Dotaz: Centrální managment klíčů

[NeviSiRady]

Ahoj,

prosím o radu.

Jde mi o nějaký centrální managment uživatelů - resp. každý je v daném případě admin.

LDAP je zbytečně komplikované, tak jsem se asi rozhodl pro centrálně uložené klíče - svazány s admin účtem.

Otázkou je, ale jak co nejlépe a nejbezpečněji realizovat distribuci těchto klíčů na desítky serverů - optimálně automaticky.

Věřím, že tohle už někdo řeší, takže se rád zeptám na vaše nápady. Mě napadl rsync nebo případně stažení klíčů z http v zip a rozbalení... ale asi to není nejlepší..

Díky

Pavel

Odpovědi

[alkoholik]

Koukam, ze mas dost specificke vnimani pojmu "zbytečně komplikované".
Radsi za pul dne nainstaluju LDAP nez bych tyden vymyslel nestandartni a zbytecne komplikovane reseni.

[Jendа]

A ono už OpenSSHd umí cucat klíče z LDAPu? Ještě nedávno se to muselo patchovat.

Tazatel: starší cesta je prostě to na ty servery SCPčkovat (HTTP bych radši nepoužil, když už, tak HTTPS). Nové OpenSSH umí PKI a CA, takže by mělo jít klíče uživatelům prostě podepsat. Oskar o tom psal na Rootu.

[alkoholik]

Ne, v LDAPu by normalne autorizoval hesla pres PAM.
A kdyby chtel SSO, porad muze zkusit Kerberos.

[Jendа]

Mně z dotazu přijde, že chce spravovat SSH klíče…

[xkucf03]

To není ekvivalentní, protože ti musí fungovat spojení s LDAPem – z tohoto důvodu může být lepší kopírovat klíče na jednotlivé servery – pak jsou nezávislé. Případně dát na každý server LDAP repliku.

[Jary]

Klíče, ale i jiné věci se dají provisionovat pomocí SaltStack

také existuje Puppet & Foreman a Chef a jiné configuration management nástroje.

[bluemoon]

Nakonec zjistis, ze i ten LDAP je zbytecne slozity pro mnoho uzivatelu, ktery chteji mit vsecno jednoduchy. Nakonec jsem zjistil, ze i ve velkych firmach, kde zpracovavaji osobni a citlive udaje je jednodussi, kdyz maji vsichni pristup k temto udajum. Zabijel bych za to a ty si s tim lames hlavu?