我们有两个系统pipe理员知道我们所有系统的密码。 如果发生了“不可思议的事情”（AKA，“他们都乘坐公共汽车”），其余的队员现在无法获得系统的pipe理员访问权限。
在保持系统安全的同时，我们应该采取哪些步骤或程序来防止这种情况发生？
让他们把关键的密码写下来，密封在信封里，然后存放在一个安全的保险箱或其他物理安全高的地方。 你想确保只有像CEO或其他值得信赖的人可以访问这个，并确保他们只能以一种会留下物证的方式访问它。
在每次他们进行重大密码更改（如DC上的恢复密码，如森林的第一个域中的原始pipe理员帐户的密码（应位于Enterprise Admins组中）时使用）他们logging了账户和密码两次，并且这些账户/密码组合被立即封闭在一个信封里并贴上标签，一个信封在现场保存在一个安全的地方（如保险柜），另一个信封保存在你的场外磁带/软件是在这种情况下，你有恢复所有重要的密码。
其他人都提到要把密码写下来存放在安全的地方。 我会提到一些同样重要的事情： 确保密码清晰！ 没有什么比看灾难恢复密码日志更糟糕的了，因为你现在已经死亡/被剥夺权利/疏离的系统pipe理员拥有终身医疗的笔迹，所以不能区分零，字母，小写字母“l”等等之间的区别教授。 即使“英俊”的手写可以在各种符号中带有含糊之处。 如果密码足够复杂，那么这些含糊不清可能导致密码猜测的漫长夜晚， 或给你一个理由来学习如何设置Cain和Abel使用正则expression式强制系统的密码。
例如，我会写指向用户名的箭头，并说“对于所有你的Windowspipe理员 – 这个用户名实际上区分大小写！ ”或“这是英文字母的第12个字母，也就是字母”l“发音为” “”。 是的，我是那个偏执狂。
是的，我有强迫症。
不，我没有吃药。 =（
另外，如果你对安全性偏执 – 分开密码。 把三分之一的密码交给首席执行官和一位经理，另外三分之一交给首席技术官和另一位经理，最后三分之一交给首席信息官和经理。 这样，至less有三个人必须同意，才能重build你的宝贵密码，而且没有人能够帮你解决问题（他们是否应该被解雇）。
我将所有的密码存储在PasswordSafe中，程序和数据库存储在服务器上，只允许那些应该有权访问的高级pipe理人员访问，根据公司的规定。 数据库的内容也被导出到一个文档中，然后用一种字体打印出来，这样就可以很容易区分这些不明确的字符，而且打印后的文档被存储在非现场的安全位置。 从来没有依靠手写这种事情。
除了具有某种安全的密码列表之外，在没有密码已知的情况下logging进入系统的进程…物理访问，强制密码更改，“维护模式”等。
无论给定系统的方法是什么，值得一提的是，对于获取访问所需要的东西（任何在系统上强制更改密码的宕机时间的影响），都是一个已知的过程。
我们input密码并使用控制台或OCR字体进行打印。 在validation之后，文档被closures而不被保存。 然后将密码封入信封并存放在所有地方的首席财务官保险柜中。 有时候，首席技术官和首席财务官打开保险柜，确认它仍然密封，并让pipe理员制作新的信封。
另外，首席技术官维护一个备份pipe理员帐户，密码与备份磁带异地存储。
当密码发生变化时，我们并没有完全知道该怎么做，因为有一些服务在pipe理员密码发生变化时无法启动 – 但是这种情况发生得并不算太大。
实际上，当最高级的系统pipe理员开发了terminal医疗条件，并在全部职责完成之前通过，信封技巧确实非常方便。 不幸的是，由于他的一些布线路线的知识已经失去了不可挽回的地位，我们在这一天和几年之后都遇到了问题。
如果您的系统pipe理员消失，可以使用域pipe理员帐户login失败保护，请创build一个特殊的用户帐户并委派将\更改密码重置为此帐户的function。 把这个用户名和密码交给一个值得信赖的人，比如你的老板，并说明如何以及何时使用它。 如果您的老板可以在发生紧急情况时更改域pipe理员密码，那么您就可以重新获得对networking的控制权了。
您可能还需要创build一个自定义的MMC控制台，但是这可以存储在安全的networking共享中。
另一个select是在具有root权限的服务器上设置一个帐户，并且只允许通过ssh密钥访问这个帐户。 保持私钥只在闪存驱动器上，并安全地存储。
如果发生不可思议的事情，您可以通过这个帐户/密钥login并更改密码。
密码不是问题。 任何传入的replace系统pipe理员将需要certificate他/她的技能，知道如何恢复在每个服务器上的启用root帐户。 当然，它需要访问物理服务器，但无论如何这是不可想象的事情。 我发现IT专业人员想要一个有问题的服务器的pipe理员login – 我只是告诉他：“你需要把一个屏幕和键盘放到服务器上，为自己创build一个新帐户” – 因为我不是愿意给这个未知能力的人一个密码。
我讨厌想想如果给予所有的pipe理员密码，一个无能的人可以造成什么混乱。
logging系统的体系结构更为重要。 包括URL和IP地址。 维护networking必须遵循什么规则程序。 这种文件必须保持安全 – 但安全性不如密码重要。