আমার সংস্থায় আমরা সমস্ত মেশিনে একত্রে একাউন্টের সেট রাখতে LDAP ব্যবহার করি এবং তারপরে authorized_keysসমস্ত সার্ভারের মধ্যে প্রতিটি ব্যবহারকারীর জন্য ফাইল বিতরণ করতে একটি কনফিগারেশন ম্যানেজমেন্ট সরঞ্জাম (আমাদের ক্ষেত্রে বর্তমানে সিএফিনজিন) ব্যবহার করি। মূল ফাইলগুলি নিজেরাই (অন্যান্য সিস্টেম কনফিগারেশন তথ্যের সাথে) গিট সংগ্রহস্থলে রাখা হয় যাতে কীগুলি কখন আসে এবং যায় তা আমরা দেখতে পারি। সিএফেনিজিন এমন একটি sudoersফাইল বিতরণ করে যা নিয়ন্ত্রণ করে যে প্রতিটি হোস্টে রুট হিসাবে কী চালাতে অ্যাক্সেস রয়েছে, ব্যবহারকারী এবং এলডিএপি ডিরেক্টরি থেকে গ্রুপগুলি ব্যবহার করে।
পাসওয়ার্ড প্রমাণীকরণ পুরোপুরি আমাদের উত্পাদন সার্ভারগুলিতে অক্ষম করা হয়েছে, সুতরাং এসএসএইচ কী প্রমাণীকরণ বাধ্যতামূলক। নীতি প্রতিটি ল্যাপটপ / ডেস্কটপ / যাই হোক না কেন এবং হারিয়ে যাওয়া / চুরি হওয়া ল্যাপটপের প্রভাব হ্রাস করতে সমস্ত কীগুলিতে একটি পাসফ্রেজ ব্যবহার করে আলাদা কী ব্যবহার করে উত্সাহ দেয়।
আমাদের কাছে একটি বেসিক হোস্টও রয়েছে যা উত্পাদন নেটওয়ার্কে হোস্টগুলিকে অ্যাক্সেস করতে ব্যবহৃত হয়, যা আমাদের সেই নেটওয়ার্কের চারপাশে খুব সীমাবদ্ধ ফায়ারওয়াল নিয়ম করতে দেয়। বেশিরভাগ প্রকৌশলীদের এটিকে স্বচ্ছ করতে কিছু বিশেষ এসএসএইচ কনফিগারেশন রয়েছে:
Host prod-*.example.com
User jsmith
ForwardAgent yes
ProxyCommand ssh -q bastion.example.com "nc %h %p"
একটি নতুন কী যুক্ত করা বা একটি পুরাতন মুছে ফেলার জন্য এই সেটআপটিতে কিছুটা অনুষ্ঠানের প্রয়োজন। আমি যুক্তি দিয়েছিলাম যে একটি নতুন কী যুক্ত করার জন্য এটি একটি অপারেশন হওয়া বাঞ্ছনীয় যা নিরীক্ষার পথ ছেড়ে দেয় এবং সবার কাছে দৃশ্যমান। যাইহোক, ওভারহেড জড়িত থাকার কারণে আমি মনে করি যে লোকেরা কখনও কখনও কোনও পুরানো কীটি যখন প্রয়োজন হয় না তখন এটি মুছে ফেলতে অবহেলা করে এবং কোনও কর্মচারী যখন সংস্থাটি ছেড়ে যায় তখন পরিষ্কার করার ব্যতীত আমাদের এটি অনুসরণ করার কোনও সত্যিকারের উপায় নেই। নতুন ইঞ্জিনিয়ারকে ऑन-বোর্ডিং করার সময় এটি কিছু অতিরিক্ত ঘর্ষণও তৈরি করে, যেহেতু তাদের জন্য একটি নতুন কী তৈরি করা দরকার এবং তারা পুরোপুরি উত্পাদনশীল হওয়ার আগে এটি সমস্ত হোস্টের সামনে ফেলে দেওয়া হয়েছে।
তবে সর্বাধিক উপকার হ'ল প্রতিটি ব্যবহারকারীর জন্য পৃথক ব্যবহারকারীর নাম রাখা, যা আমাদের প্রয়োজন হলে আরও দানাদার অ্যাক্সেস নিয়ন্ত্রণ করা সহজ করে তোলে এবং প্রতিটি ব্যবহারকারীর এমন একটি পরিচয় দেয় যা নিরীক্ষণ লগগুলিতে প্রদর্শিত হয়, যা ট্র্যাক করার চেষ্টা করার সময় সত্যই কার্যকর হতে পারে প্রোডাকশন ইস্যুটি একটি সিসাদমিন ক্রিয়াতে ফিরে আসে।
এই সেটআপের অধীনে স্বয়ংক্রিয় সিস্টেমগুলি যা প্রোডাকশন হোস্টের বিরুদ্ধে ব্যবস্থা গ্রহণ করে, তা তাদের বিরক্তিকর, যেহেতু তাদের "সুপরিচিত" এসএসএইচ কীগুলি বিকল্প অ্যাক্সেসের পথ হিসাবে কাজ করতে পারে। এখনও অবধি আমরা এই স্বয়ংক্রিয় সিস্টেমগুলির ব্যবহারকারীর অ্যাকাউন্টগুলিতে কেবলমাত্র তাদের কাজ করার জন্য প্রয়োজনীয় ন্যূনতম অ্যাক্সেস পেয়েছি এবং স্বীকার করেছি যে কোনও দূষিত ব্যবহারকারী (যা ইতিমধ্যে উত্পাদন অ্যাক্সেস সহ প্রকৌশলী হতে হবে) সেগুলি একই কাজগুলিও করতে পারে আধা- বেনামে অ্যাপ্লিকেশন কী ব্যবহার করে।