使用 puppet 或 ldap 管理用户？

Question

有多个 答案有效地表明应该使用 ldap 而不是 puppet 来管理实际用户。我倾向于基于缩放的角度来同意。新员工的入职应由支持团队完成，而不是由添加新用户资源的系统管理员完成。

然而，管理 ssh 密钥和授权密钥（以及 sudo 访问和用户配置文件）似乎是 Puppet 的完美工作。

管理每个用户的密钥和配置的标准方法是什么？puppet 可以在这里增加 ldap 吗？如果员工变得无赖，我们需要从 1000 个不同的 authorized_keys 文件中撤销他们的密钥，会发生什么？

Answer 1

我不同意 Graig Watson。

创建帐户副本意味着您在保持它们同步时会遇到问题。身份验证信息的单一来源消除了很多复杂性，并且 LDAP 更容易集成到其他服务（Web、邮件等）中。

在 sudo 访问方面 - 如果您根据组而不是个人配置您的 sudoer，则可以通过 LDAP 轻松控制对设施的访问。它需要更多的前瞻性规划——但从长远来看更容易管理——你管理的是安全策略而不是数据文件。

让 ssh 密钥在其他机器上可用最好通过使用某种网络文件系统来处理 - 它可能是 NF/Samba，但复制或共享文件系统提供相同的目标（具有不同的副作用）。

第一步应该始终是定义您的安全模型 - 允许本地配置为破坏该模型提供了巨大的空间。