Layunin at pagkakasunod-sunod ng mga hakbang
Dapat mag-login ang mga administrator sa sarili nilang account gamit ang mga key at gumamit ng sudo kapag kailangan, dahil nag-iiwan ito ng tala kung sino ang gumawa ng ano at nililimitahan ang paghula ng password. Mahalaga ang pagkakasunod-sunod: paganahin muna ang bagong paraan ng access, subukan ito, at higpitan ang root bilang huling hakbang. Panatilihing magagamit ang console ng provider sakaling may pumalya.
Gumawa ng account at ikabit ang key
Gumawa ng account, idagdag ang public key nito at magtakda ng mahigpit na mga permiso, dahil hindi ginagamit ng sshd ang mga key file na maaaring sulatan ng iba. Huwag kailanman kumopya ng private key sa server. Sa mga sistemang kabilang sa pamilyang Red Hat, gamitin ang grupong wheel sa halip na sudo.
sudo adduser admin1
sudo usermod -aG sudo admin1
sudo install -d -m 700 -o admin1 -g admin1 /home/admin1/.ssh
sudo install -m 600 -o admin1 -g admin1 ~/admin1.pub /home/admin1/.ssh/authorized_keysSubukan mula sa pangalawang window
Panatilihing bukas ang kasalukuyang session at subukan ang bagong login mula sa ibang terminal. Hindi sapat na patunay na gumagana ang sudo ang pagiging miyembro ng isang grupo, dahil ang mga patakaran sa sudoers ang nagtatakda nito. Tiyakin ito gamit ang sudo -l.
ssh -o IdentitiesOnly=yes -i ~/.ssh/id_ed25519 admin1@server.example
sudo -l
sudo -vHigpitan ang root login
Pinapayagan ng PermitRootLogin prohibit-password ang root gamit lamang ang key, at lubusang hinaharangan ng no ang root sa SSH. Ilagay ang pagbabago sa sarili nitong file sa ilalim ng /etc/ssh/sshd_config.d. Para sa karamihan ng mga option, ginagamit ng sshd ang unang value na makita nito, kaya maaaring manaig ang file na mas maagang binasa. Dahil dito, tiyakin ang aktuwal na value na may bisa gamit ang sshd -T sa halip na basta basahin ang mga file. Subukan ang bagong login bago isara ang lumang session.
echo 'PermitRootLogin no' | sudo tee /etc/ssh/sshd_config.d/50-root.conf
sudo sshd -t
sudo systemctl reload ssh
sudo sshd -T | grep -iE '^(permitrootlogin|passwordauthentication) 'Password login at mga dapat iwasan
Patayin lang ang PasswordAuthentication kapag may nasubukang key na ang bawat account na kailangan mo. Iwasang paghatian ng ilang tao ang isang account, dahil hindi mo mababawi ang access ng isang tao nang hindi naaapektuhan ang iba. Ang sudo na walang password para sa buong account ay nangangahulugan ding sapat na ang ninakaw na key para makuha ang buong kontrol.
Mga account sa CH-J Server Manager
Pinamamahalaan ng Users module ang mga account, grupo, SSH key at SSH access sa pamamagitan ng aktibong SSH session. Hindi nito kailanman binabago ang sudoers o itinatakda ang NOPASSWD, at iniuulat nito ang aktuwal na sudo state mula sa sudo -l. Hindi maaaring burahin ang root account, at kailangan ng karagdagang kumpirmasyon para payagan ang root login gamit ang password, kung saan Key only ang inirerekomendang pagpili. Bineberipika ang pagbabago sa SSH access gamit ang sshd -T at bagong SSH login, at awtomatikong ibinabalik ang dating configuration kung pumalya ang pagsusuri o mawawalan ka ng access. Kung walang sudo, para sa pagbasa lamang ang module.