信创建设，如何统一管理异构服务器的认证、密码、权限管理等？

对于金融、能源、运营商、央国企等信创单位运维人员来说，异构化服务器的统一管理是个“老大难”问题。CentOS、Windows、信创操作系统服务器，既要考虑到账号、权限的安全管理、审计，又要面临密评、等保合规、行业监管等要求。如何解决以上问题，实现安全、合规、统一管理、提升效率等目标？宁盾将通过下面几个客户场景来揭晓答案。

服务器统一认证与管理常见场景

某国有钢铁企业：本地账号存风险，需过等保

某钢铁企业拥有近千台服务器，以 CentOS 、Windows 系统为主。作为国企，该钢铁企业未来也将有大量信创服务器。由于账号密码均在本地创建，手动管理维护存在密码泄露、权限管理混乱等安全隐患。为满足三级等保要求，提升运维效率及安全，该公司正调研服务器统一认证管理方案。

某金融公司：信创&密评要求定期修改口令等

某保险公司存在数百台信创服务器，密评和行业监管要求企业需对服务器进行统一认证管理，包含定期修改口令、账号权限管控及 MFA 多因素认证等。该企业运维人员曾考虑使用 AD，但本地服务器操作系统类型较多，加入AD域过程复杂且需要持续运维处理脱域问题，再者 AD 不具备 MFA 多因素认证能力，需另找一家 MFA 厂商和 AAA 厂商。

某中字头企业：信创服务器过密评且替换AD

某制造业央企应国产化要求已采购大批信创服务器，且 AD 也有替换可能。服务器需做统一管理及满足密评要求。

三种用户场景面临问题总结如下：

• 之前使用 AD 进行服务器统一认证管理的，如果面临信创要求，需要寻找厂商来替代 AD。

• 银行、证券等金融行业要求或密评要求服务器统一认证，定期修改口令、MFA、权限控制等。

• 帮助提升运维人员对于服务器账号管理的效率和安全性。

宁盾解决方案

宁盾身份域管产品，支持全场景统一身份认证及管理，兼容常用 Linux 发行版操作系统和信创服务器操作系统，为服务器运维提供以下能力：

1. 计算机资产可视化：

展示所有接管的计算机，让资产看得见，如服务器数量和组织架构、操作系统、IP、MAC、主机名、连接状态等，及时处理长期未登录的机器。

2. 统一认证：

接管服务器操作系统的认证，统一到宁盾身份域管进行认证。

• 灵活分配哪些账号可以登录哪些服务器，可以实时调整，立即生效；

• 配置服务器是否禁止本地账号登录，只能使用管理员分配的账号登录；

• 配置认证策略实现，哪些IP段可以登录，哪个时间段可以登录，保证认证安全；

• 配置MFA多因素认证（OTP动态令牌），登录服务器时增加动态密码校验，降低密码泄露造成的风险。

3. 便捷改密：

便捷的改密方式和密码安全两手抓。

• 设置密码过期天数，并支持在密码到期前，通过短信/邮件通知提醒用户改密；

• 支持两种改密方式：SSH、自服务web平台；

• 配置密码策略，保证密码安全。如禁止使用不满足复杂度的弱密码，禁止使用历史密码，禁止使用连续的字母或数字，禁止使用键盘横纵向连续字符等。

4. 权限管理：

让权限更灵活。

• 灵活配置不同账号登录不同服务器的权限，管理员or普通用户；

• 同一个账号登录不同服务器可以有不同权限；

• 根据业务需求自定义权限，并下发到服务器；

• 根据实际业务调整，变更当前账号登录服务器的权限。

5. 认证审计：

认证、改密等行为充分审计，满足审计需求。

• 认证和改密记录，包含不限于账号信息、网络信息、时间信息等；

• 支持联动市面主流审计服务器，将认证日志进行同步。

采用宁盾方案的优势

目前对于服务器进行统一认证管理的方案有 SSSD、一些登录插件厂商，与之相比，采用宁盾身份域管方案具有以下优势：

• 部署轻便

（1）对比 SSSD 每台服务器需要复杂的配置，对于一个熟练的运维人员，将一台服务器配置 SSSD 需要花费2个小时。对于上千台服务器来说，需要花费80多个人天，且需要面临运维排障复杂的难题。

（2）使用宁盾身份域管方案，每台服务器仅需要花费短短几分钟即可完成部署，效率显著提升。

• 安全性高

（1）虽然部分登录插件厂商也具备部署轻便特性，但是在安全性上有待加强。宁盾域管对于服务器的管控拥有一套自研的安全保护机制，从服务器域身份的安全存储，到身份认证的安装传输，再到域控服务的安全部署，做到比微软 AD 域控更安全。

（2）系统漏洞处理上，宁盾身份域管通过了上百个大型项目专业机构的漏洞扫描，并配有专业的漏洞运维小组，迅速可持续地解决漏洞问题，守护客户的系统安全。

• 可靠性强

（1）具备双机热备和异地多活能力，满足多分支客户的灾备可靠性需求。

（2）具备完善的逃生机制，即使部署的所有宁盾身份域管服务器全部宕机，也不会影响服务器的认证功能，用户可通过离线方式进行认证。