Tikslas ir veiksmų tvarka
Administratoriai turėtų jungtis savo paskyromis su raktais ir prireikus naudoti sudo, nes taip lieka įrašas, kas ką atliko, ir ribojami slaptažodžių spėliojimo bandymai. Tvarka svarbi: pirmiausia užtikrinkite, kad nauja prieiga veiktų, patikrinkite ją ir tik paskiausiai apribokite root. Turėkite prieigą prie paslaugų teikėjo konsolės, jei kas nors nepavyktų.
Sukurkite paskyrą ir įdiekite raktą
Sukurkite paskyrą, pridėkite jos viešąjį raktą ir nustatykite griežtas teises, nes sshd nepaiso raktų failų, į kuriuos gali rašyti kiti. Niekada nekopijuokite privataus rakto į serverį. Red Hat šeimos sistemose vietoj sudo grupės naudokite wheel grupę.
sudo adduser admin1
sudo usermod -aG sudo admin1
sudo install -d -m 700 -o admin1 -g admin1 /home/admin1/.ssh
sudo install -m 600 -o admin1 -g admin1 ~/admin1.pub /home/admin1/.ssh/authorized_keysPatikrinkite antrame lange
Palikite dabartinį seansą atidarytą ir iš kito terminalo patikrinkite naują prisijungimą. Vien narystė grupėje neįrodo, kad sudo veikia, nes tai lemia sudoers taisyklės. Patvirtinkite komanda sudo -l.
ssh -o IdentitiesOnly=yes -i ~/.ssh/id_ed25519 admin1@server.example
sudo -l
sudo -vApribokite root prisijungimą
PermitRootLogin prohibit-password leidžia root prisijungti tik su raktu, o no visiškai uždraudžia root prieigą per SSH. Pakeitimą įrašykite į atskirą failą kataloge /etc/ssh/sshd_config.d. Daugumai parinkčių sshd naudoja pirmą rastą reikšmę, todėl anksčiau skaitomas failas gali turėti pirmenybę. Dėl to galiojančią reikšmę tikrinkite komanda sshd -T, o ne skaitydami failus. Prieš uždarydami seną seansą patikrinkite naują prisijungimą.
echo 'PermitRootLogin no' | sudo tee /etc/ssh/sshd_config.d/50-root.conf
sudo sshd -t
sudo systemctl reload ssh
sudo sshd -T | grep -iE '^(permitrootlogin|passwordauthentication) 'Prisijungimas slaptažodžiu ir ko vengti
Išjunkite PasswordAuthentication tik tada, kai visos reikalingos paskyros turi patikrintus raktus. Venkite vieną paskyrą naudoti keliems žmonėms, nes tuomet negalėsite atšaukti vieno žmogaus prieigos nepaveikę kitų. Visai paskyrai leidžiama sudo prieiga be slaptažodžio taip pat reiškia, kad vien pavogto rakto pakanka visiškai kontrolei gauti.
Paskyros CH-J Server Manager programoje
Users modulis valdo paskyras, grupes, SSH raktus ir SSH prieigą per aktyvų SSH seansą. Jis niekada nekeičia sudoers ir nenustato NOPASSWD, o tikrąją sudo būseną pateikia pagal sudo -l. Paskyros root ištrinti negalima, o leidžiant root prisijungti slaptažodžiu reikia papildomo patvirtinimo; rekomenduojamas pasirinkimas – Tik raktas. SSH prieigos pakeitimas tikrinamas komanda sshd -T ir nauju SSH prisijungimu, o ankstesnė konfigūracija automatiškai grąžinama, jei patikra nepavyksta arba prarastumėte prieigą. Be sudo modulis veikia tik skaitymo režimu.