一、部署方案
- 概述：
目前华润部署了两套堡垒机环境，其中包括主要的集团环境和用来纳管华润云中资产的华润云环境；
由于华润云的机器与办公网是隔离的，集团环境的堡垒机访问华润云环境的机器较为麻烦，所以在华润云环境中部署了一套堡垒机环境，只需将该堡垒机的 IP 暴露出来，就可以纳管华润云中所有的资产；
其中两个环境连同一个数据库，Redis的因为可能涉及到包括邮件任务、连通性测试等一些任务的调度，所以两个环境单独部署了Redis，并且挂载同一个NAS存储，将两个环境的监控录像一并管理。
- 系统架构图：
二、数据迁移
- 组织架构规划：
针对华润的实际情况，我们将华润的业务单位对应组织，同时也方便了组织管理员的权限下放；
将华润的一个应用实例作为一个最小的授权单位，根据实例名称，分别创建用户组、资产节点，将该实例下的机器添加到该资产节点，将拥有该实例访问权限的用户添加到该用户组，并且建立同名的授权规则，并绑定对应的用户组和资产节点；
由于华润在旧堡垒机中并没有规范命名和授权规则，目前为了将旧堡垒机中的数据，平滑迁移到 Jumpserver ，保证第一阶段上线，目前依然保持原来的授权规则，后续完成 CMDB 和 ITSM 对接后将规范创建规则。
- 数据迁移：
根据第一阶段的上线目标，首先是将数据从友商的堡垒机中迁移到 Jumpserver ，原堡垒机可以导出策略组以及用户信息，策略组即授权规则，其中包含设备列表，以及拥护此设备列表权限的用户列表，如下图所示；
通过解析导出的策略组信息，编写代码，生成初始化的 sql ，进行数据的初始化，当然直接写 sql 对于复杂的逻辑实际不是很好的方式，如果条件允许的情况下，还是建议通过接口进行初始化；
关于用户的初始化，原本是通过 LDAP 导入的方式，但是由于原先堡垒机的用户并不都是 LDAP 的用户，所以用户采用本地用户的方式初始化；
由于用户没办法整理出所有的管理用户和系统用户，如果不需要自动登入，管理用户用处不大，所以可以随意先绑定一个管理用户；
系统用户全部采用手动登入的方式，可以新建常用的系统用户和一个可以手动输入用户名的系统用户，就可以满足所有的用户登入，如果需要使用 vnc 访问 Linux 资产，还要建个 vnc 协议的用户。
- 管理用户和系统用户初始化：新建两个管理用户，供 Linux 和 Window 资产绑定；分别新建一个 rpd 和 ssh 协议的手动登入的常用的系统用户以及一个 vnc 和ssh 协议且用户名代填的系统用户，供授权规则绑定。
- 资产初始化：根据策略组建立同名的资产节点，通过 CVS 导入资产，并添加到该资产节点。
- 用户信息初始化：根据策略组建立同名的用户组，将该策略组数据中的用户添加到该用户组。
- 授权规则初始化：根据策略组建立同名的授权规则，将同名的资产节点和用户组进行一一对应的绑定，并绑定上述所有初始化的系统用户。
三、CMDB对接
- 实现目标：自动同步 CMDB 实例名称及资产。
- 整体方案：根据之前的组织架构规划，业务单位对应组织，应用实例作为一个最小的授权单位。
同步业务单位：同步 CMDB 的业务单位，并创建对应组织。
同步实例名称：同步 CMDB 中的实例名称，并创建对应的用户组和资产节点，并创建对应的授权规则将其绑定。
同步资产：将 CMDB 中的资产同步到建立好的资产节点中。
- 实施方案：编写一个 spring-boot 应用，调用 CMDB 接口以及 Jumpsever 接口，并打包成一个镜像，运行在 Jumoserver 的服务器上。
四、ITSM对接
- 实现目标：实现堡垒机账号申请、授权、变更、删除等操作工单自动化。
- 整体方案：通过对接 CMDB 已创建好组织、用户组、资产节点和授权规则，若严格按照规范进行授权，只需将用户加入对应的用户组即可拥有对应实例下资产的权限，其中 Remote App 不绑定业务单位，放在默认组织下管理并授权。
- 实施方案
新增用户及授权：用户填写用户基本信息，并可添加多个授权项，填写业务单位和实例名称，授权到相应组织下的对应用户组，其中若该用户所在到用户组已经添加到策略组，则该用户默认拥有该策略组中的资产的访问权限，应用授权只需添加到默认组织下授权好相应权限的用户组即可。
用户信息及授权变更：用户可修改基本信息，并可添加多个授权项，或添加多个权限回收项。
用户注销：由ITSM填写用户注销工单，并调用相应接口完成用户的注销。
五、上线规划
- 上线前准备：
数据初始化：上线前，获取最新的原堡垒机的策略组数据，进行生产环境到数据初始化。
邮箱申请：由于华润采用的是新建本地用户的方式初始化用户信息，用户的密码在登入页面，通过忘记密码功能，发送重置密码邮件进行初始化，需先申请系统邮箱。
用户手册：因为 Jumpserver 与友商堡垒机使用习惯上有比较大的差异，所以针对华润的用户编写详尽的普通用户手册是推广中非常重要的一环。
用户培训：上线前开展用户培训及用户答疑。
- 试运行：为保证上线后到稳定运行，开展一周的试运行。
- 分批次用户切换：为了降低使用问题带来的影响面，集团用户按计划分批次切换上线，并在原堡垒机和 Jumpserver 同时维护增量数据。
