购买
下载掌阅APP,畅读海量书库
立即打开
畅读海量书库
扫码下载掌阅APP

1.2 什么是SOE

我们已经探讨了SOE对企业如此重要的原因,并且从较高的层次上理解了解决这些问题的方法,现在让我们来详细了解一下SOE。从定义SOE本身开始。

1.2.1 定义SOE

让我们从一个更实际的角度来快速看一下。我们已经说过,SOE是一个概念,而不是绝对的。在最简单的层次上,它是一个通用的服务器映像或构建标准,部署在整个公司的大量服务器上。在这里,所有必需的任务都是以已知的、文档化的方式完成的。

首先是基本操作系统,正如我们所讨论的,有数百种Linux发行版可供选择。从系统管理的角度来看,有些非常相似(例如,Debian和Ubuntu),而有些则明显不同(例如,Fedora和Manjaro)。举个简单的例子,假设你想在Ubuntu 18.04 LTS上安装Apache Web服务器,可以输入以下命令:

现在,如果你想在CentOS 7上执行相同的操作,可以输入以下命令:

如你所见,这些命令之间没有任何共同之处,甚至连软件包的名称都不同,尽管这两种情况的最终结果都是安装了Apache。在小规模时,这不是一个问题,但是当服务器数量众多并且随着服务器数量的增加,管理这样一个环境的复杂性也会增加。

基本操作系统只是一个开始。上面的例子是安装Apache,也可以安装nginx甚至lighttpd。毕竟,它们也是Web服务器。

然后是配置。你希望用户能够通过SSH以root身份登录吗?出于审计或调试的目的,你需要一定级别的日志记录吗?你需要本机身份验证还是集中式身份验证?这份清单是无穷无尽的,如你所见,如果任其发展,可能会成为一个巨大的问题。

这就是SOE的用武之地。它实际上是一个规范,在较宏观的层次上,它可能会规定:

·标准基本操作系统是Ubuntu 18.04 LTS。

·标准Web服务器将是Apache 2.4。

·SSH登录已启用,但仅适用于具有SSH密钥的用户而不是root用户。

·所有用户登录都必须记录并存档,以便进行审核。

·除少数本机应急(break glass)账户外,所有账户都必须集中管理(例如,通过LDAP或Active Directory)。

·公司监控解决方案必须集成(例如,必须安装并配置Nagios NCPA代理,以便与Nagios服务器通信)。

·所有系统日志必须发送到公司中央日志管理系统。

·必须对系统应用安全加固。

以上只是一些例子,并不是完整的。但是,它应该开始让你了解SOE在宏观层次上的样子。本章我们将深入探讨这个问题,并给出更多的例子来建立一个明确的定义。

1.2.2 了解环境中要包含哪些内容

在继续之前,我们需要了解环境中要包含哪些内容。在上一节中,我们概述了一个非常简单的SOE定义。任何一个好的SOE操作过程的一部分就是拥有一个预定义的操作系统构建,它可以随时被部署。有多种方法可以实现这一点,我们将在本书后面讨论这些。但是,目前,让我们假设已经建立了Ubuntu 18.04 LTS的基本映像,正如前面所建议的那样。

我们在这个标准构建中集成了什么?例如,我们知道登录策略将应用于整个组织,因此,在创建构建时,/etc/ssh/sshd_config必须定制为包含PermitRootLogin no和PasswordAuthentication no。在部署后,再在配置中执行此步骤没有意义,因为这必须在每个部署上执行。很简单,这将是低效的。

对于操作系统映像,还有一些重要的自动化考虑因素。我们知道Ansible本身是通过SSH进行通信的,因此需要某种凭据(很可能是基于SSH密钥的),以便Ansible在所有部署的服务器上运行。在实际执行任何自动化操作之前,手动将Ansible凭据推送到每台计算机没有什么意义,因此重要的是考虑Ansible要使用的身份验证类型(例如,基于密码或SSH密钥的身份验证),并在构建映像时创建账户和相应的凭据。具体方法取决于你的公司安全标准,但我建议将以下内容作为一种潜在的解决方案:

·在标准映像上创建一个本机账户,以便Ansible进行身份验证。

·授予此账户适当的sudo权限,以确保可以执行所有所需的自动化任务。

·设置此账户的本机口令,或者将从Ansible密钥对中取出的SSH公钥添加到你创建的本机Ansible账户的authorized_keys文件中。

这样做当然会带来一些安全风险。Ansible很可能需要完全访问你服务器上的root,以便它有效地执行你可能要求它执行的所有自动化任务,因此如果凭据泄露,此Ansible账户可能会成为后门。建议尽可能少的人可以访问你的凭据,并建议你使用AWX或Ansible Tower(我们将在第3章中探讨)等工具来管理你的凭据,从而防止其他人不适当地获取凭据。你几乎肯定还希望启用对Ansible账户执行的所有活动的审计,并将这些活动记录到某个中央服务器上,以便你可以检查它们是否存在任何可疑活动,并根据需要对它们进行审计。

从用户账户和身份验证开始,还可以考虑 Nagios跨平台代理(NCPA) 。在我们的示例中,我们知道需要监视所有部署的服务器,因此必须安装NCPA代理,并定义令牌以便它可以与Nagios服务器通信。同样,部署标准映像之后再在每台服务器上执行此操作是没有意义的。

但是Web服务器呢?制定一个标准是明智的,因为这意味着所有对环境负责的人都能对这项技术感到满意。这使得管理更容易,并且对于自动化特别有利,我们将在下一节中看到。但是,除非你只需要部署运行在Linux上的Web服务器,否则这可能不应该作为标准构建的一部分。

作为一个合理的原则,标准构建应该尽可能简单和轻量级。当额外的服务都是多余的时,在服务器上面运行它们,占用内存和CPU周期是没有意义的。同样,拥有未配置的服务会增加潜在攻击者的攻击面,因此出于安全原因,建议将其排除在外。

简言之,标准构建应该只包含将对部署的每个服务器都通用的配置和服务。这种方法有时称为 刚刚够用操作系统(Just enough Operating System,JeOS) ,它是SOE的最佳起点。

在了解了SOE的基本原理之后,我们将在下一节中更详细地了解SOE给企业带来的好处。 8ghOWAQkOKA9GhlY5hYNUEoiccAcmPiaomz87Y4TWUO2xrJZ2ibRq9b4GzDAbnYv

点击中间区域
呼出菜单
上一章
目录
下一章
×