Eesmärk ja sammude järjekord
Administraatorid peaksid logima sisse oma kontodega võtmete abil ja kasutama vajaduse korral sudo. Nii jääb jälg sellest, kes mida tegi, ja piiratakse paroolide äraarvamist. Järjekord on oluline: esmalt pane uus juurdepääs tööle, testi seda ja piira root alles viimase sammuna. Hoia teenusepakkuja konsool käepärast juhuks, kui midagi läheb valesti.
Loo konto ja paigalda võti
Loo konto, lisa selle avalik võti ja määra ranged õigused, sest sshd eirab võtmefaile, kuhu teised saavad kirjutada. Ära kunagi kopeeri privaatvõtit serverisse. Red Hati perekonna süsteemides kasuta sudo asemel rühma wheel.
sudo adduser admin1
sudo usermod -aG sudo admin1
sudo install -d -m 700 -o admin1 -g admin1 /home/admin1/.ssh
sudo install -m 600 -o admin1 -g admin1 ~/admin1.pub /home/admin1/.ssh/authorized_keysTesti teisest aknast
Jäta praegune seanss avatuks ja testi uut sisselogimist teisest terminalist. Rühma kuulumine ei tõesta iseenesest, et sudo toimib, sest selle määravad sudoers reeglid. Kinnita seda käsuga sudo -l.
ssh -o IdentitiesOnly=yes -i ~/.ssh/id_ed25519 admin1@server.example
sudo -l
sudo -vPiira root-sisselogimist
PermitRootLogin prohibit-password lubab root sisse ainult võtmega ja väärtus no blokeerib root juurdepääsu SSH kaudu täielikult. Salvesta muudatus eraldi faili kataloogis /etc/ssh/sshd_config.d. Enamiku valikute puhul kasutab sshd esimest leitud väärtust, seega võib varasem fail peale jääda. Seetõttu kontrolli tegelikult kehtivat väärtust käsuga sshd -T, mitte üksnes faile lugedes. Testi uut sisselogimist enne vana seansi sulgemist.
echo 'PermitRootLogin no' | sudo tee /etc/ssh/sshd_config.d/50-root.conf
sudo sshd -t
sudo systemctl reload ssh
sudo sshd -T | grep -iE '^(permitrootlogin|passwordauthentication) 'Parooliga sisselogimine ja mida vältida
Lülita PasswordAuthentication välja alles siis, kui igal vajalikul kontol on testitud võti. Väldi ühe konto jagamist mitme inimese vahel, sest siis ei saa ühe inimese juurdepääsu tühistada teisi mõjutamata. Paroolita sudo kogu konto jaoks tähendab ka seda, et ainuüksi varastatud võti annab täieliku kontrolli.
Kontod rakenduses CH-J Server Manager
Moodul Users haldab kontosid, rühmi, SSH-võtmeid ja SSH-juurdepääsu aktiivse SSH-seansi kaudu. See ei muuda kunagi sudoers ega määra NOPASSWD ning näitab sudo tegelikku olekut käsu sudo -l põhjal. Kontot root ei saa kustutada ja root parooliga sisselogimise lubamine nõuab lisakinnitust; soovitatav valik on ainult võtmega. SSH-juurdepääsu muudatust kontrollitakse käsuga sshd -T ja uue SSH-sisselogimisega. Eelmine seadistus taastatakse automaatselt, kui kontroll ebaõnnestub või kaotaksid juurdepääsu. Ilma sudo õigusteta on moodul kirjutuskaitstud.