ইসি-পরিচালিত কী জোড়ার জন্য ব্যক্তিগত কী কীভাবে সুরক্ষিতভাবে পরিচালনা করবেন?


8

ইসি 2 উদাহরণ চালু করার জন্য আপনার কী জুড়ি দরকার। আপনি কীভাবে এমন পরিস্থিতিটি পরিচালনা করতে পারেন যেখানে সেই চাবি জুটির প্রাইভেট কীতে প্রবেশকারী এক প্রকৌশলী সংস্থা ছেড়ে চলে যান? উদাহরণস্বরূপ প্রবর্তনের সাথে সাথেই এটি পৃথক এসএসএস অ্যাক্সেস যুক্ত করার এবং প্রাথমিক কী জুটিকে ডিঅথরাইজ করার কাজ করবে?


1
ইসি 2 দৃষ্টান্তের নতুন দৃষ্টান্তগুলি পুনরায় প্রচার করুন এবং পুরাতন কী জুটির সাহায্যে পুরানোগুলি মুছবেন?
sdolgy

উত্তর:


10

যখন কোনও কর্মচারী বা ঠিকাদার সংস্থা ছেড়ে চলে যায়, আপনাকে তাদের সংস্থার সংস্থানগুলিতে যে কোনও সুবিধাযুক্ত অ্যাক্সেস অক্ষম করতে হবে। এটিতে আপনার ssh কী উদ্বেগগুলি অন্তর্ভুক্ত রয়েছে (তবে সীমাবদ্ধ নয়):

  1. সমস্ত চলমান দৃষ্টান্তগুলিতে সমস্ত অনুমোদিত_কিজি ফাইলগুলি থেকে পাবলিক এসএস কীটি সরান। তাদের নতুন সৃজিত জনসাধারণের ssh কী দিয়ে প্রতিস্থাপন করুন যা কেবলমাত্র যাদের কাছে অ্যাক্সেস থাকা উচিত তাদের জানা।

  2. প্রস্থানকারীদের দ্বারা পরিচিত EC2- এ থাকা সমস্ত কী-পেয়ার এন্ট্রিগুলি সরিয়ে ফেলুন যাতে ke কীগুলির সাথে নতুন দৃষ্টান্ত শুরু করা যায় না। তাদের নতুন কী-এয়ার এন্ট্রিগুলির সাথে প্রতিস্থাপন করুন, সম্ভবত একই নামের সাথে যদি আপনার হয়

আপনার প্রস্তাবিত বিকল্প পদ্ধতিটিও বেশ ভাল এবং আমি ব্যবহার করি এটির একটি: প্রাথমিক এসএস কীটি অক্ষম করুন এবং প্রতিটি বিকাশকারীর জন্য পৃথক পাবলিক এসএসএস কী যুক্ত করুন যাতে তারা তাদের সাধারণ বেসরকারী ssh কী দিয়ে লগ ইন করতে পারে। এটি কোনও ভাগ করা অ্যাকাউন্টে লগইন করার জন্য বা প্রতিটি বিকাশকারীকে তাদের নিজস্ব পৃথক ব্যবহারকারী অ্যাকাউন্ট (আমার পছন্দসই) পাওয়ার জন্য করা যেতে পারে।

কোনও কর্মচারী চলে যাওয়ার পরে, আপনাকে কেবল চলমান সার্ভারগুলিই পরিষ্কার করতে হবে না, এমন প্রক্রিয়াটি যা নতুন সার্ভারগুলিতে ssh কীগুলি যুক্ত করে। এবং, যখন কোনও কর্মচারী যোগ দেয়, আপনাকে বিপরীতটি করতে হবে: সার্ভারগুলিতে চলমান সংস্থাগুলি যুক্ত করুন এবং নতুন সার্ভার প্রক্রিয়াটি আপডেট করুন।

প্রচুর সার্ভার জুড়ে প্রচুর এসএস কীগুলি বজায় রাখার জন্য এটি আরও কিছু কাজ হতে পারে তবে সেখানে অটোমেশন আসে।


3

আপনার শেষ ব্যবহারকারীদের জন্য এই ব্যক্তিগত কীটি কখনই দেওয়া উচিত নয়। শেষ ব্যবহারকারীদের লগইন করার নিজস্ব মাধ্যম যেমন পাবলিক কী প্রমাণীকরণ (তাদের OWN পাসওয়ার্ড-সুরক্ষিত ব্যক্তিগত কী ব্যবহার করে), তারপরে এলডিএপি অনুমোদনের ব্যবস্থা করা উচিত।

আপনাকে ec2 দ্বারা প্রদত্ত ব্যক্তিগত কী বিতরণ করা ব্যবহারকারীদের ডি-বিধানের পক্ষে অসম্ভব করে তোলে। ঠিক এই কারণেই সমস্ত সুরক্ষা এবং সম্মতি বিধি দ্বারা ভাগ করা শংসাপত্রগুলির সম্পূর্ণ ব্যবহার নিষিদ্ধ।

আপনি যখন ভাগ করা শংসাপত্রগুলি ব্যবহারের অনুমতি দিন:

  • হোস্টে প্রকৃতপক্ষে কে ছিলেন / তা জানার জন্য লগগুলি ব্যবহার করা অসম্ভব
  • সমস্ত ব্যবহারকারীর ডি-বিধান না করে কোনও ব্যবহারকারীকে ডি-বিধান দেওয়া অসম্ভব (জরুরি অবস্থা অ্যাক্সেস সহ যা ইসি 2 ব্যক্তিগত কী আসলেই রয়েছে)

2

অ্যাক্সেস শংসাপত্রের ঘূর্ণনের বিষয়ে অ্যামাজনের ডকুমেন্টেশন দেখুন ।

আপনি যদি পুনরায় আরম্ভ করতে চান না ... বা কিছু পুনরায় চালু করতে চান তবে পুডেট বা শক্ত এসএসএস স্ক্রিপ্টের মতো কিছু ব্যবহার করতে পুরানো কীটির সমস্ত দৃষ্টান্ত প্রতিস্থাপন করুন।


আমি মনে করি যে তিনি যে অ্যাকাউন্ট কীগুলি ঘোরান পারেন সেগুলি সম্পর্কে কথা বলেন না তবে ssh এ লগ করার জন্য .pem প্রাইভেট কী সম্পর্কে আরও কিছু বলেন।

2
Ssh লগইনটি ~ / .Authorised_keys এন্ট্রি দ্বারা নিয়ন্ত্রিত হয়। এগুলি প্রথমে ইসি 2 লঞ্চ প্রক্রিয়া দ্বারা বদ্ধ হয়, তাই তাদের প্রতিস্থাপন করতে বা পুনরায় চালু করতে পুতুল বা স্ক্রিপ্টিং ব্যবহার করা দরকার।
জেফ ফেরল্যান্ড

ঠিক আছে. আমি জানতাম না :)।

হ্যা, তা ঠিক. সাধারণ অ্যাকাউন্টগুলির জন্য আমি এসডিএসডি এলডিএপি ব্যবহার করতে পারি এবং এভাবে এলডিএপি থেকে কোনও ব্যবহারকারীকে নিষ্ক্রিয় করতে সক্ষম হয়েছি। তবে লঞ্চ কীগুলি এডাব্লুএস দ্বারা পরিচালিত হয়। সুতরাং আমি মনে করি প্রতিটি সার্ভারের অনুমোদিত_কিজ ফাইল থেকে লঞ্চ কী সরানোর পপেট / শেফ সমাধানটি যাওয়ার উপায়। আমি মনে করি যে আমি প্রতিটি অ্যাডমিনের নিজস্ব AWS লঞ্চ কীটিও চাই, তাই আমি একবারে কেবলমাত্র একক ব্যবহারকারীর অ্যাক্সেস অপসারণ করব।
জেফ

@ জেফ যদি এসএসএইচ এলডিএপি রেফারেন্স এবং অনুমোদিত_কিগুলি উপেক্ষা করার জন্য কনফিগার করা থাকে তবে লঞ্চ কী কেবল উদাহরণ লঞ্চ এবং সমাপ্তি নিয়ন্ত্রণ করার জন্য গুরুত্বপূর্ণ। এটি আপনি কীভাবে আপনার চিত্র তৈরি করেন তার উপর নির্ভর করে।
জেফ ফেরল্যান্ড
আমাদের সাইট ব্যবহার করে, আপনি স্বীকার করেছেন যে আপনি আমাদের কুকি নীতি এবং গোপনীয়তা নীতিটি পড়েছেন এবং বুঝতে পেরেছেন ।
Licensed under cc by-sa 3.0 with attribution required.