【編者按】作者jolestar，微信公號(hào)：午夜咖啡

創(chuàng)業(yè)團(tuán)隊(duì)有許多公用服務(wù)需要內(nèi)部共享賬號(hào)密碼（比如公眾號(hào)，官微賬號(hào)，企業(yè)應(yīng)用市場(chǎng)賬號(hào))，賬號(hào)密碼應(yīng)該如何管理？還有各種內(nèi)部工具，SaaS服務(wù)的賬號(hào)該如何管理？本文推薦幾個(gè)團(tuán)隊(duì)賬號(hào)密碼管理工具。

（截圖來(lái)自keeper網(wǎng)站）

很多人用云筆記或者云盤(pán)等工具共享賬號(hào)密碼，不過(guò)這是非常不安全的，因?yàn)槟銢](méi)辦法控制團(tuán)隊(duì)里每個(gè)人的個(gè)人賬號(hào)的安全級(jí)別，一旦個(gè)人的賬號(hào)由于弱密碼或者被撞庫(kù)泄露，那所有的安全都等同虛設(shè)。前一段時(shí)間一某廠員工的筆記被撞庫(kù)，黑客用該員工賬號(hào)在內(nèi)網(wǎng)游歷一圈就是例子。

有一次，我去幫一創(chuàng)業(yè)的朋友解決技術(shù)問(wèn)題。需要看下他們的dns，結(jié)果他不知道管理賬號(hào)密碼，于是打電話問(wèn)技術(shù)同學(xué)。后來(lái)又要看云服務(wù)的管理后臺(tái)，結(jié)果也不知道，又打電話問(wèn)技術(shù)同學(xué)?？戳艘蝗?，電話打了幾個(gè)，密碼電話里還說(shuō)不太清楚，一番折騰。前兩天一創(chuàng)業(yè)群里又有同學(xué)問(wèn)起這個(gè)問(wèn)題，所以就分享幾個(gè)團(tuán)隊(duì)賬號(hào)密碼管理的工具。

1Password for team

1Password是agilebits出的一款密碼管理工具，最近推出了team版本。

1Password是個(gè)純客戶端應(yīng)用，加密方式是公開(kāi)的，密碼數(shù)據(jù)庫(kù)在用戶的Dropbox或者iCloud上，服務(wù)器也不保存用戶的主密碼，這樣避免了1Password自己的服務(wù)被黑導(dǎo)致的數(shù)據(jù)泄露問(wèn)題。用戶如果忘記自己的主密碼是無(wú)法恢復(fù)數(shù)據(jù)的。如果要盜取用戶的密碼數(shù)據(jù)，需要先盜取到用戶的iCloud/Dropbox上的密碼數(shù)據(jù)庫(kù)，再盜取到用戶的主密碼。所以安全掌握在用戶自己手里。

1Password for team 由于要在多個(gè)用戶之間共享數(shù)據(jù)，密碼數(shù)據(jù)庫(kù)要保存到云端。不過(guò)1Password依然承諾不保存用戶的主密碼，云端的數(shù)據(jù)庫(kù)是加密過(guò)的，每次訪問(wèn)的時(shí)候解密。具體的技術(shù)說(shuō)明參看Introducing 1Password for Teams 。

1Password的同步功能是通過(guò)桌面客戶端實(shí)現(xiàn)的，安裝瀏覽器擴(kuò)展是方便輸入賬號(hào)密碼，瀏覽器擴(kuò)展里并不會(huì)要求用戶登陸或者輸入主密碼，所以避免了網(wǎng)站偽造主密碼登陸界面釣魚(yú)的風(fēng)險(xiǎn)。比如，同樣的密碼管理工具 LastPass這兩天就遭遇了網(wǎng)頁(yè)釣魚(yú)攻擊。

使用1Password for team比較簡(jiǎn)單，創(chuàng)建一個(gè)team，通過(guò)郵箱邀請(qǐng)成員，成員在自己的客戶端上綁定團(tuán)隊(duì)賬號(hào)，即可同步團(tuán)隊(duì)密碼數(shù)據(jù)到用戶本地。管理員可以創(chuàng)建不同的保險(xiǎn)庫(kù)(vault)，來(lái)控制權(quán)限問(wèn)題。適合規(guī)模比較小，成員之間比較信任的團(tuán)隊(duì)。

付費(fèi)機(jī)制：1Password對(duì)國(guó)內(nèi)用戶來(lái)說(shuō)還是比較貴，Mac版本￥163，iOS版本￥68，不過(guò)基礎(chǔ)功能免費(fèi)版可用。

Onelogin

如果團(tuán)隊(duì)成員流動(dòng)比較大，頻繁改密碼又比較麻煩，如何處理？這里推薦下Onelogin。

Onelogin支持管理員在后臺(tái)設(shè)置賬號(hào)密碼，然后給團(tuán)隊(duì)生成一個(gè)應(yīng)用面板，成員點(diǎn)擊應(yīng)用圖標(biāo)，打開(kāi)連接，Onelogin的瀏覽器插件會(huì)自動(dòng)填充用戶名密碼然后提交，成員看不到用戶密碼，也無(wú)需知道用戶密碼。當(dāng)然，這個(gè)機(jī)制也是防君子不防小人，如果成員自己用抓包工具，還是可以獲取到密碼的，但至少不需要把密碼傳來(lái)傳去。

另外Onelogin支持同步LDAP，Active Directory，Google APPS SSO等賬號(hào)中心（高級(jí)版），也支持SAML，方便其他應(yīng)用集成，它的目標(biāo)是企業(yè)應(yīng)用的認(rèn)證中心。

付費(fèi)機(jī)制：初級(jí)版每人每月2$，高級(jí)版每個(gè)月每人4$

最大缺點(diǎn)是它是國(guó)外服務(wù)，國(guó)內(nèi)訪問(wèn)非常慢。

開(kāi)源的LDAP服務(wù)

如果團(tuán)隊(duì)內(nèi)部的應(yīng)用多，建議搭建LDAP服務(wù)做統(tǒng)一賬號(hào)密碼管理。推薦以下LDAP服務(wù)：

Apache Directory Apache下的java的開(kāi)源LDAP服務(wù)

Open LDAP 開(kāi)源LDAP服務(wù)

ltb-project 一組php的LDAP工具，包含一個(gè)LDAP自服務(wù)web項(xiàng)目，允許用戶自己修改自己的賬號(hào)密碼。LDAP服務(wù)本身不包含自服務(wù)工具的。

國(guó)內(nèi)企業(yè)應(yīng)用賬號(hào)管理之痛

原來(lái)的企業(yè)應(yīng)用都是私有部署模式，部署在內(nèi)網(wǎng)，統(tǒng)一使用LDAP就可以搞定賬號(hào)認(rèn)證的問(wèn)題，但移動(dòng)互聯(lián)網(wǎng)時(shí)代，為了便利，許多內(nèi)部應(yīng)用要在公網(wǎng)上訪問(wèn)，同時(shí)各種SaaS服務(wù)涌現(xiàn)出來(lái)，每個(gè)都有一套賬號(hào)系統(tǒng)，每個(gè)成員加入或者離職，都需要管理許多服務(wù)的賬號(hào)。于是出現(xiàn)了Google APPS，Onelogin等SaaS賬號(hào)中心服務(wù)。然而這兩個(gè)服務(wù)，一個(gè)被墻，一個(gè)很慢，在國(guó)內(nèi)都不太具有可用性。

而國(guó)內(nèi)的郵箱服務(wù)廠商，也沒(méi)有提供類似服務(wù)，對(duì)國(guó)內(nèi)企業(yè)應(yīng)用開(kāi)發(fā)者和用戶來(lái)說(shuō)都是一種痛苦。

其他同類服務(wù)

其他類似服務(wù)，但筆者未做分析比較，感興趣的可以看看

LastPass 、Keeper 這個(gè)中文服務(wù)支持的比較好 、Okta 

雷峰網(wǎng)原創(chuàng)文章，未經(jīng)授權(quán)禁止轉(zhuǎn)載。詳情見(jiàn)轉(zhuǎn)載須知。