组织内的密码管理

Question

在一个组织中，有许多密码，如服务器上的根帐户、托管帐户、路由器登录和其他类似的密码，这些密码都需要进行跟踪。

我知道在一些组织中，这要么是IT主管只知道这些密码，要么是密码被记录在某个地方，存储在登录后的wiki上，或者密码存储在服务器上的文件中(也许是加密的)。

我的问题是，管理这些密码和以安全方式存储密码的最有效方法是什么。我知道这个话题以前已经在家庭用户这里上讨论过，但是我特别感兴趣的是，对于中型到大型企业来说，最好的方法。我也想知道其他人民组织内采用了什么办法，即使这不是最有效的办法。

Answer 1

虽然我已经看到了解决这个问题的许多解决方案的实现，但我认为最完整的(如果不是最方便的话)是一个Git存储库，它仅限于超级用户，只包含按环境加密的密码文本文件。分别管理设备、混合服务器和专用设备(如调制解调器)上的密码旋转。

该解决方案大大简化了新密码的分发，因为用户需要执行简单的更新，以接收密码的最新修订，并提供以前密码的可跟踪历史记录。

我记得这些文件是GPG加密的，但是有许多解决方案和可行的方法来处理文件本身。

这种方法的明显缺点是，特别是当密码发生更改时，您正在解密一个或多个文件，以搜索所需的密码(S)。当然，和任何事情一样，您使用密码的频率越高，您就越有可能记住密码，并且根据所讨论的设备(S)的不同，访问可能是一个不常见的事件，必须经过一个稍微长一些的过程才能获得适当的密码，这并不会对访问造成很大的阻碍。

如果您也对在服务器和/或其他设备上生成和/或更改密码的策略和/或脚本感兴趣，我也很乐意分享我所使用的策略和/或脚本。

--

我会很乐意的。

我将假设您熟悉文件加密，PGP或其他。如果这是错误的，请随便问，我很乐意提供一些例子。

设置Git存储库相对简单，并且将显示与您可能体验过的大多数内容管理解决方案相似之处。Git中的一个注意事项:从设计上说，它是完全开放的，因此需要额外的步骤来限制对特定文件或存储库的访问。这可以相对简单地通过利用文件系统acl(只是一个可能的解决方案)来实现。尽管如此，我肯定会建议您使用您感到舒适和熟悉的解决方案，特别是如果您的组织已经在使用替代的内容管理解决方案。

根据定义，该文件(S)将表示一个密码数据库，该数据库与设备标识符(S)相关，例如主机名、密码，并可能与用户名相关联。例如：router-1.internetdomainwebsite.com administrator soopersekretpasswerd。理想情况下，您永远不会不加密地存储文件，但是，遵循此策略确实会使检索密码相对不方便。出于这个原因，我建议编写访问器脚本，以便在加密框架内工作，可能会将标识符作为搜索词，并且只将所请求的密码写入文件中，供请求者一次性使用。

任何支持密码更改的设备都可以编写脚本。由于大多数设备都支持更改CLI中的密码，所以我建议查看Expect语言和/或用于Perl、Python或您选择的语言的库。我个人使用的脚本接受所需的用户名，接受当前的密码，接受并验证所需的密码，然后在提示时更改和验证所有主机上传递或提供的更改。与Expect相比，Perl相当简陋。

Answer 2

根据您的评论，您指的是坚持共享用户/单用户模式的系统和设备：

首先，尽量避免/尽量减少这种情况。

第二，尽量避免和尽量减少这种情况。

第三，在评估产品/服务时，肯定应该考虑到这一点--如果产品/服务具有如此内在的不安全性，您可能根本不想要它。很可能还有其他的问题。

第四，与供应商/提供者进行双重检查，以确定是否有一种方法可以安全地配置它。

第五，考虑构建一个瘦的“代理”类型应用程序，该应用程序将强制用户身份验证，然后使用自己的单个帐户作为设备，并带有自己的内部随机密码。

第六，如果上述内容与此无关/不起作用(真的吗？)--我见过一些地方有一个ACLed加密文件夹--或者更好的加密文件夹--只允许管理员访问，并在其中存储文件/S，其中有随机生成的密码。

根据您的文化/组织类型，最好打印出密码，并将它们保存在实际的安全中，由您的安全官员保护，以及只给管理员的密码.

Answer 3

密码是问题，不是解决办法。一般的问题是安全认证和授权，通常被视为“身份管理”的一部分。

LDAP或Kerberos/AD可用于集中身份验证和保持密码同步。使用SSH和公钥/私钥身份验证是另一个很好的选择。

最现代的方法是以更普遍和更方便的方式解决这个问题，这也有助于人们从密码转移到安全令牌或其他更健壮的身份验证方法。一个单一的登录系统允许人们进行一次身份验证，然后利用该身份验证来授权访问其他服务，这是一种常见的解决方案。

这样做的技术方法包括OAuth、SAML、Shibboleth和InfoCard。