JumpServer 图形化连接器 (Graphical Connector) 镜像文档

1. 镜像概述

1.1 概述和主要用途

JumpServer 图形化连接器（Graphical Connector）是 JumpServer 开源堡垒机的核心组件之一，专门用于支持图形化协议（如 RDP、VNC）的服务器远程访问。该镜像作为 JumpServer 图形化会话的处理中枢，负责建立客户端与目标主机之间的图形化连接，实现数据加密传输、会话录制审计，并与 JumpServer 统一身份认证、授权体系深度集成，确保图形化操作的安全性与合规性。

1.2 核心功能和特性

多协议支持：原生支持 RDP（Remote Desktop Protocol）和 VNC（Virtual Network Computing）协议，覆盖 Windows 服务器、Linux 图形桌面等主流图形化环境。
安全加密传输：图形化会话数据全程采用 TLS 加密，防止传输过程中的数据泄露。
深度集成 JumpServer：与 JumpServer 核心服务（Core）、认证服务、授权系统无缝对接，继承统一的用户权限管理和访问控制策略。
会话录制与审计：支持图形化操作全程录制，生成可追溯的审计日志，满足合规性要求（如 SOX、PCI-DSS）。
跨平台兼容性：适配 x86_64、ARM64 架构，支持在 Linux 服务器（如 CentOS、Ubuntu）和容器化环境中部署。
高可用性设计：支持多实例部署，配合负载均衡可实现图形化会话处理的高可用架构。

2. 使用场景和适用范围

2.1 典型使用场景

企业级图形化服务器运维：IT 管理员通过 JumpServer 访问 Windows 服务器（RDP）或 Linux 图形桌面（VNC）进行配置管理。
合规审计与操作追溯：***、***等行业需对图形化操作（如 ERP 系统、***软件）进行全程审计，满足 regulatory compliance 要求。
统一访问入口：与 JumpServer 统一身份认证结合，为用户提供图形化资源的单点登录（SSO）体验。

2.2 适用范围

已部署 JumpServer 开源堡垒机的环境，需扩展图形化协议支持。
目标主机为 Windows 服务器（需开启 RDP）、Linux 桌面系统（需配置 VNC 服务）或其他支持 RDP/VNC 的图形化环境。
对远程图形化操作的安全性、可审计性有明确需求的组织或个人。

3. 使用方法和配置说明

3.1 环境要求

Docker 环境：Docker 19.03+，Docker Compose 2.0+（如需编排）。
网络要求：
- 与 JumpServer 核心服务（Core）网络连通，需开放双向通信端口（默认 Core 端口 8080/443）。
- 可访问目标图形化主机（RDP 默认 3389，VNC 默认 5900）。
- 建议配置独立子网，避免直接暴露公网。
资源要求：根据并发会话数调整，单实例建议至少 2 CPU 核心、4GB 内存，会话录制需额外磁盘空间（每小时约 100-500MB，依分辨率而定）。

3.2 Docker 部署

3.2.1 docker run 命令示例

bash
docker run -d \
  --name jms-graphical-connector \
  --restart always \
  --network jumpserver-network \  # 需与 JumpServer 核心服务在同一网络
  -p 8081:8081 \  # 连接器服务端口
  -v /opt/jms-graphical-connector/records:/opt/records \  # 会话录制备份
  -e JUMPSERVER_URL="[***]" \  # JumpServer 核心服务地址
  -e JUMPSERVER_TOKEN="your-auth-token" \  # 从 JumpServer 控制台获取的连接器令牌
  -e LOG_LEVEL="INFO" \  # 日志级别：DEBUG/INFO/WARN/ERROR
  -e BIND_HOST="0.0.0.0" \  # 绑定地址
  -e BIND_PORT=8081 \  # 服务监听端口
  -e SESSION_RECORD_PATH="/opt/records" \  # 会话录制存储路径
  jumpserver/graphical-connector:latest

3.2.2 docker-compose 配置示例

创建 docker-compose.yml：

yaml
version: '3.8'

networks:
  jumpserver-network:
    external: true  # 假设已存在 JumpServer 网络

services:
  graphical-connector:
    image: jumpserver/graphical-connector:latest
    container_name: jms-graphical-connector
    restart: always
    networks:
      - jumpserver-network
    ports:
      - "8081:8081"
    volumes:
      - /opt/jms-graphical-connector/records:/opt/records
    environment:
      - JUMPSERVER_URL=[***]
      - JUMPSERVER_TOKEN=your-auth-token
      - LOG_LEVEL=INFO
      - BIND_HOST=0.0.0.0
      - BIND_PORT=8081
      - SESSION_RECORD_PATH=/opt/records
      - RDP_PROXY_ENABLE=true  # 启用 RDP 代理
      - VNC_PROXY_ENABLE=true  # 启用 VNC 代理
      - SSL_CERT_FILE=/etc/ssl/certs/jumpserver.crt  # 可选：自定义 SSL 证书
      - SSL_KEY_FILE=/etc/ssl/private/jumpserver.key
    depends_on:
      - core  # 依赖 JumpServer 核心服务（需在同一 compose 或外部网络中）

3.3 配置参数说明

3.3.1 核心环境变量

环境变量名	描述	默认值	必需
`JUMPSERVER_URL`	JumpServer 核心服务 URL（需包含协议，如 `[***]`）	-	是
`JUMPSERVER_TOKEN`	连接器与 JumpServer 核心认证的令牌，从 JumpServer 控制台 > 系统设置 > 组件管理获取	-	是
`BIND_HOST`	服务绑定地址	`0.0.0.0`	否
`BIND_PORT`	服务监听端口	`8081`	否
`LOG_LEVEL`	日志级别：`DEBUG`/`INFO`/`WARN`/`ERROR`	`INFO`	否
`SESSION_RECORD_PATH`	图形化会话录制文件存储路径	`/opt/records`	否
`RDP_PROXY_ENABLE`	是否启用 RDP 协议代理	`true`	否
`VNC_PROXY_ENABLE`	是否启用 VNC 协议代理	`true`	否
`SSL_CERT_FILE`	SSL 证书文件路径（用于加密传输）	-	否
`SSL_KEY_FILE`	SSL 私钥文件路径	-	否
`RDP_PROXY_PORT`	RDP 代理监听端口（如需自定义）	`3389`	否
`VNC_PROXY_PORT`	VNC 代理监听端口（如需自定义）	`5900`	否
`MAX_CONCURRENT_SESSIONS`	最大并发会话数（限制资源占用）	`100`	否

3.3.2 配置文件（可选）

如需更复杂配置，可通过挂载配置文件（如 /etc/jms-graphical-connector/config.yml）覆盖环境变量，配置文件格式示例：

yaml
jumpserver:
  url: [***]
  token: your-auth-token
server:
  bind_host: 0.0.0.0
  bind_port: 8081
  timeout: 300  # 会话超时时间（秒）
logging:
  level: INFO
  file_path: /var/log/jms-graphical-connector.log
protocols:
  rdp:
    enable: true
    proxy_port: 3389
  vnc:
    enable: true
    proxy_port: 5900
session:
  record_path: /opt/records
  record_format: h264  # 录制格式：h264/mp4
ssl:
  cert_file: /etc/ssl/certs/jumpserver.crt
  key_file: /etc/ssl/private/jumpserver.key

3.4 启动与验证

启动服务：

bash
# docker run 方式
docker start jms-graphical-connector

# docker-compose 方式
docker-compose up -d

状态验证：
- 查看容器日志：docker logs jms-graphical-connector，确认输出 Started successfully。
- 检查端口监听：netstat -tuln | grep 8081（或自定义 BIND_PORT）。
- JumpServer 控制台验证：进入 资产 > 主机，选择图形化协议（RDP/VNC），点击“连接”，测试会话是否正常建立。

4. 注意事项

版本兼容性：需确保图形化连接器版本与 JumpServer 核心服务版本匹配（如 JumpServer 3.0.x 对应连接器 3.0.x），版本不匹配可能导致功能异常。
网络安全：生产环境中建议通过 SSL/TLS 加密传输（配置 SSL_CERT_FILE 和 SSL_KEY_FILE），并限制 BIND_HOST 为内网地址，避免公网直接访问。
资源规划：根据并发图形化会话数调整 CPU/内存配置（单会话建议 512MB 内存，1 CPU 核心），会话录制需预留充足磁盘空间。
令牌安全：JUMPSERVER_TOKEN 具有高权限，需妥善保管，避免泄露；建议定期在 JumpServer 控制台更新令牌并重启连接器。