管理 SSH 密钥

Question

我们有大约 2500 台 Linux 服务器。我们有一个 Jumpstart 服务器，我们可以从它 SSH 到任何服务器以执行系统管理员相关的任务。我们已经部署了一个私钥，并将匹配的公钥部署到了所有服务器，但这是一个巨大的安全威胁。

我们希望为每台服务器部署不同的密钥，但这会创建大量密钥并使其难以管理。请建议处理许多服务器和密钥的正确方法。

Answer 1

FreeIPA 在 SSH 密钥管理方面做得很好。我在家里成功地使用了它，但许多企业在生产中使用它（freeipa-users 邮件列表非常活跃）。它是基于红帽身份管理解决方案的上游免费软件项目。还有 Red Hat 开发人员在 freeipa-users 邮件列表上进行审核和帮助。

基本上，它是一种用于 Unix/Linux 环境的类似于 Active Directory 的服务。它还可以与 AD 同步。它具有 *nix 原生功能，如 NFS 自动挂载、集中式 sudo 策略等。

每个用户都可以将其 SSH 密钥添加到其 FreeIPA 配置文件中。然后可以将 sshd 配置为使用 sssd 包提供的 AuthorizedKeysCommand，该包将被配置为查询 FreeIPA 服务器。结合 sudo 策略，您可以获得权限提升和审计（谁被 sudo 访问过）。

作为一个 RedHat 项目，它是单线安装在 Fedora 或 CentOS 上，但我已经成功地将 debian box 安装和配置为 FreeIPA 客户端。不过，我在 Fedora 服务器上安装了身份验证服务器，这是其本机支持的平台。

http://www.freeipa.org/page/Main_Page

Answer 2

如果您没有预算限制，请选择专有解决方案，例如 Dell TPAM 或 Cyber​​ark（我都不喜欢它们）

否则，您可以通过 ssh-agent 或 gpg-agent 为每个用户使用一个 SSH 密钥