、ポータルサーバ、提供サーバ、認証方法、提供方法およびプログラム
CN106302513A (zh) 一种网络身份验证方法及装置
CN115239261A (zh) 账号登录方法、装置、设备以及介质
JP2017027247A (ja) 認証システム及び認証方法
JP2012003362A (ja) コンテンツサーバ及びアクセス制御システム

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant
TR01 Transfer of patent right

Effective date of registration: 20230605

Address after: 200333, Room 18, 6th Floor, Building 21, No. 958 Zhenbei Road, Putuo District, Shanghai

Patentee after: Shanghai Yixu Network Technology Co.,Ltd.

Address before: 200333, 1st Floor, Building 21, Lane 879, Zhongjiang Road, Putuo District, Shanghai

Patentee before: SHANGHAI DNION INFORMATION TECHNOLOGY CO.,LTD.

TR01 Transfer of patent right