personeel en ssh toegang

[easy2host]

Tot de dag van vandaag wordt het beheer van onze servers en server van klanten door mij of één van mijn vennoten gedaan, echter willen we sommige dingen ook door personeel laten uitvoeren.

Hoe pakken jullie dit aan? geven jullie personeel gewoon root wachtwoorden etc? Wij willen niet dat als er een personeelslid weggaat wij alles moeten aanpassen.

Wij hebben een intern netwerk tussen alle servers dus hierop zouden wij een VPN router kunnen zetten om vervolgens toegang te krijgen tot SSH (en dan ssh naar de buitenwereld afsluiten) Maar ook klanten willen zelf wel eens via ssh naar binnen met root en ik heb geen zin om dan ook VPN gebruikers hiervoor te gaan aanmaken.

Via welke manier werken jullie?
Het gaat om zowel linux/freebsd als windows machines.

[VanderToorn]

Op zich komt het niet vaak voor maar als het voorkomt kan je natuurlijk een temp root pass aanmaken voor beheerder die hem gaat beheren

[RobinJB]

http://www.digipasspack.com/remote_network.html

Zo kan het ook

[Mark17]

Je kunt ook werken met SSH keys. Dan heb je geen wachtwoord nodig om in te loggen en zolang deze veilig op een systeem staan op kantoor en je personeel gebruikt dit systeem dan is het relatief veilig. Je personeel kan wel nog steeds het root wachtwoord aanpassen.

[Pur]

Ook kwestie wellicht van je personeel gewoon vertrouwen.

Wij werken in ieder geval met SSH keys (dus geen wachtwoorden op de accounts) en waar nodig su'en naar root. Het aanpassen van alle root wachtwoorden is ook niet overdreven veel werk (als in het is goed te automatiseren). En bovendien gebruiken we een "stepping stone". Via dat systeem kun je alle servers bereiken. Gaat er iemand weg heb je voldoende aan iemand daar te disablen / verwijderen.

Anderen kiezen weer om via sudo te werken en ook restricties op te leggen op wat uitgevoerd mag worden.

[DiedX]

Dus feitelijk gezien zegt TS dat hij rootwachtwoorden nooit veranderd?

Ik zou serieus eens kijken naar kerberos als ik jou was.

[Desmond]

Je personeel een eigen root account geven op het netwerk en verwijderen als hij weg gaat ?

[t.bloo]

Dus feitelijk gezien zegt TS dat hij rootwachtwoorden nooit veranderd?

Dat vroeg ik me ook af ja...


Het allerminimaalste dat je toch kunt doen is regelmatig wachtwoorden veranderen en op het prikbord ophangen, zodat de systeembeheerders er bij kunnen.

[hspaans]

Dus feitelijk gezien zegt TS dat hij rootwachtwoorden nooit veranderd?

Ik zou serieus eens kijken naar kerberos als ik jou was.

Waarom zou je een wachtwoord wijzigen als het er niet is of als het account gewoon niet over de juiste rechten beschikt?

En waarom zou je nog root uitdelen als je heel goed met RBAC mensen bijvoorbeeld rechten kan geven die bij hun takenpakket horen. Op Linux/BSD kan je dit al aardig met sudo bereiken, maar als het wat geld mag kosten dan kan ik wel BoKS aanraden.

[easy2host]

Het is niet een kwestie van het personeel niet vertrouwen, ik heb geen zin om wachtwoorden aan te gaan passen op x honderd servers als personeel de vloot verlaat.

Het liefst geef ik een personeels lid een eigen ww en gebruikers naam en hem overal laten inloggen zonder verdere wachtwoorden, als die dan de vloot verlaat weet die A niet de wachtwoorden en B kan ik hem uit de config gooien ;-)

dit kan met SSH keys toch?

[Randy]

Ron,

De makkelijkste en goedkoopste oplossing zijn keys. Een ander alternatief is een radius-server met tokens. De laatste zijn verkrijgbaar vanaf ~19 euro per stuk.

Keys zijn het makkelijkste. Voor iedere medewerker een key. Met Rsync zorg je dat alle keys van een centrale server komen. Gaat de medewerker weg of heeft de freelancer zijn klus erop zitten, key verwijderen en je hoeft je geen zorgen meer te maken.
Let wel: Met een key kun je nog steeds een rootpass wijzigen! Een token is dus veel veiliger, zoals je van o.a. telebankieren kent.

Zelf gebruiken we keys om werkzaamheden aan servers van derden te verrichten, zie ook: http://support.eliveldnetworks.nl/in...&kbarticleid=4

[mdf]

Wij gebruiken RSA SecurID authenticatie om een vpn op te zetten. Vervolgens SSH keys om in te kunnen loggen op machines en sudo om root te kunnen worden.
Zo kun je gemakkelijk mensen al dan geen toegang geven en wel of geen root rechten geven.

[DiedX]

Met de antwoorden van TS zou ik inderdaad voor Radius of Kerberos gaan. Wat ik me afvraag (nog steeds!): als er meer dan 200 servers zijn, waarom dan niet wachtwoorden veranderen? Lijkt mij een minimale vereiste!

[mdf]

Als je gebruik maakt van RSA tokens, certificaten of SSH keys en is dat toch helemaal niet nodig. Dmv. CVS en cfengine bijv. kun je heel gemakkelijk users toevoegen op systemen en eventueel ook aan bijv. de sudoers file.
Ook een matrix (eventueel gekoppeld met wat scripting aan cvs/cfengine) met rechten voor verschillende gebruikers kan erg handig zijn.

[Xolphin]

Wachtwoord van root zou je zelf niet eens moeten gebruiken, gewoon alles via SUDO doen. En in plaats van een RSA token kun je ook een stukje (ingesealed) papier gebruiken:
http://www.cl.cam.ac.uk/~mgk25/otpw.html

Batterij is niet nodig en het kan amper stuk. Idiaal .