JumpServer 是飞致云（FIT2CLOUD）开源的堡垒机与特权访问管理（PAM）平台，符合 4A 规范（认证、授权、账号、审计），用于统一管控 SSH、Windows、数据库、Kubernetes、Web 站点、远程应用等各类资产，实现「事前授权、事中监察、事后审计」，满足等保合规要求。

JumpServer 堡垒机学习笔记 #

基本信息 #

堡垒机与 4A 规范 #

什么是堡垒机 #

堡垒机（Bastion Host）是运维流量的统一入口：运维人员不再直接登录目标服务器，而是先登录堡垒机，由堡垒机完成身份认证、权限校验、协议代理，并全程记录操作行为。它解决三个核心问题：

1. 谁在什么时候登录了哪台机器（身份与行为可追溯）
2. 能做什么、不能做什么（权限最小化）
3. 出了问题如何回放取证（录像与命令审计）

4A 规范 #

JumpServer 的产品设计围绕 4A 展开，这也是等级保护对运维审计类产品的基本要求：

产品演进（V1 → V5） #

版本节奏：社区版保持月度发布，适配新场景的速度明显快于传统商业堡垒机的年度发布周期。

核心架构 #

分层架构 #

┌───────────────────────────────────────────────────────────────────┐
│ 负载层    Nginx / HAProxy / F5 / 云负载均衡                        │
├───────────────────────────────────────────────────────────────────┤
│ 接入层    KoKo(SSH/SFTP/Web)   Chen(Web 数据库)   Luna(终端/客户端) │
│           [企业版] Razor(RDP)  Magnus(DB 直连)  Nec(VNC)  Panda     │
├───────────────────────────────────────────────────────────────────┤
│ 核心层    Core（Python/Django，REST API）+ Lina（控制台）+ Kael(AI) │
├───────────────────────────────────────────────────────────────────┤
│ 数据层    PostgreSQL 16（默认）/ MySQL  ·  Redis                    │
├───────────────────────────────────────────────────────────────────┤
│ 存储层    本地磁盘 / 共享文件存储 / 对象存储（S3、OSS、COS 等）     │
└───────────────────────────────────────────────────────────────────┘

架构要点：

• 分层解耦：每一层都可独立水平扩展，并发压力主要落在接入层，扩容接入层节点即可提升并发能力
• 分布式与多地域：总部部署核心节点，分支机构只部署接入节点并注册到核心节点，实现「集中管理 + 就近访问」
• 容器化：各组件以独立容器运行，可整体部署，也可按需拆分启停

组件清单 #

核心功能 #

支持的资产类型 #

认证与访问控制 #

• 登录认证：本地认证、LDAP / AD、CAS、OIDC / OAuth2 / SAML2、Passkey / WebAuthn、扫码登录（企业微信 / 钉钉 / 飞书，企业版）
• 多因素认证：TOTP（社区版）；RADIUS 二次认证、短信认证、人脸识别（企业版）
• 授权模型：按「用户 / 用户组 × 资产 / 资产节点 × 账号 × 动作」四维授权，支持继承父节点授权、时间授权、协议授权
• 动作控制：上传、下载、删除、连接、会话分享；RDP 剪贴板控制
• 命令过滤：按授权账号控制可执行命令，高危命令实时告警
• 工单审批：资产工单申请、登录复核、二级审批流程（企业版）

账号管理（PAM） #

安全审计 #

• 会话审计：在线 / 历史会话查看，支持水印，管理员可实时监控并中断、暂停会话
• 录像审计：全程操作录像回放；可上传至对象存储长期保存
• 命令审计：命令级日志、高危命令告警
• 文件传输审计：上传 / 下载记录
• 日志审计：登录日志、操作日志、改密日志，可同步至 Syslog / SIEM

作业与自动化 #

• 作业中心：批量命令、脚本、Playbook，对多台资产执行自动化任务
• 批量文件传输
• 开放 API：RESTful API（Swagger），可与 Ansible、Jenkins、Zabbix、LDAP/AD、企业微信、钉钉等集成

竞品比较 #

堡垒机 / PAM 市场大致分为三条路线：开源访问代理（Teleport、Guacamole、Boundary）、商业 PAM 套件（CyberArk、BeyondTrust）、国产传统商业堡垒机（齐治、帕拉迪）。JumpServer 的定位介于「开源堡垒机」与「PAM 平台」之间。

横向对比 #

数据综合自各厂商官方文档与公开资料（截至 2026 年 10 月）；JumpServer 侧对比数据来自其官方对比页，存在厂商立场，商业产品的价格与能力请以厂商最新报价和 PoC 实测为准。

三条路线的差异 #

1. 开源访问代理（Teleport / Guacamole / Boundary）：核心解决「安全接入」，证书化、身份化是趋势；但账号治理（改密、轮转、保险库）和合规审计（录像、命令级日志）通常不完整或需付费。
2. 商业 PAM（CyberArk / BeyondTrust）：能力最完整，覆盖特权账号全生命周期，甚至延伸到终端权限管理；代价是采购成本高、实施周期长、架构复杂。
3. 国产传统堡垒机（齐治 / 帕拉迪）：在政企市场的采购惯性和本地服务上有优势；短板是闭源不可审计、迭代慢（年度 / 半年度）、TCO 偏高、API 开放度有限。

JumpServer 的差异化在于：社区版即包含会话录像、命令审计、命令过滤等审计闭环能力，协议覆盖比纯访问代理更广，部署门槛远低于商业 PAM，同时通过 X-Pack 补齐多租户、审批、密码轮转等企业能力。

选型建议 #

社区版 vs 企业版 #

JumpServer 采用「开源社区版 + 企业版 X-Pack 增强包」模式：社区版基于 GPL-3.0 免费开放，企业版以订阅方式提供增强功能与原厂支持。功能边界随版本演进（当前为 v5.1.0），最终以官方 版本对比页为准。

版本差异对比 #

关键结论 #

• 中小团队：社区版功能已覆盖堡垒机核心闭环（认证、授权、录像、命令审计、命令过滤），5,000 台资产以内可长期免费使用
• 中大型企业：多租户、审批流、密码轮转、数据库全量接入、对象存储、信创架构等能力需要企业版
• X-Pack 是部署模式开关：安装参数 USE_XPACK=1 会启用 Video Worker、JDMC 等企业组件（安装器层面），最终能力仍以许可证为准
• 企业版还提供一体机（软硬一体）与信创版本，适合政企交付场景

部署实践 #

环境要求 #

• Linux 64 位系统，内核 ≥ 4.0（社区版离线包仅支持 linux/amd64，ARM 等架构需申请企业版）
• 官方 Quickstart 最低要求：4 vCPU / 8 GB 内存
• 录像、任务日志与备份默认存放在 VOLUME_DIR（默认 /data/jumpserver），生产环境建议使用独立数据盘
• 安装器会自动完成 Docker 安装与配置

在线快速安装（体验 / 测试） #

curl -sSL https://github.com/jumpserver/jumpserver/releases/latest/download/quick_start.sh | bash

安装完成后访问 http://<服务器IP>/，默认账号 admin，默认密码 ChangeMe（首次登录必须修改）。

离线安装（生产推荐） #

cd /opt
# 上传并解压离线包（以 v5.1.0 为例）
tar -xf jumpserver-ce-5.1.0-x86_64.tar.gz
cd jumpserver-ce-5.1.0-x86_64

# 按需修改配置（SECRET_KEY、BOOTSTRAP_TOKEN、数据库、Redis、端口等）
cat config-example.txt

# 安装并启动
./jmsctl.sh install
./jmsctl.sh start

install 阶段安装器会自动完成：生成 config.txt 与密钥、安装 Docker、加载组件镜像、初始化数据库（默认内置 PostgreSQL 16）、初始化数据。

jmsctl.sh 管理命令 #

常用端口 #

典型部署架构 #

使用入门 #

资产纳管流程 #

1. 创建用户 / 用户组：对接 LDAP / AD 或本地创建
2. 添加资产：手动添加、CSV 导入，或云同步（企业版）
3. 创建账号：配置资产的登录凭据（密码 / 密钥）
4. 资产授权：按「用户 / 用户组 + 资产节点 + 账号 + 动作」授权，遵循最小权限
5. 连接资产：用户登录后通过 Web 终端、原生客户端或本地客户端连接
6. 审计回看：管理员在审计台查看会话录像、命令记录、文件传输记录

三种连接方式 #

安全加固建议 #

1. 修改默认密码：首次登录立即修改 admin 的 ChangeMe 密码
2. 启用 HTTPS：配置 SERVER_NAME、SSL_CERTIFICATE、SSL_CERTIFICATE_KEY，避免凭据明文传输
3. 保管核心密钥：SECRET_KEY、BOOTSTRAP_TOKEN 必须保密；迁移环境时必须与原环境保持一致
4. 最小化端口暴露：仅对必要来源开放 Web 与管理端口；SSH 代理端口（2222）按需调整
5. 最小权限授权：按角色与资产节点授权，敏感资产启用命令过滤与高危命令告警
6. 定期备份：使用 jmsctl.sh backup_db 并备份 VOLUME_DIR（含录像与配置）
7. 及时升级：关注 安全公告，社区版月度发布，漏洞修复响应较快
8. 生产架构隔离：数据库、Redis、存储使用外部高可用服务，避免单点
9. 关闭不需要的组件与遥测：通过 config.txt 中的 *_ENABLED 开关精简组件；不需要匿名安装遥测时可设置 INSTALLATION_TELEMETRY_ENABLED=false

与云原生生态的结合 #

• Kubernetes 审计：将 K8s 作为资产纳管，对 kubectl 等运维操作进行录像与命令审计
• API 集成：RESTful API 可与 CMDB、工单系统、自动化平台双向同步资产与授权
• CI/CD 集成：作业中心与 API 可对接 Jenkins、Ansible，实现受审计的批量运维
• 容器化交付：整套组件以容器运行，便于在云主机、私有云与信创环境中标准化交付

参考链接 #

• JumpServer 官方文档
• 产品介绍
• GitHub 仓库
• 离线安装指南
• 版本对比（社区版 vs 企业版）
• 企业版介绍
• 技术白皮书
• JumpServer vs Teleport
• JumpServer vs CyberArk
• JumpServer vs BeyondTrust
• 在线 Demo
• 安全公告