A cél és a lépések sorrendje
A rendszergazdák saját fiókjukkal, kulccsal jelentkezzenek be, és szükség esetén használják a sudo parancsot, mert így nyoma marad annak, ki mit tett, és korlátozhatók a jelszótalálgatási próbálkozások. A sorrend fontos: először tegye működőképessé az új hozzáférést, tesztelje, és utolsó lépésként korlátozza a root hozzáférést. Tartsa elérhetően a szolgáltató konzolját arra az esetre, ha valami elromlana.
A fiók létrehozása és a kulcs telepítése
Hozza létre a fiókot, adja hozzá a nyilvános kulcsát, és szigorúan állítsa be a jogosultságokat, mert az sshd figyelmen kívül hagyja a mások által írható kulcsfájlokat. Soha ne másoljon magánkulcsot a szerverre. A Red Hat családba tartozó rendszereken a sudo csoport helyett a wheel csoportot használja.
sudo adduser admin1
sudo usermod -aG sudo admin1
sudo install -d -m 700 -o admin1 -g admin1 /home/admin1/.ssh
sudo install -m 600 -o admin1 -g admin1 ~/admin1.pub /home/admin1/.ssh/authorized_keysTesztelés egy második ablakból
Hagyja nyitva a jelenlegi munkamenetet, és egy másik terminálból tesztelje az új bejelentkezést. A csoporttagság önmagában nem bizonyítja, hogy a sudo működik, mert ezt a sudoers szabályai döntik el. Ellenőrizze a sudo -l paranccsal.
ssh -o IdentitiesOnly=yes -i ~/.ssh/id_ed25519 admin1@server.example
sudo -l
sudo -vA root bejelentkezés korlátozása
A PermitRootLogin prohibit-password csak kulccsal engedi be a root felhasználót, a no pedig teljesen letiltja a root SSH-hozzáférését. A módosítást külön fájlba tegye ebben a könyvtárban: /etc/ssh/sshd_config.d. A legtöbb beállításnál az sshd az első megtalált értéket használja, ezért egy korábbi fájl beállítása érvényesülhet. Ezért a fájlok olvasása helyett az sshd -T paranccsal ellenőrizze a tényleges értéket. Teszteljen egy új bejelentkezést, mielőtt bezárja a régi munkamenetet.
echo 'PermitRootLogin no' | sudo tee /etc/ssh/sshd_config.d/50-root.conf
sudo sshd -t
sudo systemctl reload ssh
sudo sshd -T | grep -iE '^(permitrootlogin|passwordauthentication) 'Jelszavas belépés és kerülendő megoldások
Csak akkor kapcsolja ki a PasswordAuthentication beállítást, ha minden szükséges fióknak van tesztelt kulcsa. Ne használjon több ember közösen egy fiókot, mert így egyetlen személy hozzáférését sem lehet visszavonni a többiek érintése nélkül. A teljes fiókra engedélyezett jelszó nélküli sudo azt is jelenti, hogy egy ellopott kulcs önmagában teljes irányítást ad.
Fiókok a CH-J Server Manager alkalmazásban
A Users modul aktív SSH-munkameneten keresztül kezeli a fiókokat, csoportokat, SSH-kulcsokat és az SSH-hozzáférést. Soha nem módosítja a sudoers fájlt, és nem állít be NOPASSWD értéket; a sudo tényleges állapotát a sudo -l alapján jelzi. A root fiók nem törölhető, a jelszavas root belépés engedélyezése pedig külön megerősítést kér; az ajánlott választás a Csak kulcs. Az SSH-hozzáférés módosítását az sshd -T és egy új SSH-bejelentkezés ellenőrzi, és a korábbi konfiguráció automatikusan visszaáll, ha az ellenőrzés sikertelen, vagy kizárná magát. sudo nélkül a modul csak olvasható.