Certificats

Là où je bosse actuellement, on n’utilise plus de clef SSH à part sur nos bastions, pour tous les autres serveurs on utilise des certificats (Facebook décrit leur utilisation dans Scalable and secure access with SSH).

Ça permet de leur donner une validité assez courte, de segmenter en différentes zones (il faut faire signer un certificats différent pour se connecter en root sur les bastions ou en user sur un serveur web).

Sur mon infra perso, je rejoins le commentaire précédent, Puppet fait le taff :

class profile::base::users (
 Optional[String] $root_password = undef,
 Optional[Hash] $ssh_authorized_keys = undef,
) {
 user { 'root':
 home => '/root',
 password => $root_password,
 shell => '/bin/zsh',
 comment => "root@${facts['networking']['fqdn']}",
 purge_ssh_keys => true,
 }
 if $ssh_authorized_keys {
 create_resources(
 'ssh_authorized_key', $ssh_authorized_keys, { user => 'root' }
 )
 }
}