From：http://www.it165.net/os/html/201405/8407.html
出于安全考虑，大多数公司的办公环境和业务环境在网络层面基本上是隔离开的，在办公环境是无法直接连到业务生产环境的，只有做过特定白名单同性的情况下才会允许这么做。这样做了，开发人员需要访问生产环境服务器排查问题或者运维人员通过办公网络对生产环境进行维护就不太方便，但是网络一旦开通又会出现安全风险。
在这种情况下，就需要一种可以控制网络入口，能够统一授权，认证的系统，这样运维跳板机，也就是比较严格意义上的AAAA认证系统就出现了。
所谓的4A认证系统其实是指：
统一用户账号（Account）
统一认证（Authentication）
统一授权（Authorization）
统一安全审计（Audit）
我们公司使用的是openldap（管理用户信息，同时实现资源访问控制），Kerberos（网络鉴权），google authenticator（二次认证的动态口令），bash （修改源码，实现账户远程登录操作
日志记录）
系统环境： 64位 CentOS linux 6.3
openldap+bdb+phpldapadmin
openldap:
master端：yum 安装
openldap
openldap-clients
openldap-servers
nss_ldap
客户端：yum方式
openldap
nss_ldap
slapd.conf配置文件修改：
01.databasebdb
02.suffix"dc=dianping,dc=com"
03.rootdn"cn=ldapadmin,dc=dianping,dc=com"
04.#Cleartextpasswords,especiallyfortherootdn,should
05.#beavoid.Seeslappasswd(8)andslapd.conf(5)fordetails.
06.#Useofstrongauthenticationencouraged.
07.rootpw!@qwaszx
08.#ThedatabasedirectoryMUSTexistpriortorunningslapdAND
09.#shouldonlybeaccessiblebytheslapdandslaptools.
10.#Mode700recommended.
11.directory/usr/local/openldap/var/openldap-data
12.#Indicestomaintain
13.indexobjectClasseq
14.#indexuidNumbereq
15.
16.
17.cachesize50000
18.checkpoint10245
19.idletimeout20
20.syncreplrid=005
21.provider=
22.binddn="cn=ldapadmin,dc=dianping,dc=com"
23.bindmethod=simple
24.credentials=hehehehhe,qunying.liu
25.searchbase="dc=dianping,dc=com"
26.type=refreshAndPersist
27.interval=00:00:00:10
28.retry="553005"
29.timeout=1
30.mirrormodetrue
31.overlaysyncprov
32.syncprov-checkpoint10010
33.syncprov-sessionlog100
34.sizelimit700
35.timelimit20
36.databasemonitor
系统加入ldap认证：
1.vi/etc/nsswitch.conf
2.passwd:filesldap
3.shadow:filesldap
4.group:filesldap
打开ldap服务日志：
syslog中加入ldap日志文件
1.vi/etc/syslog.conf
2.#saveOpenLDAPlog
3.local4.*/var/log/ldap.log
客户端修改 /etc/ldap.conf
1.hostserver1
2.#Thedistinguishednameofthesearchbase.
3.baseou=ldap,ou=auth,dc=dianping,dc=com
Openldapadmin配置
1.Tarzxvfopenldapadmin-1.2.3.tar.gz
2.Cdopenldapadmin-1.2.3
3.mvphpldapadmin-1.2.3/var/www/localhost/htdocs/phpldapadmin–r
4.cd/var/www/localhost/htdocs/phpldapadmin
5.cpconfig/config.php.exampleconfig/config.php
6.修改config.php文件
登录phpldapadmin，设置的登录密码(hehehehhe,qunying.liu)登录
Kerberos:
Kerberos认证协议
Kerberos是一种网络认证协议，其设计目标是通过密钥系统为客户机 / 服务器应用程序提供强大的认证服务。
使用Kerberos时，一个客户端需要经过三个步骤来获取服务:
认证：客户端向认证服务器发送一条报文，并获取一个含时间戳的Ticket-Granting Ticket（TGT）。
授权：客户端使用TGT向Ticket-Granting Server（TGS）请求一个服务Ticket。
服务请求：客户端向服务器出示服务Ticket，以证实自己的合法性。该服务器提供客户端所需服务，在Hadoop应用中，服务器可以是namenode或jobtracker。
为此，Kerberos需要The Key Distribution Centers（KDC）来进行认证。KDC只有一个Master，可以带多个slaves机器。slaves机器仅进行普通验证。Mater上做的修改需要自动同步到slaves。
另外，KDC需要一个admin，来进行日常的管理操作。这个admin可以通过远程或者本地方式登录。
搭建Kerberos
1.安装：通过yum安装即可，组成KDC。
1.yuminstall-ykrb5-serverkrb5-libkrb5-workstation
2.配置：Kerberos的配置文件只有两个。在server1中创建以下两个文件,并同步/etc/krb5.conf到所有机器。
/var/kerberos/krb5kdc/kdc.conf:包括KDC的配置信息。默认放在 /usr/local/var/krb5kdc。或者通过覆盖KRB5_KDC_PROFILE环境变量修改配置文件位置。
01.配置示例：
02.[kdcdefaults]
03.kdc_ports=88
04.kdc_tcp_ports=88
05.[realms]
06.Qunying.liu={
07.master_key_type=aes128-cts
08.acl_file=/var/kerberos/krb5kdc/kadm5.acl
09.dict_file=/usr/share/dict/words
10.admin_keytab=/var/kerberos/krb5kdc/kadm5.keytab
11.max_renewable_life=7d
12.supported_enctypes=aes128-cts:normaldes3-hmac-sha1:normalarcfour-hmac:normaldes-hmac-sha1:normaldes-cbc-md5:normaldes-cbc-crc:normal
13.}
14.说明：
15.QUNYING.LIU:是设定的realms。名字随意。Kerberos可以支持多个realms，会增加复杂度。大小写敏感，一般为了识别使用全部大写。这个realms跟机器的host没有大关系。
16.max_renewable_life=7d涉及到是否能进行ticket的renwe必须配置。
17.master_key_type:和supported_enctypes默认使用aes256-cts。由于，JAVA使用aes256-cts验证方式需要安装额外的jar包。推荐不使用。
18.acl_file:标注了admin的用户权限，需要用户自己创建。文件格式是
19.Kerberos_principalpermissions[target_principal][restrictions]
20.支持通配符等。最简单的写法是
21.*/admin@QUNYING.LIU*
22.代表名称匹配*/admin@QUNYING.LIU都认为是admin，权限是*。代表全部权限。
23.admin_keytab:KDC进行校验的keytab。后文会提及如何创建。
24.supported_enctypes:支持的校验方式。注意把aes256-cts去掉。
/etc/krb5.conf:包含Kerberos的配置信息。例如，KDC的位置，Kerberos的admin的realms 等。需要所有使用的Kerberos的机器上的配置文件都同步。这里仅列举需要的基本配置。详细介绍参考：krb5conf：http://web.mit.edu/~kerberos/krb5-devel/doc/admin/conf_files/krb5_conf.html
01.配置示例：
02.[logging]
03.default=FILE:/var/log/krb5libs.log
04.kdc=FILE:/var/log/krb5kdc.log
05.admin_server=FILE:/var/log/kadmind.log
06.[libdefaults]
07.default_realm=QUNYING.LIU
08.dns_lookup_realm=false
09.dns_lookup_kdc=false
10.ticket_lifetime=24h
11.renew_lifetime=7d
12.max_life=12h0m0s
13.forwardable=true
14.udp_preference_limit=1
15.[realms]
16.QUNYING.LIU={
17.kdc=server1:88
18.admin_server=server1:749
19.default_domain=DIANPING.COM
20.}
21.[appdefaults]
22.说明：
23.[logging]：表示server端的日志的打印位置
24.[libdefaults]：每种连接的默认配置，需要注意以下几个关键的小配置
25.default_realm=QUNYING.LIU默认的realm，必须跟要配置的realm的名称一致。
26.udp_preference_limit=1禁止使用udp可以防止一个Hadoop中的错误
27.[realms]:列举使用的realm。
28.kdc：代表要kdc的位置。格式是机器:端口
29.admin_server:代表admin的位置。格式是机器:端口
30.default_domain：代表默认的域名
31.[appdefaults]:可以设定一些针对特定应用的配置，覆盖默认配置。
32.初始化并启动：完成上面两个配置文件后，就可以进行初始化并启动了。
A.初始化数据库:在server1上运行命令。其中-r指定对应realm。
1.kdb5_utilcreate-rQUNYING>LIU-s
2.如果遇到数据库已经存在的提示，可以把/var/kerberos/krb5kdc/目录下的principal的相关文件都删除掉。默认的数据库名字都是principal。可以使用-d指定数据库名字。(尚未测试多数据库的情况)。
B.启动kerberos。如果想开机自启动，需要stash文件。
1./usr/local/sbin/krb5kdc
2./usr/local/sbin/kadmind
至此kerberos，搭建完毕。
测试kerberos，搭建完毕后，进行以下步骤测试Kerberos是否可用。
A. 进入kadmin在kadmin上添加一个超级管理员账户，需要输入passwd
1.kadmin.local
2.addprincadmin/admin
B. 在其它机器尝试通过kadmin连接,需要输入密码
1.kinitadmin/admin
2.kadmin
如果能成功进入，则搭建成功。
kerberos日常操作
管理员操作
登录到管理员账户: 如果在本机上，可以通过kadmin.local直接登录。其它机器的，先使用kinit进行验证。
1.kadmin.local
2.kinitadmin/admin
3.kadmin
增删改查账户:在管理员的状态下使用addprinc,delprinc,modprinc,listprincs命令。使用?可以列出所有的命令。
1.kamdin:addprinc-randkeyhdfs/hadoop1
2.kamdin:delprinchdfs/hadoop1
3.kamdin:listprincs命令
4.生成keytab:使用xst命令或者ktadd命令
5.kadmin:xst-k/xxx/xxx/kerberos.keytabhdfs/server1
6.用户操作
查看当前的认证用户:klist
1.认证用户:kinit-kt/xx/xx/kerberos.keytabhdfs/server1
2.删除当前的认证的缓存:kdestroy
google authenticator:
基于TOTP(Time-based One-time Password，基于时间的一次性密码)
TOTP（基于时间的一次性密码算法）是支持时间作为动态因素基于HMAC一次性密码算法的扩展。
http://tools.ietf.org/html/rfc6238
条件：
1）Prover与Verifier之间必须时钟同步；
2）Prover与Verifier之间必须共享密钥；
3）Prover与Verifier之间必须使用相同的时间步长
算法：
K 共享密钥
T 时间
T0 开始计数的时间步长
X 时间步长
TOTP = Truncate(HMAC-SHA-1(K, (T - T0) / X))
使用Google Authenticator的步骤：
1. 服务器端对每个用户生成一个唯一的密钥SecretKey。
2. 用户在手机上安装Google Authenticator。首次使用需要将密钥输入到Google Authenticator。可通过手动和扫描系统生成的二维码等两种方式输入密钥信息。
3. Google Authenticator每隔一段时间为系统自动生成一个新的密码。用户在输入口令前需先输入生成的动态验证码。
客户端实现
python实现：
01.#!/usr/bin/envpython
02.#-*-coding:utf-8-*-
03.importhmac,base64,struct,hashlib,time,sys,os
04.
05.defget_hotp_token(secret,intervals_no):
06.key=base64.b32decode(secret)
07.msg=struct.pack(">Q",intervals_no)
08.h=hmac.new(key,msg,hashlib.sha1).digest()
09.o=ord(h[19])&15
10.h=(struct.unpack(">I",h[o:o+4])[0]&0x7fffffff)%1000000
11.returnh
12.
13.defget_totp_token(secret):
14.returnget_hotp_token(secret,intervals_no=int(time.time())//30)
15.
16.#Sec=str(sys.argv[1])
17.Sec='xxxxxxx'
18.validation_code=str(get_totp_token(Sec))
19.printvalidation_code
ruby实现：
01.#!/usr/bin/ruby
02.
03.require'rubygems'
04.require'base32'
05.require'openssl'
06.
07.int=30
08.
09.now=Time.now.to_i/int
10.key=Base32.decode'xxxxxxxx'
11.sha=OpenSSL::Digest::Digest.new('sha1')
12.
13.(-1..1).eachdo|x|
14.bytes=[now+x].pack('>q').reverse
15.hmac=OpenSSL::HMAC.digest(sha,key.to_s,bytes)
16.offset=hmac[-1]&0x0F
17.hash=hmac[offset...offset+4]
18.
19.code=hash.reverse.unpack('L')[0]
20.code&=0x7FFFFFFF
21.code%=1000000
22.
23.putscode
24.end
跳板机登录增加谷歌二次认证
Google Authenticator模块安装:
EPEL源安装： yum install libpam-google-authenticator
2.源码安装：
01.yuminstallmakegccpam-devel
02.#cd/tmp
03.#
04.#bunzip2libpam-google-authenticator-1.0-source.tar.bz2
05.#tarxflibpam-google-authenticator-1.0-source.tar
06.#cdlibpam-google-authenticator-1.0
07.#make
08.gcc--std=gnu99-Wall-O2-g-fPIC-c-fvisibility=hidden-ogoogle-authenticator.ogoogle-authenticator.c
09.gcc--std=gnu99-Wall-O2-g-fPIC-c-fvisibility=hidden-obase32.obase32.c
10.gcc--std=gnu99-Wall-O2-g-fPIC-c-fvisibility=hidden-ohmac.ohmac.c
11.gcc--std=gnu99-Wall-O2-g-fPIC-c-fvisibility=hidden-osha1.osha1.c
12.gcc-g-ogoogle-authenticatorgoogle-authenticator.obase32.ohmac.osha1.o-ldl
13.gcc--std=gnu99-Wall-O2-g-fPIC-c-fvisibility=hidden-opam_google_authenticator.opam_google_authenticator.c
14.gcc-shared-g-opam_google_authenticator.sopam_google_authenticator.obase32.ohmac.osha1.o-lpam
15.gcc--std=gnu99-Wall-O2-g-fPIC-c-fvisibility=hidden-odemo.odemo.c
16.gcc-DDEMO--std=gnu99-Wall-O2-g-fPIC-c-fvisibility=hidden-opam_google_authenticator_demo.opam_google_authenticator.c
17.gcc-g-rdynamic-odemodemo.opam_google_authenticator_demo.obase32.ohmac.osha1.o-ldl
18.gcc-DTESTING--std=gnu99-Wall-O2-g-fPIC-c-fvisibility=hidden\
19.-opam_google_authenticator_testing.opam_google_authenticator.c
20.gcc-shared-g-opam_google_authenticator_testing.sopam_google_authenticator_testing.obase32.ohmac.osha1.o-lpam
21.gcc--std=gnu99-Wall-O2-g-fPIC-c-fvisibility=hidden-opam_google_authenticator_unittest.opam_google_authenticator_unittest.c
22.gcc-g-rdynamic-opam_google_authenticator_unittestpam_google_authenticator_unittest.obase32.ohmac.osha1.o-lc-ldl
23.
24.#makeinstall
25.cppam_google_authenticator.so/lib64/security
26.cpgoogle-authenticator/usr/local/bin
设置Google Authenticator
运行/usr/local/bin/google-authenticator
会在当前帐号home目录下生成相关配置文件。
01.Doyouwantmetoupdateyour"~/.google_authenticator"file(y/n)y
02.
03.https://www.google.com/chart?chs=200x200&;chld=M|0&cht=qr&chl=@server%3Fsecret%3DABCD12E3FGHIJKLMN
04.Yournewsecretkeyis:ABCD12E3FGHIJKLMN
05.Yourverificationcodeis98765432
06.Youremergencyscratchcodesare:
07.01234567
08.89012345
09.67890123
10.45678901
11.23456789
12.
13.Doyouwanttodisallowmultipleusesofthesameauthentication
14.token?Thisrestrictsyoutooneloginaboutevery30s,butitincreases
15.yourchancestonoticeorevenpreventman-in-the-middleattacks(y/n)y
16.
17.Bydefault,tokensaregoodfor30secondsandinordertocompensatefor
18.possibletime-skewbetweentheclientandtheserver,weallowanextra
19.tokenbeforeandafterthecurrenttime.Ifyouexperienceproblemswithpoor
20.timesynchronization,youcanincreasethewindowfromitsdefault
21.sizeof1:30mintoabout4min.Doyouwanttodoso(y/n)y
22.
23.Ifthecomputerthatyouareloggingintoisn'thardenedagainstbrute-force
24.loginattempts,youcanenablerate-limitingfortheauthenticationmodule.
25.Bydefault,thislimitsattackerstonomorethan3loginattemptsevery30s.
26.Doyouwanttoenablerate-limiting(y/n)y
sshd配置加入谷歌认证模块：
01./etc/pam.d/sshd
02.#%PAM-1.0
03.authrequiredpam_google_authenticator.so
04.authincludesystem-auth
05.accountrequiredpam_nologin.so
06.accountincludesystem-auth
07.passwordincludesystem-auth
08.sessionoptionalpam_keyinit.soforcerevoke
09.sessionincludesystem-auth
10.sessionrequiredpam_loginuid.so
1.修改/etc/ssh/sshd_config
2.加入hallengeResponseAuthenticationyes
本地网络登录帐号跳过谷歌认证模块设置：
/etc/pam.d/sshd 增加
1.auth[success=1default=ignore]pam_access.soaccessfile=/etc/security/access-local.conf
2.authrequiredpam_google_authenticator.so
3.在/etc/security/access-local.conf文件中增加：
4.#GoogleAuthenticatorcanbeskippedonlocalnetwork
5.+:ALL:192.168.0.0/24
6.+:ALL:LOCAL
7.-:ALL:ALL
允许192.196.0.0网段的用户登录帐号时跳过谷歌认证步骤。
整个跳板机部署完毕后，用户如何登录对于很多开发人员完全未知，站在用户的角度我们进行了一次内部分享，对如何登录跳板机做了简要说明。
当然较于现在出现的比较高大上的堡垒机而言，运维跳板机的功能还是相当简单，只实现了用户信息和权限管理的统一，同时也只是事后的安全审计，目前还不能事前控制以避免人员的误操作。堡垒机一般支持的协议有图形（RDP/VNC/X11）、字符（SSH/TELNET）、文件（FTP/SFTP）和一些数据库协议（MySQL、Oracle）等等。除此之外，除了未实现高端的图形界面显示和一些比较人性化的交互功能外，目前大部分的功能（比如单点登录，审计，帐号管理，操作也可以定位到来源和人员）我们都是具有的。
