LINUX.ORG.RU
Форум — Admin  

SSH-авторизация и контроль ключей, очень много серверов.


0

0

Господа!

Парк разросся, персонала стало много, пароли для доступа по SSH стали гемморойным занятием. Сейчас все будут плеваться, почему ключи не используем - согласен, но лучше поздно, чем никогда.

Дано: парк из 100+ серверов. Различные пользователи на них сидят. Нужно: эффективное и удобное решение для авторизации и управления ключами. Быстрое добавление/аннулирование ключей на большом количестве серверов.

Вопросы: а) есть ли уже готовое решение, либо писать скриптики, которые ходят по ~/.ssh/authorized_keys и убивают/добавляют? б) нужно ли вообще смотреть в сторону авторизации по ключам, либо посмотреть в сторону Kerberos, etc?

Буду благодарен за конструктивные советы, спасибо!

← Контроль над действиями пользователя.
Соединения снаружи на серый IP за NATом →

в одну строчку же?

/bin/zsh
for i in 192.168.0.{2..253};ssh-copy-id -i .ssh/id_rsa.pub $i
zolden ★★★★★
()

clusterssh? mussh? sshmenu?

anonymous
()

>посмотреть в сторону Kerberos

не сильно лучше, т.к. в данном контексте .k5login от authorized_keys отличается только размером.

Я нахожу, что проже всего добавить в sshd_config «AuthorizedKeysFile /etc/где/то/там/%u.pub», тогда бегать по каталогам уже не придётся. Останется вычислить, кому на какой сервер можно.

DonkeyHot ★★★★★
()
Ответ на: комментарий от drull

Интересная мысль, но возникают вопросы: 1) можно ли в таком случае сделать маппинг UID-ов? я хочу через один UID дать доступ нескольким пользователям. 2) какие клиенты SSH поддерживают такую авторизацию? часть пользователей использует оффтопный SecureCRT.

zettich
() автор топика
Ответ на: комментарий от zettich

> 1) можно ли в таком случае сделать маппинг UID-ов? я хочу через один UID дать доступ нескольким пользователям.

Можно. Но проще использовать группы.

2) какие клиенты SSH поддерживают такую авторизацию?


Любые. Клиент не имеет никакого отношения к тому что сервер будет проверять его пароль не по файлу shadow, а в лдапной базе.

drull ★☆☆☆
()
Вы не можете добавлять комментарии в эту тему. Тема перемещена в архив.
← Контроль над действиями пользователя.
Admin
Соединения снаружи на серый IP за NATом →