jumpserver/lion

JumpServer 图形化连接器 (Graphical Connector) 镜像文档

1. 镜像概述

1.1 概述和主要用途

JumpServer 图形化连接器（Graphical Connector）是 JumpServer 开源堡垒机的核心组件之一，专门用于支持图形化协议（如 RDP、VNC）的服务器远程访问。该镜像作为 JumpServer 图形化会话的处理中枢，负责建立客户端与目标主机之间的图形化连接，实现数据加密传输、会话录制审计，并与 JumpServer 统一身份认证、授权体系深度集成，确保图形化操作的安全性与合规性。

1.2 核心功能和特性

• 多协议支持：原生支持 RDP（Remote Desktop Protocol）和 VNC（Virtual Network Computing）协议，覆盖 Windows 服务器、Linux 图形桌面等主流图形化环境。
• 安全加密传输：图形化会话数据全程采用 TLS 加密，防止传输过程中的数据泄露。
• 深度集成 JumpServer：与 JumpServer 核心服务（Core）、认证服务、授权系统无缝对接，继承统一的用户权限管理和访问控制策略。
• 会话录制与审计：支持图形化操作全程录制，生成可追溯的审计日志，满足合规性要求（如 SOX、PCI-DSS）。
• 跨平台兼容性：适配 x86_64、ARM64 架构，支持在 Linux 服务器（如 CentOS、Ubuntu）和容器化环境中部署。
• 高可用性设计：支持多实例部署，配合负载均衡可实现图形化会话处理的高可用架构。

2. 使用场景和适用范围

2.1 典型使用场景

• 企业级图形化服务器运维：IT 管理员通过 JumpServer 访问 Windows 服务器（RDP）或 Linux 图形桌面（VNC）进行配置管理。
• 合规审计与操作追溯：***、***等行业需对图形化操作（如 ERP 系统、***软件）进行全程审计，满足 regulatory compliance 要求。
• 统一访问入口：与 JumpServer 统一身份认证结合，为用户提供图形化资源的单点登录（SSO）体验。

2.2 适用范围

• 已部署 JumpServer 开源堡垒机的环境，需扩展图形化协议支持。
• 目标主机为 Windows 服务器（需开启 RDP）、Linux 桌面系统（需配置 VNC 服务）或其他支持 RDP/VNC 的图形化环境。
• 对远程图形化操作的安全性、可审计性有明确需求的组织或个人。

3. 使用方法和配置说明

3.1 环境要求

• Docker 环境：Docker 19.03+，Docker Compose 2.0+（如需编排）。
• 网络要求：
  • 与 JumpServer 核心服务（Core）网络连通，需开放双向通信端口（默认 Core 端口 8080/443）。
  • 可访问目标图形化主机（RDP 默认 3389，VNC 默认 5900）。
  • 建议配置独立子网，避免直接暴露公网。
• 资源要求：根据并发会话数调整，单实例建议至少 2 CPU 核心、4GB 内存，会话录制需额外磁盘空间（每小时约 100-500MB，依分辨率而定）。

3.2 Docker 部署

3.2.1 docker run 命令示例

bash
docker run -d \
  --name jms-graphical-connector \
  --restart always \
  --network jumpserver-network \  # 需与 JumpServer 核心服务在同一网络
  -p 8081:8081 \  # 连接器服务端口
  -v /opt/jms-graphical-connector/records:/opt/records \  # 会话录制备份
  -e JUMPSERVER_URL="https://jumpserver.example.com" \  # JumpServer 核心服务地址
  -e JUMPSERVER_TOKEN="your-auth-token" \  # 从 JumpServer 控制台获取的连接器令牌
  -e LOG_LEVEL="INFO" \  # 日志级别：DEBUG/INFO/WARN/ERROR
  -e BIND_HOST="0.0.0.0" \  # 绑定地址
  -e BIND_PORT=8081 \  # 服务监听端口
  -e SESSION_RECORD_PATH="/opt/records" \  # 会话录制存储路径
  jumpserver/graphical-connector:latest

3.2.2 docker-compose 配置示例

创建 docker-compose.yml：

yaml
version: '3.8'

networks:
  jumpserver-network:
    external: true  # 假设已存在 JumpServer 网络

services:
  graphical-connector:
    image: jumpserver/graphical-connector:latest
    container_name: jms-graphical-connector
    restart: always
    networks:
      - jumpserver-network
    ports:
      - "8081:8081"
    volumes:
      - /opt/jms-graphical-connector/records:/opt/records
    environment:
      - JUMPSERVER_URL=https://jumpserver.example.com
      - JUMPSERVER_TOKEN=your-auth-token
      - LOG_LEVEL=INFO
      - BIND_HOST=0.0.0.0
      - BIND_PORT=8081
      - SESSION_RECORD_PATH=/opt/records
      - RDP_PROXY_ENABLE=true  # 启用 RDP 代理
      - VNC_PROXY_ENABLE=true  # 启用 VNC 代理
      - SSL_CERT_FILE=/etc/ssl/certs/jumpserver.crt  # 可选：自定义 SSL 证书
      - SSL_KEY_FILE=/etc/ssl/private/jumpserver.key
    depends_on:
      - core  # 依赖 JumpServer 核心服务（需在同一 compose 或外部网络中）

3.3 配置参数说明

3.3.1 核心环境变量

3.3.2 配置文件（可选）

如需更复杂配置，可通过挂载配置文件（如 /etc/jms-graphical-connector/config.yml）覆盖环境变量，配置文件格式示例：

yaml
jumpserver:
  url: https://jumpserver.example.com
  token: your-auth-token
server:
  bind_host: 0.0.0.0
  bind_port: 8081
  timeout: 300  # 会话超时时间（秒）
logging:
  level: INFO
  file_path: /var/log/jms-graphical-connector.log
protocols:
  rdp:
    enable: true
    proxy_port: 3389
  vnc:
    enable: true
    proxy_port: 5900
session:
  record_path: /opt/records
  record_format: h264  # 录制格式：h264/mp4
ssl:
  cert_file: /etc/ssl/certs/jumpserver.crt
  key_file: /etc/ssl/private/jumpserver.key

3.4 启动与验证

1. 启动服务：

   bash
   # docker run 方式
   docker start jms-graphical-connector
   
   # docker-compose 方式
   docker-compose up -d
   

2. 状态验证：

   • 查看容器日志：docker logs jms-graphical-connector，确认输出 Started successfully。
   • 检查端口监听：netstat -tuln | grep 8081（或自定义 BIND_PORT）。
   • JumpServer 控制台验证：进入 资产 > 主机，选择图形化协议（RDP/VNC），点击“连接”，测试会话是否正常建立。

4. 注意事项

• 版本兼容性：需确保图形化连接器版本与 JumpServer 核心服务版本匹配（如 JumpServer 3.0.x 对应连接器 3.0.x），版本不匹配可能导致功能异常。
• 网络安全：生产环境中建议通过 SSL/TLS 加密传输（配置 SSL_CERT_FILE 和 SSL_KEY_FILE），并限制 BIND_HOST 为内网地址，避免公网直接访问。
• 资源规划：根据并发图形化会话数调整 CPU/内存配置（单会话建议 512MB 内存，1 CPU 核心），会话录制需预留充足磁盘空间。
• 令牌安全：JUMPSERVER_TOKEN 具有高权限，需妥善保管，避免泄露；建议定期在 JumpServer 控制台更新令牌并重启连接器。