как Вы управляете паролями root серверов

Системы, которые я выполняю, имеют sudo - только политика. т.е. пароль root * (отключен), и люди должны использовать sudo для получения корневого доступа. Можно тогда отредактировать Ваш sudoers файл для предоставления/отменения доступа людей. Это очень детализировано, и имеет большую конфигурируемость---, но имеет разумные значения по умолчанию, таким образом, это не займет у Вас много времени для установки.

Я обычно предлагал бы следующее:

1. Использование пароль root пробела .
2. Отключают Набор telnet
3. ssh для no-root-login (или корневой вход в систему только открытым ключом)
4. Отключают su для укоренения путем добавления этого к вершине/etc/suauth: 'root:ALL:DENY'
5. Включает безопасный tty для корневого входа в систему на консоли только (tty1-tty8)
6. Использование sudo для нормального корневого доступа

Теперь тогда с этой установкой, все пользователи должны использовать sudo для удаленного администратора, но когда система серьезно испорчена, нет никакого поиска для пароля root для разблокирования консоли.

РЕДАКТИРОВАНИЕ: другим инструментам системного администрирования, которые обеспечивают их собственные логины, также будет нужна корректировка.

В то время как это - хорошая идея использовать sudo только политика как Chris, предложенный в зависимости от размер Вашей системы, подход ldap может также быть полезным. Мы дополняем это файлом, который содержит все пароли root, но пароли root действительно долги и ненезабываемы. В то время как это можно считать дефектом безопасности, он позволяет нам все еще входить в систему, если ldap сервер снижается.

Кроме sudo политики, которая, вероятно, лучше, нет никакой причины, почему у каждого администратора не могло быть их собственной учетной записи с UID 0, но названный по-другому, с различным паролем и даже различным корневым каталогом. Просто удалите их учетную запись, когда их не стало.

Мы просто сделали действительно легким изменить пароли root на каждой машине мы admininster поэтому, когда люди уехали, мы просто выполнили сценарий. Я знаю не очень опытный, но это работало. Перед моим временем у всех в компании был доступ для укоренения на всем сервере. к счастью мы переехали от этого.

Вообще говоря, если кто-то оставляет нашу команду, мы не потрудились изменять пароли root. Любой они покинули компанию (и не имейте никакого способа больше получать доступ к машинам, поскольку их VPN была отменена, как имеет их доступ значка к зданию и их беспроводной доступ к сети), или они находятся в другом отделе в компании и имеют профессионализм для не завинчивания с нашей средой.

действительно ли это - дыра в системе безопасности? Возможно. Но, действительно, если бы они хотели завинтить с нашей средой, они сделали бы так до хождения дальше.

До сих пор, любой оставляющий команду, которая хочет получить доступ к нашим машинам снова, всегда спрашивал разрешение, даже при том, что они могли преуспеть без разрешения. Я не вижу оснований для воспрепятствования нашей способности получить работу, сделанную, т.е. никакая причина верить кому-либо еще перемещающемуся вперед, и вверх сделал бы по-другому.

Довольно сильный пароль root. Отличающийся на каждом поле. Никакие удаленные корневые логины и никакие пароли для логинов, только ключи.

Если у Вас есть ssh доступ с помощью Ваших сертификатов, разве Вы не можете зарегистрироваться на пути ssh и измениться root пароль через passwd или sudo passwd, когда необходимо сделать что-то еще, что требует пароля?

Мы используем sudo только политика, где я работаю, но пароли root все еще сохранены. Пароли root только доступны выбору немного сотрудников. У нас есть программа под названием Менеджер паролей Pro, который хранит все наши пароли и может обеспечить аудиты пароля также. Это позволяет нам возвращаться и видеть, к каким паролям получили доступ который пользователи. Таким образом мы в состоянии только изменить пароли, которые на самом деле должны быть изменены.