Le but et l’ordre des étapes
Les administrateurs doivent se connecter avec leurs propres comptes à l’aide de clés et utiliser sudo au besoin. Cela permet de savoir qui a fait quoi et limite les tentatives de deviner les mots de passe. L’ordre compte : faites d’abord fonctionner le nouvel accès, testez-le, puis limitez root en dernier. Gardez la console du fournisseur disponible en cas de problème.
Créer le compte et installer la clé
Créez le compte, ajoutez sa clé publique et définissez des permissions strictes, car sshd ignore les fichiers de clés dans lesquels d’autres peuvent écrire. Ne copiez jamais de clé privée sur le serveur. Sur les systèmes de la famille Red Hat, utilisez le groupe wheel à la place de sudo.
sudo adduser admin1
sudo usermod -aG sudo admin1
sudo install -d -m 700 -o admin1 -g admin1 /home/admin1/.ssh
sudo install -m 600 -o admin1 -g admin1 ~/admin1.pub /home/admin1/.ssh/authorized_keysTester depuis une deuxième fenêtre
Gardez votre session actuelle ouverte et testez la nouvelle connexion depuis un autre terminal. L’appartenance à un groupe ne prouve pas à elle seule que sudo fonctionne : ce sont les règles de sudoers qui en décident. Vérifiez-le avec sudo -l.
ssh -o IdentitiesOnly=yes -i ~/.ssh/id_ed25519 admin1@server.example
sudo -l
sudo -vLimiter la connexion root
PermitRootLogin prohibit-password autorise root uniquement avec une clé, tandis que la valeur no bloque entièrement l’accès root par SSH. Placez la modification dans un fichier distinct sous /etc/ssh/sshd_config.d. Pour la plupart des options, sshd utilise la première valeur trouvée ; un fichier lu plus tôt peut donc avoir priorité. Vérifiez ainsi la valeur effective avec sshd -T plutôt que de simplement lire les fichiers. Testez une nouvelle connexion avant de fermer l’ancienne session.
echo 'PermitRootLogin no' | sudo tee /etc/ssh/sshd_config.d/50-root.conf
sudo sshd -t
sudo systemctl reload ssh
sudo sshd -T | grep -iE '^(permitrootlogin|passwordauthentication) 'Connexion par mot de passe et pratiques à éviter
Ne désactivez PasswordAuthentication qu’une fois que tous les comptes nécessaires disposent d’une clé testée. Évitez de partager un compte entre plusieurs personnes, car vous ne pourriez plus révoquer l’accès de l’une sans affecter les autres. Autoriser sudo sans mot de passe pour tout un compte signifie aussi qu’une clé volée suffit à obtenir le contrôle total.
Les comptes dans CH-J Server Manager
Le module Users gère les comptes, groupes, clés SSH et accès SSH via une session SSH active. Il ne modifie jamais sudoers et ne définit pas NOPASSWD ; il indique l’état réel de sudo d’après sudo -l. Le compte root ne peut pas être supprimé, et autoriser sa connexion par mot de passe exige une confirmation supplémentaire ; l’option recommandée est la connexion par clé uniquement. Toute modification de l’accès SSH est vérifiée avec sshd -T et une nouvelle connexion SSH. La configuration précédente est rétablie automatiquement si la vérification échoue ou si vous risquiez de perdre l’accès. Sans sudo, le module est en lecture seule.