CN113765866A

CN113765866A - 一种登录远程主机的方法和装置

Info

Publication number: CN113765866A
Application number: CN202010758898.4A
Authority: CN
Inventors: 唐青昊; 龙猛进
Original assignee: Beijing Jingdong Century Trading Co Ltd; Beijing Wodong Tianjun Information Technology Co Ltd
Current assignee: Beijing Jingdong Century Trading Co Ltd; Beijing Wodong Tianjun Information Technology Co Ltd
Priority date: 2020-07-31
Filing date: 2020-07-31
Publication date: 2021-12-07
Anticipated expiration: 2040-07-31
Also published as: CN113765866B

Abstract

本发明公开了一种登录远程主机的方法和装置，涉及计算机技术领域。该方法的一具体实施方式包括：接收用户的登录请求；其中登录请求中至少包括用户的身份信息；根据登录请求中的身份信息，获取与身份信息对应的主机集合信息，并将主机集合信息同步至密钥分发中心；当用户从所述主机集合中选出目标主机，根据目标主机信息从密钥分发中心获取登录认证信息；基于该登录认证信息允许用户登录所述目标主机。该实施方式能够通过设置身份信息与主机的对应关系来管理用户登录和使用主机的权限，减轻了现有技术中对用户主机登录权限的维护工作，并使用密钥分发中心替代现有技术中的静态密码认证方式，进而使登录过程更加安全也使登录权限更易维护和管理。

Description

一种登录远程主机的方法和装置

技术领域

本发明涉及计算机技术领域，尤其涉及一种登录远程主机的方法和装置。

背景技术

随着互联网技术的发展，用户对于远程登录服务器进而访问使用主机的需求越来越多。现阶段从办公网登录服务器主要有两种方案：

1)用户可以从办公网直接登录目标服务器或容器，使用静态密码认证，依靠ACL(访问控制列表)策略进行访问控制；其中对于用户权限并无管控；

2)用户可以先从办公网登陆Relay(堡垒机，一种运维安全审计系统)，再由Relay登录目标服务器或容器；其中，Relay使用密码托管形式，可在Relay上配置并维护用户可访问的主机登录权限；

在实现本发明过程中，发明人发现现有技术中至少存在如下问题：

1)使用静态密码认证登录主机时，存在密码相关的安全风险(弱密码、密码泄露、批量单一密码、共享账号等导致不安全的因素)；

2)对于规模较大的公司来说，要对每一个用户管理和维护其主机登陆权限，工作量较大，不易实现。

发明内容

有鉴于此，本发明实施例提供一种登录远程主机的方法和装置，能够使用权限管理平台管理用户登录和使用主机的权限，减轻了现有技术中对用户主机登录权限的维护工作，并使用密钥分发中心(KDC，一种无密码化的认证方式)替代现有技术中的静态密码认证方式，进而使登录过程更加安全也使登录权限更容易维护和管理。

为实现上述目的，根据本发明实施例的一个方面，提供了一种登录远程主机的方法，包括：

接收用户的登录请求；其中，所述登录请求中至少包括用户的身份信息；

根据所述登录请求中的身份信息，获取与所述身份信息对应的主机集合信息，并将所述主机集合信息同步至密钥分发中心；

当所述用户从所述主机集合中选出目标主机，根据所述目标主机信息从所述密钥分发中心获取登录认证信息；基于所述登录认证信息允许所述用户登录所述目标主机。

可选地，在获取与所述身份信息对应的主机集合信息之前，还包括：

根据所述登录请求登录数据中心服务器；所述数据中心服务器管理着所述主机集合中的远程主机。

可选地，所述根据所述登录请求中的身份信息，获取与所述身份信息对应的主机集合信息，包括：

根据所述登录请求生成查询请求，并将所述查询请求发送至权限管理平台；所述查询请求指示了所述用户的身份信息；

获取所述权限管理平台响应于所述查询请求发送的与所述身份信息对应的主机集合信息。

可选地，所述用户的身份至少包括：所述用户的角色信息，所述用户的级别信息。

可选地，在所述权限管理平台中存储着：用户的身份与该用户使用的远程主机的第一对应关系；

其中，在与用户的身份对应的远程主机上，设置有与该用户身份对应类型的使用权限；所述使用权限的类型至少包括：无使用权限、访客权限、管理者权限。

可选地，在所述权限管理平台中还存储着：用户的身份与该用户管理所述第一对应关系方式的第二对应关系；其中，所述第二对应关系中的管理方式包括：读写、只读；和/或，

用户的身份与该用户管理其他用户身份的方式的第三对应关系；其中，所述第三对应关系中的管理方式包括：增加、删除、修改、无管理权限。

可选地，在所述用户从所述主机集合中选出目标主机之前，还包括：

向所述用户展示所述主机集合中各主机信息；所述主机信息包括：主机标识，和/或主机ip地址信息。

根据本发明实施例的再一个方面，提供了一种登录远程主机的装置，包括：

接收模块，用于接收用户的登录请求；其中，所述登录请求中至少包括用户的身份信息；

获取模块，用于根据所述登录请求中的身份信息，获取与所述身份信息对应的主机集合信息，并将所述主机集合信息同步至密钥分发中心；

认证模块，用于当所述用户从所述主机集合中选出目标主机，根据所述目标主机信息从所述密钥分发中心获取登录认证信息；并基于所述登录认证信息允许所述用户登录所述目标主机。

可选地，所述获取模块在获取与所述身份信息对应的主机集合信息之前，还包括：

可选地，所述获取模块根据所述登录请求中的身份信息，获取与所述身份信息对应的主机集合信息，包括：

根据本发明实施例的另一个方面，提供了一种登录远程主机的电子设备，包括：

一个或多个处理器；

存储装置，用于存储一个或多个程序，

当所述一个或多个程序被所述一个或多个处理器执行，使得所述一个或多个处理器实现本发明提供的登录远程主机的方法。

根据本发明实施例的还一个方面，提供了一种计算机可读介质，其上存储有计算机程序，所述程序被处理器执行时实现本发明提供的登录远程主机的方法。

上述发明中的一个实施例具有如下优点或有益效果：使用权限管理平台来管理用户登录和使用主机的权限，减轻了现有技术中对用户主机登录权限的维护工作；并使用密钥分发中心(KDC，一种无密码化的认证方式)，替代了现有技术中安全性较低的静态密码认证方式，进而使用户登录远程主机安全，也更容易管理。

上述的非惯用的可选方式所具有的进一步效果将在下文中结合具体实施方式加以说明。

附图说明

附图用于更好地理解本发明，不构成对本发明的不当限定。其中：

图1是根据本发明第一实施例的一种登录远程主机的方法的主要流程的示意图；

图2是根据本发明第二实施例的一种登录远程主机的方法的架构示意图；

图3是根据本发明第三实施例的一种登录远程主机的装置的主要模块的示意图；

图4是本发明实施例可以应用于其中的示例性系统架构图；

图5是适于用来实现本发明实施例的终端设备或服务器的计算机系统的结构示意图。

具体实施方式

以下结合附图对本发明的示范性实施例做出说明，其中包括本发明实施例的各种细节以助于理解，应当将它们认为仅仅是示范性的。因此，本领域普通技术人员应当认识到，可以对这里描述的实施例做出各种改变和修改，而不会背离本发明的范围和精神。同样，为了清楚和简明，以下的描述中省略了对公知功能和结构的描述。

图1是根据本发明第一实施例的一种登录远程主机的方法的主要流程的示意图，如图1所示，该登录远程主机的方法包括：

步骤S101、接收用户的登录请求；其中，所述登录请求中至少包括用户的身份信息；

步骤S102、根据所述登录请求中的身份信息，获取与所述身份信息对应的主机集合信息，并将所述主机集合信息同步至密钥分发中心；

步骤S103、当所述用户从所述主机集合中选出目标主机，根据所述目标主机信息从所述密钥分发中心获取登录认证信息；基于所述登录认证信息允许所述用户登录所述目标主机。

可以根据实际需求提前设置用户身份与该用户使用的远程主机的对应关系；在一些实际应用中，可以将该对应关系存储至权限管理平台；

进而当接收到携带有用户的身份信息的登录请求时，可以根据该身份信息，直接从权限管理平台拉取到该用户所能使用的主机集合，使用户可以从中选出目标主机来登录使用；同时，可以将拉取到的主机集合同步至密钥分发中心；当用户从所述主机集合中选出目标主机后，可以根据目标主机的信息向密钥分发中心发送获取认证的请求，以获取登录认证信息，并基于该登录认证信息允许所述用户登录所述目标主机；进而实现了免密认证的登录方式，替代了现有技术中安全性较低的静态密码认证方式，更加安全；

用上述设置用户身份与主机集合的对应关系，并结合免密认证登录的方式，替代了现有技术中使用静态密码认证登录主机，或使用堡垒机密码托管形式登录主机，从而避免了使用密码带来的安全风险(弱密码、密码泄露、批量单一密码、共享账号等导致不安全的因素)，也避免了维护大量主机登录权限所带来的大工作量。

使用本发明中的方法，能够利用权限管理平台管理用户登录和使用主机的权限，减轻了现有技术中对用户主机登录权限的维护工作，并使用密钥分发中心(KDC，一种无密码化的认证方式)替代现有技术中的静态密码认证方式，进而使登录过程更加安全也使登录权限更容易维护和管理。

在一些实施例中，在获取与所述身份信息对应的主机集合信息之前，还包括：

具体地，可以根据所述登录请求登录堡垒机，再在堡垒机的基础上登录数据中心服务器；堡垒机的作用包括用户权限控制和用户行为审计，可以使用堡垒机进行事前资源授权、事中录像监控、事后指令审计，进而保障自身数据安全，起到安全监管的作用；利用堡垒机登录数据中心服务器达到了更加安全的效果；

本领域技术人员可以理解的是，所述堡垒机的形式可以是：软硬件一体的堡垒机设备、纯软件堡垒机、云化的堡垒机、服务化的堡垒机等。

在一些实施例中，根据所述登录请求中的身份信息，获取与所述身份信息对应的主机集合信息，包括：根据所述登录请求生成查询请求，并将所述查询请求发送至权限管理平台；其中，所述查询请求指示了所述用户的身份信息；进而获取所述权限管理平台响应于查询请求发送的与所述身份信息对应的主机集合信息。

在一实际应用中，在所述用户从所述主机集合中选出目标主机之前，还包括：向所述用户展示所述主机集合中各主机信息；所述主机信息包括：主机标识，和/或主机ip地址信息。

图2是根据本发明第二实施例的一种登录远程主机的方法的架构示意图，如图2所示，包括：Relay(堡垒机)，服务树(权限管理平台)、KDC(密钥分发中心)；

用户可以从办公网登陆Relay(堡垒机)，再由Relay登录目标IDC服务器或容器(数据中心服务器)，根据登录请求生成查询请求并将查询请求发送给应用上线平台的服务树api，以拉取到该用户所能登录使用的主机集合，并同步主机集合信息到KDC本地，在用户从所述主机集合中选出目标主机后，可以通过KDC认证(免密认证)方式实现无密码化登陆主机。

在一些实施例中，所述用户的身份至少包括：所述用户的角色信息，所述用户的级别信息。

在一些实际应用中，用户的角色信息可以是：负责人角色、运维角色、研发角色、测试角色、产品角色等；用户的级别信息可以是：部门、产品线、系统、应用、分组、实例等。

在一些实施例中，在所述权限管理平台中存储着：用户的身份与该用户使用的远程主机的第一对应关系；其中，在与用户的身份对应的远程主机上，设置有与该用户身份对应类型的使用权限；所述使用权限的类型至少包括：无使用权限、访客权限、管理者权限。

这样设置，可以使同样身份得用户拉取到同一份主机集合，易于维护。

在一些实施例中，在所述权限管理平台中还存储着：用户的身份与该用户管理所述第一对应关系方式的第二对应关系；其中，所述第二对应关系中的管理方式包括：读写、只读；和/或，

表1是一种可行的权限管理平台的设置方式，如表1所示，包括了全面的用户身份与各种权限的对应关系；

表1

如表1所示，不同级别、不同角色的用户，可以有不同的职责和权限；比如，部门级别的负责人角色，部门级别的运维角色，部门级别的研发角色，他们的权限是不同的：

部门级别的负责人角色，可以增删改所有用户的身份，对不同用户身份所对应的主机列表可以进行读写操作，但他没有登陆主机的权限；

部门级别的运维角色，没有增删改其他用户身份的权限，但是可以对不同用户身份所对应的主机列表可以进行读写操作，同时他可以以管理者权限登陆主机；

部门级别的研发角色，没有增删改其他用户身份的权限，对不同用户身份所对应的主机列表可以进行只读操作，同时他可以以管理者权限登陆主机。

图3是根据本发明第三实施例的一种登录远程主机的装置的主要模块的示意图，如图3所示，登录远程主机的装置300包括：

接收模块301，用于接收用户的登录请求；其中，所述登录请求中至少包括用户的身份信息；

获取模块302，用于根据所述登录请求中的身份信息，获取与所述身份信息对应的主机集合信息，并将所述主机集合信息同步至密钥分发中心；

认证模块303，用于当所述用户从所述主机集合中选出目标主机，根据所述目标主机信息从所述密钥分发中心获取登录认证信息；并基于所述登录认证信息允许所述用户登录所述目标主机。

进而当接收到携带有用户的身份信息的登录请求时，可以根据该身份信息，直接从权限管理平台拉取到该用户所能使用的主机集合，使用户可以从中选出目标主机来登录使用；当用户从所述主机集合中选出目标主机后，可以根据目标主机的信息向密钥分发中心发送获取认证的请求，以获取登录认证信息，并基于该登录认证信息允许所述用户登录所述目标主机；进而实现了免密认证的登录方式，替代了现有技术中安全性较低的静态密码认证方式，更加安全；

在一些实施例中，所述获取模块302在获取与所述身份信息对应的主机集合信息之前，还包括：

在一些实施例中，所述获取模块302根据所述登录请求中的身份信息，获取与所述身份信息对应的主机集合信息，包括：

在一些实施例中，在所述权限管理平台中存储着：用户的身份与该用户使用的远程主机的第一对应关系；

图4示出了可以应用本发明实施例的登录远程主机的方法或登录远程主机的装置的示例性系统架构400。

如图4所示，系统架构400可以包括终端设备401、402、403，网络404和服务器405。网络404用以在终端设备401、402、403和服务器405之间提供通信链路的介质。网络404可以包括各种连接类型，例如有线、无线通信链路或者光纤电缆等等。

用户可以使用终端设备401、402、403通过网络404与服务器405交互，以接收或发送消息等。终端设备401、402、403上可以安装有各种通讯客户端应用，例如网页浏览器应用、搜索类应用、即时通信工具、邮箱客户端、社交平台软件等。

终端设备401、402、403可以是具有显示屏并且支持网页浏览的各种电子设备，包括但不限于智能手机、平板电脑、膝上型便携计算机和台式计算机等等。

服务器405可以是提供各种服务的服务器，例如对用户利用终端设备401、402、403所浏览的网站提供支持的后台管理服务器。后台管理服务器可以对接收到的产品信息查询请求等数据进行分析等处理，并将处理结果反馈给终端设备。

需要说明的是，本发明实施例所提供的登录远程主机的方法一般由服务器405执行，相应地，登录远程主机的装置一般设置于服务器405中。

应该理解，图4中的终端设备、网络和服务器的数目仅仅是示意性的。根据实现需要，可以具有任意数目的终端设备、网络和服务器。

下面参考图5，其示出了适于用来实现本发明实施例的终端设备的计算机系统500的结构示意图。图5示出的终端设备仅仅是一个示例，不应对本发明实施例的功能和使用范围带来任何限制。

如图5所示，计算机系统500包括中央处理单元(CPU)501，其可以根据存储在只读存储器(ROM)502中的程序或者从存储部分508加载到随机访问存储器(RAM)503中的程序而执行各种适当的动作和处理。在RAM 503中，还存储有系统500操作所需的各种程序和数据。CPU 501、ROM 502以及RAM 503通过总线504彼此相连。输入/输出(I/O)接口505也连接至总线504。

以下部件连接至I/O接口505：包括键盘、鼠标等的输入部分506；包括诸如阴极射线管(CRT)、液晶显示器(LCD)等以及扬声器等的输出部分507；包括硬盘等的存储部分508；以及包括诸如LAN卡、调制解调器等的网络接口卡的通信部分509。通信部分509经由诸如因特网的网络执行通信处理。驱动器510也根据需要连接至I/O接口505。可拆卸介质511，诸如磁盘、光盘、磁光盘、半导体存储器等等，根据需要安装在驱动器510上，以便于从其上读出的计算机程序根据需要被安装入存储部分508。

特别地，根据本发明公开的实施例，上文参考流程图描述的过程可以被实现为计算机软件程序。例如，本发明公开的实施例包括一种计算机程序产品，其包括承载在计算机可读介质上的计算机程序，该计算机程序包含用于执行流程图所示的方法的程序代码。在这样的实施例中，该计算机程序可以通过通信部分509从网络上被下载和安装，和/或从可拆卸介质511被安装。在该计算机程序被中央处理单元(CPU)501执行时，执行本发明的系统中限定的上述功能。

需要说明的是，本发明所示的计算机可读介质可以是计算机可读信号介质或者计算机可读存储介质或者是上述两者的任意组合。计算机可读存储介质例如可以是——但不限于——电、磁、光、电磁、红外线、或半导体的系统、装置或器件，或者任意以上的组合。计算机可读存储介质的更具体的例子可以包括但不限于：具有一个或多个导线的电连接、便携式计算机磁盘、硬盘、随机访问存储器(RAM)、只读存储器(ROM)、可擦式可编程只读存储器(EPROM或闪存)、光纤、便携式紧凑磁盘只读存储器(CD-ROM)、光存储器件、磁存储器件、或者上述的任意合适的组合。在本发明中，计算机可读存储介质可以是任何包含或存储程序的有形介质，该程序可以被指令执行系统、装置或者器件使用或者与其结合使用。而在本发明中，计算机可读的信号介质可以包括在基带中或者作为载波一部分传播的数据信号，其中承载了计算机可读的程序代码。这种传播的数据信号可以采用多种形式，包括但不限于电磁信号、光信号或上述的任意合适的组合。计算机可读的信号介质还可以是计算机可读存储介质以外的任何计算机可读介质，该计算机可读介质可以发送、传播或者传输用于由指令执行系统、装置或者器件使用或者与其结合使用的程序。计算机可读介质上包含的程序代码可以用任何适当的介质传输，包括但不限于：无线、电线、光缆、RF等等，或者上述的任意合适的组合。

附图中的流程图和框图，图示了按照本发明各种实施例的系统、方法和计算机程序产品的可能实现的体系架构、功能和操作。在这点上，流程图或框图中的每个方框可以代表一个模块、程序段、或代码的一部分，上述模块、程序段、或代码的一部分包含一个或多个用于实现规定的逻辑功能的可执行指令。也应当注意，在有些作为替换的实现中，方框中所标注的功能也可以以不同于附图中所标注的顺序发生。例如，两个接连地表示的方框实际上可以基本并行地执行，它们有时也可以按相反的顺序执行，这依所涉及的功能而定。也要注意的是，框图或流程图中的每个方框、以及框图或流程图中的方框的组合，可以用执行规定的功能或操作的专用的基于硬件的系统来实现，或者可以用专用硬件与计算机指令的组合来实现。

描述于本发明实施例中所涉及到的模块可以通过软件的方式实现，也可以通过硬件的方式来实现。所描述的模块也可以设置在处理器中，例如，可以描述为：一种处理器包括接收模块、获取模块、认证模块。其中，这些模块的名称在某种情况下并不构成对该模块本身的限定。

作为另一方面，本发明还提供了一种计算机可读介质，该计算机可读介质可以是上述实施例中描述的设备中所包含的；也可以是单独存在，而未装配入该设备中。上述计算机可读介质承载有一个或者多个程序，当上述一个或者多个程序被一个该设备执行时，使得该设备包括：步骤S101、接收用户的登录请求；其中，所述登录请求中至少包括用户的身份信息；步骤S102、根据所述登录请求中的身份信息，获取与所述身份信息对应的主机集合信息，并将所述主机集合信息同步至密钥分发中心；步骤S103、当所述用户从所述主机集合中选出目标主机，根据所述目标主机信息从所述密钥分发中心获取登录认证信息；基于所述登录认证信息允许所述用户登录所述目标主机。

根据本发明实施例的技术方案，使用权限管理平台来管理用户登录和使用主机的权限，减轻了现有技术中对用户主机登录权限的维护工作；并使用密钥分发中心(KDC，一种无密码化的认证方式)，替代了现有技术中安全性较低的静态密码认证方式，进而使用户登录远程主机安全，也更容易管理。

上述具体实施方式，并不构成对本发明保护范围的限制。本领域技术人员应该明白的是，取决于设计要求和其他因素，可以发生各种各样的修改、组合、子组合和替代。任何在本发明的精神和原则之内所作的修改、等同替换和改进等，均应包含在本发明保护范围之内。

Claims

1.一种登录远程主机的方法，其特征在于，包括：

2.根据权利要求1所述的方法，其特征在于，在获取与所述身份信息对应的主机集合信息之前，还包括：

3.根据权利要求1所述的方法，其特征在于，所述根据所述登录请求中的身份信息，获取与所述身份信息对应的主机集合信息，包括：

4.根据权利要求3所述的方法，其特征在于，所述用户的身份至少包括：所述用户的角色信息，所述用户的级别信息。

5.根据权利要求3所述的方法，其特征在于，在所述权限管理平台中存储着：用户的身份与该用户使用的远程主机的第一对应关系；

6.根据权利要求3所述的方法，其特征在于，在所述权限管理平台中还存储着：用户的身份与该用户管理所述第一对应关系方式的第二对应关系；其中，所述第二对应关系中的管理方式包括：读写、只读；和/或，

7.根据权利要求1所述的方法，其特征在于，在所述用户从所述主机集合中选出目标主机之前，还包括：

8.一种登录远程主机的装置，其特征在于，包括：

9.一种登录远程主机的电子设备，其特征在于，包括：

一个或多个处理器；

存储装置，用于存储一个或多个程序，

当所述一个或多个程序被所述一个或多个处理器执行，使得所述一个或多个处理器实现如权利要求1-7中任一所述的方法。

10.一种计算机可读介质，其上存储有计算机程序，其特征在于，所述程序被处理器执行时实现如权利要求1-7中任一所述的方法。