使用 SSH 密钥、LDAP 进行多台服务器的集中用户管理？

Question

我的服务器和用户数量不断增长，我想采用中央数据库来管理用户帐户。我正在考虑 OpenLDAP，但我有一个问题。

LDAP 中是否可以以某种方式限制特定用户只能访问某些服务器？例如，我有服务器A、B、C、D和E以及用户1到20。假设用户1-5可以访问服务器B和D，用户6-10可以访问服务器A、B和E，用户11- 20 到所有服务器。我可以在 LDAP 或任何其他中央数据库中以某种方式强制执行此操作吗？

有比 LDAP 更好的解决方案吗？我还想为我的用户集中管理 SSH 密钥。我知道 LDAP 中有一个模式可以执行此操作，但是对于这种情况是否有更好的替代方案？

最好的问候
卡米尔

Answer 1

LDAP 当然可以包含所有不同用户的各种 unix 组，尽管访问限制通常在 SSH（或可能是 PAM）配置文件中完成，因此您还需要可以管理这些配置文件（或 SSH 密钥）的东西在每台单独的机器上。配置管理软件可以做到这一点，如果用户管理和组是通过 LDAP 完成的，也可以取代 LDAP 的使用。您可以尝试将所有内容都放入 LDAP 中，但与混合 LDAP/配置管理或没有 LDAP 所有配置管理设置相比，其效果可能会降低回报。

这里几乎没有什么“更好”，只有在将必要的复杂性推入 LDAP 和其好处/问题之间进行权衡（有人曾经指出公司 LDAP 的网站，它融化了公司 LDAP，然后没有人可以登录或查看 wiki 或检查仪表板...欢闹！），或配置管理和好处/问题，或两者的混合......