É uma boa localização para um número autorizado de chaves?

Estou no processo de configurar um servidor em nuvem para executar a seguinte pilha: Ruby, Passenger, Apache; no Ubuntu 10.04 (Lucid Lynx).

No processo de tornar o servidor mais fácil de gerenciar, eu configuro as chaves RSA roote www-datapara que eu possa sshentrar no servidor. O que eu não gostei foi www-datao .sshdiretório em /var/wwwque está a configuração padrão do apache. Minha preocupação é que, se o apache não estiver configurado corretamente, o .sshdiretório poderá ser exposto.

Me deparei com a solução para mover o ~/.ssh/authorized_keysarquivo em um local central, alterando AuthorizedKeysFileem /etc/ssh/sshd_config. Isso vem com 2 profissionais: um único local para chaves, e sem ter que se preocupar com uma configuração ruim do apache. O único argumento que consigo pensar é que agora todos os usuários estão disponíveis para login no servidor (claramente uma faca de dois gumes do arquivo de chave central).

Há algo que eu perdi nessa configuração? Eu me expus demais ou isso é uma solução melhor do que authorized_keysarquivos individuais ?

Sou verde quando se trata de gerenciamento de servidores, mas estou totalmente pronto para ser chamado de mau nome por fazer coisas ruins. : D

Todos os arquivos de chaves podem ser centralizados no mesmo diretório e não misturados no mesmo arquivo.

Simplesmente configure o sshd_configarquivo assim:

AuthorizedKeysFile  /etc/ssh/authorized_keys/%u

No seu servidor:

• chaves de dados www estarão em /etc/ssh/authorized_keys/www-data
• chaves raiz estarão em /etc/ssh/authorized_keys/root

Em relação aos direitos de acesso, essas configurações são aceitas pelo sshd:

/etc/ssh/authorized_keyspertence root:roote tem o modo 755. Os arquivos de chave pertencem root:roote têm o modo 644.

Outros modos podem funcionar, mas eu não os testei.

De um modo geral, eu não faria o que você está sugerindo. Ele quebra suposições comuns (como ~/.ssh/authorized_keystrabalhar para seus usuários e apresenta problemas que você já mencionou na sua pergunta. Se você observar problemas evidentes antes da implementação, significa que sua solução não é ideal.

Em termos de segurança, também acho que é uma TERRÍVEL idéia que todos compartilhem uma conta de serviço: agora é só você e você sabe que é você quem faz as alterações. Em cinco anos, quando você tiver cinco administradores, vai querer saber quem mudou o quê e vasculhar os logs de auditoria para ver quem usou qual chave quando é uma dor real.
É melhor que as pessoas efetuem login como elas mesmas e usem sudoalgo semelhante para aumentar seus privilégios e fazer o que for necessário.

Se você ainda deseja centralizar as chaves SSH, sugiro procurar em um sistema de implantação como o Puppet ou o radmind para gerenciar / distribuir os authorized_keysarquivos nos ~user/.ssh/diretórios apropriados (ou hackear uma solução caseira que os coloque no lugar).
À medida que você expande para vários servidores, pode procurar no patch da Chave Pública LDAP versões mais antigas do OpenSSH (ou a AuthorizedKeysCommanddiretiva e um script apropriado na versão mais recente do OpenSSH) para poder centralizar seus usuários e não ter que distribuir as chaves deles em toda a sua rede, mas é provável que esteja muito longe para você.