主页 / server / 问题 / 117437
Accepted
Peter Westlake
Asked: 2010-02-28 03:05:53 +0800 CST

您如何管理大量服务器的密码？

  • 772

考虑到为不同系统设置不同密码的重要性，拥有数千台服务器的数据中心如何管理？目前我只管理几十台机器，但数量趋于增长，尤其是虚拟机。如果您克隆一个虚拟机，它将具有相同的密码，如果这是自动化工作流程的一部分，则没有太多机会更改它。如果您自动更改密码，则需要安全地完成，并且您将回到单点故障。那么，人们是怎么做的呢？

我应该解释说问题不在于密码（有很多密码生成器），而是有一个有效的设置和记录它们的过程，特别是当机器是自动创建的时候。

password password-management

6 个回答

  1. 即使你很难使用 LDAP，大多数系统都有一个 root/superadmin 帐户用于离线身份验证，以防每个 LDAP 实例都关闭。不该发生的事情，迟早会发生。

    在这种情况下， LDAP可能是您的答案，但对于离线 root 管理员密码，您应该使用中央 CMDB、每个服务器的新随机密码，以及用于定期更改这些密码的某种自动化例程，当然还要验证更改已经完成。

    如果你克隆一个虚拟机（我认为你不应该这样做，但那是另一回事），必须执行某些例程，其中一个应该是重置所有密码。

    编辑：回答你的标题“你如何为大量服务器选择密码？” - 你没有。我会对所有服务器使用随机数。真正的问题是如何以及何时发现有人入侵了您的服务器。

    • 4

  2. 我建议不要在机器之间共享密码。如果其中一个被破解，那么您的所有机器都可能受到威胁。但是，如果您喜欢重新安装它们的想法... :)

    我不会使用您可以计算出来的密码，例如主机名、ip/mac 地址等的一部分。就个人而言，我会使用一些旨在以安全方式存储密码的软件，例如Keepass。让keepass为您生成密码。我至少使用 12 个字符，包括数字、大写和小写，但我确实使用了“避免看起来相似的字符”选项，因为有时您必须手动输入密码。

    • 4

  3. 对于这么多系统，通过 LDAP 进行的两因素身份验证可以很好地工作。一个因素是 RSA 安全标识。如果破解者要发现用户密码，他们仍然需要连续生成至少三个 RSA 数字，然后才能复制后代。强密码策略启动。

    • 2
  4. Best Answer

    大多数地方使用两组密码：在线验证和离线密码。在线身份验证通常使用 Kerberos 等身份验证/授权 (AA) 系统完成。每个管理员用户都被分配了适当的令牌和服务器上的访问权限

    对于关键系统的离线管理，root 密码是单独存储的（在我们的例子中是在物理断开的系统中）。记录对密码列表的所有访问，并且用户需要输入检索服务器根密码的动机。以前，离线密码列表是存储在保险箱中的打印列表。

    在配置 VM 时，您通常可以满足于没有任何 root 密码，而只需分配在线身份验证/授权。当您的 AA 服务器离线时，您不太可能需要管理 VM 机器。

    • 1

  5. 我们有一个应用程序作为本地服务运行，它每隔几周选择一个随机密码并更改它。当我们需要使用本地管理员帐户时，我们使用一个门户网站连接到存储散列密码的数据库。

    • 1

  6. 如果您使用的是 debian，则可以

    apt-get install pwgen

    然后，运行

    pwgen -s 10

    您将获得如下密码列表：

    f8v80OYXeI 5MjxYpIIv2 Tm21s5L2Cn OIcli0rFzO baOxEpe76k Lkk4RrnbU0 JxmBJ2INUf
Opz0suRZ3w CItzZfEm2L e2C02fwjYI NG9szPlwiR fhr5IyY1VO 1C8GvLztE5 lYaKJFQ5vh
aAjQLPShN4 w3mMCM5ZGD 58qPYdXpQv 5Ai9vo98Tu O8MEczVUvm ZMnFNJM7Yw xA92RM2SIU
aGKHaR0Ow2 XCKdv966YN pEy1xnll4r 281ffAgBE4 dTCbw5eS0D dUWPqrW7GP yXTuubWHJ1
0nOFEatyuD nSefCV8yRG J7bgHIrEZ3 wDQWtG7QLz AOGGQx1agh zEDUp3Bt4I BS3m3EYf9q
...

    这些是随机选择的 10 个字符的密码，很难暴力破解。（'-s' 使它们随机，pwgen 的默认值是使它们可发音）

    • 0

相关问题