Bekijk Volledige Versie : personeel en ssh toegang
Tot de dag van vandaag wordt het beheer van onze servers en server van klanten door mij of één van mijn vennoten gedaan, echter willen we sommige dingen ook door personeel laten uitvoeren.
Hoe pakken jullie dit aan? geven jullie personeel gewoon root wachtwoorden etc? Wij willen niet dat als er een personeelslid weggaat wij alles moeten aanpassen.
Wij hebben een intern netwerk tussen alle servers dus hierop zouden wij een VPN router kunnen zetten om vervolgens toegang te krijgen tot SSH (en dan ssh naar de buitenwereld afsluiten) Maar ook klanten willen zelf wel eens via ssh naar binnen met root en ik heb geen zin om dan ook VPN gebruikers hiervoor te gaan aanmaken.
Via welke manier werken jullie?
Het gaat om zowel linux/freebsd als windows machines.
VanderToorn
12/04/08, 08:26
Op zich komt het niet vaak voor maar als het voorkomt kan je natuurlijk een temp root pass aanmaken voor beheerder die hem gaat beheren :)
http://www.digipasspack.com/remote_network.html
Zo kan het ook
Je kunt ook werken met SSH keys. Dan heb je geen wachtwoord nodig om in te loggen en zolang deze veilig op een systeem staan op kantoor en je personeel gebruikt dit systeem dan is het relatief veilig. Je personeel kan wel nog steeds het root wachtwoord aanpassen.
Ook kwestie wellicht van je personeel gewoon vertrouwen.
Wij werken in ieder geval met SSH keys (dus geen wachtwoorden op de accounts) en waar nodig su'en naar root. Het aanpassen van alle root wachtwoorden is ook niet overdreven veel werk (als in het is goed te automatiseren). En bovendien gebruiken we een "stepping stone". Via dat systeem kun je alle servers bereiken. Gaat er iemand weg heb je voldoende aan iemand daar te disablen / verwijderen.
Anderen kiezen weer om via sudo te werken en ook restricties op te leggen op wat uitgevoerd mag worden.
Dus feitelijk gezien zegt TS dat hij rootwachtwoorden nooit veranderd? ;)
Ik zou serieus eens kijken naar kerberos als ik jou was.
Je personeel een eigen root account geven op het netwerk en verwijderen als hij weg gaat ?
Dus feitelijk gezien zegt TS dat hij rootwachtwoorden nooit veranderd?
Dat vroeg ik me ook af ja...
Het allerminimaalste dat je toch kunt doen is regelmatig wachtwoorden veranderen en op het prikbord ophangen, zodat de systeembeheerders er bij kunnen.
Dus feitelijk gezien zegt TS dat hij rootwachtwoorden nooit veranderd? ;)
Ik zou serieus eens kijken naar kerberos als ik jou was.
Waarom zou je een wachtwoord wijzigen als het er niet is of als het account gewoon niet over de juiste rechten beschikt?
En waarom zou je nog root uitdelen als je heel goed met RBAC mensen bijvoorbeeld rechten kan geven die bij hun takenpakket horen. Op Linux/BSD kan je dit al aardig met sudo bereiken, maar als het wat geld mag kosten dan kan ik wel BoKS aanraden.
Het is niet een kwestie van het personeel niet vertrouwen, ik heb geen zin om wachtwoorden aan te gaan passen op x honderd servers als personeel de vloot verlaat.
Het liefst geef ik een personeels lid een eigen ww en gebruikers naam en hem overal laten inloggen zonder verdere wachtwoorden, als die dan de vloot verlaat weet die A niet de wachtwoorden en B kan ik hem uit de config gooien ;-)
dit kan met SSH keys toch?
Ron,
De makkelijkste en goedkoopste oplossing zijn keys. Een ander alternatief is een radius-server met tokens. De laatste zijn verkrijgbaar vanaf ~19 euro per stuk.
Keys zijn het makkelijkste. Voor iedere medewerker een key. Met Rsync zorg je dat alle keys van een centrale server komen. Gaat de medewerker weg of heeft de freelancer zijn klus erop zitten, key verwijderen en je hoeft je geen zorgen meer te maken.
Let wel: Met een key kun je nog steeds een rootpass wijzigen! Een token is dus veel veiliger, zoals je van o.a. telebankieren kent.
Zelf gebruiken we keys om werkzaamheden aan servers van derden te verrichten, zie ook: http://support.eliveldnetworks.nl/index.php?_m=knowledgebase&_a=viewarticle&kbarticleid=4
Wij gebruiken RSA SecurID authenticatie om een vpn op te zetten. Vervolgens SSH keys om in te kunnen loggen op machines en sudo om root te kunnen worden.
Zo kun je gemakkelijk mensen al dan geen toegang geven en wel of geen root rechten geven.
Met de antwoorden van TS zou ik inderdaad voor Radius of Kerberos gaan. Wat ik me afvraag (nog steeds!): als er meer dan 200 servers zijn, waarom dan niet wachtwoorden veranderen? Lijkt mij een minimale vereiste!
Als je gebruik maakt van RSA tokens, certificaten of SSH keys en is dat toch helemaal niet nodig. Dmv. CVS en cfengine bijv. kun je heel gemakkelijk users toevoegen op systemen en eventueel ook aan bijv. de sudoers file.
Ook een matrix (eventueel gekoppeld met wat scripting aan cvs/cfengine) met rechten voor verschillende gebruikers kan erg handig zijn.
Wachtwoord van root zou je zelf niet eens moeten gebruiken, gewoon alles via SUDO doen. En in plaats van een RSA token kun je ook een stukje (ingesealed) papier gebruiken:
http://www.cl.cam.ac.uk/~mgk25/otpw.html
Batterij is niet nodig en het kan amper stuk. Idiaal :).
Je kan bv ook kijken naar BoKS (http://www.foxt.com/products/bacs.html). Users kunnen met hun *eigen* wachtwoord root rechten krijgen, zonder het root wachtwoord te weten.
Passworden / access wordt centraal geregeld (ook die van root) en schaalbaar tot 1000'en servers (o.a. Linux, Solaris, AIX , Windows).
Je kunt dit (zoals hierboven te lezen is) op veel manieren oplossen maar het key-item is natuurlijk dat je klanten en medewerkers een eigen login geeft (als dan niet via een LDAP YP achtige oplossing) en deze login verwijdert zodra men uit dienst gaat. Als je root-login uitschakelt, heeft iemand geen toegang meer tot de machine en heeft evt. kennis van het root-wachtwoord ook weinig zin meer.
Dit is met name handig voor het beheer van servers van klanten, waar je niet altijd oplossingen wilt inzetten (met centrale user-beheer) die je voor eigen servers wel kan inzetten.
Ik moest inderdaad meteen denken aan (open)LDAP. Vanaf 1 plek de accounts van de servers beheren, gaat er 1 weg kost het je geen dag (hoewel je dit zou moeten automatiseren).
Verdere mogelijkheden zijn sudo: als je werknemers alleen bepaalde dingen mogen doen, geef ze dan voldoende rechten op die specifieke mappen, indien ze alles mogen kun je sudo helemaal "open gooien". Let er dan wel op dat iedereen onder user Root werkt, en het dus iets moeilijker is te achterhalen welke idioot bestand X heeft aangepast ;) --> zoek logging functies
Weet niet of het al genoemd is maar je kunt ook Wheel accounts maken (dus elk persoon heeft dan zijn eigen login account). Mocht dan iemand weg gaan of ontslagen worden hoef je maar het wheel account te verwijderen en hij/zij heeft geen SSH toegang meer.
Weet niet of het al genoemd is maar
Je zou ook eerst de thread even door kunnen lezen voordat je antwoord geeft...
Zijn er hier ook mensen die voor dit probleem Kerberos gebruiken?
IstantXS ik zou je onderschrift nalopen :) Link klopt niet.