Как в корпоративной среде где 1000+ машин на Linux настраиваются политики авторизации и аутентификации?

Question

[UlarSur]

Предположим есть не маленькая организация, где присутствуют 1000 машин на Linux. Обычно есть админы которые отвечают за сервис и есть одмены которые отвечают за ОС, выделяют ее и обслуживают и т.д. Как в таких 1000 машинах настраивается метод авторизации и аутентификации, какие учетные записи используются у Вас, в вашем опыте? Используете ли Вы Red Hat IdM или FreeIPA? Например не редко для ОС нужно предоставлять доступ левым одменом которым нужен доступ по определенным причинам, там инженерам каким - то. Неужели для каждого создаете отдельную локальную учетную запись и правильно ли такая политики в использовании?

Comments

[Everything_is_bad]

Ребят на вопрос с корпоративном зеркало и управлениями пакетов, вы не ответили на главный вопрос, это тут - Как в вашей компании обеспечивается установка пакетов и обслуживание репозиториев?.

а почитай правила, не нужно задавать несколько различных вопросов, так же тебе никто не гарантирует ответ, не нужно его клянчить.

Еще здесь ожидают конкретный вопрос, про конкретную проблему, а сильно общие вопросы приводят к "невозможно дать однозначный ответ"

[UlarSur]

Everything_is_bad, зачем, не хочу я мучится и строчить тысячу страниц с документацией. Ведь есть умные инженеры которые эту боль ощутили на себе и готовы со мной поделится, дабы их младший падаван не облысел, не соскуфился раньше времени.

[aleks-th]

Очень больно настраивать.
Это не AD где мышкой все двигается....

[CityCat4]

Фигассе "маленькая" организация в 1000 голов :) Это вообще-то уровень крупного завода...

Answer 1

[ky0]

Локальные учётные записи не делаются, всё рулится централизованно через AD/LDAP. Если каким-то внешним подрядчикам нужен админский доступ к определённым хостам - им выдаётся сетевой доступ только к этим хостам и они добавляются в группу, дающую sudo только на этой группе хостов.

Локальные зеркала не делаются "определённых версий", и не выкачиваются целиком - это бессмысленно, т. к. PCI DSS, например, требует регулярного обновления пакетов. В каком-нибудь Нексусе настраивается проксирование официальных репозиториев с кэшированием пакетов - и вы получаете сразу все поддерживаемые версии и храните только те пакеты, которые используются.