你如何管理服务器的root密码

Question

在我们的管理团队中，每个人都拥有所有客户端服务器的root密码。 但如果其中一名团队成员不再与我们合作，我们该怎么办？ 他仍然拥有我们的密码，每次有人离开我们时我们都必须更改密码。

现在我们使用的是ssh密钥而不是密码，但是如果我们必须使用ssh以外的东西，这没有用。

Answer 1

我运行的系统只有sudo - 唯一的政策。即root密码为*（禁用），人们必须使用sudo才能获得root访问权限。然后，您可以编辑sudoers文件以授予/撤消用户的访问权限。它非常精细，并且具有很多可配置性 - 但具有合理的默认值，因此设置时间不会太长。

Answer 2

我通常建议如下：

1. 使用空白 root密码。
2. 禁用telnet
3. 为无根登录设置ssh（或仅使用公钥进行root登录）
4. 通过将其添加到/ etc / suauth的顶部来禁用su到root：'root：ALL：DENY'
5. 仅在控制台上启用root登录的安全tty（tty1-tty8）
6. 使用sudo进行正常的root访问

现在，使用此设置，所有用户必须使用sudo进行远程管理， 但是当系统严重搞乱时，就没有狩猎了 解锁控制台的root密码。

编辑：提供自己登录的其他系统管理工具也需要调整。

Answer 3

虽然最好使用像Chris建议的sudo政策，具体取决于系统的大小，但ldap方法也可能有所帮助。我们通过一个包含所有root密码的文件来补充它，但root密码真的很长且不可取。虽然这可能被视为安全漏洞，但它允许我们在ldap服务器关闭时仍然登录。

Answer 4

除了sudo政策，这可能更好，没有理由为什么每个管理员都没有自己的帐户与UID 0，但命名不同，使用不同的密码，甚至不同的主目录。只需在他们离开时删除他们的帐户。

Answer 5

我们只是在我们管理的每台机器上更改root密码非常容易，因此当人们离开时我们只是运行脚本。我知道不是很精明，但它有效。在我之前，公司中的每个人都可以访问所有服务器上的root用户。幸运的是，我们远离了那个。

Answer 6

一般来说，如果有人离开我们的团队，我们就不用费心去更改root密码了。要么他们离开了公司（并且因为他们的VPN已经被撤销而无法访问这些机器，他们的徽章访问建筑物，以及他们无线访问网络），或者他们在公司内部的另一个部门并且具有专业性，不会干扰我们的环境。

这是一个安全漏洞吗？也许。但是，实际上，如果他们想要与我们的环境保持联系，他们就会在继续前进之前这样做。

到目前为止，任何离开团队并希望再次访问我们机器的人都会获得许可，即使他们可以在未经许可的情况下继续使用。我认为没有任何理由阻碍我们完成工作的能力，也就是说，没有理由相信其他任何向前和向上移动的人会做出不同的事情。

Answer 7

合理强大的root密码。每个盒子都不同。没有远程root登录，也没有登录密码，只有密钥。

Answer 8

如果您通过证书获得ssh访问权限，则无法通过ssh登录并在需要执行其他需要的操作时通过root或passwd更改sudo passwd密码密码？

Answer 9

我们使用仅限sudo的策略，但仍保留root密码。 root密码仅适用于少数几个员工。我们有一个名为Password Manager Pro的程序，它存储了我们所有的密码，并且还可以提供密码审核。这允许我们返回并查看哪些用户访问了哪些密码。因此，我们只能更改实际需要更改的密码。

Answer 10

SSH密钥没有真正的替代方案。

如果您不想在每台服务器上使用相同的文件，那么要管理许多服务器上的许多authorized_keys文件，您必须实现自己的解决方案。可以通过自己的工具，也可以通过一些配置管理解决方案，如puppet，ansible或类似的东西。

另外，bash或clush行动中的for循环就足够了。

SSH登录以外的任何内容：
对于您运行的基于登录的服务，请使用具有中央后端的某种身份验证。 请注意，如果此后端不可用，任何人都不会做任何工作！

运行群集服务。 不要使用超级duper服务后门帐户进行攻击，以便在出现故障时始终可以访问（例如管理员访问由于配置错误而中断）。无论您监控多少影响此帐户的访问权限或配置更改，这都是“不好的”（TM）。

除了使这个后门正确，你也可以只是集中应用程序，或者至少有一个备用系统定期镜像手头的设置，如果主盒死机，然后可以通过路由更改轻松激活网络。如果这听起来太复杂，那么您的业务要么太小，要么可以停留半天到两天的停机时间。或者你真的讨厌集群，因为缺乏知识，只是在挽救错误的东西。

一般：如果您确实使用某种Active Directory或LDAP集成无法使用的软件，则必须跳过鲨鱼并手动更改密码。

此外，一个专用的密码管理数据库，只能由一个非常精选的少数人直接访问，并且只读给所有其他人，这是非常好的。不要为excel文件烦恼，这些文件缺乏适当的权限管理。在.csv文件上使用版本控制并不能在某个阈值之后切换它。