Dmitry
а emergency - не в лдапе
Dmitry
я только сказал, что нужны не-лдап учетки, и всё
а зачем ты это сказал, КО? кто-то говорил, что "нелдап учетки не нужны" ?
Dmitry
почему ты копетанствовать начал? :)
Denis 災 nobody
а теперь перечитай еще раз всё.
Denis 災 nobody
а зачем ты это сказал, КО? кто-то говорил, что "нелдап учетки не нужны" ?
ёп. Ну где логика? "нужны не-лдап-учетки" == "лдап не нужен"?
Dmitry
конечно нужны. был аргумент, "сети нет", я сказал, что если сети нет, будет учетка не в лдапе, для локального аварийного входа
Dmitry
все, вопрос исчерпан
Denis 災 nobody
речь именно про локальный аварийный вход
Dmitry
нет, началось, лдап-нелдап, как менять. да ансиблом и менять
Dmitry
но на самом деле нет
Dmitry
просто я удивился, что у тебя такая каша в голове про аварийные реквизиты для входа
Dmitry
какие-то админы, чото там все знают, уволились, надо менять потому что знали. <== вот это удивительно шо песец
Denis 災 nobody
и 10 админов. Для локального входа нужен пароль, его нужно менять иногда на всех серверах. А еще лучше, чтобы были ключевые сотрудники типа техдира со своей емерженси учеткой, доступной без лдапа. И вот уже не 1 юзер, который на сотнях серверов.
Dmitry
ох епт
Denis 災 nobody
а как ты локально залогинишься без пароля?
Denis 災 nobody
емерженси
Denis 災 nobody
без сети
Dmitry
десять админов и десять учеток для аварийного входа?
Dmitry
подчеркиваю, аварийного. в случае пожара разбить стекло
Denis 災 nobody
учеток может не 10 а например 3
Denis 災 nobody
но не 0
Dmitry
одна
Dmitry
о д н а
Dmitry
больше скажу, пароля никто не знает
Dmitry
уволились? да и х с н
Dmitry
все равно не знали
Denis 災 nobody
вот подошел ты к серверу, сети там нет. Залогинься без пароля
Dmitry
чтобы залогиниться, пароль нужен
Dmitry
дальше догадываешься уже?
Denis 災 nobody
....а я о чем твержу?
Dmitry
похоже нет
Denis 災 nobody
пол часа уже
Denis 災 nobody
нужен пароль
Dmitry
вот и я тебе о том твержу, но ты подтупливаешь что-то
Dmitry
итак, ты подходишь (в век ip kvm удивительно, но ладно). чтобы войти. нужен пароль.
что дальше?
Dmitry
или давай я все усложню. ты админ. ответственность за какой-то сервер по акту возложена на тебя и по тому же акту тобой принята, ты даже расписался. ты уходишь в отпуск. ломаешь ногу или температура от малярии и ты в горячечном бреду или ваще утонул нах, не дай бог.
и? что дальше?
Oleksandr
что дальше? прям интересно стало..
Dmitry
что дальше? прям интересно стало..
ну как что. во втором случае (горячечный бред), техдиректор (или кто вместо него) вскрывает сейф, достает запечатанный конверт и выдает пароль
Dmitry
в первом - сейф, конверт, но без техдира
Oleksandr
а если физического доступа нет к серверу?
Dima
то с rescue cd север грузишь и восстанавливаешь доступ через chroot или подкладыванием ключа юзеру. но это всё вообще не об ansible, давай об ansible, отвлекает реально.
Oleksandr
то с rescue cd север грузишь и восстанавливаешь доступ через chroot или подкладыванием ключа юзеру. но это всё вообще не об ansible, давай об ansible, отвлекает реально.
А если в каком нибудь амазоне сервер? Это все как раз об ансибл. Стоит ли им рулить учётками или лучше LDAP
Denis 災 nobody
или давай я все усложню. ты админ. ответственность за какой-то сервер по акту возложена на тебя и по тому же акту тобой принята, ты даже расписался. ты уходишь в отпуск. ломаешь ногу или температура от малярии и ты в горячечном бреду или ваще утонул нах, не дай бог.
и? что дальше?
х-вая фирма, где техдир никогда не при делах, ничего не знает и его хата с краю. И где аварийный вход ровно у 1 сотрудника, который также может уволиться и всё-равно всё менять. И сброс через установочный диск, с шансом что корень еще и зашифрован, а ключ зашифрован паролем ушедшего сотрудника, и теперь только полный формат и восстановление из бэкапа. Который так же может быть зашифрован.
Может у военных, где всё под запись, сов секр и все дела, такое и реально, но в обычном мире так делают только ебланы, не предусмотревшие ЧП. Техдир - ключевая фигура, и он всегда должен иметь возмодность взять всё в свои руки и как минимум зайти в систему, чтобы в личном присутствии пустить кого-то еще для восстановления. А несколько таких человек - в том числе чтобы было понятно, КТО входил, когда и как. А не просто некий emergency, который сделал rm -rf /
Denis 災 nobody
ну и забей тогда
Dmitry
"Техдир - ключевая фигура, и он всегда должен иметь возмодность взять всё в свои руки и как минимум зайти в систему, чтобы в личном присутствии пустить кого-то еще для восстановления."
открыл сейф, вскрыл конверт, в конверте пароль. хоть сам зашел, хоть кому-то дал.
кто входил? в журнале записано. если вскрыли конверт и не расписались, значит бордель, а не лавка, сорян
Dmitry
более того, в такой процедуре конверт можно вскрыть вообще без техдира.
Dmitry
или вскрыть без него, но с его ведома (по телефону разрешил и продиктовал код сейфа)
Denis 災 nobody
ок. Дальше что? Пароль уже "засвечен"
Dmitry
засветили, сменили. новый конверт
Dmitry
строго в рамках стандартного процесса расследования инцидента, награждения непричастных и наказания невиновных :)
Dmitry
если пароль понадобился, значит толковище в любом случае будет и вообще надо запускать процесс, в котором генерация нового пароля и запечатывание нового конверта будет самым малоебущим пунктом
One
Эт точно, заколебешься отписываться, почему и как довел все до ручки.
Lex
Dmitry
Эт точно, заколебешься отписываться, почему и как довел все до ручки.
шаришь. а вот кстати когда emergency паролей будет десять, и они не в сейфах, а в голове у десяти людей, то потом обычно и ищут, кто "по-быстренькому вошел и все починил". из десятерых, ну. пытаясь скрыть этот факт :)
Aleksey
цм не даст такое сделать.
Aleksey
но это мы все про большие...
Aleksey
где тех дир вообще знает что такое сервер.
One
Aleksey
ведь бывает что тех дир даже сервера не видел уже лет 10. он уравляет "по показателям"
Dmitry
но это мы все про большие...
что значит большие? у нас например в ISP было сорок человек штата, включая бухгалтерию и кабельных монтеров. а бюрократия была вот такая
Aleksey
это значит у кого то в голове это все было
Aleksey
и была _причина_ так делать
One
ведь бывает что тех дир даже сервера не видел уже лет 10. он уравляет "по показателям"
Хоть техдир, хоть дир, хоть безопасник... Задача выдать пасс в случае пиздеца, не требует знания серверов.
Dmitry
если настолько большая, что техдир "управляет по показателям", значит вскрывать сейф и выдавать emerg пароль будет не техдир, а кто-то другой. вот и всё
Aleksey
это да...
Dmitry
непосредственный начальник админов, скажем так
Aleksey
ну я понял. роль такая
Dmitry
конкретно у нас конвертов было два. лежали в двух сейфах. у "главного инженера" (ну считай CTO) и у самого гендира.
Aleksey
ну опять же.... это комы то было нужно.
Dmitry
начальник админов доступа к конвертам не имел. скрыть аварию, потребовавшую такого вмешательства не мог.
Aleksey
и кто то решил тем самым какую то проблему
Aleksey
решать проблему аварии конвертами - оверкил.
Aleksey
публичная отчетность от центра мониторинга - лучшее решение.
Dmitry
не ну так это известная фигня. люди и конторы ведь делятся на две категории. те кто бэкапы не делают, и те, кто уже делают
Dmitry
конверты решают не проблему сокрытия :)
Dmitry
более того, сразу видно, что ты не руководил :))))
Aleksey
:) нее. я вообще не руководитель... и резюме мое не смотри :)
Dmitry
потому что даже в этом случае все может быть и просто и сложно. представим, что доступ к конвертам есть у начальника админов. случился факап, обосрались, начальнику получать пиздюлей не хочется, в особо тяжелом случае "и пацанов подставлять тоже".