Akeyless零信任堡垒机

Akeyless零信任堡垒机使用Akeyless即时凭证（动态密钥和SSH证书签发器）提供对远程资源的零信任访问。

快速开始

要运行Akeyless零信任堡垒机，只需运行以下容器命令：

bash
docker run --rm -itd \
    -p 8888:8888 \
    akeyless/zero-trust-bastion

服务将在端口:8888（或您选择映射的其他端口）上可用。

配置

支持一些配置以扩展默认功能。

使用Akeyless API网关

默认情况下，Akeyless零信任堡垒机通过[***]与Akeyless Vault通信。如果您的部署包含Akeyless API网关，可以使用它来访问远程资源：

bash
docker run --rm -itd \
    -p 8888:8888 \
    -e AKEYLESS_URL=[***] \
    akeyless/zero-trust-bastion

在这种情况下，[***]是Akeyless API网关公开的Akeyless API地址（默认端口为:8081）。

请注意，这不必与运行动态密钥生成器的API网关相同，它可以是任何公开可用的API网关。

使用特权凭证

为增强安全性和密钥隔离，可以授予Akeyless零信任堡垒机对即时凭证的读取权限，而实际用户对这些凭证仅具有列表访问权限。

确保为特权认证方法授予对所需凭证的足够权限（read能力）。实际最终用户对相同项目仅需具有list能力，因此他们永远无法获取实际凭证值，而Akeyless零信任堡垒机将代表他们获取。

目前，AWS IAM、Azure AD、GCP和API Key认证方法支持特权访问。

使用"固定用户"功能的零信任RDP访问

传统上，使用"固定用户"功能的RDP生成器依赖SAML子声明来确定要使用的Windows用户名。由于使用特权凭证时（特权凭证中未内置RDP用户名）可能存在问题，零信任堡垒机将使用最终用户凭证中的rdp_username子声明。如果您使用不同的子声明，可在部署时通过RDP_USERNAME_SUB_CLAIM环境变量指定：

docker run ... -e RDP_USERNAME_SUB_CLAIM=custom_user # 默认值：rdp_username

AWS IAM特权凭证

要使用AWS IAM类型的特权凭证，在AWS中设置Akeyless零信任堡垒机容器时，设置PRIVILEGED_ACCESS_ID环境变量：

docker run ... -e PRIVILEGED_ACCESS_ID=p-***ab

Azure AD特权凭证

要使用Azure AD类型的特权凭证，在Azure中设置Akeyless零信任堡垒机容器时，设置PRIVILEGED_ACCESS_ID环境变量：

docker run ... -e PRIVILEGED_ACCESS_ID=p-***ab

要使用特定的Azure对象ID进行认证，设置额外的环境变量：

docker run ... -e AZURE_OBJECT_ID=<object-id>

GCP特权凭证

要使用GCP类型的特权凭证，在GCP中设置Akeyless零信任堡垒机容器时，设置PRIVILEGED_ACCESS_ID环境变量：

docker run ... -e PRIVILEGED_ACCESS_ID=p-***ab

默认情况下，GCP认证使用akeyless.io受众。如果在GCP认证方法设置期间使用了不同的值，需相应设置GCP_AUDIENCE环境变量：

docker run ... -e GCP_AUDIENCE=<audience> # 默认值：akeyless.io

API Key特权凭证

要使用API Key类型的特权凭证，在设置Akeyless零信任堡垒机容器时，设置PRIVILEGED_ACCESS_ID和PRIVILEGED_ACCESS_KEY环境变量：

docker run ... \
        -e PRIVILEGED_ACCESS_ID=p-***ab \
        -e PRIVILEGED_ACCESS_KEY=something-something-secret-key

限制对特定访问ID的访问

使用特权凭证时，建议显式指定允许访问受特权凭证保护的密钥的访问ID。

默认情况下，所有访问ID均被接受。要指定访问ID，使用ALLOWED_ACCESS_IDS环境变量：

ALLOWED_ACCESS_IDS=p=000011112222
ALLOWED_ACCESS_IDS=p=000011112222,p-aabbccddeeff

暴露RDP会话录制文件

每个RDP会话都会被录制并保存在容器内。要访问录制文件，将本地目录挂载到容器内的/home/akeyless/recordings路径：

bash
docker run --rm -itd \
    -p 8888:8888 \
    -v $PWD/recordings:/home/akeyless/recordings \
    akeyless/zero-trust-bastion

此时，当前工作目录中将创建recordings文件夹，所有会话录制文件将在每个会话结束后保存在其中。

请注意：RDP会话录制文件会占用大量存储空间。请确保设置备份/清理流程以确保使用体验。

自动上传录制文件到S3/Azure Blob存储

可以将会话录制文件自动上传到AWS账户中的S3或Azure账户中的Blob存储。

对于每种云服务，有两种配置方式：

1. 在AWS/Azure机器上部署Akeyless零信任堡垒机，并为Amazon/Azure 使用具有足够权限的IAM角色，以将新文件上传到所选的S3存储桶/Azure Blob存储。然后，创建容器时提供环境变量：对于Amazon，提供AWS_REGION、AWS_S3_BUCKET和AWS_S3_PREFIX；对于Azure，提供AZURE_STORAGE_ACCOUNT和AZURE_STORAGE_CONTAINER_NAME。所有录制文件将上传到指定存储：

bash
docker run --rm -itd \
    -p 8888:8888 \
    -e AWS_REGION=us-east-1 \
    -e AWS_S3_BUCKET=my-bucket \
    -e AWS_S3_PREFIX=akeyless-zero-trust-bastion \
    akeyless/zero-trust-bastion

bash
docker run --rm -itd \
    -p 8888:8888 \
    -e AZURE_STORAGE_ACCOUNT=srarecords \
    -e AZURE_STORAGE_CONTAINER_NAME=akeyless-zero-trust-bastion \    
    akeyless/zero-trust-bastion

2. 或者，使用显式凭证运行容器。此方法不推荐，但仍可行：

bash
docker run --rm -itd \
    -p 8888:8888 \
    -e AWS_ACCESS_KEY_ID=******************** \
    -e AWS_SECRET_ACCESS_KEY=**************************************** \
    -e AWS_REGION=us-east-1 \
    -e AWS_S3_BUCKET=my-bucket \
    -e AWS_S3_PREFIX=akeyless-zero-trust-bastion \
    akeyless/zero-trust-bastion

bash
docker run --rm -itd \
    -p 8888:8888 \
    -e AZURE_TENANT_ID=******************** \
    -e AZURE_CLIENT_ID=******************** \
    -e AZURE_CLIENT_SECRET=**************************************** \
    -e AZURE_STORAGE_ACCOUNT=srarecords \
    -e AZURE_STORAGE_CONTAINER_NAME=akeyless-zero-trust-bastion \    
    akeyless/zero-trust-bastion

无论选择哪种方法，每个会话结束后，录制文件除了通过卷挂载到本地目录（/home/akeyless/recordings）外，还会上传到S3。

上传状态会反映在容器日志中。如果出现问题，请检查日志中的错误信息。

---

构建

所有内容都打包在单个Docker容器中。要在本地构建，请克隆此项目并运行：

bash
docker build --tag akeyless/zero-trust-bastion .