☰

異なる仮想マシンに別々のSSHキーを使用するのに問題がありますか？ [閉鎖]

tag-icon • tag-icon ssh rhel virtualbox scp
異なる仮想マシンに別々のSSHキーを使用するのに問題がありますか？ [閉鎖]

編集者 2019-09-12: すべての人の意見を聞いた。私はSSH鍵管理をさらに詳しく調べる必要があると決めました。研究結果を発表いたします。

私はRHEL-7.7をホストハイパーバイザーとして実行しています。私はそれぞれ独自の特定の機能（pfsense、侵入防止システム、セキュリティ侵入イベントマネージャ）を備えた複数の仮想マシンを実行しています。 BSDを搭載したpfsenseルーターを除くすべてのシステムはLinuxを実行します。

可能であれば、VMインスタンスごとに別々のSSHキーを作成したいと思います。これはより安全に見えるかもしれませんが、欠点はありますか？ 1つの公開鍵をすべての仮想マシンと共有する必要がありますか、それとも別の鍵を作成する必要がありますか？

答え1

いいえ。ただし、サーバーが多すぎると、管理が非常に困難になる可能性があります。私が働く会社では、350人の従業員を一人で管理しています。通常、個人ごとに1つのキーペア（必ずしもユーザー名である必要はありません）が良い選択です。その人が会社/機関を離れると（たとえば）、各サーバーに移動して、~/.ssh/authorized_keysファイルからその公開鍵を削除するAnsibleプレイブックを作成できます。

答え2

正しいボックスに正しいキーを有効にする必要があります.ssh/configが、毎日行う必要はありません。

キーの1つが損傷している場合は、キーを1つだけ交換してください。

ただし、一方のキーが破損している場合は、特にパスワードのないキーを使用すると、すべてのキーが破損する可能性が高くなります。そのため、キーを変更するのが難しい場合があります。

したがって、セキュリティ要件に応じて、パスワードのないキーと良いパスワードを持ついくつかのキーを組み合わせて使用​​できます。

答え3

私の最初の質問は「なぜこれをしますか？」です。他の回答で指摘したように、管理するのは面倒です。

つまり、ここにはいくつかの環境があります。各環境には複数の仮想マシンがあります。各環境には独自のSSHキーセットがあります。したがって、正しいSSHキーを持つ環境にのみアクセスできます。
これは私たちにとって意味があります。各仮想マシンに個別のキーを提供しません。

（私にとって）意味があるもの：
データベースサーバーはキーペアを持つことができます。すべてのDBA / DBMスタッフが使用します。
Webサーバーは、Web管理者などが使用できる（異なる）キーペアを持つことができます。
これは、システムで「最小権限」を達成するのに最適な方法です。
$0.02

関連情報