CN111984974A - 一种基于运维审计的windows远程运维隔离方法 - Google Patents

Abstract

本发明公开了一种基于运维审计的windows远程运维隔离方法，在运维审计系统配置应用中心添加windows主机，通过ssh隧道建立与windows主机的连接，通过调前端接口，获取用户数据，同时执行批量创建账户的脚本，在windows主机上创建与用户数据一一对应的主机账户数据；在对windows主机进行远程登录运维时，通过后端模块调用RemoteApp程序，以及使用与系统用户具有映射关系的主机账户及对应的应用服务器建立连接，使不同用户登录windows主机时各自对应一个主机账户，从而实现数据隔离。本发明将用户对windows主机以不同账户进行登录操作的数据进行隔离，可以提升机器数据的安全性。

Description

一种基于运维审计的windows远程运维隔离方法

技术领域

本发明属于运维数据隔离的技术领域，具体涉及一种基于运维审计的windows远程运维隔离方法。

背景技术

现有的运维审计系统，不同的用户在对远程windows主机登录做操作时，都是直接通过管理员账户Administrator进行登录，然后再进行下一步操作，这导致不同用户操作某台windows主机的所有数据全都对应到主机管理员账户Administrator，管理员难以区分不同用户在这台windows主机的操作数据。

企业员工在使用运维审计系统对windows主机进行远程运维，所有用户使用一个管理员账户对windows主机进行操作，如果普通用户对主机做一些高危操作，删除、篡改数据等，这对企业来说存在很大的安全隐患。

对于当前的运维审计系统，系统用户对windows主机运维时暂没有区分登录账户进行远程登录的方案。因此，本发明旨在用户使用运维审计系统先创建与系统用户具有映射关系的windows账户数据，在对windows主机进行远程登录运维时，通过后端模块调用RemoteApp程序及使用与系统用户对应的主机账户建立连接，对windows主机进行下一步运维操作，使不同用户登录某台windows主机时各自对应一个主机账户，从而达到数据隔离的目的。

发明内容

本发明的目的在于提供一种基于运维审计的windows远程运维隔离方法，旨在将用户对windows主机以不同账户进行登录操作的数据进行隔离，提升机器数据的安全性。

本发明主要通过以下技术方案实现：一种基于运维审计的windows远程运维隔离方法，在运维审计系统配置应用中心添加windows主机，通过ssh隧道建立与windows主机的连接，通过调前端接口，获取用户数据，同时执行批量创建账户的脚本，在windows主机上创建与用户数据一一对应的主机账户数据；在对windows主机进行远程登录运维时，通过后端模块调用RemoteApp程序，以及使用与系统用户具有映射关系的主机账户及对应的应用服务器建立连接，对windows主机进行下一步运维操作，使不同用户登录windows主机时各自对应一个主机账户，从而实现数据隔离。

为了更好地实现本发明，进一步地，在运维审计系统中创建应用服务器及应用服务器实例，在应用服务器实例中创建用户，同步应用服务器实例中的用户列表到应用服务器中，作为应用服务器的登录账户；首先在运维审计系统中创建应用服务器以及运维审计系统的用户表，在导入用户的时候，所述用户表用于远程应用服务器创建与用户表中的用户对应的账户以及为不同用户运维提供一个对应的windows账户。

在运维审计系统中创建应用服务器及应用服务器实例，导入用户操作会在运维审计系统的应用服务器实例中创建用户，同步运维审计系统中应用服务器实例中的用户列表到应用服务器中，作为应用服务器的登录账户；在运维审计系统中创建的应用服务器及运维审计系统数据库用户表，用于远程应用服务器创建与用户表中的用户对应的账户以及为不同用户运维提供一个对应的windows账户。

为了更好地实现本发明，进一步地，通过输入服务器地址、端口号、登录名、密码即可创建一个应用服务器实例。

为了更好地实现本发明，进一步地，基于应用服务器创建创建应用，将应用加载器安装到应用服务器并且部署RemoteApp应用程序。

为了更好地实现本发明，进一步地，创建应用包括选择一个应用服务器、输入应用名称、应用的类型；如果是IE代填，则需要填写目标URL、登录账户、登录密码；如果是Oracle工具类型，需要填写应用工具的路径、数据库IP、数据库名、数据库账户、数据库密码。

为了更好地实现本发明，进一步地，在远程登录应用服务器时，根据当前应用工具的id以及用户的id，从运维审计系统数据库中的用户列表，找到当前用户对应的应用服务器上的账户进行登录，登录成功后，用户仅在当前账户的权限内操作，从而达到了运维数据隔离的目的。

为了更好地实现本发明，进一步地，主要包括以下步骤：

步骤S100：在运维审计系统的应用管理目录下的应用服务器页面，进入新建应用服务器页面；

步骤S200：在运维审计系统中创建应用服务器以及运维审计系统的用户表，用于远程应用服务器创建与用户表中的用户对应的账户以及为不同用户运维提供一个对应的windows账号；在应用服务器列表的编辑页面创建应用服务器实例，同步运维审计系统中的用户列表到应用服务器中，作为应用服务器的登录账户；

步骤S300：基于应用服务器创建应用，将应用加载器安装到应用服务器并且部署RemoteApp应用程序；

步骤S400：对要运维的主机选择一个应用工具，根据授权规则，为用户授权运维的主机，在运维时，通过应用工具来远程登录应用服务器，中的远程登录应用服务器时，根据当前应用工具的id以及用户的id从运维审计系统存在数据库中的用户列表，找到当前用户对应的在应用服务器上的账户用于登录，登录成功后，用户对机器做操作仅在当前账户的权限内操作，从而达到了运维数据隔离的目的。

在运维审计已存在一个系统用户对应一个密码的基础上，系统用户在被授权后进行远程Windows主机运维时，使用一个当前用户具有的唯一的windows账户登录服务器，从而达到当前系统用户对目标服务器的操作数据是独立于其他用户的，达到数据分离的目的。用于登录远程服务器的Windows账户，与运维审计系统用户是一个一一对应的关系。而远程Windows服务器中的账户，是由运维审计系统通过ssh隧道连接windows应用服务器，执行创建账户脚本，根据运维审计系统导入到应用服务器的用户数据进行一一对应的创建。

运维审计系统，系统用户使用远程应用服务器账号登录服务器所操作的记录，会被记录在系统，所以主要是应用于：一个系统用户使用其对应的唯一的远程应用服务器账号登录，做运维操作，而不是所有系统用户都采用一个远程服务器windows账号登录，做数据操作，造成数据紊乱，不知道是谁篡改了数据。达到数据隔离目的，区分某一个系统用户做对一台windows远程服务器所做的操作不影响到该机器的其他数据。

先根据当前系统用户表，创建每个用户唯一对应的账户。通过执行同步操作，同步用户到远程windows主机，这一步是通过执行程序在远程windows主机上创建与当前运维审计系统中某一个应用服务器所包含的账户。通过ssh隧道连接运维审计系统与windows远程服务器，将用户数据写入脚本，在远程主机执行脚本，创建账户。

本发明的有益效果：

本发明将用户对windows主机以不同账户进行登录操作的数据进行隔离，可以提升机器数据的安全性。

附图说明

图1为本发明的操作流程图；

图2为本发明具体实现的流程图。

具体实施方式

实施例1：

一种基于运维审计的windows远程运维隔离方法，如图1所示，在运维审计系统配置应用中心添加windows主机，通过ssh隧道建立与windows主机的连接，通过调前端接口，获取用户数据，同时执行批量创建账户的脚本，在windows主机上创建与用户数据一一对应的主机账户数据；在对windows主机进行远程登录运维时，通过后端模块调用RemoteApp程序，以及使用与系统用户具有映射关系的主机账户及对应的应用服务器建立连接，对windows主机进行下一步运维操作，使不同用户登录windows主机时各自对应一个主机账户，从而实现数据隔离。

在运维审计已存在一个系统用户对应一个密码的基础上，系统用户在被授权后进行远程Windows主机运维时，使用一个当前用户具有的唯一的windows账户登录服务器，从而达到当前系统用户对目标服务器的操作数据是独立于其他用户的，达到数据分离的目的。用于登录远程服务器的Windows账户，与运维审计系统用户是一个一一对应的关系。而远程Windows服务器中的账户，是由运维审计系统通过ssh隧道连接windows应用服务器，执行创建账户脚本，根据运维审计系统导入到应用服务器的用户数据进行一一对应的创建。

实施例2：

本实施例是在实施例1的基础上进行优化，在运维审计系统中创建应用服务器及应用服务器实例，在运维审计系统中创建应用服务器与运维审计系统的用户表，用于远程应用服务器创建与用户表中的用户对应的账户以及为不同用户运维提供一个对应的windows用户。同步运维审计系统中的用户列表到应用服务器中，作为应用服务器的登录账户。

在远程登录应用服务器时，根据当前应用工具的id以及用户的id，从运维审计系统数据库中的用户列表，找到当前用户对应的应用服务器上的账户进行登录，登录成功后，用户仅在当前账户的权限内操作，从而达到了运维数据隔离的目的。

本发明在使用过程中，先根据当前系统用户表，创建每个用户唯一对应的账户。通过执行同步操作，同步用户到远程windows主机，这一步是通过执行程序在远程windows主机上创建与当前运维审计系统中某一个应用服务器所包含的账户。通过ssh隧道连接运维审计系统与windows远程服务器，将用户数据写入脚本，在远程主机执行脚本，创建账户。

本实施例的其他部分与实施例1相同，故不再赘述。

实施例3：

本实施例是在实施例1或2的基础上进行优化，基于应用服务器创建创建应用，将应用加载器安装到应用服务器并且部署RemoteApp应用程序。创建应用包括选择一个应用服务器、输入应用名称、应用的类型；如果是IE代填，则需要填写目标URL、登录账户、登录密码；如果是Oracle工具类型，需要填写应用工具的路径、数据库IP、数据库名、数据库账户、数据库密码。

本发明将用户对windows主机以不同账户进行登录操作的数据进行隔离，可以提升机器数据的安全性。

本实施例的其他部分与上述实施例1或2相同，故不再赘述。

实施例4：

一种基于运维审计的windows远程运维隔离方法，如图2所示，主要包括以下步骤：

1、在运维审计系统的应用管理目录下的应用服务器页面，通过点击新建应用服务器按钮，跳转到新建应用服务器页面。

1）填写应用服务器名称以及是否勾选登录选项：应用服务器没有账户时，使用实例账户登录。

2、在应用服务器列表点击一条应用服务器的编辑按钮，在编辑页面创建应用服务器实例。

1）通过输入服务器地址、端口号、登录名、密码即可创建一个应用服务器实例。

2）创建应用服务器实例后会自动同步运维审计系统中的用户列表到应用服务器中，作为应用服务器的登录账户。

3）页面为应用服务器实例提供导入用户功能，此功能仅为页面展示应用服务器实例与运维审计系统用户之间的关系，将他们关联、绑定在一起。此时会在运维系统创建一个关于应用服务器与运维审计系统的一个数据库表---用户表，用于远程应用服务器创建与用户表中的用户对应的账户以及为不同用户运维提供一个对应的windows用户。这样不同用户运维同一台windows主机时，能以不同账户登录操作，达到数据隔离的目的。

4）同时页面提供手动同步账户的功能。该功能实际是远程连接应用服务器，执行创建账户的程序。以便运维审计系统用户运维时可以使用对应的账户进行windows远程连接及进行运维操作。如果创建应用服务器的时候未同步成功，或者导入了用户之后，需要同步到远程应用服务器中，系统管理员可以点击同步账户按钮，再次同步运维审计系统中的用户到远程应用服务器，作为应用服务器的登录账户。

3、基于应用服务器创建创建应用。使用此功能需要将应用加载器安装到应用服务器并且要部署一个RemoteApp应用程序。创建应用包括选择一个应用服务器、输入应用名称、应用的类型（IE代填、Oracle工具等）如果是IE代填，则需要填写目标URL(用于自动访问)、登录账户、登录密码；如果是Oracle工具类型，需要填写应用工具的路径、数据库IP、数据库名、数据库账户、数据库密码。

4、对要运维的主机选择一个应用工具，根据授权规则，为用户授权运维的主机。用户运维的时候，通过应用工具来远程登录应用服务器，远程登录应用服务器的时候，会根据当前应用工具的id以及用户的id从运维审计系统存在数据库中的用户列表，找到当前用户对应的在应用服务器上的账户用于登录，登录成功后用户对机器做操作仅在当前账户的权限内操作，从而达到了运维数据隔离的目的。

在运维审计已存在一个系统用户对应一个密码的基础上，系统用户在被授权后进行远程Windows主机运维时，使用一个当前用户具有的唯一的windows账户登录服务器，从而达到当前系统用户对目标服务器的操作数据是独立于其他用户的，达到数据分离的目的。用于登录远程服务器的Windows账户，与运维审计系统用户是一个一一对应的关系。而远程Windows服务器中的账户，是由运维审计系统通过ssh隧道连接windows应用服务器，执行创建账户脚本，根据运维审计系统导入到应用服务器的用户数据进行一一对应的创建。

运维审计系统，系统用户使用远程应用服务器账号登录服务器所操作的记录，会被记录在系统，所以主要是应用于：一个系统用户使用其对应的唯一的远程应用服务器账号登录，做运维操作，而不是所有系统用户都采用一个远程服务器windows账号登录，做数据操作，造成数据紊乱，不知道是谁篡改了数据。达到数据隔离目的，区分某一个系统用户做对一台windows远程服务器所做的操作不影响到该机器的其他数据。

实施例5：

一种基于运维审计的windows远程运维隔离方法，如图2所示，主要包括以下步骤：

步骤S100：在运维审计系统的应用管理目录下的应用服务器页面，进入新建应用服务器页面；

步骤S200：在应用服务器列表的编辑页面创建应用服务器及应用服务器实例，在运维审计系统中创建应用服务器与运维审计系统的用户表，用于远程应用服务器创建与用户表中的用户对应的账户以及为不同用户运维提供一个对应的windows用户；同步运维审计系统中的用户列表到应用服务器中，作为应用服务器的登录账户；

步骤S300：基于应用服务器创建应用，将应用加载器安装到应用服务器并且部署RemoteApp应用程序；

步骤S400：对要运维的主机选择一个应用工具，根据授权规则，为用户授权运维的主机，在运维时，通过应用工具来远程登录应用服务器，中的远程登录应用服务器时，根据当前应用工具的id以及用户的id从运维审计系统存在数据库中的用户列表，找到当前用户对应的在应用服务器上的账户用于登录，登录成功后，用户对机器做操作仅在当前账户的权限内操作，从而达到了运维数据隔离的目的。

在运维审计已存在一个系统用户对应一个密码的基础上，系统用户在被授权后进行远程Windows主机运维时，使用一个当前用户具有的唯一的windows账户登录服务器，从而达到当前系统用户对目标服务器的操作数据是独立于其他用户的，达到数据分离的目的。用于登录远程服务器的Windows账户，与运维审计系统用户是一个一一对应的关系。而远程Windows服务器中的账户，是由运维审计系统通过ssh隧道连接windows应用服务器，执行创建账户脚本，根据运维审计系统导入到应用服务器的用户数据进行一一对应的创建。

运维审计系统，系统用户使用远程应用服务器账号登录服务器所操作的记录，会被记录在系统，所以主要是应用于：一个系统用户使用其对应的唯一的远程应用服务器账号登录，做运维操作，而不是所有系统用户都采用一个远程服务器windows账号登录，做数据操作，造成数据紊乱，不知道是谁篡改了数据。达到数据隔离目的，区分某一个系统用户做对一台windows远程服务器所做的操作不影响到该机器的其他数据。

以上所述，仅是本发明的较佳实施例，并非对本发明做任何形式上的限制，凡是依据本发明的技术实质对以上实施例所作的任何简单修改、等同变化，均落入本发明的保护范围之内。

Claims (7)

1.一种基于运维审计的windows远程运维隔离方法，其特征在于，在运维审计系统配置应用中心添加windows主机，通过ssh隧道建立与windows主机的连接，通过调前端接口，获取用户数据，同时执行批量创建账户的脚本，在windows主机上创建与用户数据一一对应的主机账户数据；在对windows主机进行远程登录运维时，通过后端模块调用RemoteApp程序，以及使用与系统用户具有映射关系的主机账户及对应的应用服务器建立连接，对windows主机进行下一步运维操作，使不同用户登录windows主机时各自对应一个主机账户，从而实现数据隔离。

2.根据权利要求1所述的一种基于运维审计的windows远程运维隔离方法，其特征在于，在运维审计系统中创建应用服务器及应用服务器实例，在应用服务器实例中创建用户，即为同步应用服务器实例中的用户列表到应用服务器中，作为应用服务器的登录账户；首先在运维审计系统中创建应用服务器以及运维审计系统的用户表，在导入用户的时候，所述用户表用于远程应用服务器创建与用户表中的用户对应的账户以及为不同用户运维提供一个对应的windows账户。

3.根据权利要求2所述的一种基于运维审计的windows远程运维隔离方法，其特征在于，通过输入服务器地址、端口号、登录名、密码即可创建一个应用服务器实例。

4.根据权利要求1所述的一种基于运维审计的windows远程运维隔离方法，其特征在于，基于应用服务器创建创建应用，将应用加载器安装到应用服务器并且部署RemoteApp应用程序。

5.根据权利要求4所述的一种基于运维审计的windows远程运维隔离方法，其特征在于，创建应用包括选择一个应用服务器、输入应用名称、应用的类型；如果是IE代填，则需要填写目标URL、登录账户、登录密码；如果是Oracle工具类型，需要填写应用工具的路径、数据库IP、数据库名、数据库账户、数据库密码。

6.根据权利要求1所述的一种基于运维审计的windows远程运维隔离方法，其特征在于，在远程登录应用服务器时，根据当前应用工具的id以及用户的id，从运维审计系统数据库中的用户列表，找到当前用户对应的应用服务器上的账户进行登录，登录成功后，用户仅在当前账户的权限内操作，从而达到了运维数据隔离的目的。

7.根据权利要求1-6任一项所述的一种基于运维审计的windows远程运维隔离方法，其特征在于，主要包括以下步骤：

步骤S100：在运维审计系统的应用管理目录下的应用服务器页面，进入新建应用服务器页面；

步骤S200：在运维审计系统中创建应用服务器与运维审计系统的用户表，用于远程应用服务器创建与用户表中的用户对应的账户以及为不同用户运维提供一个对应的windows账号；在应用服务器列表的编辑页面创建应用服务器实例，同步运维审计系统中的用户列表到应用服务器中，作为应用服务器的登录账户；

步骤S300：基于应用服务器创建应用，将应用加载器安装到应用服务器并且部署RemoteApp应用程序；

步骤S400：对要运维的主机选择一个应用工具，根据授权规则，为用户授权运维的主机，在运维时，通过应用工具来远程登录应用服务器，中的远程登录应用服务器时，根据当前应用工具的id以及用户的id从运维审计系统存在数据库中的用户列表，找到当前用户对应的在应用服务器上的账户用于登录，登录成功后，用户对机器做操作仅在当前账户的权限内操作，从而达到了运维数据隔离的目的。

Images