Conceder acesso temporário às máquinas Ubuntu 14.04 EC2

Question

Minha empresa pretende contratar um contratante externo para alguns trabalhos de desenvolvimento em nossos servidores EC2. Usamos o Ubuntu acessado usando um arquivo de certificado .pem .

Por razões óbvias, não quero compartilhar minha chave .pem com um estranho - se a chave for perdida, qualquer pessoa na Internet poderá acessar minhas máquinas.

Eu posso adicionar a chave ssh do contratante ao .ssh/authorized_keys em todos os servidores, mas isso seria tedioso e os novos servidores não seriam acessíveis a ele, a menos que eu mude a imagem do servidor de modelo.

Existe uma maneira mais fácil de conceder acesso temporário e revogável a máquinas EC2?

    

Answer 1

Se houver um sistema de autenticação centralizado em vigor:

Sim, isso pode ser feito com bastante facilidade, por razões óbvias. Basta ativar / desativar a conta do contratante no seu sistema de autenticação centralizado (LDAP, Kerberos, AD, ...). Você pode ter uma conta pessoal para esse contratante específico ou decidir usar uma conta genérica de terceiros. O primeiro pode reter a auditoria, se isso for importante.

Se não houver um sistema de autenticação centralizado em vigor:

Crie um par de chaves para o contratado e coloque-o em suas máquinas usando o gerenciamento de configuração de sua preferência. Se você não tem um, você pode usar o ansible ' shell module, que não requer nada no lado do cliente, ou, como último recurso, você ainda pode usar mussh ou escrever algo em torno de ssh-copy-id(1) . Remova a chave, revogue o acesso em sshd_config , ou ambos, assim que ele terminar seu trabalho.