Su arreglo actual suena como un almacén de claves de contraseña compartida.
Su problema es esencialmente la diferencia entre el control de acceso centralizado y el descentralizado:
- Cuando el control de acceso es por servidor o servicio, el mantenimiento del control de acceso está centralizado por servicio y refleja un esfuerzo de
O(N) where N = amount of services para la compañía.
- Cuando el control de acceso es por persona, el mantenimiento del control de acceso se descentraliza desde el punto de vista de los activos de TIC y refleja un esfuerzo de
O(N) where N = amount of staff para la empresa.
Es probable que la cantidad de servicios que inicialmente tenía creciera más rápido que la cantidad de personal y, por lo tanto, la segunda opción fuera más atractiva.
Pero ahora la cantidad de personal o la rotación de personal es mayor que la cantidad de servicios y le cuesta más mantener que las listas de control de acceso de servidor / servicio. El punto de inflexión que es O(N).services + O(1).service versus O(N).people + O(1).people como el O(1) de gastos generales inicial de cada nuevo servicio o persona habría enmascarado el cambio a largo plazo en el esfuerzo.
Por lo tanto, se convierte en una cuestión de seguridad frente a la cultura de trabajo compartida de su empresa . Puede pasar a un enfoque de control de acceso al servidor y al servicio ahora posiblemente más barato, y obtendrá beneficios adicionales de auditoría en el proceso; pero el cambio requerirá una gran cantidad de esfuerzos de migración y una "jerarquización" jerárquica de la cultura de trabajo de su empresa.
Si volvemos a los días de las llaves físicas y los archivadores, la diferencia está en que el equipo comparte la misma clave del gabinete en lugar de solo un par de personas que tienen la llave del gabinete.
No creo que tenga muchas opciones con respecto a un cambio hacia las ACL de servidor / servicio una vez que tenga más personal o mayor volatilidad de roles que los servidores, pero puede reducir la sobrecarga de ACL mediante el uso sistemático de certificados de cliente:
- Convierta sus pares de claves RSA en certificados de cliente autofirmados.
- Agregue o elimine su certificado público de los servidores y servicios directamente o de un servicio de autenticación LDAPS basado en roles centralizado.
- (Opcional) Convierta los pares de claves en certificados firmados por la CA raíz privada de la compañía para imponer el vencimiento de rutina y evitar que las personas generen credenciales de acceso que desconoce (es decir, rompiendo la cadena de auditoría).
Los certificados de cliente tienen la ventaja de ser más seguros que las contraseñas y tener una amplia gama de metadatos integrados sin necesidad de acceso en tiempo real al servidor LDAP.