SSH公開鍵を配布するシステム

複数の人が管理するさまざまなシステムがあります。これらのシステムにアクセスするには、SSH公開キー認証を使用することにしました。管理アカウントのパスワードを管理または共有する必要がなく、さまざまなシステムへのパスワードを覚える必要がない（プライベートキーへのパスフレーズのみ）、すべてのリモートコマンドと対話する（パスワードを入力する）必要がないため、これは非常に効果的です。

問題は、システムにインストールされた公開鍵を何らかの方法で管理する必要があることです。人々が行き来し、鍵が危険にさらされ、責任が変化する可能性があります（今日、あるシステムに入ることを許可された人は、明日、別のシステムにアクセスすることを許可される場合があります）。現在、それを必要とするすべてのアカウントで〜/ .ssh / authorized_keysファイルを手動で編集することで管理していますが、それは多くの作業であり、間違いを起こしやすいです。

そのようなシナリオで公開鍵を管理するための準備ができているツールはありますか？独自のソリューションはありますか？または、システムをこのように管理するという考え全体に欠陥があるのでしょうか？

pulegiumで既に述べたように、Puppet、Chef、Bcfg2、またはcfengineなどの一般的な構成管理ソフトウェアは、タスクを達成できます。

以来のauthorized_keysファイルが複雑されていないことを、あなたはまた、使用することができますrsyncのなど（D）SCM gitのか、HGは、このファイルを管理すること。サーバーの1つに「マスター」ファイルがあり、rsync / git / hg /…経由で提供します。他のすべてのサーバーでcronジョブを実行し、マスターコピー（変更されている場合）を定期的に取得して、正しいローカルの場所にコピーします。ちなみに、これは純粋なHTTPまたはFTPでも動作します。

一番下の行は、authorized_keysファイルの「マスター」コピーを1つ持って更新します。「クライアント」（現在のauthorized_keysファイルが必要なコンピューター）がマスターサーバーからそれを取得し、ローカルに展開できるようにします。

OpenSSHには、LDAPサーバーから公開鍵を使用できるようにするパッチがありますが、これは、そのLDAPサーバーに対しても認証/アカウントチェックが行われる場合にのみ意味があります（これは私の環境の設定方法です）。また、LDAP構成と同じくらい安全です（したがって、SSLの使用とキーの検証が必要です）。

パッチおよび詳細については、http：//code.google.com/p/openssh-lpk/を参照してください。デフォルトでこのパッチが付属しているOSは知りませんが、FreeBSDを実行している場合、ポートからOpenSSHを使用する場合のオプションのパッチです。

私は非常に簡単なソリューションを実行しますが、これはファイアウォールルールでも同じです

サンプルファイルhosts.conf：

192.168.0.1
192.168.2.99
192.168.2.100

distribute.sh：

#!/bin/bash
for d in `cat ./hosts.conf`; do
  echo "copying to $d ...";
  scp /root/.ssh./authorized_keys root@$d:/root/.ssh./authorized_keys
done;

それは全体の魔法です:-)

現在、SSH KeyDBをチェックアウトしています。ロール、サーバー、ユーザーの管理、ユーザーキーの配布、ホストキーの収集などを正確に行うためのものです。「ロケーション」と呼ばれるものもあります。

私はまだそれをすべて解決しておらず、完全に機能しているかどうかはわかりません。ただし、コードはpythonであり、かなり管理しやすいようですので、ほこりを払って動作させるのはそれほど難しくないはずです。

多くの人があなたが何を意味するのか分かりませんし、あなたが喜んで変更するかどうかも知りませんが、Kerberosはあなたが探しているドロイドです。これにより、問題がエレガントに解決され、人とマシンの両方が認証されます。

あなたが解決しようとしている2つの（一般に3に変わる）異なる問題があります：

• 認証（あなたは誰ですか？）
• 許可（このサーバーへのアクセスは許可されていますか？）
• 監査（何をしましたか？）

公開鍵認証は、時々認証するのに適切な方法ですが、認証にはまったく対応していません。適切なコントロールがなければ、公開鍵認証は（特に内部的に）非常に簡単に侵害されるため、好きではありません。

そこで、Kerberosのようなソリューションが登場します。Windowsの世界では、Active Directoryがこの問題を解決します。Unixの世界では、選択肢が豊富にありますが、これは良いことでも悪いことでもあります。

Red Hat FreeIPAプロジェクトをチェックしてください。このプロジェクトは、ADに似たKerberos / LDAP / DNSシステムを簡単にすばやく起動して実行できるソフトウェアのバンドルです。

Bcfg2とbcfg2-accountsを使用して配布できますauthorized_keys。追加ボーナスとして、ユーザーとグループを制御することができます。

Bcfg2は、SSHbaseを使用/etc/ssh/ssh_known_hostsした簡単なメンテナンスも可能に します。

SKMもあります