我在大公司看到的一种方法是Cyber​​-Ark之类的产品，它基本上可以控制盒子的密码，然后进行设置，您可以在一段时间内为特定主机请求密码。然后应用程序会为您提供密码并在时间段结束后更改密码。这种方法的另一个优点是您可以记录谁可以访问服务器以及何时访问。

这样，当团队成员离开时，他们实际上不会知道任何密码。显然，您需要将此与监控工具结合起来，以阻止人们添加未经授权的帐户或后门，但如果您有足够的帐户来管理它可能是一个好方法。

我们使用带有共享/硬编码密码的 truecrypt 保险库。一些团队在他们的手机上保存了文件的加密副本。

我们使用 AD 将本地管理员密码推送到我们的 Windows 服务器。

我们使用 puppet 更改本地 root 密码并从我们的 Linux 服务器中删除前员工 ssh 密钥。

我们使用 Kiwi Cat 工具来管理我们的 Cisco 硬件，并使用它来重置密码。

这仍然只剩下不到十几个我们手动更新的“一次性”设备（UPS、远程 PDU、打印机等）。

我们每 6 个月更改一次密码，或者在我们失去团队成员时立即更改密码。

在我的部门，身份和访问控制集中在IPA中，它允许：

• 基于 RBAC 配置文件非常容易地添加/删除帐户
• 定义帐户的状态（启用/禁用）
• 存储用户的 ssh 密钥（因此服务器中不存在密钥）
• 定义密码策略
• 很容易实现多因素身份验证（kerberos + RSA + 密码）
• 与您的问题没有直接关系的其他几个帐户和控制功能（sudo、HBAC、SELinux、证书处理......）

当团队成员离开时，他/她的帐户在第一步被禁用，然后通过适当的管理工作流程被删除。