Một hệ thống phân phối khóa công khai SSH

Chúng tôi có nhiều hệ thống khác nhau được quản lý bởi nhiều người. Chúng tôi đã chọn sử dụng xác thực khóa công khai SSH để truy cập các hệ thống đó. Điều này hoạt động rất tốt, vì không cần quản lý hoặc chia sẻ mật khẩu tài khoản quản trị, không cần nhớ mật khẩu cho các hệ thống khác nhau (chỉ có cụm từ mật khẩu đến khóa riêng của bạn), không cần tương tác (nhập mật khẩu) với mọi lệnh từ xa .

Vấn đề là, các khóa công khai được cài đặt trên hệ thống cần phải được quản lý bằng cách nào đó. Mọi người đến và đi, các khóa có thể bị xâm phạm, thay đổi trách nhiệm (một người được ủy quyền vào một hệ thống hôm nay có thể được phép truy cập vào một hệ thống khác vào ngày mai). Hiện tại chúng tôi quản lý nó bằng cách chỉnh sửa thủ công các tệp ~ / .ssh / ủy quyền trên mọi tài khoản cần điều đó, nhưng đó là rất nhiều công việc và dễ xảy ra lỗi.

Có công cụ sẵn sàng nào để quản lý khóa công khai trong kịch bản như vậy không? Bạn có giải pháp riêng của bạn? Hay đó là toàn bộ ý tưởng quản lý hệ thống theo cách này còn thiếu sót?

Như đã đề cập bởi pulegium, bất kỳ phần mềm quản lý cấu hình chung nào như Puppet , Chef , Bcfg2 hoặc cfengine đều có thể hoàn thành nhiệm vụ.

Vì tệp ủy quyền không quá phức tạp, bạn cũng có thể sử dụng rsync hoặc (D) SCM như git hoặc hg để quản lý tệp này. Bạn có tệp "chính" trên một trong các máy chủ của mình và phân phát tệp qua rsync / git / hg / Lỗi. Trên mọi máy chủ khác, bạn chạy một công việc định kỳ lấy định kỳ bản sao chính (nếu nó đã được thay đổi) và sao chép nó vào đúng vị trí cục bộ. Heck, điều này thậm chí sẽ hoạt động với HTTP hoặc FTP thuần.

Điểm mấu chốt là: Có một bản sao "chính" của tệp ủy quyền của bạn và cập nhật nó. Hãy để "máy khách" (các máy tính cần có tệp ủy quyền hiện tại) tải nó từ máy chủ chính của bạn và triển khai nó cục bộ.

Có một bản vá có sẵn cho OpenSSH cho phép nó sử dụng các khóa công khai từ máy chủ LDAP, nhưng điều này chỉ thực sự có ý nghĩa nếu kiểm tra xác thực / tài khoản của bạn cũng được thực hiện đối với máy chủ LDAP đó (đó là cách môi trường của tôi được thiết lập). Ngoài ra, nó chỉ an toàn như cấu hình LDAP của bạn (vì vậy bạn muốn sử dụng SSL & khóa xác minh).

Xem http://code.google.com.vn/p/openssh-lpk/ để biết bản vá và biết thêm chi tiết. Tôi không biết bất kỳ HĐH nào có bản vá này theo mặc định, nhưng nếu bạn đang chạy FreeBSD thì đó là bản vá tùy chọn nếu bạn sử dụng OpenSSH từ các cổng.

tôi chạy một giải pháp rất dễ, tương tự với quy tắc tường lửa

ví dụ tập tin hosts.conf:

192.168.0.1
192.168.2.99
192.168.2.100

phân phối.sh:

#!/bin/bash
for d in `cat ./hosts.conf`; do
  echo "copying to $d ...";
  scp /root/.ssh./authorized_keys root@$d:/root/.ssh./authorized_keys
done;

đó là toàn bộ ma thuật :-)

Tôi hiện đang kiểm tra SSH KeyDB . Nó có nghĩa là để làm chính xác điều đó, quản trị vai trò, máy chủ và người dùng, phân phối khóa người dùng, thu thập khóa máy chủ, vv Nó thậm chí còn có một cái gì đó gọi là "địa điểm".

Tôi chưa làm việc hết và tôi không chắc nó có hoạt động tốt không. Tuy nhiên, mã này nằm trong python và dường như khá dễ quản lý, do đó, không quá khó để loại bỏ nó và khiến nó hoạt động.

Tôi không chắc ý của bạn là gì, tôi cũng không biết liệu bạn có muốn thay đổi hay không, nhưng Kerberos là droid bạn đang tìm kiếm. Điều đó sẽ giải quyết vấn đề của bạn một cách thanh lịch, và sẽ xác thực cả người và máy.

Bạn có hai (thường biến thành 3) vấn đề khác nhau mà bạn đang cố gắng giải quyết:

• Xác thực (Bạn là ai?)
• Ủy quyền (Bạn có được phép truy cập máy chủ này không?)
• Kiểm toán (Bạn đã làm gì?)

Xác thực khóa công khai là một cách ok để xác thực đôi khi, nhưng hoàn toàn không cho phép địa chỉ. Tôi không thích auth khóa công khai, vì nó rất dễ thỏa hiệp (đặc biệt là nội bộ) trừ khi bạn có một số kiểm soát tốt tại chỗ.

Đó là nơi các giải pháp như Kerberos phát huy tác dụng. Trong thế giới Windows, Active Directory giải quyết vấn đề này. Trong thế giới Unix, có rất nhiều sự lựa chọn, đó là cả điều tốt và điều xấu.

Tôi sẽ kiểm tra dự án RedIP FreeIPA , đây là một gói phần mềm giúp dễ dàng khởi động hệ thống Kerberos / LDAP / DNS giống như AD.

Bạn có thể sử dụng Bcfg2 với tài khoản bcfg2 để phân phối authorized_keys. Khi được thêm tiền thưởng, bạn sẽ có khả năng kiểm soát người dùng và nhóm.

Bcfg2 cũng cho phép bảo trì miễn phí /etc/ssh/ssh_known_hostsvới SSHbase .

Ngoài ra còn có SKM