Care este cea mai bună practică pentru gestionarea conturilor de conectare/sudo pe mai multe sisteme, cu mai mulți utilizatori, pe o navă?

Vreau să prefațez acest lucru spunând că nu sunt administrator de sistem din profesie, ci am căzut într-o echipă de ingineri de instrumentare.

Organizația mea a folosit în mod tradițional aceeași parolă pe toate sistemele (unul pentru root, unul pentru utilizator) și a funcționat bine pentru ele, deoarece suntem mici și deconectați de la internet de cele mai multe ori.Tocmai am primit o nouă facilitate, au decis să sporească jocul de securitate - ceea ce, în ceea ce îi privește, înseamnă că nu se atribuie DHCP pentru MAC-uri necunoscute și parole unice pentru fiecare sistem (stocate într-un manager de parole).

Asta mi se pare o soluție de gunoi. Cerința DHCP este ocolită prin alocarea unui IP static, iar baza de date cu parole înseamnă doar că trebuie să trecem prin mai multe cercuri pentru a face orice, dar suntem încă expuși de o singură parolă.

Mediul în care lucrăm are aproximativ 10 servere CentOS și o serie de stații de lucru OEM. Mai ales Windows cred. Suntem destul de bine izolați de VLAN-uri și de o conexiune la internet foarte marginală. Ocazional, tehnicienii de pe vas au nevoie de acces sudo la oricare dintre sisteme.

Este aceasta o problemă rezolvată? Nu știu în mod special de unde să încep. Voi începe să caut cheile SSH conform Care sunt cele mai bune practici pentru gestionarea cheilor SSH într-o echipă?

dar dacă cineva îmi poate indica cele mai bune practici, aș fi veșnic recunoscător.

Este mai puțin o problemă rezolvată decât un proces continuu către practici mai bune. Multe organizații au găsit suficient de bun soluții pentru cerințele lor specifice, unele mai conectate la internet chiar și cu oferte comerciale gata făcute. Toti au încă dureri nerezolvate în această zonă.

De cele mai multe ori îmbunătățiri în realizarea proces mai ușor pentru toți cei implicați au obținut și cei mai de încredere Securitate îmbunătățire (gestionare mai ușoară -> configurație mai puțin învechită/incorectă -> suprafață mai mică pentru utilizare rău intenționată).

Deoarece întrebarea dvs. nu este prea specifică cu privire la constrângerile operaționale și obiectivele măsurabile, voi începe cu câteva sugestii foarte ample:

• depuneți mult efort pentru a asigura asta schimbări la lista „cine are acces” se poate acționa în mod corespunzător - nu contează dacă reușiți să o asigurați acum, dacă nu îmbunătățiți fundamental modul în care ați putea face față acum acreditărilor compromise
• încercați să eliminați cea mai mare parte sau toată autentificarea parolelor pe orice sistem multi-utilizator și, în schimb, faceți ca toată autentificarea să se facă de pe tablete/laptop-uri personale prin autentificare nereplayabilă, cum ar fi cheile ssh
• investigați cu atenție dacă vreunul dintre următorii pași ai ghiontului face mai dificil să faci lucrurile într-o manieră sigură și acest lucru îi determină pe oameni să adopte proceduri nesigure
• investigați cu atenție dacă modificările dvs. nu numai că ating operațiunile de zi cu zi, ci și complica sarcinile de recuperare în caz de urgență
• acces mai granular (toată lumea într-adevăr nevoie de acces la toate sisteme sau ar putea fi subdivizate în straturi sau grupuri?)