El objetivo y el orden de los pasos
Los administradores deben iniciar sesión con sus propias cuentas mediante claves y usar sudo cuando sea necesario. Así queda constancia de quién hizo qué y se limitan los intentos de adivinar contraseñas. El orden importa: primero haz que funcione el nuevo acceso, pruébalo y restringe root como último paso. Ten disponible la consola del proveedor por si algo sale mal.
Crea la cuenta e instala la clave
Crea la cuenta, añade su clave pública y establece permisos estrictos, porque sshd ignora los archivos de claves en los que otros pueden escribir. Nunca copies una clave privada al servidor. En sistemas de la familia Red Hat, usa el grupo wheel en lugar de sudo.
sudo adduser admin1
sudo usermod -aG sudo admin1
sudo install -d -m 700 -o admin1 -g admin1 /home/admin1/.ssh
sudo install -m 600 -o admin1 -g admin1 ~/admin1.pub /home/admin1/.ssh/authorized_keysPrueba desde una segunda ventana
Mantén abierta la sesión actual y prueba el nuevo inicio de sesión desde otro terminal. Pertenecer a un grupo no demuestra por sí solo que sudo funcione, porque eso lo determinan las reglas de sudoers. Confírmalo con sudo -l.
ssh -o IdentitiesOnly=yes -i ~/.ssh/id_ed25519 admin1@server.example
sudo -l
sudo -vRestringe el inicio de sesión de root
PermitRootLogin prohibit-password permite el acceso de root solo con clave, y el valor `no` bloquea por completo el acceso de root por SSH. Guarda el cambio en un archivo propio dentro de /etc/ssh/sshd_config.d. Para la mayoría de las opciones, sshd usa el primer valor que encuentra, por lo que un archivo anterior puede tener prioridad. Por eso, verifica el valor efectivo con sshd -T en lugar de limitarte a leer los archivos. Prueba un nuevo inicio de sesión antes de cerrar la sesión anterior.
echo 'PermitRootLogin no' | sudo tee /etc/ssh/sshd_config.d/50-root.conf
sudo sshd -t
sudo systemctl reload ssh
sudo sshd -T | grep -iE '^(permitrootlogin|passwordauthentication) 'Acceso con contraseña y prácticas que debes evitar
Desactiva PasswordAuthentication solo cuando todas las cuentas que necesites tengan una clave probada. Evita compartir una cuenta entre varias personas, porque entonces no puedes revocar el acceso de una sin afectar a las demás. Permitir sudo sin contraseña para toda una cuenta también significa que basta una clave robada para obtener el control total.
Cuentas en CH-J Server Manager
El módulo Users administra cuentas, grupos, claves SSH y acceso SSH mediante una sesión SSH activa. Nunca modifica sudoers ni establece NOPASSWD, e informa del estado real de sudo a partir de sudo -l. La cuenta root no se puede eliminar y permitir que root inicie sesión con contraseña exige una confirmación adicional; la opción recomendada es solo con clave. Los cambios en el acceso SSH se verifican con sshd -T y un nuevo inicio de sesión SSH, y la configuración anterior se restaura automáticamente si la comprobación falla o si fueras a perder el acceso. Sin sudo, el módulo es de solo lectura.