Как организовать безопасность паролей и доступов, если два Админа в конторе.

Начало истории для пикабу или башорга - пришел на работу админом, а пароли не доверяют :)

Никак такие задачи не решаются - или даются доступы или не даются. Хотя с таким положением вещей второй админ скорее всего свалит, так как работу свою выполнять оперативно не сможет, а шишки на него вешаться будут.

Отнимаете часть серверов у старого и даете новому вместе с паролями. Теперь у каждого админа часть своих серверов.

А авторизацию по сертификатам уже отменили? сарказм

Каждому админу свой сертификат и пусть ставят на них пароли какие хотят. Заодно и в логах будет видно кто что делал.

А почем у не сделать для каждого свой доступ? Если это линь то пользователь в sudoers

Если винда, то отдельный юзер администратор.

И логировать действия удобнее. Надежнее все это. А как хранить свои пароли каждый админ знает сам.

А где то сказано, что там один ssh на униксах. Вот понадобится где нибудь у наймчипа и рег.ру сменить NS, куда там сертификат вводить будете ? :)

Админу надо или доверять или искать нового.

Процитирую ТС:)

Ну да не суть, вы конечно же правы.

saloed, разделите обязанности, авторизация к серверам по ключам, никаких паролей не давайте. Если приживется, то выдадите. Повысьте старого админа в должности до "начальника админов", пусть он решает, что выдавать, а что нет.

разделение обязанностей при двух админах не вариант, доджны быть взаимозаменяемость, ради этого и брали второго админа.

авторизация по ключам не везде применима, т.е. львиная доля это сервера клиентов, а там зоопарк систем, технологий и софта.

Попробую, пееревести вопрос в другую плоскость: а как на счет схем хранения логинов\парлолей и совместный доступ к ним? кто какие подходы использует? Сейчас все у одного админа в txt и xls на шифрованном контейнере в дробоксе.

Берем dropbox у директора (ну к примеру), там создаем папку и шарим ее в дропбокс к админам. Далее в папку кладем keepass файл и сообщаем о данном админам.

В результате директор всегда имеет доступ ко всем паролям и изменениям, а файл с паролями зашифрован и доступен с любой операционки, от винды до андройда.

Хранить пароли в txt или екселе - это же не удобно совершенно.

Разделить пополам сервера.

Но это идиотизм, паранойя, каждый должен быть на подмене, подхвате (если конечно такие нагрузки у вас) или помощь взаимная между админами должна быть.

Как бы распределить иерархию, один старший другой младший, старший принимает решение и выдает авторизационные данные и отвечает за них, но тоже такой вариант не к чему хорошему не приведет.

Но лучше первый вариант, когда они оба на подхвате, но сервера разграничены между ними.

Надо учиться доверять людям!