我们的服务器托管提供商要求我们的root密码。

Question

我在一家公司工作，该公司开发并管理着一个小企业关键系统。我们有一个“弹性云服务器”从一个专业的托管提供商。

我最近收到他们的一封电子邮件，说他们的备份解决方案有些问题，他们需要安装一个新的内核。他们希望我们给他们发送根密码，这样他们就可以完成这项工作。我知道这封邮件是他们寄来的。不是support@hotmail.com之类的。

我给他们打了电话，问他们这件事，他们说“是的，我们需要密码来做这件事”。

像这样通过电子邮件发送根密码似乎很奇怪。我有理由担心吗？

Answer 1

你的谨慎是对的，因为这是一个不寻常的要求。他们是否提供了内核更新所需的细节--它是否包含任何特定于供应商的模块？暂时搁置安全性元素，他们提出的更新会不会导致您正在运行的软件出现问题？

我建议您了解更新所涉及的内容，以及是否可以自己应用它。如果他们不能提供这些信息，那么就把情况提升，找出为什么技术支持需要您的系统上的根权限。

Answer 2

在多个托管提供商工作过之后，我可以说，在需要用户提供根密码的情况下，很少有这样的情况。这通常是当客户有一个专用的盒子，并且客户已经修改了根的authorized_keys，以便删除提供者访问。

在VPS或“弹性云服务器”上，提供者可以通过虚拟机管理程序或底层根节点直接访问虚拟主机，因此不需要从客户那里获取密码。如果提供者管理员说这是必需的，那是因为他们试图在公司给予管理员的特权调用之外做一些事情(即。不能访问基础根节点)。

简而言之，除非您有一个专用的框，否则不应该需要向客户询问vps或“虚拟”服务器的根密码。只要说你不允许交互的ssh，只允许基于证书的访问.然后请求将它们的公钥添加到pki中。因为他们更容易通过根节点访问，所以他们很可能只是这样做。

Answer 3

我根本不让别人碰我的根账户，尤其是ISP。你如何验证键盘后面的人在另一端的完整性？除非你和他们一起工作了一段时间，否则是不行的。只有我的.02。