Чи є центральним місцем для авторизованих ключів хороша ідея?

Я зараз налаштовую хмарний сервер для запуску наступного стека: Ruby, Passenger, Apache; під Ubuntu 10.04 (Lucid Lynx).

У процесі хочу, щоб зробити сервер легше керувати, я налаштовував ключі RSA root, і www-dataя міг перейти sshна сервер. Те , що я не зробив , як було то , що www-data«s .sshкаталог сидів в /var/wwwякому налаштований каталог по замовчуванням для Apache. Мене хвилює те, що якщо apache не налаштований належним чином, .sshкаталог може бути відкритий.

Я натрапив на рішення , щоб перемістити ~/.ssh/authorized_keysфайл в центрі міста, змінюючи AuthorizedKeysFileв /etc/ssh/sshd_config. Сюди входять два плюси: єдине розташування ключів, і не потрібно турбуватися про погану конфігурацію апаша. Єдине, про що я можу подумати, - це те, що зараз кожен користувач доступний для входу на сервер (очевидно, двошаровий меч центрального ключа файлу.)

Чи є щось, що я пропустив у цій конфігурації? Я над цим піддався, чи це краще рішення, ніж окремі authorized_keysфайли?

Я зелений, коли справа стосується управління сервером, але я повністю готовий називатися поганими іменами за те, що робити погані справи. : D

Усі файли ключів можна централізувати в одному каталозі і не змішувати в одному файлі.

Просто налаштуйте sshd_configфайл так:

AuthorizedKeysFile  /etc/ssh/authorized_keys/%u

На вашому сервері:

• Клавіші www-даних будуть увімкнено /etc/ssh/authorized_keys/www-data
• кореневі клавіші будуть в /etc/ssh/authorized_keys/root

Щодо прав доступу, ці налаштування приймає sshd:

/etc/ssh/authorized_keysналежить root:rootі має режим 755. Ключові файли належать root:rootі мають режим 644.

Можуть працювати інші режими, але я їх не перевіряв.

Взагалі кажучи, я б не робив те, що ви пропонуєте. Це порушує загальні припущення (як, наприклад, ~/.ssh/authorized_keysробота з вашими користувачами) та вводить проблеми, про які ви вже згадували у своєму запитанні. Якщо ви бачите яскраві проблеми перед впровадженням, це означає, що ваше рішення не є ідеальним.

Я також думаю, що це ГОТОВА ідея, щоб усі мали доступ до облікового запису послуги: зараз це лише ви, і ви знаєте, що ви вносите зміни. Через 5 років, коли у вас є 5 адміністраторів, ви хочете дізнатися, хто що змінив, і копаючи журнали аудиту, щоб побачити, хто використовував який ключ, коли болить королівський біль.
Вам краще, щоб люди входили як sudoвласні, і використовували щось подібне для ескалації своїх привілеїв і робити все, що їм потрібно зробити.

Якщо ви все ще хочете централізувати SSH ключі, я пропоную заглянути в систему розгортання на зразок Puppet або radmind, щоб керувати / поширювати authorized_keysфайли у відповідні ~user/.ssh/каталоги (або зламати домашнє рішення, яке SCP встановлює їх на місце).
Під час розширення на декілька серверів ви можете заглянути в патч відкритого ключа LDAP для старих версій OpenSSH (або AuthorizedKeysCommandдирективи та відповідного сценарію в новій версії OpenSSH), щоб ви могли централізувати своїх користувачів і не потрібно розповсюджувати їх. їхні ключі по всій мережі, але це, ймовірно, для вас досить далеко.