第 17 章 安全最佳实践

授予系统某些部分的访问权限会带来安全风险。应用以下实践来帮助安全访问：

最小化对系统管理帐户的访问对于维护一个安全系统至关重要。系统管理员或 root 用户可以访问、编辑和破坏任何系统应用程序。在可能的情况下，限制人员或具有 root 访问权限的帐户数量。不要为不受信任的用户提供 sudo 到 root 或 awx （自动化控制器用户）。请注意，当通过 sudo 等机制限制管理访问权限时，对特定命令的限制仍然可以授予广泛的访问权限。任何能够执行 shell 或任意 shell 命令的命令，或者可以更改系统上文件的任何命令都等于完全 root 访问权限。

使用自动化控制器时，任何自动化控制器 "系统管理员" 或 "superuser" 帐户都可以编辑、更改和更新自动化控制器中的清单或自动化定义。将其限制为只有最少的、可以进行低级自动化控制器配置和灾难恢复的用户集合。

当您将自动化控制器与最佳实践搭配使用时，除了用于管理目的外，不需要本地用户访问。非管理员用户无法访问自动化控制器系统。

如果自动化控制器凭证只存储在控制器中，您可以进一步保护它。您可以将 OpenSSH 等服务配置为只允许来自特定地址的连接的凭证。自动化使用的凭证可能与系统管理员用于灾难恢复或其他临时管理的凭证不同，从而可以更轻松地进行审核。

不同的自动化部分可能需要在不同级别上访问系统。例如，您可以有低级系统自动化来应用补丁并执行安全基线检查，同时具有更高级别的自动化部署应用程序。通过为每个自动化使用不同的密钥或凭证，可以最小化任何一个关键漏洞的影响，同时启用基准审计。