鉴于为不同系统设置不同的密码非常重要，那么拥有数千台服务器的数据中心如何管理呢？我目前只管理几十台机器，但数量趋于增长，尤其是虚拟机。如果您克隆虚拟机，它将具有相同的密码，如果这是自动化工作流程的一部分，则没有太多机会更改它。如果您自动更改密码，则需要安全地完成，并且您又回到了单点故障。那么，人们会怎么做？
我应该解释一下，问题不在于考虑密码（有很多密码生成器），而在于有一个有效的设置和记录密码的过程，特别是当机器自动创建时。
答案1
大多数地方使用两组密码：在线身份验证和离线密码。在线身份验证通常使用 Kerberos 等身份验证/授权 (AA) 系统完成。每个管理员用户都被分配了适当的令牌和服务器访问权限
对于关键系统的离线管理，根密码是单独存储的（在我们的例子中，存储在物理断开的系统中）。所有对密码列表的访问都会被记录下来，并且用户需要输入动机才能检索服务器的根密码。以前，离线密码列表是存储在保险箱中的打印列表。
在配置虚拟机时，您通常可以不设置任何 root 密码，只需分配在线身份验证/授权即可。当您的 AA 服务器离线时，您不太可能需要管理虚拟机。
答案2
即使您使用 LDAP，大多数系统都会有一个 root/superadmin 帐户用于离线身份验证，以防每个 LDAP 实例都发生故障。不应该发生的事情迟早会发生。
LDAP可以在这种情况下是您的答案，但是对于离线根管理员密码，您应该使用中央 CMDB、每个服务器的新随机密码以及某种自动化例程来定期更改这些密码，当然还要验证已完成的更改。
如果您克隆虚拟机（我不认为您应该这样做，但这是另一回事），则必须执行某些例程，其中之一应该是重置所有密码。
编辑：回答你的标题“你如何为大量服务器选择密码？” - 你不需要。我会对所有服务器使用随机密码。真正的问题是当有人入侵你的服务器时，你将如何以及何时发现。
答案3
我建议不要在机器之间共享密码。如果一台机器被破解，您的所有机器都可能受到威胁。但是，如果您喜欢重新安装所有机器的想法…… :)
我不会使用那些你可以破解的密码，例如主机名、IP/MAC 地址的一部分等。就我个人而言，我会使用一些专门设计用于以安全方式存储密码的软件，例如Keepass。允许 keepass 为您生成密码。我使用至少 12 个字符，包括数字、大写字母和小写字母，但我确实使用“避免使用相似的字符”选项，以防您必须手动输入密码。
答案4
我们有一个作为本地服务运行的应用程序，每隔几周选择一个随机密码并更改它。我们使用一个连接到存储哈希密码的数据库的 Web 门户，以便在需要使用本地管理员帐户时使用。