小团队开发测试环境怎么解决

[guoguobaba]

小团队，没有专门的 it 人员，分散在各地，测试环境，生产环境都有。生产环境还好，测试环境，各地的开发人员习惯直接把测试数据库端口映射到公网，然后自己对接上去，还有些 ssh 能登录的环境，也都是 root 登录，总之挺混乱的。

现在主要是某些人离职后，想禁止他在访问测试环境，就得把所有密码再改一遍。ssh 这块还好说，基本上都是删除公钥的防止禁止他再访问。但是数据库每次改密码就很麻烦。

有什么好的解决方案吗？

[CommonNPC]

MySQL 我记得是可以创建独立用户的吧，而且可以针对用户分配权限
入职分配用户名，离职直接删除对应用户就可以了

[guoguobaba]

@infun 就是有 n 个 ssh 环境，m 个数据库环境，每个环境设账号密码，离职的时候还要手动删除，这个就很麻烦。

[ronen]

人教人，教不會，事教人，一教就會。
先把 vpn 搞好，禁了公網訪問吧。

[brianinzz]

能上 vpn 上 vpn
没法上 vpn 就只开 ssh 的端口出去,每个人一个账号,访问其他应用都让他们走 ssh 隧道.
用的时候他们本地启动一个隧道转发就行了 xshell mobaxterm 这些都支持
最不济 cmd/terminel 直接一行命令 ssh -N -L 本地端口:127.0.0.1:服务端口 root@外网 ip -p ssh 外网端口
最最不济你把这行命令搞到 bat 里封个脚本让他们一键启动
这样就只需要到管理 服务器账号 就行了

[lyusantu]

给测试环境/生产环境的数据库端口设置 IP 白名单

[CommonNPC]

@guoguobaba
不用手动吧， 系统管理员用脚本跑呢？

[javalaw2010]

用 zerotier 之类的工具虚拟组网。

[CommonNPC]

当然最好是上 VPN

[lumen]

企业里面很多事情看似是技术问题，其实不是
这种事情你做了不费力不讨好
只有等真的出事故了老板才会重视起来
所以你唯一要做的就是，等着出事故:-)

[ropon]

各地 比如借助 OA 动态添加 IP 白名单，白名单有时效；或者 VPN

[YangQingLin]

我们公司是使用自部署的一个堡垒机（[JumpServer]( https://jumpserver.org/)）服务作为统一的访问入口的。

每个人入职会分配一个堡垒机账号，每个账号能访问哪些资源（服务器 ssh 、数据库等）都是可以配置的。

想要连接拥有的那些资源，可以直接通过堡垒机网站连接，或者点击获取一个临时的账号密码（堡垒机实时生成）然后放到软件里面，体验上和直连没什么区别；而且权限配置操作是图形化的，使用起来很方便。

个人也可以把自己电脑的公钥放到堡垒机上，这样连接某些资源就不再需要每次输密码了。

不过连接了服务器之后也还是可以手动把公钥写进去的，而且连接之后会展示一些欢迎信息，其中包含了跳转地址的 IP ，所以如果你比较注重资产安全的话最好把堡垒机服务部署在可以内网连接其它资源的地方，只把堡垒机的公网 IP 暴露出来。

[huangsen365]

你们这种情况缺运维，我是专门做运维很清楚。
你需要找个会运维的朋友咨询一下专业做法，多少涉及网络安全领域了

[itechify]

至少要搞个 VPN ，测试环境被渗透，搞到公司内网就 G 了

[duanxianze]

管他呢，出了事再说

[pota]

配置个 vpn 所有环境必须走 VPN 才能连接。必须要开放服务器 ssh 的上堡垒机 这样的话只需要管理 vpn 和堡垒机账号就行了

[brom111]

最简单就是 服务器环境搞白名单算了。。

[guanyujia5444]

VPN+堡垒机，Jumpserver+anylink 这两个开源产品就可以实现，而且很优秀

[EastLord]

你如果不是领导就不管

[guanyujia5444]

人员权限管控，就用域账户接入 Jumpserver+anylink ，离职人员直接禁用域账户，就解决了

[la2la]

不是领导管这个干啥
记得使用 root 权限谨慎一点，不要给自己惹麻烦