Как управлять пользователями и ресурсами в среде с несколькими серверами? [дубликат]
Возможный дубликат:
Система для распространения открытых ключей SSH
Нужна помощь в управлении аутентификацией разработчика в нашей системе. У нас есть несколько серверов CentOS (база данных, Интернет, Redis и т. Д.), И важно иметь возможность централизованно контролировать доступ к ним (надеюсь) простым способом. Сейчас мы используем файл authorized_keys, в который мы копируем ключевые данные из ключей, сгенерированных нашими разработчиками. Однако это не так масштабируемо и гибко, поскольку нам нужно обновлять несколько серверов всякий раз, когда кто-то входит / выходит из команды.
Одна из имеющихся у нас возможностей - иметь централизованный файл, который копируется на каждый сервер перед перезапуском sshd .Однако мне интересно узнать, есть ли лучший образец или альтернативный способ сделать это, прежде чем я потрачу время на его реализацию.
Каков обычный шаблон для аутентификации нескольких пользователей, особенно в многосерверной среде? Бонусные баллы за решение, которое также позволяет нам определить какую-то роль для инкапсуляции доступа (т.е. интерфейсным разработчикам может не потребоваться доступ к серверам баз данных, как очень надуманный пример).
Большое спасибо!
I Вначале скажу, что я не администрирую партию машин Linux. Почти у всех моих клиентов есть Active Directory, и я добился хороших результатов, используя pam_krb5 для аутентификации пользователей SSH в AD с использованием Kerberos. Предположительно, вы могли бы развернуть свою собственную инфраструктуру Kerberos (вместо Active Directory) для достижения чего-то подобного.
pam_krb5 для аутентификации пользователей SSH в AD с использованием Kerberos. Предположительно, вы могли бы развернуть свою собственную инфраструктуру Kerberos (вместо Active Directory) для достижения чего-то подобного. Почти у всех моих клиентов есть Active Directory, и я добился хороших результатов, используя pam_krb5 для аутентификации пользователей SSH в AD с использованием Kerberos. Предположительно, вы могли бы развернуть свою собственную инфраструктуру Kerberos (вместо Active Directory) для достижения чего-то подобного.