gerenciamento de certificado central para acesso ao servidor

Question

Estou encarregado de realizar algo semelhante a isso:

Somos uma startup que está se expandindo rapidamente. Nossa equipe de desenvolvimento aumenta quase todos os meses por 3-5 desenvolvedores. Nossa infra-estrutura agora consiste de 20 servidores web com vários sistemas de software de portal que executam aplicativos baseados em php, como wordpress, joomla e assim por diante, ou tecnologia de backend baseada em mola (java).

Agora, somos cerca de 35 desenvolvedores trabalhando no wordpress, no joomla (os portais) ou no back-end.

Como de costume, às vezes alguém sai e teríamos que alterar todas as senhas que ele conhecesse.

Eu quero de outra forma:

Cada desenvolvedor recebe um certificado para acessar os servidores. Se alguém sair, podemos facilmente revogar a chave correspondente e ele não terá mais acesso aos servidores.

Existe algum software lá fora para gerenciar esses certificados, por exemplo, como replicá-lo para todos os servidores?

Obrigado por qualquer ajuda!

    

Answer 1

Existem várias maneiras de arquivar isso:

Primeiro, você pode usar algum serviço de diretório como o OpenLDAP (que é algo semelhante ao Windows Active Directory). Só não use nenhuma conta local e bloqueie a conta do ldap quando a pessoa sair. Eu não tenho certeza se o ldap pode lidar com chaves ssh, mas pode facilmente configurar contas de usuário (nome de usuário + senha + grupos) facilmente.

Em segundo lugar, você pode usar alguma ferramenta de gerenciamento de configuração como fantoche, cfengine ou chef ou algo assim.

Por fim, acredito que é melhor evitar ter contas em máquinas ao vivo para desenvolvedores "comuns". É melhor ter algo como construir / implementar uma máquina e usar ferramentas diferentes para implantação / monitoramento / etc, o que não exige que cada desenvolvedor tenha uma conta em cada máquina.

PS: Acredito que é hora de você considerar a contratação de pessoa de operações.