Czy centralna lokalizacja dla kluczy autoryzowanych to dobry pomysł?

Jestem w trakcie konfigurowania serwera w chmurze do uruchamiania następującego stosu: Ruby, Passenger, Apache; pod Ubuntu 10.04 (Lucid Lynx).

Chcąc ułatwić zarządzanie serwerem, konfiguruję klucze RSA rooti www-datamogę sshwejść na serwer. To, co się nie podoba to, że www-datajest .sshkatalog siedział w /var/wwwktórym jest domyślny katalog instalacyjny dla apache. Martwię się, że jeśli apache nie zostanie poprawnie skonfigurowany, .sshkatalog może zostać ujawniony.

Natknąłem się na rozwiązanie, aby przenieść ~/.ssh/authorized_keysplik do centralnej lokalizacji, zmieniając AuthorizedKeysFilesię /etc/ssh/sshd_config. Zawiera 2 zalety: jedną lokalizację dla kluczy i nie musisz się martwić o złą konfigurację apache. Jedynym oszustwem, o którym myślę, jest to, że teraz każdy użytkownik jest dostępny do logowania na serwerze (wyraźnie obosieczny miecz centralnego pliku klucza).

Czy jest coś, czego mi brakowało w tej konfiguracji? Czy sam się naraziłem, czy jest to lepsze rozwiązanie niż pojedyncze authorized_keyspliki?

Jestem zielony, jeśli chodzi o zarządzanie serwerami, ale jestem całkowicie gotowy nazywać się złymi nazwiskami za robienie złych rzeczy. :RE

Wszystkie pliki kluczy można scentralizować w tym samym katalogu i nie mieszać w tym samym pliku.

Po prostu skonfiguruj sshd_configplik w ten sposób:

AuthorizedKeysFile  /etc/ssh/authorized_keys/%u

Na twoim serwerze:

• Klucze www-data będą włączone /etc/ssh/authorized_keys/www-data
• klucze root będą w /etc/ssh/authorized_keys/root

Jeśli chodzi o prawa dostępu, te ustawienia są akceptowane przez sshd:

/etc/ssh/authorized_keysjest własnością root:rooti ma tryb 755. Pliki kluczy są własnością root:rooti mają tryb 644.

Inne tryby mogą działać, ale ich nie testowałem.

Ogólnie rzecz biorąc, nie zrobiłbym tego, co sugerujesz. Łamie typowe założenia (takie jak ~/.ssh/authorized_keyspraca dla użytkowników i wprowadza problemy, o których już wspomniałeś w swoim pytaniu. Jeśli zobaczysz rażące problemy przed wdrożeniem, oznacza to, że twoje rozwiązanie nie jest idealne.

Jeśli chodzi o bezpieczeństwo, myślę też, że POWAŻNY jest pomysł, aby wszyscy mieli wspólne konto usługowe: w tej chwili to tylko Ty i wiesz, że to Ty wprowadzasz zmiany. Za 5 lat, kiedy masz 5 administratorów, będziesz chciał wiedzieć, kto co zmienił, i przeglądając dzienniki kontroli, aby zobaczyć, kto używał tego klucza, gdy jest to królewski ból.
Lepiej jest, aby ludzie logowali się jako sami i używali sudoczegoś podobnego do zwiększania swoich uprawnień i robienia wszystkiego, co powinni.

Jeśli nadal chcesz scentralizować klucze SSH, sugeruję zajrzenie do systemu wdrażania, takiego jak Puppet lub radmind, aby zarządzać authorized_keysplikami / dystrybuować je do odpowiednich ~user/.ssh/katalogów (lub zhackować domowe rozwiązanie, które SCP umieszcza je na miejscu).
Po przejściu na wiele serwerów możesz zajrzeć do łaty klucza publicznego LDAP dla starszych wersji OpenSSH (lub AuthorizedKeysCommanddyrektywy i odpowiedniego skryptu w nowszej wersji OpenSSH), abyś mógł scentralizować użytkowników i nie musiał dystrybuować ich klucze w całej sieci, ale prawdopodobnie będzie to dla ciebie dość daleko.