访问管理的方法和系统与流程

本技术实施例涉及云计算领域，并且更为具体地，涉及一种访问管理的方法和系统。

背景技术：

1、在云计算领域，云服务提供厂商需要管理的云服务资源越来越多，且云服务资源的访问安全也越来越重要。因此，很多云服务提供厂商选择部署堡垒机作为运维安全接入审计的系统，集中管理用户对服务器的访问请求。

2、但是，现有的堡垒机系统由于需要记录用户的登录状态以及用户与服务器建立的会话控制等状态信息，称之为有状态的服务。由于堡垒机节点都是有状态的，如果需要更换节点或增加新的节点，就需要重新配置堡垒机节点的状态，该过程需要一定时间，导致堡垒机系统无法快速容灾或扩容。因此，如何使运维通道管理集群能够不断开连接地快速更换节点成为亟需解决的技术问题。

技术实现思路

1、本技术实施例提供一种访问管理的方法和系统，可以将状态信息记录在位于服务器的客户端上，运维通道实例将访问命令分发至客户端，使得运维通道实例是无状态的，从而能够在不中断服务的情况下切换运维通道实例。

2、第一方面，提供一种访问管理的方法，该方法应用于访问管理的系统，该系统包括运维通道管理集群和客户端，客户端运行在目标服务器上，运维通道管理集群包括多个运维通道实例，每个运维通道实例用于与客户端进行信息交互，每个运维通道实例由至少一台计算实例组成，至少一台计算实例包括物理主机、虚拟机、容器中的至少一种，该方法包括：运维通道管理集群获取用户对目标服务器的访问命令；运维通道管理集群将访问命令发送至客户端；客户端根据会话状态信息，执行访问命令，会话状态信息是客户端记录的用户对目标服务器的访问信息。

3、根据本技术提供的技术方案，通过在服务器上设置客户端作为接入服务器的入口，运维通道管理集群直接与客户端通信，将访问命令分发至客户端，使得记录状态信息以及管理会话的任务由客户端完成，运维通道实例是无状态的，从而在通过运维通道管理集群隔离用户与服务器间直接交互，保证服务器访问安全性的前提下，能够在不中断服务的情况下切换运维通道实例，解决运维通道管理集群的快速扩缩容问题。

4、结合第一方面，在第一方面的某些实现方式中，运维通道管理集群还包括负载均衡组件，多个运维通道实例中包括第一运维通道实例和第二运维通道实例，将访问命令发送至客户端，包括：负载均衡组件将访问命令发送至第一运维通道实例；第一运维通道实例向客户端发送访问命令。

5、根据上述技术方案，通过在运维通道管理集群中设置多个节点，使得运维通道管理集群能够管理负责分发访问命令的节点，从而运维通道管理集群在需要时能够自主调控节点的工作情况。

6、结合第一方面，在第一方面的某些实现方式中，将访问命令发送至客户端，还包括：第一运维通道实例向负载均衡组件上报异常信息，异常信息用于指示第一运维通道实例向客户端发送访问命令失败；负载均衡组件将访问命令发送至第二运维通道实例；第二运维通道实例向客户端发送访问命令。

7、根据上述技术方案，通过在当前负责转发访问命令的运维通道实例异常时，将转发任务重新分配给运维通道管理集群内的其他节点，实现不中断访问情况下的切换节点，从而提高运维通道管理集群的快速容灾或负载均衡的能力，提高运维通道管理集群服务的可用性。

8、结合第一方面，在第一方面的某些实现方式中，第一运维通道实例和第二运维通道实例部署在不同的区域。

9、根据上述技术方案，运维通道管理集群的节点能够跨区域(region)部署，使得切换前后负责转发的节点位于不同的物理地区，降低同时发生异常的可能性，从而实现异地容灾，进一步提高运维通道管理集群服务的可用性。

10、结合第一方面，在第一方面的某些实现方式中，将访问命令发送至客户端，还包括：第一运维通道实例向负载均衡组件上报异常信息，异常信息用于指示第一运维通道实例向客户端发送访问命令失败；负载均衡组件建立第三运维通道实例；负载均衡组件将访问命令发送至第三运维通道实例；第三运维通道实例向客户端发送访问命令。

11、根据上述技术方案，通过在当前负责转发访问命令的运维通道实例异常时，部署新的运维通道实例，并将转发任务重新分配给该新的运维通道实例，实现不中断访问情况下的运维通道管理集群扩容，从而提高运维通道管理集群的快速扩容能力，提高运维通道管理集群服务的可用性。

12、结合第一方面，在第一方面的某些实现方式中，将访问命令发送至客户端，包括：运维通道管理集群根据传输控制协议向客户端发送访问命令。

13、根据上述技术方案，运维通道实例与客户端之间通过传输层的传输控制协议(transmission control protocol，tcp)直接通信，从而能够避免使用安全外壳协议(secure shell，ssh)作为远程连接工具，不需要服务器为ssh服务开启高风险的22端口，从而提高服务器的安全性。

14、结合第一方面，在第一方面的某些实现方式中，访问命令中包括会话标识，会话状态信息中包括会话标识与目标服务器的操作系统中的子进程的对应关系，根据会话状态信息，执行访问命令，包括：根据访问命令的会话标识和会话状态信息，确定与会话标识对应的子进程；调用子进程执行访问命令。

15、根据上述技术方案，通过客户端为每个用户的会话分配标识值，并基于用户指令中携带的标识值管理会话，调用服务器操作系统中相应的子进程执行命令，使得客户端能够将不同用户的会话分开管理，从而提高访问管理的效率。

16、结合第一方面，在第一方面的某些实现方式中，在获取用户对目标服务器的访问命令前，该方法还包括：运维通道管理集群获取用户的登录命令；运维通道管理集群向认证鉴权服务发送登录命令，认证鉴权服务用于认证用户的身份；运维通道管理集群接收来自认证鉴权服务的认证信息；运维通道管理集群根据认证信息，确定用户的登录状态。

17、根据本技术提供的技术方案，运维通道管理集群通过与外部服务交互为用户提供身份认证，使得用户的登录状态无需记录在运维通道管理集群的节点中，从而使用户登录后，提供服务的节点更换也无需用户重新登录，在保证用户访问安全性的基础上，提高用户的使用体验。

18、结合第一方面，在第一方面的某些实现方式中，在将访问命令发送至客户端前，该方法还包括：运维通道管理集群从外部存储服务获取访问权限；运维通道管理集群确定访问命令满足访问权限。

19、根据上述技术方案，运维通道管理集群通过从外部存储服务获取用户对服务器的访问权限，使得运维通道管理集群中的任意节点都能够在不预先配置的情况下对用户的访问权限进行管理，从而提高访问管理的安全性。

20、结合第一方面，在第一方面的某些实现方式中，该方法还包括：客户端将访问命令的执行结果发送至运维通道管理集群；运维通道管理集群向用户发送执行结果。

21、根据上述技术方案，通过运维通道管理集群将访问结果展示给用户，从而使得运维通道管理集群能够监控用户访问服务器的全过程，便于对用户行为的监控和审计，提高访问管理的安全性。

22、第二方面，提供一种访问管理的系统，该系统包括运维通道管理集群和客户端，客户端运行在目标服务器上，运维通道管理集群包括多个运维通道实例，每个运维通道实例用于与客户端进行信息交互，每个运维通道实例由至少一台计算实例组成，至少一台计算实例包括物理主机、虚拟机、容器中的至少一种，运维通道管理集群包括：命令获取模块，用于获取用户对目标服务器的访问命令；命令分发模块，用于将访问命令发送至客户端；客户端用于：根据会话状态信息，执行访问命令，会话状态信息是客户端记录的用户对目标服务器的访问信息。

23、结合第二方面，在第二方面的某些实现方式中，运维通道管理集群还包括负载均衡组件，多个运维通道实例中包括第一运维通道实例和第二运维通道实例，命令分发模块，用于：负载均衡组件将访问命令发送至第一运维通道实例；第一运维通道实例向客户端发送访问命令。

24、结合第二方面，在第二方面的某些实现方式中，命令分发模块，还用于：第一运维通道实例向负载均衡组件上报异常信息，异常信息用于指示第一运维通道实例向客户端发送访问命令失败；负载均衡组件将访问命令发送至第二运维通道实例；第二运维通道实例向客户端发送访问命令。

25、结合第二方面，在第二方面的某些实现方式中，第一运维通道实例和第二运维通道实例部署在不同的区域。

26、结合第二方面，在第二方面的某些实现方式中，命令分发模块，还用于：第一运维通道实例向负载均衡组件上报异常信息，异常信息用于指示第一运维通道实例向客户端发送访问命令失败；负载均衡组件建立第三运维通道实例；负载均衡组件将访问命令发送至第三运维通道实例；第三运维通道实例向客户端发送访问命令。

27、结合第二方面，在第二方面的某些实现方式中，命令分发模块，用于：根据传输控制协议向客户端发送访问命令。

28、结合第二方面，在第二方面的某些实现方式中，访问命令中包括会话标识，会话状态信息中包括会话标识与目标服务器的操作系统中的子进程的对应关系，客户端，用于：根据访问命令的会话标识和会话状态信息，确定与会话标识对应的子进程；调用子进程执行访问命令。

29、结合第二方面，在第二方面的某些实现方式中，运维通道管理集群还包括登录认证模块，在获取用户对目标服务器的访问命令前，用于：获取用户的登录命令；向认证鉴权服务发送登录命令，认证鉴权服务用于认证用户的身份；接收来自认证鉴权服务的认证信息；根据认证信息，确定用户的登录状态。

30、结合第二方面，在第二方面的某些实现方式中，运维通道管理集群还包括权限管理模块，在将访问命令发送至客户端前，用于：从外部存储服务获取访问权限；确定访问命令满足访问权限。

31、结合第二方面，在第二方面的某些实现方式中，客户端还用于：将访问命令的执行结果发送至运维通道管理集群；运维通道管理集群还包括结果展示模块，用于向用户发送执行结果。

32、第三方面，提供一种计算设备，包括处理器和存储器，其中，存储器用于存储指令，处理器用于从存储器中调用并运行该指令，使得该计算设备执行第一方面或第一方面任意一种可能的实现方式中的方法。

33、第四方面，提供一种计算设备集群，包括至少一个计算设备，每个计算设备包括处理器和存储器，其中，存储器用于存储指令，处理器用于从存储器中调用并运行该指令，使得该计算设备集群执行第一方面或第一方面任意一种可能的实现方式中的方法。

34、可选地，该处理器可以是通用处理器，可以通过硬件来实现也可以通过软件来实现。当通过硬件来实现时，该处理器可以是逻辑电路、集成电路等；当通过软件来实现时，该处理器可以是一个通用处理器，通过读取存储器中存储的软件代码来实现，该存储器可以集成在处理器中，可以位于该处理器之外独立存在。

35、第五方面，提供了一种芯片，该芯片获取指令并执行该指令来实现上述第一方面或第一方面任意一种可能的实现方式中的方法。

36、可选地，作为一种实现方式，该芯片包括处理器与数据接口，该处理器通过该数据接口读取存储器上存储的指令，执行上述第一方面或第一方面任意一种可能的实现方式中的方法。

37、可选地，作为一种实现方式，该芯片还可以包括存储器，该存储器中存储有指令，该处理器用于执行该存储器上存储的指令，当该指令被执行时，该处理器用于执行上述第一方面或第一方面任意一种可能的实现方式中的方法。

38、第六方面，提供了一种包含指令的计算机程序产品，当该指令被计算设备集群运行时，使得计算设备集群执行上述第一方面或第一方面任意一种可能的实现方式中的方法。

39、第七方面，提供了一种计算机可读存储介质，包括计算机程序指令，当该计算机指令由计算设备集群执行时，使得计算设备集群执行上述第一方面或第一方面任意一种可能的实现方式中的方法。

40、作为示例，这些计算机可读存储介质包括但不限于如下的一个或者多个：只读存储器(read-only memory，rom)、可编程rom(programmable rom，prom)、可擦除的prom(erasable prom，eprom)、flash存储器、电eprom(electricallyeprom，eeprom)以及硬盘驱动器(hard drive)。

41、可选地，作为一种实现方式，上述存储介质具体可以是非易失性存储介质。