SSH-käyttäjät ja root-pääsy: turvalliset asetukset Linuxissa

Tavoite ja vaiheiden järjestys

Ylläpitäjien tulee kirjautua omilla tileillään avaimia käyttäen ja käyttää tarvittaessa sudo-komentoa. Näin jää tieto siitä, kuka teki mitä, ja salasanojen arvailu vähenee. Järjestys on tärkeä: varmista ensin uuden pääsyn toimivuus, testaa se ja rajoita root-pääsyä viimeisenä. Pidä palveluntarjoajan konsoli käytettävissä ongelmien varalta.

Luo tili ja asenna avain

Luo tili, lisää sen julkinen avain ja määritä tiukat oikeudet, sillä sshd ohittaa avaintiedostot, joihin muut voivat kirjoittaa. Älä koskaan kopioi yksityistä avainta palvelimelle. Käytä Red Hat -perheen järjestelmissä wheel-ryhmää sudo-ryhmän sijaan.

sudo adduser admin1
sudo usermod -aG sudo admin1
sudo install -d -m 700 -o admin1 -g admin1 /home/admin1/.ssh
sudo install -m 600 -o admin1 -g admin1 ~/admin1.pub /home/admin1/.ssh/authorized_keys

Testaa toisesta ikkunasta

Pidä nykyinen istunto auki ja testaa uutta kirjautumista toisesta päätteestä. Pelkkä ryhmän jäsenyys ei todista, että sudo toimii, sillä sudoers-säännöt ratkaisevat asian. Varmista se komennolla sudo -l.

ssh -o IdentitiesOnly=yes -i ~/.ssh/id_ed25519 admin1@server.example
sudo -l
sudo -v

Rajoita root-kirjautumista

PermitRootLogin prohibit-password sallii root-kirjautumisen vain avaimella, ja arvo no estää root-pääsyn SSH:n kautta kokonaan. Tallenna muutos omaan tiedostoonsa hakemistoon /etc/ssh/sshd_config.d. Useimmissa asetuksissa sshd käyttää ensimmäistä löytämäänsä arvoa, joten aiempi tiedosto voi saada etusijan. Tarkista siksi voimassa oleva arvo komennolla sshd -T sen sijaan, että vain lukisit tiedostoja. Testaa uusi kirjautuminen ennen vanhan istunnon sulkemista.

echo 'PermitRootLogin no' | sudo tee /etc/ssh/sshd_config.d/50-root.conf
sudo sshd -t
sudo systemctl reload ssh
sudo sshd -T | grep -iE '^(permitrootlogin|passwordauthentication) '

Salasanakirjautuminen ja vältettävät käytännöt

Poista PasswordAuthentication käytöstä vasta, kun jokaisella tarvitsemallasi tilillä on testattu avain. Vältä yhden tilin jakamista usean henkilön kesken, sillä silloin et voi perua yhden henkilön pääsyä vaikuttamatta muihin. Salasanaton sudo koko tilille tarkoittaa myös, että pelkkä varastettu avain antaa täyden hallinnan.

Tilit CH-J Server Manager -sovelluksessa

Users-moduuli hallitsee tilejä, ryhmiä, SSH-avaimia ja SSH-pääsyä aktiivisen SSH-istunnon kautta. Se ei koskaan muuta sudoers-tiedostoa tai aseta NOPASSWD-arvoa, ja se ilmoittaa todellisen sudo-tilan komennon sudo -l perusteella. root-tiliä ei voi poistaa, ja root-kirjautumisen salliminen salasanalla vaatii lisävahvistuksen. Suositeltu valinta on vain avaimella. SSH-pääsyn muutos varmennetaan komennolla sshd -T ja uudella SSH-kirjautumisella. Aiempi määritys palautetaan automaattisesti, jos tarkistus epäonnistuu tai menettäisit pääsyn. Ilman sudo-oikeuksia moduuli on vain luku -tilassa.

Yksityiskohtaiset asiakirjat

OpenSSH: sshd_config →

man: sudoers →

Biometrinen aukko ja turvallisuus →