security - 如何在分布式系统中管理用户(资源访问、身份验证)？

Question

需要帮助管理我们系统上的开发人员身份验证。我们有多个 CentOS 服务器(数据库、Web、Redis 等)，能够以集中且(希望如此)简单的方式控制对它们的访问非常重要。我们现在使用的是authorized_keys 文件，我们从开发人员生成的 key 中复制 key 数据。然而，这不是那么可扩展和灵活，因为每当有人进入/离开团队时，我们都需要更新多个服务器。

我们可用的一种可能性是在sshd 重新启动之前将一个集中文件复制到每台服务器。然而，在我投入时间实现之前，我有兴趣找出是否有更好的模式或替代方法来做到这一点。

验证多个用户的常用模式是什么，特别是在多服务器环境中？该解决方案的优点是还允许我们定义某种角色来封装访问(即前端开发人员可能不需要访问数据库服务器，作为一个非常人为的示例)。

非常感谢!

Answer 1

对于集中式身份验证方法，您应该查看 an OpenLDAP solution 。这允许建立用于身份验证的组织结构，与 SSH 和 PAM 后端相结合将允许对用户进行集中管理。至于您的角色问题，您可以利用 LDAP 组并将它们与 SSHD 配置中的 AllowGroups 指令结合起来，以允许此类访问(假设 SSH 使用 UsePAM 设置)。