L’obiettivo e l’ordine dei passaggi
Gli amministratori dovrebbero accedere con i propri account tramite chiavi e usare sudo quando necessario: così rimane traccia di chi ha fatto cosa e si limitano i tentativi di indovinare le password. L’ordine conta: prima rendi funzionante il nuovo accesso, verificalo e limita root come ultimo passaggio. Tieni disponibile la console del fornitore nel caso qualcosa vada storto.
Crea l’account e installa la chiave
Crea l’account, aggiungi la sua chiave pubblica e imposta permessi restrittivi, perché sshd ignora i file delle chiavi scrivibili da altri. Non copiare mai una chiave privata sul server. Sui sistemi della famiglia Red Hat usa il gruppo wheel al posto di sudo.
sudo adduser admin1
sudo usermod -aG sudo admin1
sudo install -d -m 700 -o admin1 -g admin1 /home/admin1/.ssh
sudo install -m 600 -o admin1 -g admin1 ~/admin1.pub /home/admin1/.ssh/authorized_keysVerifica da una seconda finestra
Lascia aperta la sessione attuale e prova il nuovo accesso da un altro terminale. L’appartenenza a un gruppo non dimostra da sola che sudo funzioni, perché sono le regole in sudoers a stabilirlo. Confermalo con sudo -l.
ssh -o IdentitiesOnly=yes -i ~/.ssh/id_ed25519 admin1@server.example
sudo -l
sudo -vLimita l’accesso root
PermitRootLogin prohibit-password consente l’accesso root solo con una chiave, mentre no blocca completamente root tramite SSH. Inserisci la modifica in un file dedicato sotto /etc/ssh/sshd_config.d. Per la maggior parte delle opzioni sshd usa il primo valore trovato, quindi un file precedente può avere la precedenza. Per questo verifica il valore effettivo con sshd -T anziché leggere i file. Prova un nuovo accesso prima di chiudere la vecchia sessione.
echo 'PermitRootLogin no' | sudo tee /etc/ssh/sshd_config.d/50-root.conf
sudo sshd -t
sudo systemctl reload ssh
sudo sshd -T | grep -iE '^(permitrootlogin|passwordauthentication) 'Accesso con password e pratiche da evitare
Disattiva PasswordAuthentication solo dopo aver verificato la chiave di ogni account necessario. Evita di condividere un account tra più persone, perché non potresti revocare l’accesso a una sola senza coinvolgere le altre. Anche consentire sudo senza password per un intero account significa che basta una chiave rubata per ottenere il controllo completo.
Account in CH-J Server Manager
Il modulo Users gestisce account, gruppi, chiavi SSH e accesso SSH tramite una sessione SSH attiva. Non modifica mai sudoers né imposta NOPASSWD e riporta lo stato effettivo di sudo ricavato da sudo -l. L’account root non può essere eliminato e consentire l’accesso root con password richiede una conferma aggiuntiva, con Solo chiave come scelta consigliata. Una modifica all’accesso SSH viene verificata con sshd -T e un nuovo accesso SSH; la configurazione precedente viene ripristinata automaticamente se la verifica fallisce o rischi di perdere l’accesso. Senza sudo, il modulo è in sola lettura.