允许紧急访问托管工作人员的策略

Question

我正在地球另一端的新托管中心设置服务器。他们为我安装了操作系统并向我发送了 root 密码，因此显然对他们有很大的信任。

但是，我很确定我不希望他们定期拥有我的 root 密码。无论如何，我打算只允许基于密钥的登录。

但是，在某些情况下，让他们的技术支持通过物理终端登录可能会很有用。例如，如果我以某种方式弄乱了防火墙设置。

• 我应该为此烦恼吗？
• 我是否应该使用一次性密码设置一个 sudoer 帐户，如果我使用它，它会改变吗？
• 是否有处理此类事件的通用策略？

Answer 1

好吧，很多显然取决于案例的具体情况，但您应该记住，通过物理访问机器，他们实际上可以做任何他们想做的事情。

对此的常见解决方案是通过 sudo 为他们提供一个具有 root 权限的专用维护帐户。然后你可以在你希望他们拥有 root 访问权限时给他们密码。如果你想取消root访问权限，只需更改维护帐户上的密码即可。或者，您可以保留密码，并根据需要通过 sudo 配置启用/禁用 root 权限。

无论如何，您可以将 SSH 配置为仅允许基于密钥的登录。然后维护帐户 + pw 将仅可用于在物理控制台上登录（即使已启用），进一步限制对系统的访问（如果您愿意）。