Примеры API скриптов на python

Рабочие примеры API запросов для получение списка пользователей и устройств, список команд в сессии

Ссылка на статью

Вышла новая версия JumpServer 4.10.16

Новое в версии:
- Добавлена поддержка проверки IP-адреса клиента.

Улучшение:
- Улучшена безопасность административного интерфейса (обработка YAML-шаблонов).

Исправления:
- Исправлена проблема, из-за которой SSL-сертификаты некорректно проверялись при исходящих запросах.
- Исправлен логический конфликт, вызванный несогласованным порядком полей при экспорте ресурсов.

- Полный список улучшений и исправлений доступен по этой ссылке.

Дистрибутив JumpServer Enterprise версии 4.10.16 доступен по этой ссылке.

Дистрибутив JumpServer Community версии 4.10.16 доступен по этой ссылке.

Изменения в лицензировании JumpServer PAM Enterprise

Нам удалось инициировать и согласовать более гибкую модель лицензирования, чтобы клиентам не приходилось переплачивать за избыточные пакеты и можно было лицензировать ровно нужное количество систем.

Ранее лицензирование JumpServer Enterprise было пакетным и зависело от количества целевых систем, к которым подключаются специалисты. Были доступны пакеты на 50, 500, 5000 и неограниченное количество систем. При этом количество пользователей и паролей не ограничивалось, установка в кластере active-active и масштабирование также не ограничивались лицензией. Лицензия могла быть ежегодной или бессрочной.

Что изменилось сейчас

Теперь лицензирование стало более гибким.
Можно приобрести лицензию практически на любое необходимое количество систем:

от 50 до 500 — увеличение кратно 50
от 500 до 5000 — увеличение кратно 500
лицензия на неограниченное количество также доступна

Например, теперь доступны лицензии на 100, 150, 250, 1000, 1500 систем и т.д. — то есть лицензия подбирается максимально близко к реальным потребностям, без необходимости покупать крупный пакет «с запасом».

Важно отметить, что остальные условия остаются без изменений:

количество пользователей — не ограничено
количество паролей — не ограничено
кластер active-active — доступен
масштабирование — не ограничено лицензией
лицензия — ежегодная или бессрочная

В Community Edition появилась функция обнаружения учетных записей

В JumpServer Community Edition 4.10.16 стала доступна функция обнаружения неизвестных учетных записей.

Однако расширенные действия с обнаруженными УЗ, например, добавление обнаруженной учетной записи в систему с автоматической сменой пароля и работа с разделом смены паролей на целевых системах, доступны только в Enterprise Edition.

Подробнее о функции можно прочитать в этой статье.

JumpServer: доступ к персональным УЗ через переменную [#username#]

В статье описана подробная инструкция, как выдать доступ к персональным учетным записям через одну политику доступа, используя переменную [#username#] вместо явного перечисления всех УЗ.

Как это работает:
Если в компании используются персональные привилегированные учетные записи (например, ivan_adm, sergey_adm и т.д.),
в JumpServer можно указать в политике доступа шаблон вида:

[#username#]_adm (или с другим префиксом/постфиксом)

Что в итоге:
— не нужно добавлять каждую УЗ вручную
— одна политика покрывает всех пользователей
— доступ автоматически выдается с персональной привилегированной УЗ

Каждый пользователь, добавленный в политику, сможет подключаться под своей учетной записью, сформированной через переменную.

Также статья - хороший пример того, как можно гибко кастомизировать JumpServer под свои задачи.

Полная статья

JumpServer движется в сторону ИИ (планы на V5)

Искусственный интеллект уже меняет кибербезопасность — и JumpServer не остаётся в стороне. После успешного перехода в облако, следующий шаг — полноценная интеграция ИИ.

Мы уже начали это в V4:
— есть распознавание лиц (да, в JumpServer уже встроен FaceID 👀)
— появилась Q&A система на базе LLM

Но самое интересное — впереди.

Что планируется в JumpServer V5:

ИИ-поиск угроз
Автоматически находит слабые места: неактивные аккаунты, слабые пароли и потенциальные угрозы.

Аналитика поведения пользователей (UBA)
ИИ отслеживает подозрительные действия и аномалии в реальном времени.

Автоматический аудит (O&M)
— краткая выдержка из сессий
— обнаружение опасных команд
— меньше ручной рутины

Управление ИИ-ресурсами
Контроль доступа к LLM, API и AI-средам: права, мониторинг, аудит — всё как у классических ИТ-ресурсов.

В итоге:
JumpServer V5 — это уже не просто бастион, а полноценный интеллектуальный помощник по безопасности.

Следите за обновлениями — впереди много интересного!

Пользовательские шаблоны для смены паролей по SSH

JumpServer Enterprise поддерживает автоматическую смену паролей, а также кастомизацию скриптов смены паролей для SSH учетных записей. Это может быть полезно, если у вас много различного оборудования, требующего различные скрипты и команды для смены паролей.

Инструкция по настройке скриптов ротации паролей для SSH доступна в этой статье.

О чем написать статью? О чем сделать видео? Какие вопросы есть по JumpServer PAM?

Пилоты и внедрения идут, всё в порядке, в мессенджер МАКС мы не ушли :) Давно не было постов, потому что JumpServer PAM давно (целых 2.5 месяца!) не обновлялся. По информации от вендора, они пока все дружно заняты на крупном проекте, а также уже вовсю делают 5ю версию JumpServer.

Но возможно, вам интересно разобрать решения для каких-нибудь задач под JumpServer, или есть открытые вопросы, связанные с настройкой и использованием, на которые мы могли бы подробно ответить?

У нас появилась система заявок в техническую поддержку

Запустили портал:
https://systema-zayavok.afi-d.ru

Если честно — основная причина довольно простая: рабочих чатов, переписок и разных каналов связи стало уже слишком много 😅

Плюс у части заказчиков Telegram не всегда удобно доступен из-за блокировок, политик безопасности и корпоративных ограничений.

Поэтому сделали единый портал для обращений:
— создание и отслеживание заявок
— история переписки
— уведомления по email
— централизованная поддержка по всем продуктам

Для получения доступа — просто напишите мне email на который нужно завести учетную запись.

Кроме JumpServer, через портал уже можно обращаться по всем решениям в нашем портфеле:
- MaxKB - платформа для создания ИИ ассистентов и баз знаний
- КвантГибрид — СУБД(Реестр российского ПО + ФСТЭК)
- Tron ASOC — безопасный DevOps / SSDLC (Реестр российского ПО)
- ValoCloud — корпоративное файловое хранилище(Реестр российского ПО)
- Клавдий — система архивации электронной почты (наш продукт, готовится к включению в Реестр российского ПО)
- Segura - PAM решение из Бразилии

При этом все привычные чаты и коммуникация в Telegram никуда не деваются — мы по-прежнему на связи там же, где и раньше.
Портал — это скорее удобный единый вход для обращений, чтобы ничего не терялось и всегда можно было быстро поднять историю общения.

Тест производительности JumpServer: 222 одновременные RDP-сессии на сервере 8 vCPU / 16 GB RAM

Попался интересный отчет по нагрузочному тестированию JumpServer с графическимиу RDP-сессиями.

Конфигурация стенда:

• 8 vCPU
• 16 GB RAM
• SSD 500 GB
• 222 одновременные RDP-сессии
• длительность теста — 6 часов

Результат:

Все 222 RDP-сессии оставались активными в течение 6 часов.
Разрывов соединений не было.

Средняя загрузка ресурсов:

• CPU — 33,9%, пик — 43,6%
• RAM без cache — 87,6%, пик — 93,1%

Что показал тест

CPU не стал узким местом. Даже при 222 графических сессиях загрузка процессора не превысила 44%.

Основное ограничение — оперативная память. Именно RAM первой подходит к пределу при большом количестве одновременных RDP-сессий.

Отдельный важный момент — хранение записей сессий. За 6 часов работы 222 активные RDP-сессии заняли около 400 GB за счет видеозаписей. Для крупных внедрений нужно заранее проектировать хранилище, политику ротации и автоматическую очистку записей.

Наибольшую нагрузку в тесте создавал компонент jms_razor, который отвечает за обработку графических RDP-сессий.

Вывод

Тест показывает, что даже сервер с 8 vCPU и 16 GB RAM способен стабильно обслуживать более 220 одновременных графических RDP-сессий.

Но это именно стресс-тест.

Для production я бы по-прежнему закладывал более консервативную оценку: 4 vCPU и 8 GB RAM на каждые 50 одновременных RDP-сессий или 200 SSH/СУБД-сессий.

Такой запас нужен под реальные пользовательские нагрузки, фоновые сервисы JumpServer, запись сессий и дальнейшее масштабирование.

Наши друзья и партнеры из TS Solution запустили полноценный практический курс по PAM на примере JumpServer.

Что особенно приятно:
— не очередная презентация «что такое PAM»;
— акцент именно на практике и реальных сценариях;
— в качестве учебной платформы выбран JumpServer — один из самых популярных open-source PAM в мире.

И, пожалуй, самое ценное — такие материалы появляются не потому, что производитель занес рекламный бюджет, а потому что партнеры сами считают продукт достойным того, чтобы на нем учить людей. Для нас это, наверное, лучшая обратная связь.

Если вы давно хотели:
- разобраться, что такое PAM без маркетинговой магии;
- потрогать JumpServer руками;
- подготовить специалистов или себя к внедрению,
то выглядит как очень достойная возможность.

Программа курса и описание:
https://university.tssolution.ru/pam_practice#material

А мы, как обычно, никуда не исчезли. 😉 Если после обучения возникнут вопросы по архитектуре, внедрению, миграции с других PAM, кластеризации, интеграции с AD/LDAP, MFA, базами данных, Kubernetes или просто понадобится помощь с JumpServer Community/Enterprise — всегда рады помочь.

Чем больше на рынке грамотных специалистов по PAM, тем меньше у безопасников поводов пить валерьянку.