An sprioc agus ord na gcéimeanna
Ba cheart do riarthóirí logáil isteach ina gcuntais féin le heochracha agus sudo a úsáid de réir mar is gá. Fágann sé sin taifead ar cé a rinne cad agus cuireann sé teorainn le hiarrachtaí pasfhocail a thomhas. Tá an t-ord tábhachtach: cuir an rochtain nua ag obair ar dtús, tástáil í agus cuir srian le root mar an chéim dheireanach. Coinnigh consól an tsoláthraí ar fáil ar eagla go rachadh rud éigin amú.
Cruthaigh an cuntas agus suiteáil an eochair
Cruthaigh an cuntas, cuir a eochair phoiblí leis agus socraigh ceadanna dochta, mar déanann sshd neamhaird de chomhaid eochrach ar féidir le daoine eile scríobh iontu. Ná cóipeáil eochair phríobháideach chuig an bhfreastalaí riamh. Ar chórais de chuid theaghlach Red Hat, úsáid an grúpa wheel in ionad sudo.
sudo adduser admin1
sudo usermod -aG sudo admin1
sudo install -d -m 700 -o admin1 -g admin1 /home/admin1/.ssh
sudo install -m 600 -o admin1 -g admin1 ~/admin1.pub /home/admin1/.ssh/authorized_keysTástáil ó dhara fuinneog
Coinnigh do sheisiún reatha ar oscailt agus tástáil an logáil isteach nua ó theirminéal eile. Ní chruthaíonn ballraíocht i ngrúpa inti féin go n-oibríonn sudo, mar is iad na rialacha in sudoers a chinneann é sin. Deimhnigh é le sudo -l.
ssh -o IdentitiesOnly=yes -i ~/.ssh/id_ed25519 admin1@server.example
sudo -l
sudo -vCuir srian le logáil isteach root
Ní cheadaíonn PermitRootLogin prohibit-password rochtain root ach le heochair, agus cuireann an luach no bac iomlán ar rochtain root thar SSH. Cuir an t-athrú ina chomhad féin faoi /etc/ssh/sshd_config.d. I gcás fhormhór na roghanna, úsáideann sshd an chéad luach a aimsíonn sé, mar sin d’fhéadfadh tús áite a bheith ag comhad níos luaithe. Dá bhrí sin, fíoraigh an luach atá i bhfeidhm le sshd -T seachas na comhaid a léamh amháin. Tástáil logáil isteach nua sula ndúnann tú an seanseisiún.
echo 'PermitRootLogin no' | sudo tee /etc/ssh/sshd_config.d/50-root.conf
sudo sshd -t
sudo systemctl reload ssh
sudo sshd -T | grep -iE '^(permitrootlogin|passwordauthentication) 'Logáil isteach le pasfhocal agus rudaí le seachaint
Ná díchumasaigh PasswordAuthentication go dtí go mbeidh eochair thástáilte ag gach cuntas a theastaíonn uait. Seachain cuntas amháin a roinnt idir roinnt daoine, mar ní féidir leat rochtain duine amháin a chúlghairm ansin gan dul i bhfeidhm ar na daoine eile. Má cheadaítear sudo gan pasfhocal do chuntas iomlán, ciallaíonn sé freisin gur leor eochair ghoidte inti féin chun smacht iomlán a fháil.
Cuntais in CH-J Server Manager
Bainistíonn an modúl Users cuntais, grúpaí, eochracha SSH agus rochtain SSH trí sheisiún gníomhach SSH. Ní athraíonn sé sudoers riamh ná ní shocraíonn sé NOPASSWD, agus tuairiscíonn sé staid iarbhír sudo ó sudo -l. Ní féidir an cuntas root a scriosadh, agus teastaíonn deimhniú breise chun logáil isteach root le pasfhocal a cheadú; is é eochair amháin an rogha mholta. Fíoraítear athrú ar rochtain SSH le sshd -T agus logáil isteach nua SSH, agus athchóirítear an chumraíocht roimhe seo go huathoibríoch má theipeann ar an seiceáil nó dá nglasálfaí amach thú. Gan sudo, tá an modúl inléite amháin.