Ці можна схаваць пароль проксі ад адміністратара кліенцкага хоста?
Выберыце абсяг уліковых даных проксі, які адпавядае адміністратарам, што кіруюць хостам, дзе выкарыстоўваецца сакрэт.
«Трымаць іншых карыстальнікаў па-за гэтым файлам» і «схаваць пароль ад людзей, якія адмініструюць гэты сервер» — гэта розныя патрабаванні.
Дазволы, кіраваныя ўліковыя даныя і адрэдагаваная дыягностыка дапамагаюць з першым. Яны памяньшаюць выпадковае раскрыццё праз канфігурацыю, рэзервовыя копіі, аргументы каманд і дампы асяроддзя.
Для другога спытайце, чым кіруюць гэтыя адміністратары. Магчымасці Linux і абмежаванне могуць звузіць пэўныя ролі. Той, хто можа замяніць кліент проксі, змяніць яго запуск або праглядзець яго выкананне, — іншы супернік, чым звычайны ўліковы запіс, які чытае файл.
Сэрвіс рана ці позна мусіць выкарыстаць уліковыя даныя. Шыфраванне з пакіданнем прыдатнага шляху расшыфроўкі пад кантролем таго ж адміністратара не стварае адсутную мяжу.
Дайце машыне без нагляду ўліковыя даныя сэрвісу з належным абсягам, з асобнай ратацыяй і адкліканнем. Калі аперацыя мусіць заставацца па-за адміністратарамі гэтай машыны, змясціце яе за асобна кіраваную мяжу. Працягвайце ахоўваць лакальна захаваную копію; проста не сцвярджайце, што яе дазволы вырашаюць абедзве патрабаванні.