システム管理者のチームはどのようにパスワードを安全に共有していますか？

数百人のパスワードを数人で共有するためのベストプラクティスは何ですか？これらのパスワードは、ミッションクリティカルなデータを保護し、小さなチーム以外には表示されません。

おそらく、企業のイントラネットでホストされるカスタムWebベースのソリューションを作成します。（http://lastpass.comからインスピレーションを得たり、使用したりできます。パスワードの共有はその機能の1つですが、ボリュームによっては機能しない場合があります。）

編集：確かに、最良の解決策は、それらを共有しないでください。クリアテキストパスワードを任意のメディアに保存することは、特に保存する目的がパスワードを共有することである場合は危険です。解決策はほぼ無限にあり、それぞれに関連する危険が伴います。暗号化されたディスクイメージにそれらを配置し、そのイメージを1枚のCDに書き込み、1人の武装警備員のみが開くことができる金庫にCDを入れて、許可された人に写真IDを提示してロックを解除してみませんか？

重要なのは、あなたのシナリオが本当にわからないということです。何百ものミッションクリティカルなパスワードを共有しているのはなぜですか？それらはバックオフィスのイントラネット、VPN用ですか、それとも何らかの理由でプレーンテキストで保管している顧客パスワードですか？同じインストールで共有する必要のある人は全員いますか？暗号化されたCDや印刷されたテーブルのような物理的な転送は、金庫に保存されていますか？それともあなたのシステム管理者は世界中に広がり、それらを共有するための電子的な手段を唯一のソリューションにしていますか？

ベストプラクティスは、パスワードを共有しないことです。sudoなどのツールを使用して、ユーザーが自分のアカウントから必要なアクセスを取得できるようにします。少数のユーザーがいる場合は、必要に応じてそれぞれが独自のアカウントを持つ必要があります。LDAP（Unix / Linux）およびActive Directoryは、共通データベースから複数のサーバーへのアクセスを許可するための優れたソリューションです。

パスワードのコピーを書く必要がある場合は、封印に署名して日付を記入した封筒に入れてください。使用時にパスワードを変更します。パスワードが変更されたら、新しい封筒を封印します。

本当に共有する必要があるパスワードについては、データベースをネットワーク上に保持できるKeepassなどのパスワードツールのいずれかを使用します。複数のプラットフォーム用のクライアントを備えたツールが優れています。複数のデータベースが必要かどうかを検討してください。このデータにアクセスできるすべての人を本当に信頼する必要があることを忘れないでください。

この正確な目的のために、KeePassを使用しました。暗号化されたデータベースファイルにすべてのパスワードを保存する、すばらしい小さなプログラムです。パスワードにアクセスするには、メインファイルとともにキーファイルが必要になるなど、追加のセキュリティ機能があります。これにより、複数のセキュリティ層（キーファイルとデータベースを分離）が可能になり、すべてのユーザーがすべての異なるパスワードで作業できるようになります。たとえば、USBドライブからアプリとキーファイルを実行できますが、ネットワーク上のどこかにデータベースを保存できます。そのためには、ネットワーク共有の資格情報、メインパスワード、およびキーファイルを含む物理USBドライブが必要になります。

数百人のパスワードを数人で共有するためのベストプラクティスは何ですか？

簡単で、これには2つのフレーバーがあります。

1. 単純で単純ではありません。これを行うことを選択した場合、外部の信頼できる機関にパスワード認証を延期し、そこから認証を制御します。

2. しかし、そうすることで、使用するシステム内に記録されていないパスワードまたはセキュリティトークンを持つ外部アクセス制御があります（つまり、パスワードの記録は、可用性が制限されている別のパスワードによって保護されます）。これには多くの問題があります。

これらのパスワードは、ミッションクリティカルなデータを保護し、小さなチーム以外には表示されません。

問題に対処するためにディレクトリサービスと統合する安全な認証サービスを真剣に検討する必要があります。DS / ASの組み合わせにより、すべてのユーザーとデバイスの調停者として機能できる信頼できる「権限」が作成されます。ユーザーアカウントでは、認証で使用される実際のパスワードからアクセスを抽象化できるため、アクセスポリシーからパスワードを簡単に「切断」できます。パスワードの制御は、ユーザーのアカウントの非アクティブ化によるものです。そのため、管理者が辞めた場合は、アカウントを停止するだけで、アクセスは失われます（そのユーザーのパスワードは、アカウントが有効であることを確認するDS / ASの有効性に基づいてアクセスを許可するためです）。

これは、デバイス/プログラムが認証要求を外部ソースに分流できる環境にいる場合にのみ機能するため、解決策ではない場合があります。外部認証に対応できるデバイス/プログラムのかなりの割合がある場合は、数百個のパスワードを管理可能なリスト、たとえば数十個に統合するだけなら、先に進みます。このルートを選択する場合、これに対する既成の、よく知られ、十分にテストされたソリューションがいくつかあります。

• Active Directory。 おそらく最も有名なグループで、認証オプションとしてKerberosを提供し、基本DSにLDAPを提供します。
• Samba / Winbind。 これを「Active Directory Light」と考えてください。ADのすべての機能を取得するのではなく、NT4に基づく古いモデルを取得します（LANMANハッシュを考えてください）。これは、Samba 4のAD統合に取って代わり、おそらく「なくなる」でしょう。
• Novellディレクトリサービス。 私はそれを推薦するほど十分には知りませんが、それがまだ存在することを知っています。多くの政府機関がまだNDSを運営しているので、その「セクター」で仕事をしているのであれば、それはあなたにとって興味深いものです。Novellは最近、NDSをLinuxサービスとして実行するように移植しましたが、それがまだアクティブな製品であるかどうかはわかりません（2005年頃）。
• LDAP + Kerberos。 これは基本的に「ホームグロービング」のActive Directoryであり、「すてきな機能」はすべて削除されています。ただし、これらは安定した成熟したコードベースを備えた既知のコンポーネントでもあるため、これらのサービスの統合は通常、物事を機能させるために必要な「カスタマイズ」の範囲です。
• SSHキー+（ここにシステム管理プログラムを挿入します。おそらくパペット）。 ボード全体にSSHがあり、すべてのデバイスがこの方法でアクセスされる場合にのみ役立ちます。必要に応じてキーを配布して失効させることができ、SSHキーがアクセスを許可するとパスワードは「無関係」になります。puppetのようなシステムを使用すると、コマンドen-masseを発行してSSHキーを追加/無効にすることにより、数百台のマシンを更新できます。
• 上記のいくつかの組み合わせ。

また、どの程度のセキュリティが必要かという質問もあります。「ミッションクリティカル」とは、核弾頭が都市に降り注ぐことを意味するのか、それとも「ミッションクリティカル」とは、ファービーの​​最新の出荷が町に届かないことを意味するのかを指定しなかったことです。リスク/脅威の評価を説明する何かがあれば本当に役立つでしょう。

いくつかのこと：

• 他の人が言ったように、これは悪い考えです。LDAPなどを使用する
• 何らかの理由でこれを行うことにコミットしている場合は、少なくともパスワードを統合します。100個の管理されていないパスワードは、パスワードを更新していないことを意味します。
• 紙の上に保管してください。シートがコピーされたかどうかを判別しやすくするために、スタッフが別の色のインクで紙に署名することを要求します。
• Unixを使用している場合は、S / KEYを使用してワンタイムパスワードを生成します。安全な場所に保管してください。

また、紙のパスワードを安全な場所に置いたり、パスワードを暗号化するという機械的なセキュリティ対策を超える必要があります。成熟したセキュリティモデルを持つ組織がキーと安全な組み合わせをセキュリティで保護する方法について読んでください。あなたがしたいことをすることはお勧めしませんが、あなたがするなら：

• パスワードを使用するユーザーは、パスワードへのアクセスを制御できません。異なる管理チェーンの異なるグループの人々は、金庫や引き出しなどへのアクセスを制御する必要があります。金融グループがある場合は、候補者になる可能性があります。たぶんマーケティングなどのVP
• 金庫が開かれ、誰かがパスワードを所持している場合は、記録されたログが必要です。
• パスワードは、チェックアウト後24時間以内に変更する必要があります。

このような手順は首の痛みですが、人々がより健全な実践を採用するインセンティブとして役立ちます。あなたが私が説明したようなことをしないなら、パスワードをロックする動きを気にしないでください、とにかくあなたはいつか侵害されるからです。

これは古い質問であることは知っていますが、最近、企業のVaultと呼ばれるオープンソースのWebベースのソリューションに出会いました。まだ試してみる機会がありません。

Password Safeというプログラムを使用します。ネットワークドライブにデータベースを設定し、それを必要とするすべてのユーザーにアクセス権と金庫自体へのパスワードを与えると、安全に暗号化されたすべてのユーザー名とパスワードが保存されます。

https://pypi.python.org/pypi/django-pstore/は、共有パスワード（および共有したいその他のデータ）にユーザーごとのGPG暗号化を使用します。サーバーはパスワードを知ることはなく、暗号化されたデータのみを保持します。全員が自分の秘密鍵を使用して、共有秘密を解読します。

システムには権利管理が含まれています。全員が完全にアクセスできるわけではありません。

自己ホスト型ソリューションとしてhttps://passwork.meを使用します。ただし、パスワードをクラウドに保存することもできます。

SPB WalletはゴーストによるPWセーフを使用するために使用していた優れたものですが、SPB Walletを使用すると、ネットワーク共有に同期したり、アプリを入手した場合にiPhoneに同期したりできます。また、パスワードジェネレーターが組み込まれており、単純なパスワードから非常に複雑なパスワードまで生成できます。パスワードがまだアスタリスクで表示されている間にパスワードをコピーすることもできます。そのため、誰かが探している場合は、パスワードを誰にも見せずにコピーして貼り付けることができます。定義された期間アクティビティがなくなると、PCアプリは自動的にロックアウトされます。

もう1つのオプションは、Azure Key Vaultです。これは、秘密を安全に保存し、プログラムによる秘密へのアクセスを許可したり、パスワードを簡単に変更したりすることができます。

私たちのベストプラクティスは、できるだけ少ない量のパスワードを共有することです。

したがって、たとえば、次のようにします。-データベースへのパスワードにルートホームディレクトリでmy.cnfを使用します）-可能な限りldapを使用します（ssh、bmc、switchs、redmine、...）

ただし、この方法を使用できない状況はほとんどありません（rootパスワードなど）。次に、共有ストレージでkeepassを使用しますが、必要なパスワードは10個まで保持します。

とてもいい質問です。他の答えにも興味があります。

これが私がすることですが、最初に可能な限り事前共有キーの使用をお勧めします。ただし、これがWindowsシステムで可能かどうかはわかりません。

パスワードの量は少ないはずなので（可能な場合はキーを使用しています）、NICがないシステムではgpgで暗号化されたプレーンテキストファイルを使用します。（1）物理的なアクセスと（2）パスワードが必要です。

明確にするために編集