Tujuan dan urutan langkah
Administrator sebaiknya login dengan akun masing-masing menggunakan kunci dan memakai sudo saat diperlukan, karena cara ini mencatat siapa melakukan apa dan membatasi upaya menebak kata sandi. Urutannya penting: pastikan akses baru berfungsi terlebih dahulu, uji, lalu batasi root sebagai langkah terakhir. Siapkan akses konsol penyedia jika terjadi masalah.
Buat akun dan pasang kunci
Buat akun, tambahkan kunci publiknya dan tetapkan izin secara ketat, karena sshd mengabaikan berkas kunci yang dapat ditulis oleh orang lain. Jangan pernah menyalin kunci privat ke server. Pada sistem keluarga Red Hat, gunakan grup wheel sebagai pengganti sudo.
sudo adduser admin1
sudo usermod -aG sudo admin1
sudo install -d -m 700 -o admin1 -g admin1 /home/admin1/.ssh
sudo install -m 600 -o admin1 -g admin1 ~/admin1.pub /home/admin1/.ssh/authorized_keysUji dari jendela kedua
Biarkan sesi saat ini tetap terbuka dan uji login baru dari terminal lain. Keanggotaan grup saja tidak membuktikan bahwa sudo berfungsi, karena aturan di sudoers yang menentukannya. Pastikan dengan sudo -l.
ssh -o IdentitiesOnly=yes -i ~/.ssh/id_ed25519 admin1@server.example
sudo -l
sudo -vBatasi login root
PermitRootLogin prohibit-password mengizinkan root hanya dengan kunci, sedangkan no memblokir root melalui SSH sepenuhnya. Simpan perubahan dalam berkas tersendiri di /etc/ssh/sshd_config.d. Untuk sebagian besar opsi, sshd memakai nilai pertama yang ditemukan, sehingga berkas yang dibaca lebih awal mungkin diutamakan. Karena itu, periksa nilai yang benar-benar berlaku dengan sshd -T, bukan hanya membaca berkasnya. Uji login baru sebelum menutup sesi lama.
echo 'PermitRootLogin no' | sudo tee /etc/ssh/sshd_config.d/50-root.conf
sudo sshd -t
sudo systemctl reload ssh
sudo sshd -T | grep -iE '^(permitrootlogin|passwordauthentication) 'Login kata sandi dan hal yang harus dihindari
Nonaktifkan PasswordAuthentication hanya setelah setiap akun yang Anda perlukan memiliki kunci yang sudah diuji. Hindari berbagi satu akun dengan beberapa orang, karena Anda tidak dapat mencabut akses satu orang tanpa memengaruhi yang lain. sudo tanpa kata sandi untuk seluruh akun juga berarti kunci yang dicuri saja sudah memberikan kendali penuh.
Akun di CH-J Server Manager
Modul Users mengelola akun, grup, kunci SSH dan akses SSH melalui sesi SSH aktif. Modul ini tidak pernah mengubah sudoers atau menetapkan NOPASSWD, dan melaporkan keadaan sudo yang sebenarnya berdasarkan sudo -l. Akun root tidak dapat dihapus, dan mengizinkan login root dengan kata sandi memerlukan konfirmasi tambahan, dengan Key only sebagai pilihan yang disarankan. Perubahan akses SSH diverifikasi dengan sshd -T dan login SSH baru, dan konfigurasi sebelumnya dipulihkan otomatis jika pemeriksaan gagal atau Anda akan kehilangan akses. Tanpa sudo, modul ini hanya dapat dibaca.