Quelles sont les meilleures pratiques pour gérer les clés SSH au sein d'une équipe ?

Vous devriez opter pour la solution la plus sûre et obliger chaque utilisateur à disposer de clés distinctes, probablement pour chaque appareil.

Si vous avez des clés partagées entre les utilisateurs - même s'il s'agit d'une petite équipe - la révocation d'une clé est un inconvénient pour tous les autres.

Si vous permettez à votre personnel d'avoir une seule clé pour tous ses appareils, il peut alors choisir les serveurs auxquels il peut se connecter avec cet appareil. Par exemple, un ordinateur portable mobile peut être limité à un ou deux serveurs, alors que l'ordinateur de bureau peut avoir accès à tous les serveurs.

Il y a quelques années, Envy Labs a créé un outil appelé Keymaster (en partenariat avec le client Gatekeeper) pour gérer ce type de problème pour les équipes de développement.

Le projet n'a pas connu beaucoup de succès au cours des deux dernières années, mais il est probable que vous puissiez le bricoler et peut-être le ramener à la vie ?

Le repo est disponible sur github : https://github.com/envylabs/keymaster

Une approche pourrait être de mettre en place un serveur NIS avec le partage de /home via NFS. Ceci combiné avec sudo dans les serveurs et en autorisant seulement les utilisateurs que vous voulez à chaque serveur via la configuration ssh.

Ainsi, chaque membre de l'équipe n'utilise qu'un seul utilisateur et sa clé pour accéder à tous les serveurs. Sudo et un mot de passe pour les tâches d'administration.

Voir aussi,

Rafael