а не делем генерацию, потому что поднять может один, катать второй

руками тягать ключи - глупость

делать безопасность ради безопасности - тоже глупость

поэтому давайте эту тему оставим на упокой ISD

руками тягать ключи - глупость

Не надо руками

Автоматизированно

а не делем генерацию, потому что поднять может один, катать второй

есть такая штука awx

может вам туда.

делать безопасность ради безопасности - тоже глупость

У вас лишний элемент в цепочке

Автоматизированно

не поднимаем по api пока, руки не дошли + виртуалку могут поднять руками

может вам туда.

в планах

есть еще пути хранить секреты

а не делем генерацию, потому что поднять может один, катать второй

Вообще не ясен флоу Т.е. поднять и настроить - не атомарные действие у вас ? 😳

hashicorp vault

Вообще не ясен флоу Т.е. поднять и настроить - не атомарные действие у вас ? 😳

да, как я написал, поднимаем руками в вебке, потом катаем руками

т.к. масштабы не те, автоматизировать этот процесс никто не хочет пока

не поднимаем по api пока, руки не дошли + виртуалку могут поднять руками

Ну, т.е. по факту бутстраповый ключ виден второму участнику ?

т.к. масштабы не те, автоматизировать этот процесс никто не хочет пока

Ну, ок

Ну, т.е. по факту бутстраповый ключ виден второму участнику ?

второму админу - да

и танки наши быстры.

У вас лишний элемент в цепочке

Какая разница? Заказчиком оплачено. После инцидента кто-то может быть уволен или награжден) Если уволен, то тогда уже другие люди получат вознаграждение за исправление) Зачем кого-то убеждать в чем-то?)

без инфраструктуры управления секретами вы ставите банки мертвецу (трупу).

без инфраструктуры управления секретами вы ставите банки мертвецу (трупу).

👍

имхо, если я правильно понял вообще.

В первый раз прочитал как "банки Трупу"

Второй раз - норм

без инфраструктуры управления секретами вы ставите банки мертвецу (трупу).

а какую инфру вы хотите для 3 админов?

я не понимаю, почему бутсрап ключ должен быть у каждого админа свой

я не понимаю все издержки и риск с которым вы работаете, цену вопроса.

я не понимаю, почему бутсрап ключ должен быть у каждого админа свой

Потому что ключ - это такое понятие, которое означает, что у каждого он должен быть свой.

Потому что ключ - это такое понятие, которое означает, что у каждого он должен быть свой.

он у каждого свой, бутстраповый общий

и какие атаки пытаетесь предотвратить вашим процессом

он у каждого свой, бутстраповый общий

вы можете в машину напихать 3 публичных личных ключа.

я хз, как у вас выстроен процесс, но у нас 3 админа правят балом, а смотреть репу и кидать ПРы может и разраб

но давать смотреть разрабам ключи никто не собирается

тогда делиться частным ключом нет надобности.

а не делем генерацию, потому что поднять может один, катать второй

вы какую регуляцию хотите пройти с этим процессом?

а не делем генерацию, потому что поднять может один, катать второй

если ключи тэггированы, вы при создании 1 ключом можете добавить несколько лично публичных.

"поднимающий" может профакапить, плюс у нас опсы как-то через жопу настроили openstack

на openstack, к сожалению, я повлиять не могу

тогда автоматизируйте. и в опенстаке есть keystone емнип.

с апи

т.к. масштабы не те, автоматизировать этот процесс никто не хочет пока

я устал форварды таскать 😬

понятно. можете пробросить опсовые публички через образ.

не понял

публичный ключ пользователя.

есть пара - частный и публичный.

стоп

👂

более того, в openstack у каждого своя область видимости ключей, поэтому нам надо было сделать один общий базовый ключ, который мы шарим, поднимаем виртуалку, а дальше раскатываем наши профили и тех юзеров

вы как образ создаете?

в вебке создаю

образ или вм?

glance image

ааа, образ, образы у нас уже валяются

мы не создаем

обычно катаем минималку и раскатываем все наше сами

задачи точечные

обычно катаем минималку и раскатываем все наше сами

как ? руками?

да

я пассс.

"у меня не работает автоматизация"

у нас сейчас где-то 20 виртуалок и каждая со своими сервисами

"потому что у меня нет автоматизации."

нет

масштаб не тот.

просто автоматизировать то, что делается дай боже раз в месяц и занимает 2 минуты - глупо

есть более насущные задачи

тогда проблема безопасности - ненасущна.

если бы была нсущна, то образа вы бы накатывали хоть скриптом

тогда проблема безопасности - ненасущна.

Причем от слова совсем

Я лично вижу оверинжиниринг

я хз, как у вас выстроен процесс, но у нас 3 админа правят балом, а смотреть репу и кидать ПРы может и разраб

но давать смотреть разрабам ключи никто не собирается

И, кстати, в рукопашку с 80 виртуалок управлялся, но там платформа не умела в автоматизацию

каждый новый админище делал бы коммит в скрипт, в который пастил бы свой публичный ключ.

Только если курлом вебку дрЮчитт

этот скрипт бы запускали после валидации, и в ваших образах были бы 3 ключа.