Cilj i redoslijed koraka
Administratori se trebaju prijavljivati vlastitim računima pomoću ključeva i koristiti sudo prema potrebi, jer tako ostaje zapis tko je što učinio i ograničavaju se pokušaji pogađanja lozinki. Redoslijed je važan: najprije osposobite novi pristup, provjerite ga i tek na kraju ograničite root. Zadržite pristup konzoli pružatelja usluge za slučaj problema.
Izradite račun i postavite ključ
Izradite račun, dodajte njegov javni ključ i strogo postavite prava, jer sshd zanemaruje datoteke ključeva u koje drugi mogu pisati. Nikada ne kopirajte privatni ključ na poslužitelj. Na sustavima iz obitelji Red Hat koristite grupu wheel umjesto sudo.
sudo adduser admin1
sudo usermod -aG sudo admin1
sudo install -d -m 700 -o admin1 -g admin1 /home/admin1/.ssh
sudo install -m 600 -o admin1 -g admin1 ~/admin1.pub /home/admin1/.ssh/authorized_keysProvjerite iz drugog prozora
Ostavite trenutačnu sesiju otvorenom i provjerite novu prijavu iz drugog terminala. Samo članstvo u grupi ne dokazuje da sudo radi, jer to određuju pravila u sudoers. Potvrdite naredbom sudo -l.
ssh -o IdentitiesOnly=yes -i ~/.ssh/id_ed25519 admin1@server.example
sudo -l
sudo -vOgraničite prijavu kao root
PermitRootLogin prohibit-password dopušta root samo s ključem, a no potpuno blokira root preko SSH. Promjenu stavite u zasebnu datoteku unutar /etc/ssh/sshd_config.d. Za većinu opcija sshd koristi prvu pronađenu vrijednost, pa ranija datoteka može imati prednost. Zato provjerite stvarno primijenjenu vrijednost naredbom sshd -T umjesto čitanjem datoteka. Provjerite novu prijavu prije zatvaranja stare sesije.
echo 'PermitRootLogin no' | sudo tee /etc/ssh/sshd_config.d/50-root.conf
sudo sshd -t
sudo systemctl reload ssh
sudo sshd -T | grep -iE '^(permitrootlogin|passwordauthentication) 'Prijava lozinkom i što izbjegavati
Isključite PasswordAuthentication tek kada svaki potreban račun ima provjeren ključ. Izbjegavajte dijeljenje jednog računa među više osoba, jer tada ne možete jednoj osobi opozvati pristup bez utjecaja na ostale. sudo bez lozinke za cijeli račun također znači da je sam ukradeni ključ dovoljan za potpunu kontrolu.
Računi u CH-J Server Manager
Modul Users upravlja računima, grupama, SSH ključevima i SSH pristupom preko aktivne SSH sesije. Nikada ne mijenja sudoers niti postavlja NOPASSWD, a stvarno stanje sudo prikazuje na temelju sudo -l. Račun root ne može se izbrisati, a omogućavanje prijave kao root lozinkom zahtijeva dodatnu potvrdu, uz preporučenu opciju Samo ključ. Promjena SSH pristupa provjerava se naredbom sshd -T i novom SSH prijavom, a prethodna se konfiguracija automatski vraća ako provjera ne uspije ili biste izgubili pristup. Bez sudo modul služi samo za čitanje.