Существует ли инструмент для управления серверами ssh?

Question

[Alexey Bille]

Проблема:

В команде есть много разработчиков, а так же много проектов с которыми работаем. Каждый раз при трудоустройстве/увольнении сотрудников, приходе/уходе проектов приходится менять пароли, добавлять или удалять ключи ssh на клиентских серверах, что занимает много времени. Не всегда можно учесть все и на каком то из серверов может остаться ключ разработчика которого уволили, что может повлечь за собой проблемы с безопасностью.

Какие решения вижу:

1. Есть какой то ssh proxy через который подключаются к конечным серверам разработчики, в этом прокси есть gui/webui на котором можно добавлять новые сервера, управлять доступом разработчиков, добавлять ssh ключи/пароли от серверов. Соответственно на клиентской машине настраивается ssh таким образом что подключение доступно только с этой proxy.


2. Есть какой то сервер (назовем его ssh manager) с webui/gui в котором можно добавить сервер и управлять доступом разработчиков к серверам. SSH manager может подключаться к серверам и добавлять/удалять ssh ключи. Соответственно в webui когда выдали разработчику доступ к серверу, этот ssh manager пошел на сервер и добавил ключ разработчика. Разработчик на прямую будет подключаться к серверу по своему ключу.

Вопрос - существует какой то похожий инструмент для решения моей задачи?

В интернете находил только https://goteleport.com/ - но часть функционала платная и он использует свою консольную утилиту, а не найтивный ssh.

Comments

[shurshur]

ansible же, у него есть таски и для создания/изменения юзеров и групп, и тас authorized_keys позволяет ключ положить...

Но возможно вам правильнее уже будет внедрить ldap/freeipa/итп, как ниже пишут.

[Everything_is_not_so_bad]

То есть из-за "но часть функционала платная" вариант отбрасывается, хотя и рабочий?

Answer 1

[Saboteur]

Я бы замутил велосипед на ансибл.
настроить все sshd, чтобы ключи читались только из /etc/ssh/keys/%user/, чтобы никто себе руками ничего не ковырял. И все. Раз в сутки по всем машинам пробежался, обновился и готово

Answer 2

[Alexey Dmitriev]

Есть directory services для Linux, например FreeIPA https://www.freeipa.org/ - c централизованным управлением и пользователями и серверами.
Вариант проще - это менеджмент с помощью ansible.

Comments

[Sanes]

Проще, если сам напишешь gui/webui.

Answer 3

[ky0]

Как верно заметили выше - FreeIPA умеет рулить пользователями и группами. Но кроме того, о чём часто забывают - она же умеет хранить SSH-ключи юзеров и контролировать гранулярные sudo-права.

Answer 4

[Sanes]

Cockpit

Answer 5

[Макс]

sssd+AD
ключик прямо в профиле пользователя лежит.
ну и в догонку, как-то сервера прям в интернет топорщить ssh-ем не очень. я б за VPN спрятал. Ушел разраб - отозвали доступ в VPN.

Answer 6

[Александр Карабанов]

Teleport

Answer 7

[YuriyGrinev]

Посмотри в сторону https://guacamole.apache.org

Answer 8

[GrimAnEye]

Webmin