跳到主要内容

功能设置

单击页面右上角小齿轮进入 系统设置，选择 功能设置。页面顶部包含 公告、工单、作业中心、账号存储、SSH 证书签发、虚拟应用 六个页签，用于开启或关闭对应功能，并完成必要参数配置。

大模型与助手能力在 系统设置 > AI 助手 中配置，详见 AI 助手。

1 公告​

点击页面上方的 公告 即进入公告设置页面，这里可以自定义是否启用公告功能，并设置公告内容。公告会在 JumpServer 页面全局展示，适合向全部用户广播维护通知、安全提醒等信息。

图 1 公告设置
图 1 公告设置

启用公告后，公告内容会在页面上显示，效果如下。

图 2 启用公告效果
图 2 启用公告效果

2 工单​

启用后，点击页面上方的 工单 即进入工单设置页面，可以自定义是否启用工单功能。用户即可通过工单申请资源授权：申请提交后由审批人审批，通过后用户获得所申请资产在申请期限内的权限，到期自动失效。

图 3 工单设置
图 3 工单设置

启用工单后效果如下。

图 4 启用工单效果
图 4 启用工单效果

2.1 审批流程​

工单开启后，还需要为不同场景配置审批规则。工单的审批规则通过 流程设置 维护，在工单模块的左侧菜单中点击 流程设置 即可进入流程列表，列表中展示每个流程的名称、审批级别、创建者、所属组织与创建日期，并支持编辑与删除；点击 创建 即可新增一个审批流程。

图 5 流程设置
图 5 流程设置

创建流程时，先填写流程的 名称，并按需要指定 抄送人；随后设置 审批级别，可选 1 级至 5 级，级别越高，表示该流程需要经过的审批环节越多，即所谓多级审批。选定级别后，下方会出现对应级别的审批配置区域，每一级审批都可以选择 全部用户、指定用户，或按 属性筛选 指定审批人。

属性筛选按「属性名 + 匹配方式 + 属性值」逐条添加，例如将 系统角色 设为 任意包含 系统管理员，即由系统管理员承担该级审批；条件可以添加多条，右侧会实时显示匹配到的人数，便于创建前确认审批人范围。配置完成后点击 提交 保存；需要连续创建多个流程时，可以使用 保存并继续添加。

图 6 多级审批
图 6 多级审批

3 作业中心​

点击页面上方的 作业中心 即进入作业中心设置页面。这里的 批量命令执行 选项决定是否允许用户在 工作台 > 作业中心 中执行批量命令，作业中心命令黑名单则用于设置在批量命令中不允许使用的命令。

图 7 作业中心设置
图 7 作业中心设置

4 账号存储​

点击页面上方的 账号存储 即进入账号存储设置页面。账号密钥支持对接 HashiCorp Vault 第三方密钥存储系统：需要在 config.txt 配置文件中修改参数 VAULT_ENABLED = true，并按照存储引擎配置 VAULT_BACKEND = [local/hcp/azure/aws]，然后回到页面完成配置即可。

同步前请备份数据

数据同步是单向的，只会从本地数据库同步到远端 Vault；同步完成后本地数据库不再存储密码，请提前备份好数据。二次修改 Vault 配置后需要重启服务。

图 8 账号存储设置
图 8 账号存储设置

5 SSH 证书签发​

选择 SSH 证书签发，用于对接 OpenBao，由 JumpServer 签发 SSH 证书。页面分为 签发服务、CA 公钥、接入步骤 和 Linux 目标服务器配置。

签发服务用于配置 OpenBao 连接信息与 SSH 证书签发策略，包含以下字段：

  • 启用 SSH CA： 开启后才可使用 SSH 证书签发。
  • OpenBao 地址： 填写 JumpServer Core 实际能够访问的 OpenBao 地址。
  • 服务令牌： 使用仅允许该角色签发证书和读取 CA 公钥的最小权限令牌。
  • 请求超时（秒）： OpenBao 请求超时时间。
  • 验证 TLS 证书： 是否校验 OpenBao 的 TLS 证书。
  • SSH 密钥引擎挂载点： OpenBao 上 SSH 密钥引擎的挂载点。
  • 签发角色： 用于签发证书的 OpenBao 角色。
  • 证书有效期（秒）： 签发证书的有效时长。
  • 允许的来源地址： 限制 SSH 证书只能从指定网络来源使用。填写目标服务器 sshd 实际看到的 Koko 或 SSH 网关出口 CIDR；经过 NAT 时填写转换后的地址，不要填写终端用户 IP。多个 CIDR 用英文逗号分隔，例如 10.20.30.15/32, 10.20.31.0/24；留空表示不限制来源。

填写后单击 保存，再单击 测试 验证 OpenBao 连接。连接成功后，可在 CA 公钥 区域单击 获取 CA 公钥。该公钥需部署到目标服务器，它不是用户公钥。

接入步骤如下：

  1. 保存配置并测试 OpenBao 连接。
  2. 下载 CA 公钥，并在目标服务器配置 TrustedUserCAKeys。
  3. 将 JumpServer 资产账号的凭据类型设为 SSH 证书。

Linux 目标服务器只需配置一次 CA 信任：

  1. 将 CA 公钥保存到目标服务器，例如 install -o root -g root -m 0644 jumpserver-openbao-ssh-ca.pub /etc/ssh/jumpserver_user_ca.pub。
  2. 在 /etc/ssh/sshd_config 或 sshd_config.d 中加入 TrustedUserCAKeys /etc/ssh/jumpserver_user_ca.pub。
  3. 校验配置后重新加载 OpenSSH：先执行 sshd -t，再执行 systemctl reload sshd。Debian / Ubuntu 使用 systemctl reload ssh。
  4. 确认目标服务器上的 Linux 登录账号已经存在，并且证书 principal 与登录用户名一致。

已有 authorized_keys 无需删除，普通 SSH 公钥登录可以与 SSH CA 证书登录并存。

6 虚拟应用​

单击页面上方的 虚拟应用 即进入虚拟应用设置页面。JumpServer 支持使用 Linux 系统作为远程应用功能的运行载体，在此页面开启以 Linux 系统为底层的虚拟应用功能，具体使用配置见 虚拟应用配置说明。

图 9 虚拟应用设置
图 9 虚拟应用设置