Wie am besten professionell Admins verwalten?

[qeldroma]

Hallo zusammen,

wir haben im Schnitt 5 Admins die alle root-Rechte haben und auch haben sollen, da jeder in /etc und /var am Arbeiten ist, wenn etwas zu tun ist.

Wie löst Ihr das?

Schwierig dabei ist, daß ich ja nachvollziehen können will, wer wann angemeldet war und, im Idealfall, was derjenige getan hat!

Perfekt wäre, wenn man dann auch in den Log-Einträgen (die von Admins "verursacht" werden), dieser User mit auftaucht?!

Wege gibt es wohl folgende:

1. "Quick & Dirty":
Alle Admins haben die UID 0.
- Vorteil: 100%iges root-Verhalten der Zugänge, 100%ige Zuordnung von Logs/Messages zum User
- Nachteil: Systemprozesse, die als root laufen, können damit in Konflikt geraten. Z.B. und vor allem ssh: "PermitRootLogin no" sperrt leider anhand der Userid, nicht anhand des Namens..

2. Sudo:
- Vorteil:Saubere Trennung zu root, trotzdem root-Zugang möglich
- Nachteil: Aufwendig zu pflegen, wenn man ein paar dutzend Server-Systeme hat, außerdem ist dann jeder Admin wieder geneigt sofort nach dem Login sich per sudo zu "enablen" womit der Sinn der Trennung flöten geht, da alle dann doch wieder root sind

3. ??

Bitte teilt mir mal mit, wie ihr das so in euren Rechenzentren händelt mit den voll berechtigten Admins...

Grüße, Florian

[asi_dkn]

Sudo ist um nachzuvollziehen wer wann was gemacht hat sicherlich das beste, da Username und der Command geloggt werden. Wenn alle Admins auf allen Server dieselben Aufgaben machen müssen, resp. die sudoers überall gleich aussehen muss, kann man die ja auf einem Server pflegen und per Script von dort aus auf alle Server verteilen, oder die Server holen sich die Datei in regelmässigen Abständen von einem zentralen Server.

Wir sind nur zu zweit, deswegen haben wir auf sudo verzichtet und arbeiten direkt mit root. Wir führen aber sehr genau Buch darüber, wer wann was gemacht hat. Klar, Kleinigkeiten (ping google.ch z.B.) halten wir nicht fest, aber sobald Änderungen an der Config gemacht wurden wird ein Eintrag mit Datum, User und der Änderung aufgeschrieben. Das haben wir sehr einfach und unkompliziert in einem Wiki gemacht in welchem wir auch alle Dokus pflegen.

Ich denke so ne best practice Lösung gibt es nicht. Es gilt abzuwägen wieviel Aufwand es macht die sudoers zu pflegen wenn die Config auf jedem Server anders aussehen muss, wie "genau" ihr eure Arbeiten dokumentiert etc... das musst du vermutlich selbst rauskriegen ;)

Gruss