如何管理N台linux服务器的root账号

mjwdj

有时候安全不一定完全要靠技术的！

linuxnature

这是个好问题，期待答案

uinion

原帖由 mjwdj 于 2008-7-7 12:14 发表
楼主提到2个问题，
问题一也许可以用rsync来同步密码文件来解决（不过不知道是不是安全，呵呵！）
问题二：用ssh的密钥来登录一个普通用户＋su命令和pam设定使改用户不用密码就能成为root，再限制能够执行su命令的用户，这样比较安全。

还可以考虑限制ssh登录的用户（包括禁止root登录）。

呵呵，
问题一用rsync同步密码文件的方法来解决的思路不错。               如果没有好的方法的，这是最简单的一种方法的。很佩服mjwdj的管理思路。（安全方面问题应该不怕，可以通过IPTABLES限定访问的IP，以及在同步脚本或配置文件上做IP的限制）
问题二还没试过，我觉得都可以试试。哈

有关限制SSH登陆的用户，我们现在使用的方法是在ssh上做了不给root组用户直接登陆的。平时只用普通用户登陆进行维护，只有需要用到root用户去维护时，再su -使用root用户登陆

ruochen

原帖由 uinion 于 2008-7-7 13:26 发表


呵呵，
问题一用rsync同步密码文件的方法来解决的思路不错。               如果没有好的方法的，这是最简单的一种方法的。很佩服mjwdj的管理思路。（安全方面问题应该不怕，可以通过IPTABLES限定访问的IP ...

rsync同步密码文件的方法也只能是没台服务器的密码和用户都是一样的
rsync还不能同步文件的某一行的吧

911csj

帐号密码一致的情况下用expect写个脚本

1. #!/usr/bin/expect -f
   
2. 
   
3. ##=====================================================================================                                    
   
4. # 此脚本用于批量的修改远程的linux AS4服务器的用户密码运行脚本前请先新建一个文件,把
   
5. # 要修改用户密码的Linux 服务器的IP地址输入此文件中,一行一个IP地址.例:      
   
6. #                       192.168.x.x                  
   
7. #                       10.0.x.x                     
   
8. # 用    法:                                               
   
9. # 脚本名 主机IP表 要修改密码的用户名 旧密码 新密码   
   
10. #                                                      
    
11. # 脚本执行完成后会生成一个 update-failed 文件,里面包含了密码修改失败的服务器的IP地址.                  
    
12. ##=====================================================================================
    
13. 
    
14. proc warning {argc hosts} {
    
15.         if {$argc<4} {
    
16.                 send_user "USAGE: command filename user oldassword newpasswd\n"
    
17.                 exit
    
18.         } elseif {[file isfile $hosts]!=1} {
    
19.                 send_user "sorry: File $hosts not found or not in right format!\n"
    
20.                 exit
    
21.                 }        
    
22.         }
    
23. 
    
24. proc login {user IP oldpasswd newpasswd failed} {
    
25. set timeout 20
    
26. set done 1
    
27. while {$done} {
    
28.     expect -re "continue connecting (yes/no)?" {
    
29.             send "yes\r"
    
30.         } -re "$user@$IP\'s password:" {
    
31.             send "$oldpasswd\r"
    
32.         } -re "current*" {
    
33.             send "$oldpasswd\r"
    
34.         } -re "New|new UNIX password:" {
    
35.             send "$newpasswd\r"
    
36.         } -re "Permission denied, please try again." {
    
37.             puts $failed $IP
    
38.             break
    
39.         } -re "No route to host" {
    
40.              puts $failed $IP
    
41.              break  
    
42.         } -re "Connection refused" {
    
43.             puts $failed $IP
    
44.             break
    
45.         } timeout {
    
46.             puts $failed $IP
    
47.             break
    
48.         } -re "service not known" {
    
49.               send_user "\n"
    
50.               send_user "        #--------------------------------------#\n"
    
51.               send_user "        #          Update complete!            #\n"
    
52.               send_user "        #  Please read the file update-failed  #\n"
    
53.               send_user "        #--------------------------------------#\n"
    
54.               send_user "\n"
    
55.               exit
    
56.         } eof { break }
    
57.         }
    
58. }
    
59. 
    
60. set argc $argc
    
61. set hosts [lindex $argv 0]
    
62. set user [lindex $argv 1]
    
63. set oldpasswd [lindex $argv 2]                                         
    
64. set newpasswd [lindex $argv 3]                                         
    
65. warning $argc $hosts
    
66. set failed [open update-failed w+]
    
67. set f [open $hosts r]
    
68. 
    
69. while {[gets $f IP]} {
    
70. set cmd "ssh $user@$IP passwd"
    
71. eval spawn $cmd
    
72. login $user $IP $oldpasswd $newpasswd $failed
    
73. }
    
74. close $f

复制代码

[ 本帖最后由 911csj 于 2008-7-8 13:38 编辑 ]

cyscg

原帖由 ruochen 于 2008-7-7 13:59 发表



rsync同步密码文件的方法也只能是没台服务器的密码和用户都是一样的
rsync还不能同步文件的某一行的吧

这个在于你怎么弄
比如：可以提取再插入

b2linux

集中认证,方法很多, Radius, LDAP, PAM_SQL...

多姿多彩

这是一个典型的系统同步问题。
需要了解使用者的群里和安全要求，还有真的有几千台吗？

证书发布中心。
拿出一台服务器做安全发布。客户端采用认证轮转的机制。从服务器上下载加密过的文件。
并自动改密码。
如果服务器少的话，可以用ＳＳＨ反弹等。少分ＲＯＯＴ权限。
还有个一次一Ｍ的。太复杂。。。。

wd101

cfengine 试试看

andrefun

是用ssh啊，很好用。