Külön kulcs az automatizáláshoz jelszómegosztás helyett: a tokenek és korlátaik
Ha egy szkript jelszót kap, akkor az adott személy minden jogosultsága bekerül egy fájlba. A token külön kulcs: önmagában visszavonható, lejárati dátumot kaphat, és kevesebb jogosultságot hordozhat, mint a fiók.
AtlasPVE ·
A bejegyzés ezekre válaszol
- proxmox api token létrehozása
- proxmox jelszó megosztása automatizáláshoz
- proxmox api token jogosultság
- mi az a proxmox token privilege separation
- proxmox terraform ansible hozzáférés
Egy mentési szkriptnek, egy megfigyelő eszköznek vagy egy kiépítési feladatnak csatlakoznia kell a rendszerhez. Az első reflex az, hogy jelszót kap, méghozzá többnyire a legtöbb jogosultsággal rendelkező fiók jelszavát. A baj itt kezdődik.
Mit ad át egy átadott jelszó
A jelszó egy személyhez tartozik. Ha egy szkript megkapja a jelszót, akkor mindent megkapott, ami az adott személyé, ráadásul olvasható formában, egy fájlban. Ha a jelszó megváltozik, az automatizálás leáll, és amikor a személy távozik, a jelszó cseréje megtörténik, de általában csak aznap derül ki, hogy egy automatizálás is függött tőle.
Mit old meg a token
A token egy fiókhoz kötött, külön kulcs. Három dolgot választ szét: önmagában visszavonható, saját lejárati dátumot hordozhat, és mivel neve van, kiderül, melyik feladat használja. Apró részletnek tűnik, hogy egyetlen automatizálás jelszócsere nélkül kikapcsolható, a rendszer növekedésével mégis ez bizonyul a leghasznosabbnak.
Az igazi kérdés: mit tehet a token
A token legfontosabb beállítása az, hogy változatlanul viszi-e tovább a fiók jogosultságait. Ha igen, akkor a token pontosan annyit tud, mint a tulajdonosa. Ha a tulajdonos teljes jogú, a token is az, és ez a kulcs mostantól egy fájlban lakik valamelyik gépen.
Ha a szétválasztás be van kapcsolva, a token csak azt a jogosultságot hordozza, amit külön a token kapott. A mentési szkript pontosan annyit kap, amennyi a mentéshez kell, és ha ez a szkript illetéktelen kézbe kerül, akkor is csak ennyi kerül vele. Alapesetben a szűk oldal a helyes választás, a tágabb oldal megnyitása pedig legyen tudatos lépés.
A titok egyszer jelenik meg
A token létrehozásakor a titok egyetlen egyszer látható. Ez nem a felület furcsasága: a rendszer nem tárolja ezt az értéket olvasható formában. Ha elveszik, új token létrehozása a megoldás, és ez a helyes működés. Az volna az igazi baj, ha az érték utólag bárhol visszaolvasható lenne.
Hol lakik végül a kulcs
Fontosabb az, hogy hol van a kulcs, mint az, hogy milyen erős. Egy kódtárba feltöltött szkript, egy biztonsági mentésbe bekerült beállítófájl, egy képernyőképen rajta maradt ablak: mindegyik viszi magával a kulcsot. A létrehozás előtt érdemes eldönteni, hová fog kerülni.
Lejárati dátum és csere
A lejárati dátummal ellátott kulcs egy nap magától megszűnik kockázat lenni, akkor is, ha senki nem foglalkozik vele. A dátum nélküli kulcs évekig él, és általában túléli azt, aki létrehozta. Minden kulcs mellé érdemes megjegyzést írni: melyik feladat használja, és kihez tartozik.
Mit csinál az Atlas
Az Atlas fiókonként kezeli a tokeneket. Létrehozáskor alapértelmezetten be van kapcsolva a token jogosultságainak szétválasztása a fiókétól, így a kiindulás a szűk oldal, a bővítés pedig tudatos lépés. A titok a létrehozás pillanatában egyszer jelenik meg, és a panel nem tárolja. A meglévő tokenek a megjegyzésükkel és lejárati dátumukkal együtt szerepelnek a listában, így a kérdés, hogy "ezen a gépen melyik automatizálás melyik kulccsal csatlakozik", olvasással megválaszolható.
Források
A Proxmox saját dokumentációja. Angol nyelvű, és ebben a kérdésben az övé az utolsó szó.