¿Dónde debe un equipo almacenar las credenciales del servidor [duplicar]?

Su problema es bastante común y, en general, se lo denomina PAM / PUM / PIM / PxM con Cuenta Privilegiada / Usuario / Identidad.

Keepass for sure es una solución que se usa con bastante frecuencia, pero desde la perspectiva de la seguridad, el cumplimiento y la auditoría no es la mejor. Dado que eres un equipo de cinco personas, es difícil saber si tienes que cumplir con alguna política. Pero si tiene que hacerlo, una solución comercial sería algo a considerar. Aborda más que solo la administración de contraseñas y el intercambio de contraseñas en un equipo, sino también la responsabilidad individual, los informes y demás.

Así que realmente depende de tus requisitos, qué camino tomar. Desde mi experiencia, puedo decirles que hay muchas maneras diferentes de usar en entornos empresariales, desde el papel en una ubicación segura, hasta los archivos en recursos compartidos. Especialmente con respecto a los archivos en recursos compartidos, correos electrónicos u otro almacenamiento "en línea", siempre recuerde que puede haber algún administrador que pueda acceder a aquellos a quienes no está destinado.

HTH.

Estamos usando un archivo de texto simple criptado gnupg, que se distribuye & versionado por git. Cada administrador puede descifrar ya sea con

1. una clave conocida común (secreto compartido - tal vez más riesgo en caso de transmisión) o
2. cada administrador puede descifrar con su propia clave (creo que el riesgo de filtración secreta será comparable)

Git lo salvará en caso de operaciones de cifrado configuradas incorrectamente.

Para uso en el escritorio, solo puedo sugerir herramientas para kubunutu:

• El elemento de lista kgpg es una buena herramienta en la barra de intentos con un pequeño editor integrado para descifrar, por ejemplo. el archivo de credenciales
• Kleopatra puede en- / descifrar el portapapeles

Puedo imaginar que hay herramientas similares para Windows. Puede visitar enlace para obtener una primera descripción general

KeePass funciona bien para contraseñas relativamente estáticas o para entradas dinámicas. Consulte Password Vault - Enterprise para obtener más información.

También encontré una opción realmente útil (¿alternativa?) para las cuentas compartidas predeterminadas, como el administrador local. Empujar copias de sus contraseñas a un recurso compartido SMB o usar SCP (con auditoría de acceso y cifrado en uso) funciona realmente bien para una solución de elaboración doméstica.

Programe cambios diarios / por hora / etc., audite el acceso a los archivos de contraseña y los eventos de inicio de sesión y tendrá un historial preciso de quién inició sesión.

Es ¿Hay más riesgo de cambiar la contraseña del administrador localmente desde una ubicación centralizada?

LastPass o 1Password parecen ser buenas soluciones, ya que serán más fáciles de actualizar que algo offline como KeePass. Mejor para Premium, entonces configuras un token con él, pero no estoy seguro de si eso funcionaría con el uso compartido. Los administradores de contraseñas sin conexión tendrían que estar sincronizados entre el equipo a medida que cada uno se agrega a él y, probablemente, a la larga lleve a los mismos problemas.

Mientras tanto, esto es mejor que tu proceso actual; Sin embargo, esta no es una solución a largo plazo. Eventualmente, necesitará una solución amplia de la organización para alojar y proteger esa información. Algo que puede controlar, que puede servir a las necesidades de su organización. Lo que eso significa depende de sus recursos disponibles, que estoy apostando son demasiado limitados para costear un sistema completamente desarrollado. Eso te deja con soluciones económicas a corto plazo. Pero creo que todos estamos acostumbrados a eso.