CN110324338B - 数据交互方法、装置、堡垒机与计算机可读存储介质 - Google Patents
数据交互方法、装置、堡垒机与计算机可读存储介质 Download PDFInfo
- Publication number
- CN110324338B CN110324338B CN201910588340.3A CN201910588340A CN110324338B CN 110324338 B CN110324338 B CN 110324338B CN 201910588340 A CN201910588340 A CN 201910588340A CN 110324338 B CN110324338 B CN 110324338B
- Authority
- CN
- China
- Prior art keywords
- target
- user management
- fort machine
- operation request
- fort
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Active
Links
Classifications
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
Landscapes
- Engineering & Computer Science (AREA)
- Computer Hardware Design (AREA)
- Computer Security & Cryptography (AREA)
- Computing Systems (AREA)
- General Engineering & Computer Science (AREA)
- Computer Networks & Wireless Communication (AREA)
- Signal Processing (AREA)
- Storage Device Security (AREA)
- Computer And Data Communications (AREA)
Abstract
本发明涉及金融科技领域，并公开了一种数据交互方法，包括：当接收到终端发送的操作请求时，目标堡垒机对操作请求进行验证，其中，若终端接收到所述操作请求，则终端确定操作请求的第一操作属性和操作请求对应的目标服务器，并在基于第一操作属性确定操作请求对应的堡垒机为目标堡垒机时，终端发送操作请求到目标堡垒机；若验证通过，则目标堡垒机将操作请求发送到目标服务器；在接收到目标服务器基于操作请求返回的执行结果时，目标堡垒机将执行结果发送到终端。本发明还公开了一种数据交互装置、堡垒机和计算机可读存储介质。本发明能有效提高数据交互的安全性，并且数据交互过程井然有序。
Description
技术领域
本发明涉及金融科技(Fintech)技术领域，尤其涉及数据交互方法、装置、堡垒机与计算机可读存储介质。
背景技术
近年来，随着金融科技(Fintech)，尤其是互联网金融的不断发展，数据交互技术被引入银行等金融机构的日常服务中。在金融机构日常服务过程中，为确保网络和数据不受外部和内部用户的入侵和破坏，并能够实现运维审计的功能，金融机构往往采用堡垒机作为屏障，将操作终端与操作终端对应的目标服务器隔离，也即操作终端并不能直接访问目标服务器，而是需要先向堡垒机发起操作请求，再由堡垒机向目标服务器发起操作请求，目标服务器根据操作请求执行对应的操作，并将操作结果反馈回堡垒机，最后由堡垒机返回操作终端。
目前的金融机构，出于节约成本的目的，一般只采用一台堡垒机来实现上述操作，也即多个操作终端发起的操作请求都由一台堡垒机作为中转，不管是开发操作还是运维操作，亦或者是管理操作等，只要登录了堡垒机，都可以将对应的操作请求发送至堡垒机，再由堡垒机转发到各自对应的开发服务器，或者运维服务器，或者管理服务器等，此种情况很容易发生开发终端访问到管理服务器，或者管理服务器的操作结果返回到运维终端等问题。
显然，目前的数据交互容易发生数据混乱，并且不安全。
发明内容
本发明的主要目的在于提出一种数据交互方法、装置、堡垒机与计算机可读存储介质，旨在实现安全的数据交互，并且数据交互过程井然有序。
为实现上述目的，本发明提供一种数据交互方法，所述数据交互方法包括如下步骤：
当接收到终端发送的操作请求时，目标堡垒机对所述操作请求进行验证，其中，若所述终端接收到所述操作请求，则所述终端确定所述操作请求的第一操作属性和所述操作请求对应的目标服务器，并在基于所述第一操作属性确定所述操作请求对应的堡垒机为所述目标堡垒机时，所述终端发送所述操作请求到所述目标堡垒机；
若验证通过，则所述目标堡垒机将所述操作请求发送到所述目标服务器；
在接收到所述目标服务器基于所述操作请求返回的执行结果时，所述目标堡垒机将所述执行结果发送到所述终端。
优选地，所述当接收到终端发送的操作请求时，目标堡垒机对所述操作请求进行验证的步骤包括：
当接收到终端发送的操作请求时，所述目标堡垒机确定所述目标服务器的服务属性；
所述目标堡垒机验证所述第一操作属性与所述服务属性是否匹配，若匹配，则确定验证通过。
优选地，所述当接收到终端发送的操作请求时，目标堡垒机对所述操作请求进行验证的步骤包括：
当接收到终端发送的操作请求时，所述目标堡垒机确定所述操作请求对应的第一用户管理账号，并在预存用户管理账号库中确定所述第一用户管理账号的第一操作权限；
基于所述第一操作权限，所述目标堡垒机验证所述第一用户管理账号是否有权限访问所述目标服务器，若有，则确定验证通过。
优选地，所述当接收到终端发送的操作请求时，所述目标堡垒机确定所述操作请求对应的第一用户管理账号，并在预存用户管理账号库中确定所述第一用户管理账号的第一操作权限的步骤之前，所述方法还包括：
所述目标堡垒机定时获取用户管理系统中新增的第二用户管理账号，并确定所述第二用户管理账号的第二操作权限，其中，所述第二用户管理账号的第二操作属性对应的堡垒机为所述目标堡垒机；
所述目标堡垒机将所述第二用户管理账号和所述第二操作权限保存在用户管理账号库中。
优选地，所述目标堡垒机将所述第二用户管理账号和所述第二操作权限保存在用户管理账号库中的步骤之后，所述方法还包括：
当接收到基于所述第二用户管理账号发起的权限提升请求时，所述目标堡垒机获取所述权限提升请求的审批结果；
若确定所述审批结果为通过，则所述目标堡垒机将所述第二操作权限修改为所述权限提升请求对应的第三操作权限。
优选地，所述若确定所述审批结果为通过，则将所述第二操作权限修改为所述权限提升请求对应的第三操作权限的步骤包括：
若确定所述审批结果为通过，则所述目标堡垒机将所述第二操作权限修改为权限提升请求对应的第三操作权限，并监控所述第三操作权限的有效状态；
当监测到所述第三操作权限失效时，所述目标堡垒机将所述第三操作权限修改为第二操作权限。
优选地，所述目标堡垒机将所述第二用户管理账号和所述第二操作权限保存在用户管理账号库中的步骤之后，所述方法还包括：
若检测到所述用户管理系统删除所述第二用户管理账号，则所述目标堡垒机在所述用户管理账号库中删除所述第二用户管理账号和所述第二操作权限。
此外，为实现上述目的，本发明还提供一种数据交互装置，所述数据交互装置包括：
验证模块，用于当接收到终端发送的操作请求时，目标堡垒机对所述操作请求进行验证，其中，若所述终端接收到所述操作请求，则所述终端确定所述操作请求的第一操作属性和所述操作请求对应的目标服务器，并在基于所述第一操作属性确定所述操作请求对应的堡垒机为所述目标堡垒机时，所述终端发送所述操作请求到所述目标堡垒机；
第一发送模块，用于若验证通过，则所述目标堡垒机将所述操作请求发送到所述目标服务器；
第二发送模块，用于在接收到所述目标服务器基于所述操作请求返回的执行结果时，所述目标堡垒机将所述执行结果发送到所述终端。
进一步地，所述验证模块还用于：
当接收到终端发送的操作请求时，所述目标堡垒机确定所述目标服务器的服务属性；
所述目标堡垒机验证所述第一操作属性与所述服务属性是否匹配，若匹配，则确定验证通过。
进一步地，所述验证模块还用于：
当接收到终端发送的操作请求时，所述目标堡垒机确定所述操作请求对应的第一用户管理账号，并在预存用户管理账号库中确定所述第一用户管理账号的第一操作权限；
基于所述第一操作权限，所述目标堡垒机验证所述第一用户管理账号是否有权限访问所述目标服务器，若有，则确定验证通过。
进一步地，所述数据交互装置还包括保存模块，所述保存模块用于：
所述目标堡垒机定时获取用户管理系统中新增的第二用户管理账号，并确定所述第二用户管理账号的第二操作权限，其中，所述第二用户管理账号的第二操作属性对应的堡垒机为所述目标堡垒机；
所述目标堡垒机将所述第二用户管理账号和所述第二操作权限保存在用户管理账号库中。
进一步地，所述数据交互装置还包括修改模块，所述修改模块用于：
当接收到基于所述第二用户管理账号发起的权限提升请求时，所述目标堡垒机获取所述权限提升请求的审批结果；
若确定所述审批结果为通过，则所述目标堡垒机将所述第二操作权限修改为所述权限提升请求对应的第三操作权限。
进一步地，所述修改模块还用于：
若确定所述审批结果为通过，则所述目标堡垒机将所述第二操作权限修改为权限提升请求对应的第三操作权限，并监控所述第三操作权限的有效状态；
当监测到所述第三操作权限失效时，所述目标堡垒机将所述第三操作权限修改为第二操作权限。
进一步地，所述修改模块还用于：
若检测到所述用户管理系统删除所述第二用户管理账号，则所述目标堡垒机在所述用户管理账号库中删除所述第二用户管理账号和所述第二操作权限。
此外，为实现上述目的，本发明还提供一种堡垒机，所述堡垒机包括：存储器、处理器及存储在所述存储器上并可在所述处理器上运行的数据交互程序，所述数据交互程序被所述处理器执行时实现如上所述的数据交互方法的步骤。
此外，为实现上述目的，本发明还提供一种计算机可读存储介质，所述计算机可读存储介质上存储有数据交互程序，所述数据交互程序被处理器执行时实现如上所述的数据交互方法的步骤。
本发明提出的数据交互方法，当接收到终端发送的操作请求时，目标堡垒机对所述操作请求进行验证，其中，若所述终端接收到所述操作请求，则所述终端确定所述操作请求的第一操作属性和所述操作请求对应的目标服务器，并在基于所述第一操作属性确定所述操作请求对应的堡垒机为所述目标堡垒机时，所述终端发送所述操作请求到所述目标堡垒机；若验证通过，则所述目标堡垒机将所述操作请求发送到所述目标服务器；在接收到所述目标服务器基于所述操作请求返回的执行结果时，所述目标堡垒机将所述执行结果发送到所述终端。本发明通过堡垒机实现终端与目标服务器的环境隔离，有效提高数据交互的安全性，并且部署不同操作属性对应的堡垒机，只将当前操作请求发送给与自身操作属性相对应的堡垒机，实现不同的操作请求都要专门的堡垒机对接，使得数据交互过程井然有序。
附图说明
图1是本发明实施例方案涉及的硬件运行环境的堡垒机的结构示意图；
图2为本发明数据交互方法第一实施例的流程示意图。
本发明目的的实现、功能特点及优点将结合实施例，参照附图做进一步说明。
具体实施方式
应当理解，此处所描述的具体实施例仅仅用以解释本发明，并不用于限定本发明。
如图1所示，图1是本发明实施例方案涉及的硬件运行环境的堡垒机的结构示意图。
本发明实施例堡垒机可以是PC机或服务器设备。
如图1所示，该堡垒机可以包括：处理器1001，例如CPU，网络接口1004，用户接口1003，存储器1005，通信总线1002。其中，通信总线1002用于实现这些组件之间的连接通信。用户接口1003可以包括显示屏(Display)、输入单元比如键盘(Keyboard)，可选用户接口1003还可以包括标准的有线接口、无线接口。网络接口1004可选的可以包括标准的有线接口、无线接口(如WI-FI接口)。存储器1005可以是高速RAM存储器，也可以是稳定的存储器(non-volatile memory)，例如磁盘存储器。存储器1005可选的还可以是独立于前述处理器1001的存储装置。
本领域技术人员可以理解，图1中示出的堡垒机结构并不构成对堡垒机的限定，可以包括比图示更多或更少的部件，或者组合某些部件，或者不同的部件布置。
如图1所示，作为一种计算机存储介质的存储器1005中可以包括操作系统、网络通信模块、用户接口模块以及数据交互程序。
其中，操作系统是管理和控制堡垒机与软件资源的程序，支持网络通信模块、用户接口模块、数据交互程序以及其他程序或软件的运行；网络通信模块用于管理和控制网络接口1002；用户接口模块用于管理和控制用户接口1003。
在图1所示的堡垒机中，所述堡垒机通过处理器1001调用存储器1005中存储的数据交互程序，并执行下述数据交互方法各个实施例中的操作。
基于上述硬件结构，提出本发明数据交互方法实施例。
参照图2，图2为本发明数据交互方法第一实施例的流程示意图，所述方法包括：
步骤S10，当接收到终端发送的操作请求时，目标堡垒机对所述操作请求进行验证，其中，若所述终端接收到所述操作请求，则所述终端确定所述操作请求的第一操作属性和所述操作请求对应的目标服务器，并在基于所述第一操作属性确定所述操作请求对应的堡垒机为所述目标堡垒机时，所述终端发送所述操作请求到所述目标堡垒机；
步骤S20，若验证通过，则所述目标堡垒机将所述操作请求发送到所述目标服务器；
步骤S30，在接收到所述目标服务器基于所述操作请求返回的执行结果时，所述目标堡垒机将所述执行结果发送到所述终端。
本实施例在接收到终端发送的操作请求时，以对应的堡垒机作为跳板机，将操作请求发送到对应的目标服务器，使得数据交互过程井然有序。
以下将对各个步骤进行详细说明：
步骤S10，当接收到终端发送的操作请求时，目标堡垒机对所述操作请求进行验证，其中，若所述终端接收到所述操作请求，则所述终端确定所述操作请求的第一操作属性和所述操作请求对应的目标服务器，并在基于所述第一操作属性确定所述操作请求对应的堡垒机为所述目标堡垒机时，所述终端发送所述操作请求到所述目标堡垒机。
本实施例数据交互方法应用于理财机构或者银行系统等金融机构的堡垒机中，金融机构部署有多台堡垒机，每一台堡垒机对接一种属性的终端，如生产终端、业务终端、程序开发终端和数据管理终端等，不同堡垒机部署在不同属性的区域中，如生产区域部署生产堡垒机，OA(Office Automation，办公自动化)区域部署OA堡垒机，测试区域部署测试堡垒机，数据操作区域部署数据管理堡垒机等，不同的终端在不同属性的区域工作，如生产区域的终端为生产终端，OA区域的终端为业务终端等，并连接该区域的堡垒机，并且，为避免单机房存在的安全隐患，采用同城主IDC(International Data Corporation，数据中心)热备，同城备IDC冷备，异地IDC容灾的部署方式，实现物理隔离。
在本实施例中，操作人员通过终端发起操作请求之前，需要使用操作人员的用户管理账号进行登录，该用户管理账号由UM系统(User Management，用户管理系统)分配，在操作人员入职时，即在UM系统中登记该操作人员的身份信息，由UM系统分配对应的用户管理账号，具体的登录方式采用动态口令的验证方式，即终端在接收到操作人员的登录请求时，会获取当前登录请求的用户管理账号，生成一个动态口令，并发送到该用户管理账号对应的终端，在接收到操作人员输入的动态口令时，确认该动态口令是否正确，在正确的情况下，显示对应的操作界面，以供操作人员发起操作请求，操作人员发起的操作请求中携带有当前登录的用户管理账号。
若终端接收到操作人员发起的操作请求，则读取操作请求携带的信息，该信息包括第一用户管理账号、第一操作属性和操作请求对应的目标服务器等，从而确定当前操作请求的第一操作属性和当前操作请求对应的目标服务器，并基于所述第一操作属性确定当前操作请求对应的堡垒机，如第一操作属性为测试，则第一操作属性对应的堡垒机即为测试堡垒机。也即堡垒机根据不同的操作属性都有专门的堡垒机与之对应，其中，操作属性指操作请求对应的属性，如操作请求为测试请求，则操作属性为测试；操作请求为管理运维请求，则操作属性为管理运维等，第一操作属性对应的堡垒机即为目标堡垒机，此时，终端将当前操作请求发送到目标堡垒机。
目标堡垒机若接收到终端发送的操作请求，则对当前操作请求进行验证，本实施例不同操作属性的终端只能访问到对应的目标服务器，因此，需要对当前操作请求进行验证，确定当前操作请求是否有效，当前终端是否可以访问到确定的目标服务器。
进一步地，在将当前操作请求发送到目标堡垒机的过程中，可在当前终端中安装SSH(Secure Shell，安全壳协议)工具，在当前终端与目标堡垒机之间建立一条安全传输隧道，实现终端与服务器之间的安全连接，具体可通过获取终端的IP地址和目标堡垒机的IP地址，从而根据两个IP地址建立一条安全传输隧道，并且该传输隧道遵循SSH协议。
进一步地，步骤S10包括：
当接收到终端发送的操作请求时，所述目标堡垒机确定所述目标服务器的服务属性；
在该步骤中，将服务器划分不同的服务属性，如生产服务器对外提供生产服务，因此其服务属性为生产；测试服务器对外提供测试服务，因此其服务属性为测试等，因此，在确定了当前操作请求对应的目标服务器后，确定目标服务器的服务属性，具体可根据目标服务器所在服务区域确定目标服务器的服务属性，也可以根据目标服务器在此之前对外提供的服务来确定目标服务器的服务属性。
所述目标堡垒机验证所述第一操作属性与所述服务属性是否匹配，若匹配，则确定验证通过。
在该步骤中，目标堡垒机对当前操作请求进行验证，具体的验证方式为：
将当前操作请求的第一操作属性与目标服务器的服务器属性进行比较，确定第一操作属性与服务器是否匹配，若匹配，则确定验证通过，如第一操作属性为测试，目标服务器的服务属性为测试，则第一操作属性与服务属性匹配。
进一步地，步骤S10包括：
当接收到终端发送的操作请求时，所述目标堡垒机确定所述操作请求对应的第一用户管理账号，并在预存用户管理账号库中确定所述第一用户管理账号的第一操作权限；
在该步骤中，目标堡垒机读取当前操作请求携带的第一用户管理账号，并在预存用户管理账号库中确定第一用户管理账号的第一操作权限，即目标堡垒机的预存用户管理账号库中保存有第一用户管理账号以及第一用户管理账号的第一操作权限，在目标堡垒机读取到当前操作请求的第一用户管理账号后，即可在预存用户管理账号库中确定第一用户管理账号的第一操作权限。
基于所述第一操作权限，所述目标堡垒机验证所述第一用户管理账号是否有权限访问所述目标服务器，若有，则确定验证通过。
在该步骤中，通过目标堡垒机对当前操作请求进行验证，具体的验证方式为：
基于第一操作权限，确定第一用户管理账号是否可以访问目标服务器，其中，操作权限以权限级别体现，目标服务器也有对应的权限级别，具体的，确定第一操作权限的权限级别，以及目标服务器的权限级别，确定目标服务器的权限级别是否在第一操作权限的权限级别范围内，若目标服务器的权限级别在第一操作权限的权限级别范围内，则说明第一用户管理账号可以访问目标服务器，其中，权限级别在具体实施时，以1、2、3、4、5五个递增级别体现，如第一操作权限的权限级别是4，而目标服务器的权限级别是3，则说明目标服务器的权限级别在第一操作权限的权限级别范围内，第一用户管理账号可以访问目标服务器。
若第一用户管理账号可以访问目标服务器，则验证通过。
步骤S20，若验证通过，则所述目标堡垒机将所述操作请求发送到所述目标服务器。
在本实施例中，若目标堡垒机确定验证通过，则将当前操作请求发送到目标服务器，也即目标堡垒机作为跳板机，将当前操作请求发送到目标服务器，以供目标服务器对当前操作请求进行响应。
可以理解的，若目标堡垒机确定验证未通过，则说明当前终端没有权限访问目标服务器，当前操作请求不可以发送到目标服务器，因此将拒绝当前操作请求，具体的，若验证未通过，则目标堡垒机返回权限不够的提示信息，以提示操作人员去提升自己的权限级别。
步骤S30，在接收到所述目标服务器基于所述操作请求返回的执行结果时，所述目标堡垒机将所述执行结果发送到所述终端。
在本实施例中，若当前操作请求验证通过，则目标堡垒机将当前操作请求发送到目标服务器，目标服务器在接收到操作请求后，响应操作请求，执行对应的操作，得到对应的执行结果，并将执行结果返回。
目标堡垒机在接收到目标服务器基于当前操作请求返回的执行结果时，将执行结果发送至当前终端，其中，执行结果可以是资源页面，也可以是资源数据包等。在这过程中，目标堡垒机相当于桥梁，在隔离终端与目标服务器的同时，起到连接终端和目标服务器的作用。本实施例当前终端发起的操作请求只有通过对应的堡垒机才能到达对应的目标服务器，避免数据交互双方的数据与其他数据交叉混乱。
需要说明的是，在整个数据交互的过程中，目标堡垒机还实时监控数据交互产生的交互痕迹和交互结果，并形成监控录像，并且将监控录像标记为当前操作人员不可获取的状态，当前操作人员无法获取篡改，以便后续审计定责。
本实施例当接收到终端发送的操作请求时，目标堡垒机对所述操作请求进行验证，其中，若所述终端接收到所述操作请求，则所述终端确定所述操作请求的第一操作属性和所述操作请求对应的目标服务器，并在基于所述第一操作属性确定所述操作请求对应的堡垒机为所述目标堡垒机时，所述终端发送所述操作请求到所述目标堡垒机；若验证通过，则所述目标堡垒机将所述操作请求发送到所述目标服务器；在接收到所述目标服务器基于所述操作请求返回的执行结果时，所述目标堡垒机将所述执行结果发送到所述终端。本发明通过堡垒机实现终端与目标服务器的环境隔离，有效提高数据交互的安全性，并且部署不同操作属性对应的堡垒机，只将当前操作请求发送给与自身操作属性相对应的堡垒机，实现不同的操作请求都要专门的堡垒机对接，使得数据交互过程井然有序。
进一步地，基于本发明数据交互方法第一实施例，提出本发明数据交互方法第二实施例。
数据交互方法的第二实施例与数据交互方法的第一实施例的区别在于，所述方法还包括：
步骤a，所述目标堡垒机定时获取用户管理系统中新增的第二用户管理账号，并确定所述第二用户管理账号的第二操作权限，其中，所述第二用户管理账号的第二操作属性对应的堡垒机为所述目标堡垒机；
步骤b，所述目标堡垒机将所述第二用户管理账号和所述第二操作权限保存在用户管理账号库中。
本实施例的堡垒机还对接用户管理系统，操作人员的操作权限由用户管理系统分配管理，而堡垒机保存用户管理系统分配的操作权限的信息。
以下将对各个步骤进行说明：
步骤a，所述目标堡垒机定时获取用户管理系统中新增的第二用户管理账号，并确定所述第二用户管理账号的第二操作权限，其中，所述第二用户管理账号的第二操作属性对应的堡垒机为所述目标堡垒机。
在本实施例中，堡垒机对接用户管理系统，用户管理系统用于统一管理操作人员的操作权限，并通过动态口令验证用户身份，所有新入职的操作人员都在用户管理系统登记身份信息，并由用户管理系统创建对应的操作权限，其中，身份信息包括岗位信息，用户管理系统根据操作人员的岗位信息，创建最小操作权限，在具体实施时，每一岗位都对应有最小操作权限，其中，最小操作权限即当前岗位的操作人员完成当前岗位工作所需的最小权限。
目标堡垒机定时去用户管理系统同步操作人员的数据，具体的，若目标堡垒机检测到用户管理系统新增第二用户管理账号，也即代表新的操作人员加进来，并且第二用户管理账号的第二操作属性对应的堡垒机为目标堡垒机，则获取第二用户管理账号，并确定第二用户管理账号的第二操作权限，第二操作权限由用户管理系统分配，可以理解的，第二用户管理账号本身就是依据操作人员的身份信息创建的，其中身份信息包括岗位信息，因此，可确定第二用户管理账号的岗位信息，从而根据岗位信息确定第二操作属性，也即用户管理系统中的操作人员的数据都会同步到对应的堡垒机，每一台堡垒机都只获取对应操作属性的用户管理账号，以及其对应的操作权限。
步骤b，所述目标堡垒机将所述第二用户管理账号和所述第二操作权限保存在用户管理账号库中。
在本实施例中，目标堡垒机将获取到的第二用户管理账号和第二操作权限保存在目标堡垒机的用户管理账号库中，以供后续对第二用户管理账号对应的操作请求进行验证。
进一步地，步骤b之后，所述方法还包括：
步骤c，当接收到基于所述第二用户管理账号发起的权限提升请求时，所述目标堡垒机获取所述权限提升请求的审批结果；
在该步骤中，当目标堡垒机接收到基于第二用户管理账号发起的权限提升请求时，获取该权限提升请求的审批结果，即操作人员可对自身的权限进行升级，具体的，操作人员通过终端向用户管理系统发起权限提升申请，由用户管理系统将权限提升申请转发至对应的审批端进行审批，并返回审批结果。操作人员向目标堡垒机发起权限提升请求时，附带审批结果。因此，目标堡垒机在接收到基于第二用户管理账号发起的权限提升请求时，即可获取权限提升请求的审批结果。
步骤d，若确定所述审批结果为通过，则所述目标堡垒机将所述第二操作权限修改为所述权限提升请求对应的第三操作权限。
在该步骤中，若目标堡垒机确定当前审批结果为通过，则将第二操作权限修改为权限提升请求对应的第三操作权限。
可以理解的，若目标堡垒机确定当前审批结果为不通过，则返回提升失败的提示信息，以供操作人员再一次申请。
进一步地，步骤d包括：
若确定所述审批结果为通过，则所述目标堡垒机将所述第二操作权限修改为权限提升请求对应的第三操作权限，并监控所述第三操作权限的有效状态；
在该步骤中，若目标堡垒机确定当前审批结果为通过，则将第二操作权限修改为权限提升请求对应的第三操作权限，并监控第三操作权限的有效状态，即在本实施例中，第三操作权限是有时效的，并不是永久提升，因此，需实时监控第三操作权限的有效状态。
当监测到所述第三操作权限失效时，所述目标堡垒机将所述第三操作权限修改为第二操作权限。
在该步骤中，当目标堡垒机监测到第三操作权限失效时，将第三操作权限修改回第二操作权限，其中，第三操作权限是有期限限制的，过了期限则失效，或者第三操作权限是有使用次数限制的，在使用完可用次数后则失效等。在第三操作权限失效后，将第二用户管理账号的操作权限修改回第二操作权限。
进一步地，步骤b之后，所述方法还包括：
若检测到所述用户管理系统删除所述第二用户管理账号，则所述目标堡垒机在所述用户管理账号库中删除所述第二用户管理账号和所述第二操作权限。
在该步骤中，若目标堡垒机检测到用户管理系统修改了第二用户管理账号的权限信息，则在用户管理账号库中对应修改第二用户管理账号的权限信息，其中，修改包括删除，即若目标堡垒机检测到用户管理系统删除了第二用户管理账号，则在第二堡垒机中对应删除第二用户管理账号以及第二用户管理账号的第二操作权限。
用户管理系统修改第二用户管理账号的场景有：第二用户管理账号的操作人员离职提交了离职单，用户管理系统则根据离职单，删除第二用户管理账号；第二用户管理账号的操作人员转岗提交了转岗单，用户管理系统则根据转岗单修改第二用户管理账号的权限信息等。
本实施例的堡垒机对接用户管理系统，通过用户管理系统实现对操作人员的操作权限的分配管理，使得接入堡垒机的操作人员无法修改其他人员的操作权限，营造一个更加安全的交互环境，提高了数据交互过程的安全性。
本发明还提供一种数据交互装置。本发明数据交互装置包括：
验证模块，用于当接收到终端发送的操作请求时，目标堡垒机对所述操作请求进行验证，其中，若所述终端接收到所述操作请求，则所述终端确定所述操作请求的第一操作属性和所述操作请求对应的目标服务器，并在基于所述第一操作属性确定所述操作请求对应的堡垒机为所述目标堡垒机时，所述终端发送所述操作请求到所述目标堡垒机；
第一发送模块，用于若验证通过，则所述目标堡垒机将所述操作请求发送到所述目标服务器；
第二发送模块，用于在接收到所述目标服务器基于所述操作请求返回的执行结果时，所述目标堡垒机将所述执行结果发送到所述终端。
进一步地，所述验证模块还用于：
当接收到终端发送的操作请求时，所述目标堡垒机确定所述目标服务器的服务属性；
所述目标堡垒机验证所述第一操作属性与所述服务属性是否匹配，若匹配，则确定验证通过。
进一步地，所述验证模块还用于：
当接收到终端发送的操作请求时，所述目标堡垒机确定所述操作请求对应的第一用户管理账号，并在预存用户管理账号库中确定所述第一用户管理账号的第一操作权限；
基于所述第一操作权限，所述目标堡垒机验证所述第一用户管理账号是否有权限访问所述目标服务器，若有，则确定验证通过。
进一步地，所述数据交互装置还包括保存模块，所述保存模块用于：
所述目标堡垒机定时获取用户管理系统中新增的第二用户管理账号，并确定所述第二用户管理账号的第二操作权限，其中，所述第二用户管理账号的第二操作属性对应的堡垒机为所述目标堡垒机；
所述目标堡垒机将所述第二用户管理账号和所述第二操作权限保存在用户管理账号库中。
进一步地，所述数据交互装置还包括修改模块，所述修改模块用于：
当接收到基于所述第二用户管理账号发起的权限提升请求时，所述目标堡垒机获取所述权限提升请求的审批结果；
若确定所述审批结果为通过，则所述目标堡垒机将所述第二操作权限修改为所述权限提升请求对应的第三操作权限。
进一步地，所述修改模块还用于：
若确定所述审批结果为通过，则所述目标堡垒机将所述第二操作权限修改为权限提升请求对应的第三操作权限，并监控所述第三操作权限的有效状态；
当监测到所述第三操作权限失效时，所述目标堡垒机将所述第三操作权限修改为第二操作权限。
进一步地，所述修改模块还用于：
若检测到所述用户管理系统删除所述第二用户管理账号，则所述目标堡垒机在所述用户管理账号库中删除所述第二用户管理账号和所述第二操作权限。
本发明还提供一种计算机可读存储介质。
本发明计算机可读存储介质上存储有数据交互程序，所述数据交互程序被处理器执行时实现如上所述的数据交互方法的步骤。
其中，在所述处理器上运行的数据交互程序被执行时所实现的方法可参照本发明数据交互方法各个实施例，此处不再赘述。
需要说明的是，在本文中，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者系统不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者系统所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括该要素的过程、方法、物品或者系统中还存在另外的相同要素。
上述本发明实施例序号仅仅为了描述，不代表实施例的优劣。
通过以上的实施方式的描述，本领域的技术人员可以清楚地了解到上述实施例方法可借助软件加必需的通用硬件平台的方式来实现，当然也可以通过硬件，但很多情况下前者是更佳的实施方式。基于这样的理解，本发明的技术方案本质上或者说对现有技术做出贡献的部分可以以软件产品的形式体现出来，该计算机软件产品存储在如上所述的一个存储介质(如ROM/RAM、磁碟、光盘)中，包括若干指令用以使得一台终端设备(可以是手机，计算机，服务器，空调器，或者网络设备等)执行本发明各个实施例所述的方法。
以上仅为本发明的优选实施例，并非因此限制本发明的专利范围，凡是利用本发明说明书与附图内容所作的等效结构或等效流程变换，或直接或间接运用在其他相关的技术领域，均同理包括在本发明的专利保护范围内。
Claims (9)
1.一种数据交互方法，其特征在于，所述数据交互方法包括如下步骤：
当接收到终端发送的操作请求时，目标堡垒机对所述操作请求进行验证，其中，若所述终端接收到所述操作请求，则所述终端确定所述操作请求的第一操作属性和所述操作请求对应的目标服务器，并在基于所述第一操作属性确定所述操作请求对应的堡垒机为所述目标堡垒机时，所述终端发送所述操作请求到所述目标堡垒机；其中，每台堡垒机对接一种属性的终端；
若验证通过，则所述目标堡垒机将所述操作请求发送到所述目标服务器；
在接收到所述目标服务器基于所述操作请求返回的执行结果时，所述目标堡垒机将所述执行结果发送到所述终端；
所述当接收到终端发送的操作请求时，目标堡垒机对所述操作请求进行验证的步骤包括：
当接收到终端发送的操作请求时，所述目标堡垒机确定所述目标服务器的服务属性；
所述目标堡垒机验证所述第一操作属性与所述服务属性是否匹配，若匹配，则确定验证通过。
2.如权利要求1所述的数据交互方法，其特征在于，所述当接收到终端发送的操作请求时，目标堡垒机对所述操作请求进行验证的步骤包括：
当接收到终端发送的操作请求时，所述目标堡垒机确定所述操作请求对应的第一用户管理账号，并在预存用户管理账号库中确定所述第一用户管理账号的第一操作权限；
基于所述第一操作权限，所述目标堡垒机验证所述第一用户管理账号是否有权限访问所述目标服务器，若有，则确定验证通过。
3.如权利要求2所述的数据交互方法，其特征在于，所述当接收到终端发送的操作请求时，所述目标堡垒机确定所述操作请求对应的第一用户管理账号，并在预存用户管理账号库中确定所述第一用户管理账号的第一操作权限的步骤之前，所述方法还包括：
所述目标堡垒机定时获取用户管理系统中新增的第二用户管理账号，并确定所述第二用户管理账号的第二操作权限，其中，所述第二用户管理账号的第二操作属性对应的堡垒机为所述目标堡垒机；
所述目标堡垒机将所述第二用户管理账号和所述第二操作权限保存在用户管理账号库中。
4.如权利要求3所述的数据交互方法，其特征在于，所述目标堡垒机将所述第二用户管理账号和所述第二操作权限保存在用户管理账号库中的步骤之后，所述方法还包括：
当接收到基于所述第二用户管理账号发起的权限提升请求时，所述目标堡垒机获取所述权限提升请求的审批结果；
若确定所述审批结果为通过，则所述目标堡垒机将所述第二操作权限修改为所述权限提升请求对应的第三操作权限。
5.如权利要求4所述的数据交互方法，其特征在于，所述若确定所述审批结果为通过，则将所述第二操作权限修改为所述权限提升请求对应的第三操作权限的步骤包括：
若确定所述审批结果为通过，则所述目标堡垒机将所述第二操作权限修改为权限提升请求对应的第三操作权限，并监控所述第三操作权限的有效状态；
当监测到所述第三操作权限失效时，所述目标堡垒机将所述第三操作权限修改为第二操作权限。
6.如权利要求3所述的数据交互方法，其特征在于，所述目标堡垒机将所述第二用户管理账号和所述第二操作权限保存在用户管理账号库中的步骤之后，所述方法还包括：
若检测到所述用户管理系统删除所述第二用户管理账号，则所述目标堡垒机在所述用户管理账号库中删除所述第二用户管理账号和所述第二操作权限。
7.一种数据交互装置，其特征在于，所述数据交互装置包括：
验证模块，用于当接收到终端发送的操作请求时，目标堡垒机对所述操作请求进行验证，其中，若所述终端接收到所述操作请求，则所述终端确定所述操作请求的第一操作属性和所述操作请求对应的目标服务器，并在基于所述第一操作属性确定所述操作请求对应的堡垒机为所述目标堡垒机时，所述终端发送所述操作请求到所述目标堡垒机；其中，每台堡垒机对接一种属性的终端；
第一发送模块，用于若验证通过，则所述目标堡垒机将所述操作请求发送到所述目标服务器；
第二发送模块，用于在接收到所述目标服务器基于所述操作请求返回的执行结果时，所述目标堡垒机将所述执行结果发送到所述终端；
所述验证模块，具体用于：
当接收到终端发送的操作请求时，所述目标堡垒机确定所述目标服务器的服务属性；
所述目标堡垒机验证所述第一操作属性与所述服务属性是否匹配，若匹配，则确定验证通过。
8.一种堡垒机，其特征在于，所述堡垒机包括：存储器、处理器及存储在所述存储器上并可在所述处理器上运行的数据交互程序，所述数据交互程序被所述处理器执行时实现如权利要求1至6中任一项所述的数据交互方法的步骤。
9.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质上存储有数据交互程序，所述数据交互程序被处理器执行时实现如权利要求1至6中任一项所述的数据交互方法的步骤。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| CN201910588340.3A CN110324338B (zh) | 2019-06-28 | 2019-06-28 | 数据交互方法、装置、堡垒机与计算机可读存储介质 |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| CN201910588340.3A CN110324338B (zh) | 2019-06-28 | 2019-06-28 | 数据交互方法、装置、堡垒机与计算机可读存储介质 |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| CN110324338A CN110324338A (zh) | 2019-10-11 |
| CN110324338B true CN110324338B (zh) | 2023-07-18 |
Family
ID=68122208
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| CN201910588340.3A Active CN110324338B (zh) | 2019-06-28 | 2019-06-28 | 数据交互方法、装置、堡垒机与计算机可读存储介质 |
Country Status (1)
| Country | Link |
|---|---|
| CN (1) | CN110324338B (zh) |
Families Citing this family (8)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN110971670B (zh) * | 2019-11-12 | 2022-10-25 | 广州大白互联网科技有限公司 | 一种基于网证平台的网证调用方法、装置及存储介质 |
| CN110890979B (zh) * | 2019-11-14 | 2023-10-31 | 光通天下网络科技股份有限公司 | 堡垒机自动部署方法、装置、设备及介质 |
| CN110913024B (zh) * | 2019-12-30 | 2022-02-01 | 中国联合网络通信集团有限公司 | 云平台信息同步方法、系统、控制设备及存储介质 |
| CN113765871B (zh) * | 2020-09-09 | 2023-08-04 | 北京沃东天骏信息技术有限公司 | 堡垒机管理的方法和装置 |
| CN112398860A (zh) * | 2020-11-17 | 2021-02-23 | 珠海大横琴科技发展有限公司 | 一种安全控制的方法和装置 |
| CN114244604B (zh) * | 2021-12-16 | 2024-03-29 | 杭州乒乓智能技术有限公司 | 适用于堡垒机的一体化权限管理方法、系统、电子设备和可读存储介质 |
| WO2023142070A1 (zh) * | 2022-01-29 | 2023-08-03 | 中远海运科技股份有限公司 | 面向云主机和云堡垒机实现云主机权限联动的方法 |
| CN114615254B (zh) * | 2022-03-25 | 2023-09-29 | 医渡云（北京）技术有限公司 | 远程连接方法、装置及系统、存储介质、电子设备 |
Citations (2)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN108551400A (zh) * | 2018-04-01 | 2018-09-18 | 南京捷安信息科技有限公司 | 一种便携式运维堡垒机系统 |
| CN109547402A (zh) * | 2018-09-27 | 2019-03-29 | 天津字节跳动科技有限公司 | 数据保护方法、装置、电子设备和可读存储介质 |
Family Cites Families (5)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US20110252459A1 (en) * | 2010-04-12 | 2011-10-13 | Walsh Robert E | Multiple Server Access Management |
| CN106096343B (zh) * | 2016-05-27 | 2019-09-13 | 腾讯科技（深圳）有限公司 | 消息访问控制方法及设备 |
| CN107545188B (zh) * | 2016-06-27 | 2023-09-22 | 中兴通讯股份有限公司 | 应用的管理方法、装置及系统 |
| CN106789029B (zh) * | 2017-01-04 | 2019-11-22 | 浙江神州量子网络科技有限公司 | 一种基于量子堡垒机的审计系统和审计方法以及量子堡垒机系统 |
| CN108965388B (zh) * | 2018-06-13 | 2021-03-26 | 新华三信息安全技术有限公司 | 一种运维审计方法及装置 |
-
2019
- 2019-06-28 CN CN201910588340.3A patent/CN110324338B/zh active Active
Patent Citations (2)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN108551400A (zh) * | 2018-04-01 | 2018-09-18 | 南京捷安信息科技有限公司 | 一种便携式运维堡垒机系统 |
| CN109547402A (zh) * | 2018-09-27 | 2019-03-29 | 天津字节跳动科技有限公司 | 数据保护方法、装置、电子设备和可读存储介质 |
Also Published As
| Publication number | Publication date |
|---|---|
| CN110324338A (zh) | 2019-10-11 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| CN110324338B (zh) | 数据交互方法、装置、堡垒机与计算机可读存储介质 | |
| JP3415456B2 (ja) | ネットワークシステム及びコマンド使用権限制御方法ならびに制御プログラムを格納した記憶媒体 | |
| US9021570B2 (en) | System, control method therefor, service providing apparatus, relay apparatus and computer-readable medium | |
| CN107135218B (zh) | 登录态获取、发送方法、凭证配置方法、客户端及服务器 | |
| CN112597472B (zh) | 单点登录方法、装置及存储介质 | |
| CN110912938A (zh) | 入网终端接入验证方法、装置、存储介质及电子设备 | |
| US9052861B1 (en) | Secure connections between a proxy server and a base station device | |
| WO2021013033A1 (zh) | 文件操作方法、装置、设备、系统及计算机可读存储介质 | |
| CN106060072B (zh) | 认证方法以及装置 | |
| CN106254319B (zh) | 一种轻应用登录控制方法和装置 | |
| WO2021027600A1 (zh) | 单点登录方法、装置、设备及计算机可读存储介质 | |
| CN111049946B (zh) | 一种Portal认证方法、系统及电子设备和存储介质 | |
| CN113341798A (zh) | 远程访问应用的方法、系统、装置、设备及存储介质 | |
| CN110602216A (zh) | 多终端使用单账号的方法、装置、云服务器及存储介质 | |
| CN109088884B (zh) | 基于身份验证的网址访问方法、装置、服务器及存储介质 | |
| US11171964B1 (en) | Authentication using device and user identity | |
| CN103152351A (zh) | 网络设备、ad 域单点登录的方法及系统 | |
| CN112118238A (zh) | 认证登录的方法、装置、系统、设备及存储介质 | |
| CN104821951A (zh) | 一种安全通信的方法和装置 | |
| CN112685719B (zh) | 单点登录方法、装置、系统、计算机设备和存储介质 | |
| CN116915493A (zh) | 安全登录方法、装置、系统、计算机设备和存储介质 | |
| CN109992298B (zh) | 审批平台扩充方法、装置、审批平台及可读存储介质 | |
| US10735399B2 (en) | System, service providing apparatus, control method for system, and storage medium | |
| CN112929388B (zh) | 网络身份跨设备应用快速认证方法和系统、用户代理设备 | |
| CN108259414B (zh) | 一种虚拟资源的管控方法及服务器 |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| PB01 | Publication | ||
| PB01 | Publication | ||
| SE01 | Entry into force of request for substantive examination | ||
| SE01 | Entry into force of request for substantive examination | ||
| GR01 | Patent grant | ||
| GR01 | Patent grant |