Управление учетной информацией в облачных сервисах

Профили OSSEC ваших машинных образов не должны содержать никаких встроенных пользовательских учетных записей. В реальности вы никогда не должны предоставлять возможности доступа к оболочке с применением пароля ни на одном из ваших виртуальных серверов. Наиболее безопасный подход к предоставлению доступа к вашим виртуальным серверам заключается в динамической доставке открытых ключей SSH на целевые серверы. Иными словами, если кому-то требуется доступ к серверу, то вы должны передавать соответствующую информацию серверу в момент его запуска или через административный интерфейс, а не за счет хранения учетной информации в составе образа машины.

ПРИМЕЧАНИЕ

Лучшие поставщики систем управления учетной информацией предоставляют доступ к серверу только для тех пользователей, которым действительно необходимо по долгу службы обращаться к серверу, и только на то время, в течение которого этот доступ им необходим. Я настоятельно рекомендую вам воспользоваться преимуществом динамической природы облачной инфраструктуры для ограничения необходимости поддержания учетной информации для пользователей, которые либо имеют ограниченные потребности в доступе к серверу, либо не имеют их вообще.

Разумеется, встраивание открытых ключей SSH в образ машины абсолютно безопасно, и это серьезно упрощает жизнь. К сожалению, это усложняет построение машинных образов общего назначения, которые я описывал в главе 4. В частности, если вы встроите учетную информацию открытого ключа в образ машины, пользователь, к которому относится эта информация, сможет получить доступ к каждому виртуальному серверу, построенному на основе этого образа. Чтобы запретить доступ этому пользователю или разрешить доступ другому, вам потребуется построить новый машинный образ, отражающий необходимое вам изменение.

Следовательно, вы должны поддерживать конфигурацию настолько простой и удобной в поддержке, насколько это возможно, за счет передачи учетной информации в процессе запуска вашего виртуального сервера. Во время загрузки виртуальный сервер имеет доступ ко всем параметрам, которые вы ему передаете, и он может создать учетные записи для всех указанных вами пользователей. Это просто, потому что для решения данной задачи не требуется никаких дополнительных инструментов, кроме тех, которые уже предоставлены Amazon. С другой стороны, блокировка доступа и его предоставление во время загрузки системы превращается в ручную задачу.

Еще один подход заключается в использовании существующих средств управления облачной инфраструктурой или разработке вашего собственного инструментария, который позволил бы вам хранить учетную информацию пользователей за пределами облачной инфраструктуры и динамически добавлять или удалять пользовательские учетные записи на облачные серверы во время исполнения. Однако этот подход требует запуска административного сервиса на каждом из хостов и, таким образом, представляет собой дополнительный вектор атаки на ваш сервер.

Источник: Риз Дж., Облачные вычисления: Пер. с англ. — СПб.: БХВ-Петербург, 2011. — 288 с.: ил.

Вы можете следить за любыми ответами на эту запись через RSS 2.0 ленту. Вы можете промотать до конца и оставить ответ. Pinging в настоящее время не допускается.

Оставьте отзыв

XHTML: Вы можете использовать следующие теги: <a href="" title=""> <abbr title=""> <acronym title=""> <b> <blockquote cite=""> <cite> <code> <del datetime=""> <em> <i> <q cite=""> <s> <strike> <strong>

 
Rambler's Top100