Questions tagged «best-practices»

要求在给定领域的最佳实践的问题。请注意,有时可能没有公认的最佳实践,在这种情况下,该问题可能因主观而封闭。

7
专用网络的顶级域/域后缀?
在我们的办公室中,我们有一个纯内部DNS设置的局域网,所有客户端均名为whatever.lan。我也有一个VMware环境,并且在仅虚拟机的网络上,我将虚拟机命名为whatever.vm。 目前,该网络为虚拟机是不是从我们的局域网访问,但我们正在建立一个生产网络将这些虚拟机迁移到,这将是从局域网访问。其结果是,我们正在试图解决对域名后缀/ TLD我们申请,我们正在建立这个新的网络上的嘉宾惯例,但我们不能拿出一个很好的,因为.vm,.local和.lan在我们的环境中都具有现有的内涵。 那么,在这种情况下的最佳实践是什么?在纯内部网络上可以安全使用的TLD或域名列表吗?

8
最佳实践:我是否应该始终为新员工安装新的操作系统?
我对此有上级的争论。尽管乍一看,以前使用笔记本电脑的用户只能在自己的文档文件夹中工作,但我应该总是为下一个用户安装新的OS还是删除旧的配置文件?下一个用户通常也需要安装的软件。 我认为需要安装,但是除了我自己关于病毒和私有数据的说法之外,还有什么原因呢? 在我们公司,允许将PC用作私人邮件,在某些PC上甚至安装了游戏。我们有一些移动用户,他们经常在客户现场,所以我并没有真正责怪他们。 也因为如此,我们有很多本地管理员。 我知道私人使用和提供本地管理员帐户都不是一个好主意,但这就是我在这里工作之前的处理方式,只有当我退出培训后,才可以更改此方式;) 编辑:我认为发布的所有答案都是相关的,而且我也知道我们公司中的一些实践并不是一开始的最佳方法(例如,对于太多人而言,本地管理员;)。 到目前为止,我认为讨论的最有用答案是莱德的答案。虽然他在他的回答给的例子可能被夸大,它已经发生过,一个前雇员忘记的私人数据。我最近在旧笔记本电脑上找到了《逃亡》游戏的零售版,我们也有几箱还剩下私人图片。

10
单独购买还是批量购买RAID磁盘是更好的做法?
这听起来像是一个奇怪的问题,但却引起了我与一些同事的激烈讨论。考虑由八个或十二个磁盘组成的中等大小的RAID阵列。购买第一批磁盘或购买替换磁盘以扩大阵列或刷新硬件时,可以采用两种广泛的方法: 从一个供应商处以一个顺序购买所有驱动器,然后收到一个装有所有磁盘的大盒子。 从各种供应商处订购一个磁盘,和/或(几天或几周内)摊开一个磁盘的几个订单。 显然有一些中间立场,但这是主要的对立心态。我真的很好奇,哪种方法在降低阵列灾难性故障的风险方面更明智。(让我们定义为“ 25%的磁盘在一个时间窗口内发生故障,该时间窗口等于重新刷新一次阵列所需的时间。”)逻辑是,如果所有磁盘都来自同一位置,则它们可能都具有相同的状态潜在的缺陷等待罢工。如果您愿意,可以使用相同的定时炸弹,并在时钟上进行相同的初始倒计时。 我为每种方法收集了两个较常见的利弊,但其中一些感觉像是猜想和直觉,而不是基于证据的硬性数据。 一次购买全部,专业 在研究/订购阶段花费的时间更少。 如果供应商收费,则将运输成本降至最低。 磁盘几乎可以保证具有相同的固件版本和相同的操作特性(温度,振动等)。 价格上涨/库存短缺不太可能使项目中途停顿。 需要安装每个下一个磁盘。 序列号都是预先已知的,可以按增加序列号的顺序在磁盘盒中安装磁盘。似乎过于挑剔,但有些人似乎对此很重视。(我猜想他们的管理界面会按序列号而不是硬件端口顺序对磁盘进行排序...?) 立即购买全部,缺点 所有磁盘(可能)都来自同一工厂,同时使用相同的材​​料制造。它们被存储在相同的环境中,并且在运输过程中遭受相同的潜在滥用。一个人可能存在的任何缺陷或损坏。 如果将驱动器一次更换到一个现有阵列中,并且每个新磁盘都需要分别重新安装银盘,则可能要花几周的时间才能安装订单中的最后一个磁盘,并且发现有故障。在此期间,与供应商的退货/更换窗口可能会过期。 无法利用项目期间可能发生的近期价格下跌。 专业人士单独购买 如果一个磁盘发生故障,则与其他任何磁盘共享很少的制造/传输历史记录。如果故障是由于制造或运输过程中的某些原因引起的,则根本原因可能没有发生在任何其他磁盘上。 如果磁盘在到达时已死或在使用的最初几个小时内发生故障,则将在发货后不久检测到,并且退货过程可能会更加顺利。 缺点,单独购买 需要大量时间来找到价格合理的足够的供应商。解决订单跟踪,交货失败,物品退回损坏和其他问题可能很耗时。 潜在的更高的运输成本。 存在一个非常实际的可能性,即需要一个新磁盘,但没有一个可用的新磁盘,从而使项目停滞。 想象中的好处。无论供应商或购买日期如何,所有磁盘都来自同一地点,并且实际上是相同的。质量缺陷将检测到制造缺陷,不合格的磁盘将不会被出售。运输损坏必须非常严重(肉眼可以清楚地看到),以致损坏的驱动器在拆箱时就很明显。 如果仅按项目要点计算,则“批量购买”显然很容易获胜。但是,有些利弊很弱,有些利弊却很强。许多要点仅说明了其他一些的逻辑逆。其中有些事情可能是荒谬的迷信。但是,如果迷信在维护阵列完整性方面做得更好,我想我会乐于接受。 哪一组最明智? 更新:我有与此讨论相关的数据。我个人构建的最后一个阵列(大约四年前)有八个磁盘。我从一个供应商处订购,但将购买分成两个订单,每个订单四个磁盘,相隔一个月左右。阵列的一个磁盘在运行的最初几个小时内发生故障。它是从第一批开始的,该订单的退货窗口在将所有商品旋转起来时已经关闭。 四年后,七个原始磁盘加上一个替换磁盘仍在无错误运行。(敲木头。)


5
Windows Active Directory命名最佳做法?
这是有关Active Directory域命名的规范问题。 在虚拟环境中试用Windows域和域控制器后,我意识到,将活动目录域命名为与DNS域相同是一个坏主意(意味着example.com当我们拥有example.com域名时,将其作为Active Directory名称是不好的注册用作我们的网站)。 这个相关的问题似乎支持该结论,但是我仍然不确定围绕Active Directory域命名的其他规则。 是否有关于Active Directory名称的最佳实践?

5
在有意义的主机名和无意义的主机名之间进行选择
假设一个环境是由人偶管理的,由不同服务器组成的集群-各种硬件,软件,操作系统,虚拟/专用等。 您将选择有意义的主机名(mysqlmaster01..99,mysqlslave001..999,vpnprimary,vpnbackup等),还是希望使用无意义的主机名,例如书或电影中的字符? 我发现有意义的主机名存在的问题是,名称通常代表单个服务,并且如果服务器具有多个目的,则它会变得非常混乱(尤其是如果服务器角色经常更改)。 是不是将服务名称映射到IP地址并保持该映射DNS应该做的事情? 两种方法的优点和缺点是什么?选择的方法必须解决哪些实际问题?

5
如何保护我的公司免受IT人员的侵害?[关闭]
我将聘请一名IT人员来帮助管理办公室的计算机和网络。我们是一家小商店,所以他将是唯一一家从事IT业务的商店。 当然,我会仔细面试,检查参考资料,并进行背景调查。但是你永远不知道事情会如何发展。 如果我雇用的那个人是邪恶的,我如何限制我公司的曝光率?我如何避免使他成为组织中最有权力的人?

7
用户名标准的最佳做法:避免问题
我有兴趣了解人们使用标准用户名的经历。我一直到过使用{firstInitial} {lastname}的地方(有时有长度限制)。现在,我有一些想要{firstname}。{lastname}的用户 -现在看来,句号可能会引起问题。 特别: 在所有用途之间保持兼容性的最佳用户名长度限制是多少? 应避免使用哪些字符? 更新:我之所以没有提及细节,是因为我想变得足够笼统,以应付将来可能发生的任何事情。但是,这可能太笼统了(可能发生任何事情,对吧?)。 这是我们的环境:Ubuntu Server Lucid Lynx 10.04 LTS,Red Hat Enterprise Linux 5.6及更高版本,Windows Server 2003和Windows 2000 Server(在Windows 2000纯模式下具有Active Directory),用于邮件的Zimbra 7.x和附近的OpenLDAP未来。 更新:我应该提到(出于完整性考虑)我看到了这个问题(尽管它没有回答我提出的问题)以及这个网络帖子,两者都非常有用。

7
电缆管理政策
我们都看到过好坏的电缆管理示例。 在策略中可以使用哪些客观,可衡量的要求来维护机架/服务器机房/数据中心的布线顺序? 我不是在寻找“不要做意大利面条!” 但实用,客观可衡量的政策,可以很容易地对其进行解释,遵循和检查,以了解它是否通过或未通过政策中的要求。 请避免使用“不要做x,y或z”-而是将需求重新形成为“做A,B和C”,在遵循第二个要求时,将消除第一个要求中所述的问题。

8
我是否应该将Active Directory公开给远程用户使用?
我有一个客户,其员工完全由使用Apple和Windows 7 PC /笔记本电脑的远程员工组成。 用户目前不针对某个域进行身份验证,但是出于多种原因,组织希望朝该方向发展。这些是公司拥有的机器,公司寻求对帐户停用,组策略和某些轻量数据丢失的预防(禁用远程媒体,USB等)进行某种控制。他们担心需要VPN身份验证才能访问AD这将很麻烦,尤其是在终止员工和远程计算机上缓存的凭据的交集处。 组织中的大多数服务都是基于Google的(邮件,文件,聊天等),因此唯一的域服务是DNS和Cisco ASA VPN的身份验证。 客户想了解为什么将其域控制器公开给公众是不可接受的。此外,对于分布式远程劳动力,什么是更可接受的域结构? 编辑: Centrify用于少数Mac客户端。

15
我应该保留前雇主的数据吗?[关闭]
在短暂担任System Monkey之后,我现在面临一个难题: 我确实在笔记本电脑上成功创建了备份和测试VM,因为没有一台计算机在工作,没有足够的可用磁盘空间。我还没有删除备份,因为它仍然是公司历史上唯一的一种备份。自2006年以来,原始文件一直在硬盘上连续使用。现在公司只有一个人知道备份的内容,并且由于与我离职密切相关的原因,他们不太可能雇用其他人。 。 上次我试图与他们讨论备份的重要性时,他们认为我正在威胁他们。 我应该保留吗? 优点: 我可以使人们摆脱自己的愚蠢(据我所知,这是非正式的系统管理员座右铭) 当他们乞求帮助时,我会说“我告诉过你”,并且对此感觉很好 好干净的良心 奖励代表适当的神灵 缺点: 法律问题:即使我确实为他们提供帮助,他们也可能仍会起诉我,尽管我认为我有很好的理由 法律问题:鉴于工作的性质及其安全性,如果发生泄漏,我很可能会进行报复 法律问题:我没想到的其他问题 我需要更多的色情空间。 法律问题。 你会怎么做? 更新: 感谢您的所有回复,您对我的帮助很大。最后,我进行了录音通话,确认他们不想要备份,不希望我保留它,他们知道我要备份,并且承担起从现在起不备份的责任。我已经切碎了我的副本。

3
Ansible安全最佳做法
我将把Ansible引入我的数据中心,并且我正在寻找有关在哪里放置控制机器以及如何管理SSH密钥的最佳安全性最佳实践。 问题1:控制机 我们当然需要一台控制机。控制计算机上已保存了公共SSH密钥。如果攻击者有权访问控制计算机,则它可能有权访问整个数据中心(或由Ansible管理的服务器)。那么在数据中心或远程控制机器(例如我的笔记本电脑远程连接到数据中心)中配备专用的控制机器会更好吗? 如果最佳实践是使用笔记本电脑(当然可能会被盗,但是我可以将我的公钥安全地在线存储在云中或离线保存在便携式加密设备上),如果我需要使用某些Web界面像Ansible Tower,Semaphore,Rundeck或Foreman这样的Ansible是否需要在集中式计算机上安装到数据中心?如何保护它并避免它成为“单一攻击点”? 问题2:SSH密钥 假设我需要使用Ansible来完成一些需要由root执行的任务(例如安装软件包或类似的东西)。我认为最佳实践不是在受控服务器上使用root用户,而是为具有sudo权限的Ansible添加普通用户。但是,如果Ansible需要执行几乎所有任务,则需要通过sudo访问每个命令。那么,什么是最佳选择: 让Ansible使用root用户(其公共密钥保存在 ~/.ssh/authorized_keys 创建一个专用于具有sudo访问权限的Ansible的非特权用户 让Ansible用户通过sudo指定密码来运行每个命令(每个使用Ansible来控制服务器的sysadmin都必须知道这是唯一的) 让Ansible用户通过sudo运行每个命令,而无需指定任何密码 还有其他提示吗?

8
为域管理员单独登录一个域是最佳实践吗?
我通常喜欢为自己设置单独的登录名,一个具有常规用户权限的登录名,以及一个用于管理任务的单独登录名。例如,如果域是XXXX,我将设置一个XXXX \ bpeikes和一个XXXX \ adminbp帐户。我一直这样做是因为坦率地说我不信任自己以管理员身份登录,但是在我工作过的每个地方,系统管理员似乎都只是将其通常的帐户添加到Domain Admins组中。 有没有最佳做法?我看过MS上的一篇文章,该文章似乎说您应该使用“运行方式”,而不是以管理员身份登录,但是他们没有提供实现示例,而且我从未见过其他人这样做。


6
如何防止意外插入生产数据库?
就在最近,我有一个开发人员不小心尝试将数据库还原到生产环境,而那时他本来应该还原到临时副本。鉴于数据库名称是相似的,因此很容易做到,即CustomerName_Staging与CustomerName_Production。 理想情况下,我会将它们放在完全独立的盒子上,但是这样做的成本太高了,严格来说,如果用户连接到错误的盒子,这不会阻止同一件事的发生。 从本质上讲,这不是一个安全问题-这是使用登台数据库的正确用户,如果在生产数据库上有工作要做,那么也应该是他。我很想请一名部署人员来解决这些问题,但是团队还不够大。 我很想听听一些有关如何防止这种情况的做法,配置和控制方面的建议。

By using our site, you acknowledge that you have read and understand our Cookie Policy and Privacy Policy.
Licensed under cc by-sa 3.0 with attribution required.