Målet og rækkefølgen af trinene
Administratorer bør logge ind med nøgler på deres egne konti og bruge sudo efter behov. Det efterlader et spor af, hvem der gjorde hvad, og begrænser gætning af adgangskoder. Rækkefølgen er vigtig: få først den nye adgang til at virke, test den og begræns root som det sidste trin. Hold udbyderens konsol tilgængelig, hvis noget går galt.
Opret kontoen og installér nøglen
Opret kontoen, tilføj dens offentlige nøgle og indstil stramme rettigheder, da sshd ignorerer nøglefiler, som andre kan skrive til. Kopiér aldrig en privat nøgle til serveren. På systemer i Red Hat-familien skal du bruge gruppen wheel i stedet for sudo.
sudo adduser admin1
sudo usermod -aG sudo admin1
sudo install -d -m 700 -o admin1 -g admin1 /home/admin1/.ssh
sudo install -m 600 -o admin1 -g admin1 ~/admin1.pub /home/admin1/.ssh/authorized_keysTest fra et andet vindue
Lad din nuværende session være åben, og test det nye login fra en anden terminal. Medlemskab af en gruppe beviser ikke i sig selv, at sudo virker, for det afgøres af reglerne i sudoers. Bekræft det med sudo -l.
ssh -o IdentitiesOnly=yes -i ~/.ssh/id_ed25519 admin1@server.example
sudo -l
sudo -vBegræns root-login
PermitRootLogin prohibit-password tillader kun root med en nøgle, og no blokerer root helt over SSH. Gem ændringen i sin egen fil under /etc/ssh/sshd_config.d. For de fleste indstillinger bruger sshd den første værdi, den finder, så en tidligere fil kan få forrang. Kontrollér derfor den gældende værdi med sshd -T i stedet for blot at læse filerne. Test et nyt login, før du lukker den gamle session.
echo 'PermitRootLogin no' | sudo tee /etc/ssh/sshd_config.d/50-root.conf
sudo sshd -t
sudo systemctl reload ssh
sudo sshd -T | grep -iE '^(permitrootlogin|passwordauthentication) 'Login med adgangskode og faldgruber
Slå først PasswordAuthentication fra, når alle de konti, du har brug for, har en testet nøgle. Undgå at dele én konto mellem flere personer, da du så ikke kan tilbagekalde én persons adgang uden at påvirke de andre. sudo uden adgangskode for en hel konto betyder også, at en stjålet nøgle alene giver fuld kontrol.
Konti i CH-J Server Manager
Modulet Users administrerer konti, grupper, SSH-nøgler og SSH-adgang via en aktiv SSH-session. Det ændrer aldrig sudoers eller indstiller NOPASSWD, og det viser den faktiske sudo-status fra sudo -l. Kontoen root kan ikke slettes, og tilladelse til root-login med adgangskode kræver en ekstra bekræftelse; kun nøgle er det anbefalede valg. En ændring af SSH-adgang kontrolleres med sshd -T og et nyt SSH-login. Den tidligere konfiguration gendannes automatisk, hvis kontrollen fejler, eller du ellers ville blive låst ude. Uden sudo er modulet skrivebeskyttet.